Víctima de un ciberataque: qué hacer en la primera hora
Equipos bloqueados, correo pirateado, transferencias sospechosas: las primeras decisiones condicionan lo que viene después. Esta ficha indica el orden de las acciones; imprímala y téngala a mano.
Equipo editorial de Kayzen Security3 min de lectura
1. Contener
- Desconecte de la red (cable y Wi-Fi) los dispositivos que parezcan afectados.
- Si el ataque se propaga, corte el acceso a Internet de la sede o aísle la red afectada.
- Desde un dispositivo sano, cambie las contraseñas de las cuentas comprometidas, empezando por el correo y las cuentas de administrador.
- Desconecte las copias de seguridad que sigan conectadas a la red.
2. Alertar
- Su proveedor informático o su responsable de seguridad.
- La dirección, que decide la comunicación y las declaraciones.
- Su banco, de inmediato, en caso de transferencia fraudulenta o de duda sobre las cuentas.
- Su aseguradora si tiene una cobertura cibernética: algunos contratos prevén un plazo de declaración y asistencia. Atención: la indemnización exige una denuncia presentada en un plazo de 72 horas (véase más abajo).
3. Preservar las pruebas
- Anote en un registro la hora de cada constatación y de cada acción.
- Fotografíe los mensajes que aparecen en pantalla.
- Conserve los correos sospechosos con sus encabezados, los registros y los dispositivos tal como están.
- No borre nada ni reinstale nada sin la opinión del profesional que le acompaña.
4. Pedir ayuda y declarar
- 17Cyber (17cyber.gouv.fr): diagnóstico gratuito en línea y consejos; Cybermalveillance.gouv.fr orienta hacia proveedores con la etiqueta ExpertCyber.
- Presentación de una denuncia ante la policía o la gendarmería, sin esperar. Profesionales asegurados contra el riesgo cibernético: el código de seguros francés (article L.12-10-1 du code des assurances) supedita la indemnización a la presentación de una denuncia como máximo 72 horas después del descubrimiento del ataque. Presente la denuncia sin esperar y, después, avise a su aseguradora. Punto que debe validar con su aseguradora o con un profesional.
- Violación de datos personales: notificación a la CNIL sin dilación indebida y, si es posible, en un plazo de 72 horas, salvo que sea improbable que constituya un riesgo para las personas; información a las personas en caso de riesgo alto (artículos 33 y 34 del RGPD).
- Entidades sujetas a NIS2: en caso de incidente significativo, alerta temprana al CSIRT o a la autoridad competente en 24 horas, notificación en 72 horas, informe final en un mes. Debe validarlo un profesional.
- No pague ningún rescate: es la recomendación constante de las autoridades.
5. Volver a arrancar y sacar conclusiones
- Entienda la puerta de entrada y corríjala antes de volver a poner todo en servicio.
- Restaure desde copias de seguridad sanas y verificadas.
- Vigile de cerca las cuentas y los equipos en las semanas siguientes.
- Organice un análisis posterior al incidente y actualice su plan de respuesta.
Las obligaciones de declaración (RGPD, NIS2, contrato de seguro, denuncia en 72 horas para la indemnización cibernética) dependen de su situación: hágalas validar por un profesional. Esta guía es informativa y no sustituye el acompañamiento de un proveedor cualificado.
Fuentes oficiales
- 17Cyber (nueva pestaña) — Le réflexe en cas de cybermalveillance (Police nationale, Gendarmerie nationale, Cybermalveillance.gouv.fr)
- Cybermalveillance.gouv.fr (nueva pestaña) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
- CNIL (nueva pestaña) — Commission nationale de l'informatique et des libertés
- EUR-Lex (nueva pestaña) — Règlement (UE) 2016/679 (RGPD)
- EUR-Lex (nueva pestaña) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
Los recursos citados los publican sus autores en su idioma original. Kayzen no está afiliado a ninguno de estos organismos.
Esta guía es informativa y general. No sustituye un asesoramiento jurídico ni la intervención de un profesional de la seguridad informática.