Si eres responsable de un negocio, autónomo o manager y sospechas que has sufrido un ciberataque, actuar con rapidez y orden marca la diferencia entre un incidente manejable y una crisis prolongada. Esta guía practica y priorizada explica, en lenguaje claro, qué hacer si tu negocio sufre un ciberataque en las primeras 24–72 horas, qué delegar y qué evitar para proteger operaciones y evidencia.
Señales de alerta que justifican una respuesta inmediata
Algunas señales indican que debes iniciar el protocolo de respuesta: archivos encriptados o renombrados, ventanas emergentes con mensajes de rescate, usuarios que no pueden iniciar sesión, accesos o sesiones activas desde ubicaciones inusuales, movimientos masivos de datos, copias de seguridad que fallan o muestran actividad no prevista, correos de clientes o proveedores que reportan comunicaciones sospechosas desde tu dominio. Si observas una combinación de estos síntomas, trata la situación como un incidente y procede con prioridad.
Qué NO hacer en las primeras horas
No apagues o reinicies sistemas críticos sin consultarlo con la persona o proveedor de TI: en algunos casos un reinicio destruye evidencias esenciales. No borres ni manipules logs, emails o evidencia forense; conservar registros claros es fundamental para entender qué pasó. Evita negociar o pagar rescates sin asesoramiento experto y legal; una decisión precipitada puede empeorar la situación y no garantiza recuperación. No difundas mensajes masivos sin coordinación: la información confusa puede dañar la reputación y complicar la contención.
Pasos inmediatos (ordenados por prioridad)
a) Aislar sistemas afectados: aislar significa desconectar los equipos comprometidos de la red para evitar la propagación. En la práctica, retira el cable de red o desactiva el Wi‑Fi del dispositivo afectado y, si procede, apaga puertos en switches o segmenta la red con el administrador. Hazlo de forma controlada y registra la hora de la acción.
b) Mantener evidencia: no reinicies ni borres. Toma fotografías de pantallas con mensajes de error o rescate, anota horarios, usuarios afectados y cualquier cambio visible. Guarda los correos sospechosos y conserva copias de archivos tal cual están. Estas evidencias ayudan al técnico y, si procede, a la investigación posterior.
c) Contactar a la persona o proveedor responsable de TI y designar un punto de contacto: comunica la situación por teléfono y por escrito al responsable técnico. Designa una sola persona dentro de tu organización para coordinar con proveedores y recibir instrucciones; así evitas acciones contradictorias.
d) Cambiar credenciales críticas de forma controlada: prioriza cuentas administrativas, accesos a sistemas de facturación, correo corporativo y banca online. No cambies todo de golpe; coordina los cambios con el técnico para evitar bloquear restauraciones o perder claves necesarias para la contención. Utiliza canales seguros y registra quién cambia qué y cuándo.
e) Activar copias de seguridad y verificar estado: comprueba que las copias de seguridad recientes son accesibles, íntegros y no muestran signos de manipulación. Si las copias están sanas, planifica una restauración en entorno controlado de pruebas antes de poner en producción. No restaurar en caliente sin validación.
f) Contener la comunicación: informa internamente con mensajes breves y claros indicando qué no hacer (por ejemplo, no abrir adjuntos sospechosos) y quién es el punto de contacto. Evita difundir detalles técnicos hasta tener una valoración inicial; la comunicación descontrolada genera pánico y filtraciones.
g) Evaluar necesidades urgentes: identifica servicios críticos (facturación, cobros, atención al cliente) y datos sensibles (personales, financieros). Decide acciones temporales para mantener operaciones esenciales, por ejemplo, canales alternativos de facturación o comunicación externa, coordinadas con tu proveedor técnico.
Comunicación, coordinación con proveedores y recuperación
En la comunicación externa mantén un tono factual y controlado. Ejemplo para empleados: «Hemos detectado una incidencia en nuestros sistemas. Ya está siendo atendida: no abráis correos sospechosos ni cambiéis contraseñas sin indicación. Informaremos de novedades por el canal oficial». Ejemplo para clientes/proveedores: «Estamos gestionando un incidente de seguridad que puede afectar temporalmente algunos servicios. Nuestro equipo trabaja en la contención; os informaremos en cuanto confirmemos el estado». Limita la frecuencia de las actualizaciones a información relevante y comprobada.
Al hablar con tu técnico o proveedor, pide información concreta: qué accesos tuvieron los actores, cronología de eventos, logs disponibles y su integridad, medidas de contención propuestas, plan de restauración y tiempos estimados. Pregunta también por el alcance del trabajo necesario y las limitaciones de acceso. Si necesitas contratar ayuda externa rápidamente, prioriza proveedores que ofrezcan control de acceso temporal, acuerdos de confidencialidad claros y experiencia demostrable en respuesta a incidentes.
La restauración debe hacerse desde copias verificadas y en entornos de prueba. Antes de reincorporar sistemas a la red, confirma que no hay puertas traseras activas, que parches críticos están aplicados y que las credenciales comprometidas han sido rotadas de forma segura. Si quieres contextualizar estas medidas técnicas, el artículo sobre ciberseguridad por capas explica qué niveles comprobar primero y el de gestión de parches ayuda a priorizar actualizaciones esenciales.
En la recuperación controla acceso, valida integridad y documenta cada paso: esa documentación será clave para lecciones y, si procede, para acciones legales o de comunicación posterior.
Obligaciones legales y costes son variables: consulta con asesoría legal para requisitos de notificación específicos. El coste de resolver un incidente puede oscilar ampliamente según el alcance, horas de expertos, necesidad de restauración y pérdida operativa; factores que encarecen incluyen cifrado masivo, fuga de datos personales y dependencia de terceros. Considera activar un servicio profesional de respuesta a incidentes si el alcance supera tu capacidad interna o si hay datos sensibles comprometidos.
Actuar con calma, priorizar la contención y preservar evidencia aumenta las posibilidades de una recuperación ordenada. Si necesitas mejorar tus defensas tras el incidente, comienza por inventario de activos, verificación de backups, gestión de parches y autenticación multifactor; son medidas prácticas y efectivas para reducir riesgo futuro.
