Eat Cook Joy rechazó una exigencia de rescate y recuperó toda su plataforma

En un relato en primera persona para Crunchbase News, la fundadora Zainab Ghadiyali afirma que, una mañana de enero de 2026, dos semanas antes del lanzamiento público de Eat Cook Joy —herramientas impulsadas por IA para chefs privados, construidas sobre dos años y medio de recopilación de datos—, se quedó fuera de su propio sitio. Según ella, el ataque presentaba las señales de un grupo criminal internacional que se dirige a startups en etapas tempranas para exigir rescates, de acuerdo con inteligencia del FBI, y cita una investigación de Veeam que encontró que el 93% de los ciberataques ahora se dirigen al almacenamiento de respaldos para forzar el pago.

Su respuesta, escribe, comenzó con un objetivo no negociable —recuperar todos los datos, restaurar la plataforma y ponerla en línea de forma segura— y con un equipo formado para lograrlo. La mayoría de los asesores minimizaron la pérdida o le instaron a presentar una reclamación; ella contrató a Amy Mushahwar, de Lowenstein Sandler, cuyo colega Tricia Wagner pasó un cumpleaños consolidando pruebas para las autoridades. La estrategia: paciencia, pruebas detalladas y ausencia de miedo; cada vez que la banda negaba el acceso o afirmaba que los datos habían sido borrados, el equipo respondía con pruebas de lo contrario, apoyándose en su conocimiento más profundo del sitio y en los vínculos de los abogados con las autoridades.

Mientras transcurrían las negociaciones, trasladó las operaciones de Eat Cook Joy fuera de línea para proteger los datos de los clientes, duplicó los recursos de ingeniería, corrigió vulnerabilidades de seguridad y reforzó las protecciones en torno a la propiedad intelectual. Según ella, en cuestión de semanas desde la exigencia, la banda criminal devolvió todo. Dos semanas después de recuperar el control total, el sitio volvía a recibir tráfico de producción; en seis meses desde el lanzamiento, la red de chefs se triplicó; la empresa iba camino de 1 millón de dólares en ingresos anualizados ese otoño, todas cifras autodeclaradas en el ensayo.

Todos los datos regresaron en cuestión de semanas; el tráfico se reanudó dos semanas después de la recuperación; la red de chefs se triplicó; 1 millón de dólares en ingresos anualizados recurrentes (ARR) iban camino de cumplirse (autodeclarado).

La investigación de Veeam citada en el ensayo encontró que el 93% de los ciberataques se dirigen al almacenamiento de respaldos para forzar el pago, y la mayoría de los líderes en su posición habrían llegado a un acuerdo.

Los inversores le habían confiado su dinero, y su formación como ingeniera y emprendedora no le permitía capitular.

Había construido infraestructura a gran escala en Facebook y Airbnb, así que conocía los detalles técnicos del sitio mejor que los atacantes.

Eligió abogados que compartían el objetivo y tenían relaciones con las autoridades, y documentó todo para contradecir cada una de las negativas de la banda.

Si los respaldos y las claves hacen que puedas marcharte, niégate a pagar: fija un objetivo no negociable, contrata abogados con vínculos con las autoridades y documenta pruebas que acorralen las mentiras de los atacantes.

Según su relato, la banda devolvió todo en cuestión de semanas desde la exigencia. Dos semanas después de restablecerse el control total, Eat Cook Joy volvía a tener tráfico de producción; la red de chefs se triplicó en seis meses desde el lanzamiento, y la empresa iba camino de 1 millón de dólares en ingresos anualizados en el otoño de 2026, todo autodeclarado. Ghadiyali ahora está construyendo Stackbirds, una plataforma para tecnología de agentes de IA.