¿Pagamos? Ayuda para decidir sobre el pago de un ransomware
Una ayuda razonada y atenta a la OFAC ante una exigencia de rescate: recomendación, filtros legales y lista de comprobación previa al pago. Apoyo a la decisión, no asesoramiento legal.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Hay una exigencia de rescate sobre la mesa y todo el mundo te mira. Esta ayuda estructura la decisión como debería hacerlo un equipo de respuesta: respondes a siete preguntas (si puedes restaurar desde copias de seguridad, si se exfiltraron datos, si se conoce un descifrador gratuito, si el actor podría estar sancionado por la OFAC, qué obligaciones tienes, cuál es el impacto en el negocio y si están implicadas las fuerzas del orden) y obtienes una recomendación razonada, los filtros legales y de procedimiento que hay que superar y una lista de comprobación previa al pago. Nunca te dice simplemente que pagues: el pago siempre es un último recurso condicionado y sujeto a filtros legales. Es apoyo a la decisión, no asesoramiento legal, y no hace ninguna determinación legal. Puedes compartir un enlace permanente que codifica tus respuestas en la URL y descargar un registro de la decisión en Markdown. Todo se ejecuta en tu navegador. Es una herramienta Pro: una cuenta gratuita tiene 3 usos de prueba de herramientas Pro en total y después necesitas Pro.
- Responde a las siete preguntas: restauración, exfiltración, descifrador gratuito, exposición a sanciones de la OFAC, obligaciones, impacto en el negocio y fuerzas del orden.
- Lee la recomendación razonada y los filtros legales y de procedimiento que hay que superar.
- Revisa la lista de comprobación previa al pago; se resaltan los puntos relevantes para tus respuestas.
- Comparte el enlace permanente o descarga el registro de la decisión en Markdown para tu asesoría jurídica, la aseguradora o el equipo de respuesta.
Preguntas frecuentes
¿Esta herramienta me dice que pague un rescate?
No. Nunca da una recomendación general de pagar. El pago siempre se plantea como un último recurso condicionado y sujeto a filtros legales, y las conclusiones más firmes apuntan a NO pagar; por ejemplo, cuando tienes copias de seguridad probadas y offline y no hay indicios de exfiltración de datos, o cuando se conoce un descifrador gratuito. En el caso más difícil, cuando no hay una vía de recuperación confirmada, la herramienta tampoco dice «paga»: dice que el pago solo puede plantearse después de contratar a la asesoría jurídica, superar el cotejo de sanciones, avisar a las fuerzas del orden, obtener prueba de descifrado y cumplir todos los demás filtros. La decisión corresponde a la organización junto con una asesoría jurídica cualificada; la herramienta solo la estructura.
¿Es asesoramiento legal?
No. Es apoyo a la decisión, no asesoramiento legal, y no hace ni puede hacer una determinación legal, sobre todo en materia de sanciones. Las decisiones de pago de un ransomware conllevan exposición por sanciones, regulatoria y contractual, y el primer paso correcto es contratar a una asesoría jurídica especializada en brechas, que dirige la decisión y preserva el secreto profesional. Cuando proceda, tu aseguradora de ciberseguro y las fuerzas del orden deben participar antes de cualquier acción. La herramienta lo repite en todo momento precisamente porque lo que está en juego es legal antes que técnico.
¿De qué trata la advertencia de la OFAC?
La Oficina de Control de Activos Extranjeros (OFAC) del Tesoro de EE. UU. ha publicado avisos (2020, actualizados en 2021) sobre el riesgo de sanciones al facilitar pagos de ransomware. Pagar, o ayudar a pagar, a una persona o entidad sancionada puede infringir por sí mismo la normativa de sanciones de EE. UU., que es de responsabilidad objetiva: no saberlo no es una defensa. Si el actor, o su jurisdicción, está en una lista de sanciones o probablemente vinculado a una entidad sancionada, la herramienta lo trata como una parada legal antes de cualquier razonamiento de coste-beneficio y te remite al cotejo y a la asesoría jurídica. Enlaza a ofac.treasury.gov y deja expresamente la determinación a tus abogados.
¿Qué incluye la lista de comprobación previa al pago?
Contratar primero a una asesoría jurídica cualificada; completar el cotejo de sanciones de la OFAC sobre la cartera y el actor identificado; avisar a la aseguradora y a la empresa de respuesta a incidentes (que a menudo deben aprobar y dirigir cualquier negociación); denunciar a las fuerzas del orden; exigir prueba de descifrado antes de mover fondos; tratar cualquier promesa de borrado de datos como inverificable y gestionar la exfiltración como una brecha en su propia vía; cumplir por separado los plazos de notificación regulatorios y contractuales; y revisar con la asesoría jurídica y el área financiera las consideraciones fiscales, de información y de comunicaciones de operaciones sospechosas (SAR). Se resaltan los puntos relevantes para tus respuestas.
¿Sale de mi navegador algo de lo que introduzco?
No. Toda la herramienta es React en el cliente con datos estáticos y SVG en línea: no hay llamadas de red ni analítica sobre tus entradas. El enlace permanente para compartir codifica tus respuestas directamente en la URL con base64url, así que el propio enlace lleva el estado sin intervención de ningún servidor, y el registro de la decisión en Markdown se genera y se descarga localmente.
¿Usa estadísticas reales sobre pagos de ransomware?
No, a propósito. La herramienta afirma solo dos hechos externos, ambos reales: que la OFAC ha publicado avisos sobre pagos de ransomware (2020 y actualizados en 2021) y que el proyecto No More Ransom publica descifradores gratuitos. Todo lo demás es marco y lógica: no se inventa tasas de pago, porcentajes de recuperación ni cifras en dólares, porque una ayuda a la decisión que fabrica números sería peor que no tener ninguna.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.