Cuando el equipo de Recursos Humanos intentó abrir contratos y expedientes de personal un lunes por la mañana, los archivos no respondían. Varias carpetas de RRHH mostraban nombres alterados con una nueva extensión [.BAGAJAI] y una nota de rescate en texto plano. En pocos minutos quedó claro que se trataba de BAGAJAI Ransomware, y que documentos sensibles de empleados, nóminas y contratos legales habían quedado bloqueados.
En estos casos, las decisiones de las primeras horas determinan si habrá caos total o recuperación controlada.
Cómo afectó BAGAJAI Ransomware a los documentos de RRHH
El ataque no se limitó a un solo equipo. BAGAJAI se propagó por el servidor donde se centralizaban los expedientes de personal, contratos con proveedores y acuerdos de confidencialidad. De repente:
- RRHH no podía acceder a historiales de empleados ni a registros disciplinarios.
- El área legal no encontraba contratos vigentes para revisar cláusulas.
- Procesos como altas y bajas, revisiones salariales y auditorías internas quedaron en pausa.
Además, la aparición de una extensión desconocida en los documentos y de un archivo de instrucciones tipo README en cada carpeta confirmó que los datos estaban siendo usados como rehén digital.
Contención inmediata del incidente
La reacción instintiva suele ser buscar “programas milagro” o reiniciar todo. En este caso, el equipo TI optó por contener primero y tocar lo mínimo posible.
Las acciones iniciales fueron:
- Desconectar del red los servidores y equipos donde se almacenaban los documentos de RRHH y contratos.
- Bloquear accesos remotos innecesarios y cuentas administrativas antiguas o sin uso claro.
- Informar al personal de RRHH y legal de que no debían abrir más archivos de esas rutas ni descargar supuestos “desencriptadores gratuitos”.
- Conservar una copia de la nota de rescate y algunos archivos cifrados como muestras para análisis posterior.
Con esta contención, BAGAJAI Ransomware dejó de avanzar hacia otros sistemas de la organización y, sobre todo, no pudo llegar a ciertas copias de seguridad que aún estaban intactas.
Explicar el impacto a la dirección sin tecnicismos
El siguiente paso fue traducir el problema técnico a un lenguaje comprensible para dirección y cumplimiento normativo.
El resumen se centró en tres puntos:
- Qué está roto ahora: acceso a expedientes de personal, contratos clave y parte de la documentación de cumplimiento.
- Qué sigue funcionando: correo electrónico, sistemas de comunicación y ciertas aplicaciones financieras no afectadas.
- Qué está en riesgo: continuidad de operaciones de RRHH, tiempos de respuesta legal, cumplimiento de auditorías y posible impacto reputacional.
Este enfoque permitió que la dirección entendiera la gravedad sin caer en el pánico. A partir de ahí, se decidió priorizar la recuperación de documentos críticos frente a cualquier otra tarea, sin precipitarse a pagar el rescate.
Evaluación técnica y apoyo especializado
Con el entorno estabilizado, el equipo TI inició una evaluación ordenada:
- Inventariar qué carpetas y volúmenes estaban cifrados y cuáles seguían limpios.
- Revisar qué tipo de copias de seguridad existían: diarias, semanales, mensuales, y si alguna se mantenía desconectada de la red.
- Localizar en los registros (logs) el intervalo de tiempo en el que comenzó el comportamiento anómalo.
A partir de las muestras recogidas, la empresa contactó con especialistas a través de FixRansomware.com y envió archivos de ejemplo usando el portal seguro app.FixRansomware.com. El objetivo era confirmar la variante de BAGAJAI Ransomware, entender cómo trataba documentos ofimáticos y PDFs sensibles, y valorar opciones de recuperación realistas.
Como marco de referencia, también se consultó la guía oficial de CISA sobre ransomware (CISA/MS-ISAC Ransomware Guide, disponible en cisa.gov), que insiste en aislar, analizar y restaurar a partir de copias seguras, evitando decisiones impulsivas.
Plan de recuperación de documentos de RRHH y contratos
Con más información sobre el ataque, se diseñó un plan específico de recuperación para los documentos sensibles:
- Clonado de discos antes de cualquier prueba
Los volúmenes que contenían expedientes de RRHH y contratos se clonaron sector por sector. Todas las pruebas y posibles intentos de descifrado se realizaron en los clones, preservando los discos originales como red de seguridad. - Identificación de copias de seguridad confiables
Se localizaron backups realizados antes de la intrusión y almacenados fuera del alcance del ransomware. Estas copias se convirtieron en la base para reconstruir la estructura principal de carpetas y documentos. - Restauración por prioridad
En lugar de intentar restaurar todo a la vez, se priorizaron:- expedientes activos de empleados,
- contratos vigentes con mayor impacto económico o legal,
- documentación necesaria para auditorías en curso.
- Reconstrucción de cambios recientes
Para los documentos que habían cambiado poco antes del ataque, se recurrió a: versiones enviadas por correo, copias locales en portátiles de RRHH o legal, y exportaciones guardadas en sistemas no afectados. Cada modificación reconstruida se documentó para mantener trazabilidad.
Cuando los documentos clave fueron accesibles de nuevo y se verificó su integridad, los equipos de RRHH y legal pudieron retomar los procesos críticos con un plan de revisión adicional.
Lecciones aprendidas y refuerzo de la protección de datos sensibles
La historia terminó con la recuperación segura de los documentos más sensibles sin pagar rescate, pero dejó varias lecciones claras:
- La información de RRHH y contratos debe tratarse como activo crítico, con copias de seguridad separadas y, al menos, una capa fuera de línea.
- Los accesos privilegiados al repositorio de documentos sensibles deben revisarse periódicamente y protegerse con autenticación multifactor.
- Un procedimiento básico de respuesta a incidentes, por escrito y conocido por RRHH, legal y TI, reduce errores y tiempos muertos cuando aparece una amenaza como BAGAJAI Ransomware.
Tras el incidente, la organización endureció sus políticas de acceso, revisó su estrategia de backup y realizó formación específica sobre phishing y manejo de adjuntos. El ataque demostró que un ransomware puede paralizar documentos críticos, pero también que una respuesta disciplinada y apoyada por especialistas permite restaurar los registros sensibles y salir del problema con una postura de seguridad mucho más sólida.
