Los cinco factores que determinan la recuperabilidad

1. Tipo de ransomware
Identificar el ransomware es el primer paso. Algunos tienen descifradores gratuitos disponibles en nomoreransom.org. Si el ransomware tiene una vulnerabilidad conocida en su implementación del cifrado, la recuperación puede ser posible sin pagar ni recurrir a backups. La extensión de los archivos cifrados y el contenido del mensaje de rescate son los datos clave para la identificación.

2. Estado de las shadow copies
Los shadow copies (Volume Shadow Copies) son instantáneas automáticas de Windows. Si el ransomware no los eliminó, pueden permitir restaurar versiones anteriores de los archivos sin necesidad de la clave de cifrado. El diagnóstico verifica su estado antes de cualquier otra acción.

3. Estado de los backups
¿Los backups existen? ¿Están intactos? ¿Estaban conectados en red al momento del ataque (posiblemente cifrados) o estaban aislados (posiblemente seguros)? Un backup offsite no conectado puede ser la solución completa al problema.

4. Versiones cloud con historial anterior al ataque
Si los datos estaban sincronizados con un servicio cloud con historial de versiones habilitado, puede ser posible restaurar la versión previa al cifrado. Esto depende de que la sincronización se haya detenido antes de que la versión cifrada sobrescribiera todos los estados anteriores.

5. Zonas no cifradas
En algunos ataques, el ransomware no alcanzó todos los sistemas o particiones. Equipos que estaban apagados al momento del ataque, discos externos desconectados, o particiones de datos secundarias pueden haber quedado sin cifrar.

Qué hace el laboratorio en el diagnóstico

• Identificación del ransomware y búsqueda de descifrador en bases de datos especializadas
• Análisis forense del sistema para detectar shadow copies, puntos de restauración y datos no cifrados
• Evaluación de backups disponibles: integridad, fecha del último backup válido, accesibilidad
• Revisión de versiones disponibles en servicios cloud vinculados
• Identificación de archivos parcialmente cifrados (potencialmente recuperables con herramientas de reconstrucción)

Por qué el diagnóstico debe hacerse antes del pago

El diagnóstico técnico determina si hay alternativas al pago antes de comprometer fondos. En un porcentaje significativo de casos existe alguna alternativa técnica (descifrador disponible, backup parcial utilizable, shadow copies intactas) que el afectado desconoce. Pagar sin haber hecho el diagnóstico puede ser un gasto innecesario.