Qué hacer durante las primeras 24 horas de un ciberataque

Un empleado encuentra archivos cifrados, una cuenta empieza a enviar correos extraños o varios equipos dejan de acceder al servidor. La primera reacción suele ser apagar dispositivos, cambiar contraseñas sin orden o intentar restaurar inmediatamente una copia de seguridad. Estas decisiones pueden parecer razonables, pero también pueden destruir evidencias, alertar al atacante o permitir que el incidente se extienda.

Saber qué hacer durante las primeras 24 horas de un ciberataque no consiste en ejecutar una lista genérica. El objetivo es contener el daño, averiguar hasta dónde ha llegado el ataque, conservar la información necesaria para investigarlo y mantener las operaciones esenciales de la empresa.

Primeros minutos: confirma el incidente sin propagarlo

Una alerta aislada no siempre significa que toda la empresa esté comprometida. Sin embargo, tampoco debe descartarse sin comprobarla. Durante los primeros minutos conviene recopilar información básica y limitar las comunicaciones desde los sistemas potencialmente afectados.

• Anota la hora aproximada en la que se detectó el problema.
• Identifica qué persona, equipo, cuenta o aplicación mostró la primera señal.
• Guarda fotografías o capturas de los mensajes, alertas y archivos afectados.
• Comprueba si el problema aparece en otros equipos o departamentos.
• Evita utilizar el correo corporativo comprometido para coordinar la respuesta.
• Activa al responsable interno, proveedor tecnológico o equipo de respuesta previsto.

La coordinación puede realizarse mediante teléfonos, una plataforma externa o cuentas que no dependan de la infraestructura afectada. Si el atacante tiene acceso al correo corporativo, podría conocer las medidas que estás tomando y reaccionar ante ellas.

Primera hora: aísla los sistemas afectados

La prioridad inicial es impedir que el ataque siga avanzando. Esto puede exigir desconectar determinados equipos de la red, bloquear accesos remotos o suspender temporalmente algunas cuentas.

Aislar no significa necesariamente apagar. Un ordenador encendido puede conservar información útil sobre conexiones, procesos y actividad reciente. Apagarlo elimina parte de esa información y puede dificultar el análisis posterior. Cuando sea posible, desconecta el cable de red, desactiva la conexión inalámbrica o separa el dispositivo desde la infraestructura de red, pero evita manipularlo innecesariamente.

Las primeras medidas de contención pueden incluir:

• Aislar equipos que muestran cifrado, ventanas sospechosas o actividad anormal.
• Deshabilitar cuentas comprometidas o con indicios claros de uso fraudulento.
• Cerrar accesos remotos que no sean imprescindibles.
• Bloquear conexiones identificadas como maliciosas.
• Separar temporalmente servidores críticos de segmentos afectados.
• Detener sincronizaciones que puedan copiar archivos cifrados o dañados.

No conviene desconectar toda la empresa de forma automática. La contención debe ser proporcional al alcance conocido. Una parada general puede ser necesaria cuando existe propagación rápida, pero también puede interrumpir sistemas que siguen siendo seguros y necesarios para atender a clientes, facturar o coordinar la respuesta.

La primera decisión no es cómo recuperar los archivos, sino cómo evitar que el atacante alcance más equipos, cuentas y copias de seguridad.

Entre la primera y la cuarta hora: determina el alcance

Una vez limitada la propagación inmediata, hay que averiguar qué está afectado. No basta con revisar el primer ordenador que mostró el problema. El acceso inicial puede haberse producido días antes y el atacante podría haber utilizado otras cuentas o sistemas.

Conviene comprobar, como mínimo:

• Qué usuarios iniciaron sesión recientemente en los sistemas afectados.
• Si existen cuentas administrativas nuevas o cambios de permisos.
• Desde qué direcciones y ubicaciones se han realizado accesos.
• Qué servidores, carpetas, aplicaciones y dispositivos presentan actividad anormal.
• Si se han creado reglas de correo, reenvíos o métodos de autenticación desconocidos.
• Si las herramientas de seguridad generaron alertas anteriores relacionadas.
• Si las copias de seguridad están accesibles, aisladas y sin alteraciones aparentes.

También es importante diferenciar tres situaciones: indisponibilidad de los sistemas, alteración de la información y posible extracción de datos. Una empresa puede recuperar sus archivos y seguir teniendo un problema grave si el atacante ha copiado documentación, credenciales, datos personales o información comercial.

Conserva las evidencias antes de limpiar o restaurar

Los registros de accesos, alertas, correos, procesos, conexiones y cambios de configuración ayudan a reconstruir lo ocurrido. Sin ellos resulta más difícil identificar el punto de entrada, cerrar la vulnerabilidad y comprobar si el atacante mantiene alguna vía de acceso.

Conserva los registros disponibles y documenta cada actuación: quién tomó la decisión, a qué hora, sobre qué sistema y con qué resultado. Esta cronología facilita el trabajo técnico y evita que varias personas ejecuten acciones contradictorias.

No elimines archivos sospechosos, reinstales equipos ni borres mensajes sin valorar antes si deben analizarse. Cuando el alcance sea relevante, la recogida de evidencias debería realizarla personal con experiencia para no alterar la información.

Entre la cuarta y la octava hora: protege las identidades

Muchos ciberataques no dependen únicamente de un programa malicioso. El atacante puede disponer de contraseñas, sesiones activas, permisos administrativos o métodos de autenticación añadidos durante la intrusión.

Por ello, cambiar una sola contraseña suele ser insuficiente. Es necesario revisar qué cuentas tienen acceso a los sistemas afectados y en qué orden deben protegerse.

• Prioriza administradores, accesos remotos, correo, aplicaciones empresariales y copias de seguridad.
• Revoca sesiones activas y credenciales temporales cuando sea posible.
• Elimina métodos de autenticación desconocidos.
• Cambia las contraseñas desde dispositivos considerados seguros.
• Comprueba que no existan cuentas ocultas, permisos añadidos o reglas persistentes.
• Activa autenticación multifactor en los servicios donde todavía no esté configurada.

Los cambios deben hacerse con un orden definido. Si modificas credenciales desde un equipo todavía controlado por el atacante, las nuevas contraseñas podrían quedar expuestas inmediatamente.

Ejemplo práctico de respuesta durante las primeras horas

Una pyme comienza la jornada y descubre que parte de su documentación compartida tiene extensiones desconocidas. Al mismo tiempo, varios empleados no pueden acceder al servidor y una cuenta administrativa registra conexiones fuera del horario habitual.

El error sería apagar todos los equipos y restaurar inmediatamente la copia de la noche anterior. En su lugar, la empresa aísla los dispositivos con actividad anormal, bloquea la cuenta administrativa, detiene la sincronización de archivos y conserva los registros. Después comprueba que el atacante también había creado una regla de reenvío en el correo y que una copia conectada al servidor presenta archivos cifrados.

La copia aislada sigue intacta, pero no se restaura todavía. Primero se elimina el acceso fraudulento, se revisan las cuentas, se prepara un entorno limpio y se determina qué servicios deben recuperarse antes. Esta secuencia evita que la copia segura se conecte a una infraestructura todavía comprometida.

Entre la octava y la duodécima hora: prioriza la continuidad

La recuperación no tiene que seguir el orden en el que se detectaron los daños. Debe basarse en el impacto que cada sistema tiene sobre la actividad.

Clasifica los servicios en tres grupos:

• Críticos: necesarios para operar, atender pedidos, prestar servicios o cumplir compromisos inmediatos.
• Importantes: pueden permanecer detenidos durante unas horas, pero afectan al trabajo de varios departamentos.
• Aplazables: su recuperación puede esperar sin provocar un perjuicio operativo relevante.

Puede ser necesario habilitar procedimientos temporales: registrar pedidos manualmente, utilizar líneas telefónicas alternativas, limitar el acceso a determinadas aplicaciones o trabajar con equipos previamente verificados.

Estas medidas no sustituyen la recuperación técnica. Sirven para mantener las funciones esenciales mientras se investiga y prepara una restauración segura.

Valora las comunicaciones y obligaciones aplicables

Durante las primeras horas también debes determinar si el incidente afecta a datos personales, clientes, proveedores, servicios contratados o sistemas sujetos a obligaciones específicas.

Cuando exista una posible brecha de datos personales, la empresa debe valorar el riesgo para las personas afectadas y revisar si procede comunicarla a la autoridad competente. El plazo general de notificación previsto por la normativa de protección de datos es de hasta 72 horas desde que la organización tiene constancia de una brecha que pueda generar riesgo, por lo que la valoración no debe dejarse para el último momento.

También puede ser recomendable informar a la aseguradora, al asesor jurídico, a los proveedores afectados, al equipo de respuesta correspondiente o a las fuerzas de seguridad, dependiendo de la naturaleza y gravedad del ataque.

La comunicación debe basarse en hechos confirmados. No conviene minimizar el incidente, pero tampoco atribuir datos, responsables o consecuencias que todavía no se han comprobado.

Entre la duodécima y la vigesimocuarta hora: prepara una recuperación segura

Antes de restaurar, deben cumplirse varias condiciones:

• El punto de entrada conocido está corregido o suficientemente contenido.
• Las cuentas comprometidas han sido protegidas.
• Los sistemas que recibirán la restauración están verificados.
• La copia seleccionada es anterior al incidente y no presenta alteraciones.
• Existe un orden de recuperación basado en la criticidad del negocio.
• Se mantendrá vigilancia sobre accesos, procesos y conexiones después de restaurar.

La restauración debería comenzar en un entorno controlado, con los servicios imprescindibles y evitando conectar de golpe todos los equipos. Cada sistema recuperado debe comprobarse antes de permitir el acceso normal de los usuarios.

Una copia de seguridad permite recuperar información, pero no elimina cuentas ocultas, accesos remotos, configuraciones manipuladas ni credenciales robadas. Por eso, recuperar y contener son trabajos relacionados, pero distintos.

Errores que pueden agravar un ciberataque

• Apagar o formatear todos los equipos sin conservar evidencias.
• Restaurar copias antes de eliminar el acceso del atacante.
• Cambiar contraseñas desde dispositivos posiblemente comprometidos.
• Coordinar toda la respuesta mediante el correo afectado.
• Suponer que el incidente está resuelto porque los archivos vuelven a abrirse.
• No revisar si hubo extracción de información.
• Comunicar datos no confirmados a clientes o empleados.
• Pagar un rescate sin valorar las consecuencias técnicas, legales y operativas.

El pago de un rescate no garantiza la recuperación de los datos ni elimina la posibilidad de que la información haya sido copiada. Tampoco demuestra que el atacante haya perdido el acceso a la infraestructura.

Cuándo puede bastar una actuación limitada

Un incidente puede gestionarse con una intervención acotada cuando afecta a un único dispositivo, no existen privilegios administrativos comprometidos, no hay propagación, los registros permiten entender lo ocurrido y los datos críticos permanecen protegidos.

Incluso en ese caso, conviene documentar el incidente, corregir la causa, revisar las credenciales relacionadas y comprobar que no existan señales similares en otros equipos.

Cuándo necesitas una respuesta especializada

La intervención especializada resulta especialmente recomendable cuando aparecen archivos cifrados en varios sistemas, cuentas administrativas comprometidas, fuga de información, manipulación de copias, accesos persistentes, interrupción general de la actividad o dudas sobre el alcance real.

También es necesaria cuando la empresa no dispone de registros suficientes, depende de un único técnico o no puede aislar sistemas sin detener completamente el negocio.

Cómo puede ayudarte Mafosan durante un incidente

La respuesta debe comenzar revisando el proceso real, no aplicando medidas genéricas. Mafosan puede ayudarte a identificar los primeros sistemas afectados, las cuentas utilizadas, los accesos disponibles y la dependencia que tiene cada servicio sobre la actividad de la empresa.

A partir de esa revisión se pueden aislar equipos, proteger identidades, comprobar el estado de las copias, revisar accesos remotos y establecer un orden de recuperación. También conviene documentar las decisiones, preparar procedimientos temporales y formar al personal sobre los cambios aplicados.

Cuando el incidente esté contenido, el trabajo debe continuar con una revisión de la causa, los permisos, la segmentación, las copias de seguridad, la supervisión y el plan de continuidad. El objetivo no es instalar más herramientas sin criterio, sino corregir los puntos que permitieron el ataque y reducir el impacto de una posible repetición.

Si has detectado actividad sospechosa, archivos cifrados o cuentas comprometidas, conviene revisar el alcance antes de apagar, restaurar o reconectar sistemas. Una evaluación inicial puede determinar qué debe aislarse, qué evidencias conservar y qué servicios recuperar primero.