¿Tu empresa está sufriendo un ciberataque?
Lo primero: desconecta de la red los equipos afectados y no borres nada. Después, cuéntanos qué pasa con el formulario. Abajo tienes los pasos para las primeras horas.
Email: [email protected]
Avísanos del incidente
Cuanto más concreto, mejor: qué has visto, desde cuándo y qué está afectado.
Qué hacer en las primeras horas
- 1
Aísla los equipos afectados
Desconéctalos de la red, por cable y por wifi. Evita apagarlos salvo que veas que el cifrado sigue avanzando: la memoria guarda evidencias útiles para la investigación.
- 2
No borres ni reinstales nada
Conserva registros, correos sospechosos, notas de rescate y capturas de pantalla. Reinstalar antes de investigar destruye las pistas sobre cómo entraron.
- 3
Nombra a una persona al mando y apunta todo
Una sola persona coordina y decide. Anota con hora cada cosa que observes y cada acción que hagas.
- 4
Coordina por un canal seguro
Si el correo o la mensajería corporativa pueden estar comprometidos, usa teléfonos o un canal alternativo para hablar del incidente.
- 5
Cambia credenciales desde un equipo limpio
Empieza por las cuentas con privilegios y las que estén implicadas. Cierra las sesiones abiertas y revisa los accesos remotos.
- 6
Comprueba tus copias de seguridad
Verifica que están desconectadas y que no se han visto afectadas antes de restaurar nada. Restaura solo cuando sepas por dónde entró el atacante.
- 7
Pide ayuda especializada
Contacta con un equipo de respuesta a incidentes, con tu aseguradora de ciberriesgos si la tienes y con tu asesoría jurídica.
Qué hacer según el tipo de incidente
- Cuenta corporativa comprometida en Microsoft 365 o Google Workspace: cómo recuperar el controlSi una cuenta corporativa está comprometida, bloquea el inicio de sesión, revoca todas sus sesiones y cambia la contraseña desde un equipo limpio. Después elimina lo que el atacante pudo dejar para volver: métodos MFA nuevos, reglas de reenvío, aplicaciones OAuth con permisos y contraseñas de aplicación. Por último, revisa qué leyó, envió o descargó.
- Fraude del CEO y BEC: cómo detectarlo y qué hacer si tu empresa ya ha hecho la transferenciaEl fraude del CEO y el BEC son engaños por correo en los que alguien suplanta a un directivo o a un proveedor para que tu empresa pague a una cuenta suya. Si ya has transferido, llama ya a tu banco para que intente retener los fondos, denuncia ante Policía o Guardia Civil y revisa si hay un buzón comprometido.
- Fuga de datos en tu empresa: cómo confirmarla, contenerla y medir su alcanceAnte una posible fuga de datos, confirma primero si es real y de qué sistema salen los datos. Después corta la vía de salida sin destruir evidencias, delimita qué información se expuso, de quién y desde cuándo, coordina la comunicación con tu asesoría jurídica y vigila si los datos reaparecen en foros, mercados o sitios de filtración.
- Un empleado ha caído en un phishing: qué hacer en tu empresa según lo que haya pasadoSi un empleado ha caído en un phishing, actúa según lo que hizo. Si solo hizo clic, revisa el equipo y bloquea el dominio. Si escribió su contraseña, cámbiala desde un equipo limpio, cierra sus sesiones y revisa MFA y reglas del buzón. Si abrió un adjunto, aísla el equipo. Después, busca el mismo correo en otros buzones.
- Ataque de ransomware en tu empresa: qué hacer en las primeras horas y cómo recuperarteSi un ransomware ha cifrado equipos de tu empresa, desconecta de la red los sistemas afectados sin apagarlos, conserva la nota de rescate y los registros, coordina la respuesta por un canal ajeno al correo corporativo y no pagues ni negocies por tu cuenta. Restaura desde copias verificadas solo cuando sepas por dónde entró el atacante.
Lo que no debes hacer
- Pagar el rescate. No garantiza recuperar los datos y te señala como objetivo de nuevos ataques.
- Negociar o contactar con los atacantes por tu cuenta.
- Volver a conectar equipos o restaurar copias antes de saber cómo entraron.
- Usar cuentas de administrador en equipos que podrían estar comprometidos.
Señales de que te están atacando
- Archivos con extensiones extrañas o una nota de rescate en los equipos.
- Cuentas bloqueadas, contraseñas cambiadas o avisos de MFA que nadie ha pedido.
- El antivirus o el EDR desactivado sin explicación.
- Correos enviados desde tu cuenta que no has escrito.
- Transferencias de datos o picos de tráfico inusuales, sobre todo fuera de horario.
Cómo te ayuda Ciberia
Contener
Aislamos los equipos y cuentas implicados para que el ataque no se extienda.
Investigar
Buscamos la vía de entrada, el alcance y si el atacante sigue dentro, con Threat Hunting e inteligencia de Ciberia Intel.
Recuperar y vigilar
Te acompañamos en la vuelta a la normalidad y, con Ciberia MDR, vigilamos tu entorno día y noche para que no se repita.
¿Prefieres prevenir? Conoce Ciberia MDR y Ciberia CTM.
Preguntas frecuentes
¿Qué hago si un ransomware ha cifrado los equipos de mi empresa?
Desconecta de la red los equipos afectados, no pagues el rescate, conserva las evidencias y no restaures copias hasta saber cómo entró el atacante. Después, pide ayuda a un equipo de respuesta a incidentes.
¿Debo apagar los equipos infectados?
Lo prioritario es desconectarlos de la red. Apagarlos borra la memoria, que contiene evidencias, así que solo conviene hacerlo si el cifrado sigue avanzando y no puedes aislarlo de otra forma.
¿Hay ayuda pública gratuita en España?
Sí. INCIBE atiende a empresas y ciudadanos en el teléfono gratuito y confidencial 017, la línea de ayuda en ciberseguridad.
¿Atendéis incidentes de empresas que no son clientes?
Sí. Cuéntanos qué ocurre con el formulario de esta página y te contactamos para valorar el caso y ayudarte a contenerlo.