Saltar al contenido
03 · SOC Gestionado03 · Managed SOC

Negociación y Gestión de Crisis por RansomwareRansomware Negotiation and Crisis Management

Interlocución con el actor, análisis de viabilidad y manejo de la crisis.Engagement with the threat actor, viability analysis and crisis handling.

Gestión de crisisCrisis management 3.2 · Gestión de Incidentes3.2 · Incident Management

¿Qué es este servicio?What is this service?

Es la gestión de la crisis cuando un grupo de ransomware ya cifró o robó los datos de la organización: interlocución controlada con el actor para ganar tiempo y obtener información, análisis de viabilidad técnica y legal, y acompañamiento a la dirección en las decisiones. No es un servicio de pago de rescates.

Crisis management once a ransomware group has already encrypted or stolen the data of the organisation: controlled dialogue with the actor to buy time and extract information, technical and legal viability analysis, and support to the board through the decisions. It is not a ransom payment service.

¿Para qué se usa?What is it used for?

Sirve para tomar la decisión con datos en vez de con pánico. Y conviene decirlo sin rodeos: pagar no garantiza recuperar. Muchas víctimas que pagan reciben un descifrador lento, parcial o defectuoso, y el pago financia directamente al grupo criminal y a su próxima campaña. Además, según quién sea el actor, transferirle dinero puede exponer a la organización a consecuencias legales por sanciones internacionales. El primer trabajo del servicio es evaluar si hay camino de recuperación sin pagar, que muchas veces lo hay.

It exists so the decision is taken with data rather than in panic. And it needs saying plainly: paying does not guarantee recovery. Many victims who pay receive a slow, partial or faulty decryptor, and the payment directly funds the criminal group and its next campaign. Beyond that, depending on who the actor is, transferring money to them may expose the organisation to legal consequences under international sanctions regimes. The first job of the service is assessing whether there is a recovery path without paying, and often there is.

Qué beneficios traeBenefits it delivers

  • Evita los errores de las primeras horas: escribirle al atacante desde el correo corporativo comprometido, aceptar plazos, o admitir por escrito que hay respaldos.
  • Gana tiempo mientras se evalúa la restauración desde respaldos, que es la vía que resuelve el caso sin financiar al grupo.
  • Identifica al actor y su historial: hay grupos cuyo descifrador simplemente no funciona bien, y eso cambia por completo el cálculo.
  • Documenta el proceso de decisión para la aseguradora, la dirección y, si llega el caso, el regulador.
  • Avoids the classic first-hours mistakes: writing to the attacker from the compromised corporate mailbox, accepting their deadlines, or admitting in writing that backups exist.
  • Buys time while restoration from backups is assessed, the route that resolves the case without funding the group.
  • Identifies the actor and their track record: some groups ship decryptors that simply do not work well, which changes the calculation entirely.
  • Documents the decision process for the insurer, the board and, if it comes to it, the regulator.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No hay obligación legal de contratar este servicio en Costa Rica, ni prohibición expresa de pagar un rescate.
  • Si el ataque incluyó robo de datos personales, aplica la Ley 8968, vigente, con PRODHAB como autoridad: el pago no elimina la afectación a los titulares ni las obligaciones derivadas.
  • Pagar no cierra el incidente desde el punto de vista regulatorio ni contractual. Solo compra una llave.
  • There is no legal obligation to contract this service in Costa Rica, nor any express prohibition on paying a ransom.
  • If the attack involved theft of personal data, Law 8968 applies, in force, with PRODHAB as the authority: paying removes neither the harm to data subjects nor the resulting obligations.
  • Paying does not close the incident in regulatory or contractual terms. It only buys a key.

InternacionalInternational

  • Ningún marco obliga a contratar negociación.
  • Varias jurisdicciones restringen o sancionan los pagos a entidades listadas: antes de mover un centavo hay que verificar contra las listas de sanciones aplicables.
  • El RGPD y los marcos de resiliencia financiera obligan a notificar y documentar la violación con independencia de si se paga o no.
  • No framework obliges an organisation to contract negotiation.
  • Several jurisdictions restrict or penalise payments to listed entities: before moving a single cent, the applicable sanctions lists have to be checked.
  • The GDPR and the financial resilience frameworks require notifying and documenting the breach regardless of whether payment is made.

Requisitos mínimosMinimum requirements

  • No haber contactado todavía al actor, o decir exactamente qué se le escribió. Lo ya dicho condiciona todo lo que sigue.
  • Evaluación honesta del estado de los respaldos: si son restaurables, la negociación cambia de objetivo por completo.
  • Involucrar a legal y a la aseguradora desde el primer día, no después de decidir.
  • Canales de comunicación fuera del entorno comprometido, porque el atacante probablemente sigue leyendo el correo.
  • Not having contacted the actor yet, or stating exactly what was said to them. What is already said conditions everything that follows.
  • An honest assessment of backup status: if they are restorable, the negotiation objective changes completely.
  • Involving legal and the insurer from day one, not after the decision is made.
  • Communication channels outside the compromised environment, because the attacker is probably still reading the email.

Plazo típico de entregaTypical delivery time

1 a 4 semanas 1 to 4 weeks rango habitual del mercado usual market range

La fase crítica de interlocución dura entre unos días y dos semanas, según los plazos que imponga el actor y la velocidad con que se pueda evaluar la restauración. El acompañamiento a la crisis se extiende hasta cuatro semanas cuando hay filtración publicada y hay que gestionar la exposición pública además del cifrado.

The critical dialogue phase lasts from a few days to two weeks, depending on the deadlines the actor imposes and how quickly restoration can be assessed. Crisis support extends to four weeks where data has been published and public exposure has to be managed alongside the encryption.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

RansomwareRansomware
Software que cifra los archivos de la víctima y pide un pago para devolverlos. Hoy casi siempre roba los datos antes de cifrar. Software that encrypts the files of the victim and demands payment to return them. Today it nearly always steals the data before encrypting.
Doble extorsiónDouble extortion
La táctica de robar los datos y además cifrarlos, para poder extorsionar con la publicación aunque la víctima restaure. The tactic of stealing the data as well as encrypting it, so extortion by publication still works even if the victim restores.
DescifradorDecryptor
La herramienta que el atacante entrega tras el pago. Suele ser lenta y no siempre recupera todo. The tool the attacker supplies after payment. It tends to be slow and does not always recover everything.
Sitio de filtraciónLeak site
La web donde el grupo publica los datos de las víctimas que no pagan, para presionar al resto. The site where the group publishes the data of victims who do not pay, to pressure the rest.
Prueba de vidaLiveness detection
Pedir al atacante que descifre unos archivos de muestra para verificar que su herramienta funciona de verdad. Asking the attacker to decrypt sample files to verify their tool actually works.