Ransomware en un CESFAM y competencia de la brigada local
Un CESFAM de Talca reporta que su sistema está bloqueado y una pantalla exige un pago en criptomonedas. El director dice que los respaldos están en un servidor conectado a la misma red y que los datos de pacientes podrían haberse filtrado. La PDI local cuenta con un oficial de la Brigada Investigadora de Delitos Económicos y un perito en informática de la LACRIM, pero no con la Brigada de Cibercrimen. El fiscal de turno pide 'asegurar la evidencia antes de que el proveedor reinicie los equipos'. El proveedor de soporte, contratado por el CESFAM, está disponible para entrar remotamente en 30 minutos y quiere borrar archivos temporales. La prensa local ya llama al director. Hay 8.000 fichas clínicas en riesgo y el centro atiende a 1.200 personas al día.
1. ¿Qué unidad debe asumir la investigación y por qué? Distinga entre brigada local, LACRIM y Brigada de Cibercrimen.
Read the worked answer
La dirección la tiene el fiscal. La brigada local (BICRIM/BRIDEC) puede hacer la primera respuesta: asegurar el sitio, entrevistar al director, obtener logs y evitar la destrucción de evidencia. Pero por la naturaleza del hecho -ransomware, posible exfiltración de datos y necesidad de análisis forense- lo razonable es solicitar apoyo o derivación a la Brigada de Cibercrimen, que tiene especialización y laboratorio. LACRIM no 'dirige' la investigación: apoya con pericias informáticas y cadena de custodia. La decisión no depende de quién llegó primero, sino de la competencia técnica, la urgencia y la instrucción del fiscal. Si la Brigada de Cibercrimen no puede llegar en el plazo, la brigada local debe aplicar protocolos de primera respuesta y congelar la evidencia hasta el arribo del especialista.
2. ¿Qué medidas inmediatas de preservación se pueden tomar sin alterar la evidencia y qué no se debe permitir?
Read the worked answer
Sí se puede: documentar la pantalla con fotos y video, anotar hora y responsables, aislar el equipo de la red solo si el protocolo lo indica, preservar logs del servidor y del firewall, obtener una imagen forense antes de reiniciar, y levantar una bitácora de cada acceso. También se debe advertir al proveedor que no borre archivos temporales ni reinicie equipos.
No se debe permitir: que el proveedor borre 'temporales', que el CESFAM pague el rescate, que se use el mismo computador para revisar el correo o que se reinstale el sistema. Cuidado: desconectar todo sin criterio puede destruir memoria volátil y registros; por eso la medida debe consultarse con el perito. La cadena de custodia empieza con el primer contacto y debe individualizar a quien manipuló cada equipo.
3. El proveedor se niega a entregar credenciales y alega secreto contractual. ¿Cómo se resuelve?
Read the worked answer
El secreto contractual no es un límite absoluto frente a una investigación penal. El fiscal puede requerir al proveedor la entrega de credenciales, registros y accesos, y si es necesario solicitar al juez de garantía la autorización correspondiente. La PDI no debe 'hackear' ni obtener acceso por vías no autorizadas. Debe documentarse la negativa, individualizar al responsable y pedir por escrito la conservación de logs. Si el proveedor obstruye deliberadamente, el fiscal evaluará las consecuencias legales. La solución correcta combina requerimiento formal, cadena de custodia y orden judicial; no improvisar un acceso remoto.