Las primeras horas ante un ciberataque: qué hacer y qué no

La seguridad al cien por cien no existe

Puedes hacerlo todo bien y, aun así, sufrir un incidente. Lo que marca la diferencia es lo preparado que estás para responder: el daño depende tanto de la rapidez y el acierto de la respuesta como del propio ataque. Estos son los seis pasos, en orden.

1. Detectar

La mayoría de los ataques son silenciosos. Señales de alerta: archivos que no se abren o cambian de nombre, un mensaje que pide un rescate, equipos lentos o que se mueven solos, contraseñas que dejan de funcionar, correos o pagos que tú no has hecho, sistemas de producción que fallan sin causa física.

Regla de oro: mejor una falsa alarma comprobada que un ataque ignorado. Que todo el equipo sepa a quién avisar, y que avisar «por si acaso» nunca se reproche.

2. Contener

La clave de las primeras horas no es arreglar, es contener: evitar que se extienda sin destruir lo que luego hará falta.

• Sí: desconecta de la red el equipo afectado (cable y wifi). Aislar no es apagar; si dudas, aísla antes de apagar.
• Sí: anota desde el minuto uno qué ves y a qué hora, en papel o en un móvil no afectado.
• Sí: pon primero a salvo a las personas y las instalaciones físicas; los datos se recuperan de una copia.
• No: formatear ni borrar los equipos afectados.
• No: borrar la nota de rescate ni los ficheros extraños; sirven para identificar el ataque.
• No: pagar el rescate. No garantiza que recuperes tus datos, te marca como empresa que paga y financia el delito.

3. Avisar

No estás solo. Tu primer teléfono es la Línea 017 de INCIBE, gratuita y confidencial, que te orienta y deriva a INCIBE-CERT si hace falta. Si es ransomware, comprueba en No More Ransom si hay un descifrador gratuito. Denuncia ante la Policía Nacional o la Guardia Civil. Y si hay datos personales afectados, notifica la brecha a la AEPD, por regla general en 72 horas.

4. Comunicar

Ni ocultar ni alarmar. Dentro, instrucciones claras y una sola persona portavoz. Fuera, avisa a tiempo a clientes, proveedores y banco por un canal seguro, nunca desde un correo que pueda estar comprometido, y recuerda que nadie acepte cambios de pago sin verificarlos por teléfono.

5. Recuperar

• Restaura desde una copia limpia, anterior a la infección, y mejor si estaba desconectada.
• Cierra la puerta por la que entró antes de reconectar: contraseñas, accesos, actualizaciones.
• Recupera primero lo que sostiene la operación y sigue en «modo manual» mientras tanto.
• Vigila los días siguientes: nuevos accesos, correos de fraude, comportamientos raros.

6. Aprender

Cuando pase la tormenta, reuníos con calma: ¿cómo entró?, ¿qué señales pasamos por alto?, ¿qué funcionó y qué no? De ahí salen mejoras concretas para tu plan.