Una recuperación tras ransomware puede devolver documentos legibles y aun así omitir trabajo legítimo completado cerca del ataque. Trate “limpio” y “completo” como pruebas de aceptación separadas. Un archivo que se abre sin error puede contener contenido dañado o carecer de una revisión final importante.
Contenga el incidente antes de restaurar datos
Involucre al equipo de respuesta a incidentes de la organización y aísle los dispositivos afectados bajo su dirección. No restaure archivos en un dispositivo que pueda cifrar o volver a cargar copias dañadas de inmediato. Microsoft sitúa la limpieza del dispositivo antes de la restauración en su guía de recuperación ante ransomware. No debe suponerse que las pantallas de notificación para consumidores descritas allí aparezcan en todas las cuentas empresariales.
Conserve las pruebas relevantes del incidente mediante procedimientos aprobados. No abra archivos adjuntos sospechosos, no habilite macros ni ejecute un descifrador desconocido solo para ver si un documento se puede recuperar. Utilice el entorno de recuperación limpio aprobado por TI.
Identifique el trabajo que debe recuperarse
Elabore una lista breve de documentos críticos y el último cambio legítimo esperado en cada uno. Pida a sus propietarios comprobaciones de contenido concretas: un importe contractual revisado, la hoja de cálculo final o la nueva revisión del plano. Registre el primer daño observado por separado de la hora de la alerta; la detección puede ocurrir después de que comenzara el ataque.
Conserve el trabajo verificado como no afectado fuera del alcance de la reversión prevista. Moverlo a otra carpeta dentro del mismo OneDrive no es suficiente. Etiquete claramente los candidatos de recuperación para que un archivo no validado no se confunda con una copia de producción limpia.
Recupere candidatos según lo que falte
- Archivo existente pero dañado: inspeccione con TI las versiones históricas disponibles e identifique una que supere tanto la revisión de seguridad como la comprobación de contenido del propietario.
- Archivo eliminado: investigue las opciones de recuperación de la papelera de reciclaje de la ubicación propietaria. Registre su ruta original para evitar confundir elementos con nombres similares.
- Ediciones finales solo locales: haga que el equipo de respuesta conserve y evalúe los datos autorizados del dispositivo. No vuelva a conectar el dispositivo solo para cargarlos.
- Sin candidato en la nube adecuado: compruebe la cobertura real de una copia de seguridad aprobada. No prometa que cambiar la retención hoy recreará versiones perdidas.
Elija una reversión a partir de las pruebas del incidente
Para daños generalizados, siga el procedimiento de restauración de OneDrive de Microsoft después de la contención. Revise la actividad no deseada más temprana y todo lo seleccionado después de ella. No existe un rango de exploración de inicio y fin separado que descubra versiones limpias adicionales.
Si una edición útil se produjo después del punto de recuperación propuesto, inclúyala en una lista como trabajo a recuperar por separado. No mueva el punto a un periodo de ataque conocido solo para incluir una marca de tiempo más reciente. La disponibilidad del historial empresarial debe comprobarse con la configuración de versiones real, en lugar de suponer que caduca universalmente a los 30 días.
Valide antes de volver al trabajo normal
Haga que TI apruebe el estado de seguridad y que los propietarios de los documentos verifiquen las revisiones que faltan. Compruebe tanto los archivos vinculados como los documentos independientes. Mantenga una lista de excepciones para todo lo que esté incompleto y vuelva a conectar los dispositivos solo según el plan de respuesta. Un mensaje de restauración correcta por sí solo no demuestra que el incidente esté contenido ni que se haya recuperado cada edición reciente.