Qué hacer en las primeras 24 horas después de una brecha de datos

En las primeras 24 horas después de una posible brecha, concéntrese en cinco cosas en este orden: contener el incidente aislando de la red los sistemas afectados sin borrarlos, notificar pronto a su aseguradora cibernética y a su asesor legal, preservar evidencia como registros y equipos afectados, restablecer las credenciales comprometidas desde un equipo limpio y documentar cada acción con su hora. Evite apresurarse a reconstruir o borrar sistemas antes de entender qué ocurrió, porque eso destruye evidencia y puede dejar intacto el acceso del atacante.

Esta guía ofrece orientación operativa general, no asesoría legal. Las obligaciones de notificación varían según la situación y la jurisdicción, así que involucre a un asesor legal calificado y revise las regulaciones aplicables.

Hora 0 a 1: Confirme y contenga

Reconozca las señales

Los indicadores comunes incluyen notas de rescate, archivos que no abren, correos inesperados de restablecimiento de contraseña, clientes que reportan mensajes extraños desde su dirección, alertas de seguridad de su EDR o de Microsoft 365, o pagos inusuales.

Aísle, no apague

• Desconecte de la red los equipos afectados, desenchufando el cable o desactivando el Wi-Fi.
• Déjelos encendidos si es posible, ya que la memoria puede contener evidencia que desaparece al apagarlos.
• Si el ransomware se está propagando, considere desconectar la conexión a internet de la oficina o aislar segmentos de red.
• Todavía no ejecute herramientas de limpieza, ni reinstale el sistema operativo, ni borre archivos sospechosos.

Active su equipo de respuesta

Convoque a su responsable interno, a su proveedor de TI y a la gerencia. Si tiene un plan de respuesta a incidentes, sígalo. Si no lo tiene, este artículo puede servir como esquema inicial.

Hora 1 a 4: Haga las llamadas correctas

A quién contactar	Por qué
Aseguradora cibernética	Muchas pólizas exigen aviso inmediato y pueden asignar proveedores aprobados
Asesor legal	Orienta sobre las obligaciones de notificación y ayuda a proteger las comunicaciones privilegiadas
Proveedor de TI o firma de respuesta a incidentes	Contención técnica e investigación
Banco	Si pagos o cuentas pueden estar afectados, pregunte por la detención o recuperación de transferencias
Autoridades	Puede reportar delitos cibernéticos al FBI a través de IC3 (ic3.gov)

Llame a su aseguradora antes de contratar por su cuenta a proveedores externos de respuesta, ya que la cobertura puede depender de usar proveedores aprobados. Use llamadas telefónicas o un canal de comunicación separado y no afectado si sospecha que el correo está comprometido.

Hora 4 a 12: Preserve evidencia y corte el acceso

Preserve

• Exporte o proteja los registros de firewalls, servidores, Microsoft 365 o Google Workspace, VPN y herramientas EDR antes de que se sobrescriban.
• Tome fotos de las notas de rescate y de los mensajes de error.
• Mantenga los equipos afectados tal como están hasta que los investigadores indiquen otra cosa.
• Guarde los correos sospechosos como adjuntos en lugar de borrarlos.

Corte el acceso del atacante

• Restablezca las contraseñas de las cuentas afectadas, de los administradores y de las cuentas de servicio desde un equipo que sepa que está limpio.
• Revoque las sesiones y tokens activos en Microsoft 365 o Google Workspace.
• Revise y elimine reglas de reenvío de buzones desconocidas, consentimientos de aplicaciones OAuth y cuentas creadas recientemente.
• Desactive las herramientas de acceso remoto que no sean esenciales y exija MFA en todo lo que quede.
• Revise las reglas del firewall y las redirecciones de puertos en busca de cambios recientes.

Hora 12 a 24: Evalúe y planifique la recuperación

Entienda el alcance

Trabaje con sus proveedores de respuesta para responder preguntas clave: qué sistemas se vieron afectados, qué datos pudieron ser consultados o extraídos, cómo entró el atacante y si todavía tiene acceso. Las respuestas pueden tardar más de un día, y eso es normal.

Revise sus respaldos

Confirme que los respaldos están intactos y que el atacante no los alcanzó. Las copias inmutables o desconectadas son especialmente valiosas en este momento. No restaure en un entorno hasta que el punto de entrada esté cerrado, o el atacante podría volver.

Comunique con cuidado

• Dé instrucciones claras al personal: qué usar, qué evitar y a quién preguntar.
• Prepare comunicados preliminares para clientes si es necesario, revisados por su asesor legal.
• No especule públicamente sobre la causa o el alcance antes de conocer los hechos.

Lleve una cronología

Registre cada acción, quién la realizó y cuándo. Este registro respalda las reclamaciones al seguro, las decisiones legales y su propia revisión posterior al incidente.

Después del primer día

La recuperación continúa con la erradicación, la restauración desde respaldos limpios, el refuerzo de la seguridad y una revisión de lecciones aprendidas. Las mejoras típicas incluyen MFA en todas partes, cobertura de EDR, respaldos desconectados y un plan de respuesta a incidentes probado al menos una vez al año.

Nuestros servicios de ciberseguridad incluyen apoyo en respuesta a incidentes y refuerzo posterior, y el soporte de TI administrado ofrece monitoreo continuo para ayudar a detectar problemas antes.

Preguntas frecuentes

¿Debemos apagar todas las computadoras de inmediato?

Aislar de la red suele ser mejor que apagar, porque detiene la propagación y preserva la evidencia en memoria. Siga las indicaciones de sus proveedores de respuesta a incidentes para su situación específica.

¿Tenemos que notificar a los clientes?

Depende de los datos involucrados, del lugar donde residen las personas afectadas y de las regulaciones que apliquen a su empresa. Consulte a su asesor legal y revise las regulaciones aplicables cuanto antes, ya que algunos requisitos tienen plazos.

¿Podemos manejar una brecha por nuestra cuenta?

Los incidentes pequeños pueden ser manejables con un proveedor de TI capaz, pero involucrar desde el principio a su aseguradora, a su asesor legal y a especialistas con experiencia ayuda a proteger la empresa y evita errores costosos.

Siguiente paso

El mejor momento para planificar un incidente es antes de que ocurra. Max, nuestro fundador, trabaja en TI desde 1999 y cuenta con la certificación CompTIA Security+. Solicite una evaluación de TI gratuita y le ayudaremos a crear un plan de respuesta a incidentes práctico y a verificar que sus respaldos y su MFA estén listos.