Un viernes 11:40 p. m. entra la llamada: los archivos del servidor de facturación tienen una extensión extraña y hay una nota de rescate en el escritorio. La organización no era cliente del CROC ni tenía retainer. Lo que sigue es la reconstrucción de las primeras cuatro horas, con permiso del afectado y sin datos que lo identifiquen.
Hora 0 a 1: las decisiones que ya estaban tomadas
Antes de llamarnos, el equipo de TI hizo lo que el instinto dicta y la forense lamenta: apagó los servidores afectados. La memoria volátil, procesos activos, conexiones, llaves de cifrado en algunos casos, se perdió. La primera instrucción de la llamada fue no tocar nada más: aislar de red sí, apagar no.
PRIMERA HORA · SECUENCIA REAL
23:40 llamada entrante · triage inicial
23:55 alcance preliminar: 1 servidor + 12 estaciones
00:10 aislamiento de red del segmento afectado
00:25 identificación de la variante por la nota
00:40 hipótesis de acceso inicial: VPN sin MFA
00:55 credenciales de emergencia rotadasHora 1 a 4: contener sin evidencia
Sin telemetría previa, cada pregunta básica, ¿desde cuándo están dentro?, ¿qué se llevaron?, requirió horas de reconstrucción con los registros que sobrevivieron. La VPN sin segundo factor resultó ser el acceso; llevaba expuesta meses. El cifrado se contuvo al segmento aislado y la restauración partió de respaldos verificados esa misma noche.
El retainer no hace magia. Hace que la llamada de las 11:40 p. m. no empiece de cero.
QUÉ HABRÍA CAMBIADO CON RETAINER
Runbook acordado (nadie apaga servidores), telemetría ya conectada (el alcance se responde en minutos, no en horas), acceso remoto pre-autorizado (contención en la primera hora) y tarifa pactada (nadie negocia precios durante una crisis). Las cuatro horas de este caso se habrían reducido a menos de una.
La organización hoy es cliente del CROC con retainer. Su tabletop anual reproduce, con su propio equipo, exactamente esta secuencia.
