Caso tipo · Empresa y seguros
Un ransomware en una pyme que necesita explicar qué pasó
Esto no es un cliente real. Es un caso tipo: una situación habitual, descrita para explicar qué puede acreditar un peritaje y qué no. No hay resultado de juicio ni testimonio, porque no los inventamos.
Los hechos
Un lunes, los doce equipos de una empresa de logística muestran una nota de rescate y el servidor de ficheros está cifrado. El informático externo restaura desde la última copia y la actividad se reanuda en dos días. Semanas después, el seguro de ciberriesgos pide un informe que acredite la vía de entrada y las medidas de seguridad existentes, y el cliente principal pregunta si sus datos se vieron afectados.
El problema
En la urgencia se reinstalaron tres equipos y se limpiaron cuentas. Eso es lo normal, pero destruye evidencias. Lo que queda son registros parciales del cortafuegos, el correo y el servidor, que hay que preservar de inmediato y reconstruir con criterio para no afirmar nada que no se pueda sostener.
El trabajo pericial
Preservación
Se obtienen copias forenses de los equipos que no se reinstalaron y se exportan los registros del cortafuegos y del correo, con su huella hash.
Reconstrucción
Se localiza el primer indicio de acceso, la cuenta utilizada y el movimiento posterior entre equipos.
Alcance
Se determina qué carpetas se cifraron y si hay evidencias de salida de datos antes del cifrado.
Medidas existentes
Se documenta el estado de copias, accesos y actualizaciones en el momento del ataque.
Peritaje aplicado: Ciberataques y fraudes.
Lo que el informe acredita
- La cuenta y el momento del acceso inicial.
- Los sistemas afectados y la cronología del cifrado.
- Si los registros disponibles muestran o no exfiltración de datos.
- Las medidas técnicas que estaban activas.
Lo que no
- La identidad de los atacantes no se puede determinar con un peritaje.
- Los equipos reinstalados antes de la intervención limitan lo que se reconstruye.
- La cobertura del seguro la decide la aseguradora según la póliza, no el informe.
Otros casos tipo
Un audio que alguien dice que no es suyo
Una grabación se aporta como prueba y la otra parte niega que sea su voz o que esté completa.
Un informe de la parte contraria que no se sostiene
El informe de la otra parte concluye lo que le conviene; el abogado necesita comprobar cómo llegó a ello.
¿Se parece a tu caso?
Cuéntanoslo. Te decimos qué se podría acreditar, qué no y qué habría que hacer para no perder la prueba.