Hola

He estado una temporada trabajando para una empresa que mantenia unas sedes de una aseguradora, haciendo el mantenimiento de equipos etc...

El otro dia nos enviaron a X sede para, para maquetar los PC, ya que como no era de extrañar estaban infectados por un ransomware y tenian los archivos cifrados.

El primer problema que veo, es que tenian una copia de seguridad del 18 de agosto y ellos fueron infectados a finales de agosto, eso significa que entre el 18 y el 31, han perdido todo esos datos por no tener respaldo.

Es lo que me dice la oficinista, yo en plan "que quieres que te diga", la seguridad brilla por su ausencia, almacenan los archivos en los mismos pc con los que trabajan, abren cualquier mail desde esos pc, y se extrañan de que pasen esas cosas??? Estaban navegando con el IE9 si señores con el IE9.

Aparte que las maquetas eran una *****, pero eso es otra historia.

Pero no es mejor tener un server dedicado para los mail? Hacer copias de seguridad de los archivos cada dia o hora, a un equipo externo dedicado a ello? Directamente se podrian usar Jails de FreeBSD para arreglar esos problemas, o con una politica de permisos adecuada. Por que coño no hacen eso?

Es eso normal en las empresas? Estoy flipando con todo lo que he visto, y creo que me quedo corto con todo lo que he dicho. Hoy he dejado el trabajo, estaba cansado aun que no sea el momento adecuado para esas cosas.

Si eso es una empresa seria, no se como seran las otras. Pensais que lo mismo que yo, o creeis que esta todo bien?

Saludos.

P.D: El unico sistema de seguridad, era MCafee, que se evade con unas cuantas lineas de codigo, tener solo eso no es seguridad.

Ya no me extraña nada. Por desgracia hay de todo.

Que una empresa haya tenido un incidente de ransomware, no es nada raro, ahora mismo es lo más habitual. Es casi imposible educar a todos los usuarios para que sigan buenas prácticas de seguridad.

Otro tema son la copias de seguridad. Si sólo han perdido, de 18 al 31 de agosto, aún han tenido suerte, otras empresas han perdido meses de trabajo. Porque a veces la política de copias de seguridad deja mucho que desear.

He visto "empresas" que hacían la copia de seguridad por la noche en un ordenador que dejaban apagado, de forma que la copia de seguridad nunca se hizo xD

Y otro tema sería intentar averiguar el vector de infección, si fue navegando, por un e-mail adjunto, un archivo de word con macros, un RDP, etc Más que nada para que no les vuelva a pasar lo mismo de aquí un tiempo.

Utilizar un antivirus tampoco soluciona gran parte del problema del ransomware, no van detectar nada.

 ¿Cómo evitar o prevenir infección de cualquier Ransomware?

- Habilitar el acceso controlado a las carpetas con Windows Defender
- Herramientas específicas Anti-ransomware
- Desactivar Windows Script Host
- Desactivar macros Microsoft Office
- Evitar que los usuarios ejecuten Powershell a través de GPO

yes, pero educar el usuario es muy dificil sobretodo la gente com avanzada edad si lleva toda la vida trabajando de una forma.

Mediana-Grande empresa, es un maldito caos, llegaba a los sitios desinformado, en plan buscate la vida...


Estaria bien "educar" a los usuarios, el ejemplo del usuario @Reent esta bien.

Increible eso que dices, de las copias de seguridad con los ordenadores apagados...

A saber de donde se han infectado, tal y como estaba la cosa montada de bien, exactamente los AV no sirven practicamente para nada, en la maqueta que puse tenia el ATP, pero todo lo demas nada de nada.

Gracias a todos por los comentarios, ya veo que no ha sido una malinterpretacion mala por mi parte del trabajo y era un autentico desastre.

Saludos.

El trabajo de esa persona consiste en ser competente. Si no es competente, que no trabaje. Las personas han de ser educadas en estos aspectos básicos de seguridad. Si no están en posición de ello pues no están capacitados y por lo tanto no deberían trabajar de ello.


A parte, no sé que datos han sido comprometidos ni donde está la empresa, pero en España según que datos se comprometen, están obligados a notificarlo ante autoridades, ahí les pueden abrir un expediente por no manejar información sensible acorde a estándar mínimo.


Saludos