Primeros Auxilios ante un Ataque de Ciberseguridad: qué hacer durante las primeras horas
Cuando una empresa detecta archivos cifrados, accesos desconocidos, malware o actividad sospechosa, actuar rápidamente es importante. Sin embargo, actuar sin un procedimiento puede empeorar el incidente. Por eso, esta guía explica qué hacer primero, qué evitar y cuándo pedir ayuda.
Igual que en una emergencia médica, las primeras decisiones son importantes. Por esta razón, la prioridad no es regresar inmediatamente a la normalidad. Primero hay que contener, preservar evidencia, evaluar el alcance y evitar que el incidente siga avanzando.
No formatees equipos, no borres archivos sospechosos y no restaures inmediatamente los respaldos. En cambio, aísla los sistemas afectados cuando sea necesario y contacta al responsable de TI o ciberseguridad antes de realizar cambios que puedan destruir evidencia.
¿Cómo saber si puedes estar ante un incidente?
No todos los problemas tecnológicos son ciberataques. Sin embargo, determinadas señales justifican una investigación inmediata.
Por ejemplo, pueden aparecer extensiones desconocidas, mensajes de rescate o documentos que dejan de abrirse repentinamente.
También pueden detectarse inicios de sesión desde ubicaciones desconocidas, cambios de contraseña o solicitudes de MFA no iniciadas por el usuario.
Asimismo, un aumento inesperado de tráfico, lentitud anormal o conexiones desconocidas puede justificar una revisión.
Otra señal importante es detectar mensajes enviados sin autorización, reglas de reenvío desconocidas o contactos que reciben correos fraudulentos desde una cuenta corporativa.
Del mismo modo, antivirus, firewall, EDR u otras herramientas pueden reportar ejecución sospechosa o accesos no autorizados.
Finalmente, servicios detenidos, cuentas nuevas, software desconocido o configuraciones modificadas sin autorización merecen atención.
Los primeros pasos: contener antes de intentar reparar
Durante los primeros minutos no es necesario conocer con certeza el nombre del malware o el origen exacto del ataque. En cambio, la prioridad es limitar su propagación y conservar información útil para la investigación.
Para empezar, documenta los síntomas: mensajes, alertas, equipos afectados, usuarios involucrados y hora aproximada en que comenzó el problema.
Si existe riesgo de propagación, desconecta el cable de red o deshabilita temporalmente la conexión. No obstante, recuerda que aislar un equipo no significa formatearlo ni eliminar información.
A continuación, contacta al área de TI, proveedor administrado o especialista de ciberseguridad. No es necesario esperar a conocer todo el alcance antes de pedir ayuda.
Mientras se coordina la respuesta, conserva correos sospechosos, capturas, registros, mensajes de error y cualquier dato relacionado con el evento.
Por último, identifica qué equipos, usuarios, servidores, aplicaciones, cuentas y datos podrían estar involucrados.
La acción correcta depende del incidente. Por ejemplo, en ciertos casos puede ser preferible mantener un sistema encendido pero desconectado para no perder evidencia volátil. Si tienes acceso a un especialista, consulta antes de realizar cambios adicionales.
Qué NO debes hacer durante un ciberataque
Algunas acciones aparentemente lógicas pueden destruir evidencia, dificultar la investigación o permitir que el atacante vuelva a entrar. Por ello, conviene evitar los siguientes errores.
Protege las cuentas y credenciales comprometidas
Si existe evidencia o sospecha de robo de credenciales, las contraseñas deben cambiarse desde un dispositivo confiable que no forme parte del incidente. Además, conviene priorizar las cuentas que permiten mayor acceso a información o sistemas críticos.
Prioriza estas cuentas
- Correo electrónico corporativo.
- Cuentas administrativas.
- VPN y acceso remoto.
- Microsoft 365, Google Workspace u otros servicios cloud.
- Aplicaciones empresariales críticas.
- Servicios financieros y plataformas de pago.
También debes revisar sesiones activas, dispositivos autorizados, aplicaciones conectadas, reglas de reenvío de correo y métodos de recuperación de cuenta. Además, activa MFA cuando no estuviera habilitado.
El procedimiento cambia dependiendo del incidente
Cada incidente requiere prioridades distintas. Por ejemplo, un ransomware no se atiende igual que una cuenta de correo comprometida. Por eso, el tipo de ataque orienta las siguientes decisiones.
En primer lugar, prioriza aislamiento, preservación de evidencia, identificación del alcance y protección de los respaldos antes de intentar recuperar.
En este caso, revoca sesiones, cambia credenciales desde un equipo seguro y revisa reglas de reenvío, MFA y mensajes enviados fraudulentamente.
Por otra parte, si el problema está en un endpoint, conviene aislar el dispositivo y determinar si existen otros equipos o credenciales afectadas antes de reincorporarlo a la red.
Finalmente, ante un acceso no autorizado, revisa cuentas, privilegios, registros, sesiones abiertas y posibles cambios realizados por el atacante.
Documenta lo ocurrido
La documentación ayuda a comprender el ataque, justificar decisiones, evaluar posibles obligaciones legales y prevenir que el mismo incidente vuelva a suceder. Además, facilita una revisión posterior más objetiva.
- Fecha y hora en que se detectó el problema.
- Personas y equipos afectados.
- Mensajes o alertas observadas.
- Acciones realizadas durante la respuesta.
- Cuentas posiblemente comprometidas.
- Archivos o servicios afectados.
- Registros disponibles de firewall, correo, servidores y endpoints.
Determina si hubo información comprometida
No todos los incidentes implican una fuga de información. Sin embargo, cuando exista posibilidad de acceso, modificación, extracción o pérdida de datos sensibles, es necesario analizar qué información estuvo expuesta. A partir de ese análisis se pueden determinar las medidas posteriores.
- Datos personales de clientes o empleados.
- Información financiera.
- Credenciales y contraseñas.
- Contratos y documentación confidencial.
- Propiedad intelectual.
- Información regulada de acuerdo con el sector.
Dependiendo del tipo de información, sector, contratos y circunstancias del incidente, pueden existir obligaciones de comunicación, documentación o notificación. Por esta razón, conviene revisar el caso con los responsables legales y de protección de datos correspondientes.
Recupera solamente después de eliminar la causa
Restaurar un sistema demasiado pronto puede provocar que vuelva a ser comprometido. Por esta razón, antes de regresar a operación debe entenderse y corregirse la causa del incidente.
Primero determina si el incidente comenzó mediante phishing, vulnerabilidad sin parchear, credencial comprometida, servicio expuesto u otra causa.
Después, aplica parches, cambia credenciales, modifica configuraciones o elimina accesos no autorizados según corresponda.
A continuación, confirma que la copia utilizada sea anterior al incidente y que no contenga la misma amenaza.
Una vez validados los respaldos, prioriza primero los servicios esenciales para la operación.
Finalmente, vigila tráfico, alertas, accesos y comportamiento para confirmar que no existen señales de persistencia.
Después del incidente: corrige el problema que permitió el ataque
No todas las empresas necesitan las mismas herramientas. Por eso, la tecnología adecuada depende de cómo ocurrió el incidente y de qué control falló. Primero se identifica el problema y, después, se selecciona la tecnología que puede ayudar a reducir ese riesgo.
GFI KerioControl
Puede ayudar a fortalecer la protección perimetral, controlar tráfico, gestionar accesos remotos y aplicar políticas de seguridad.
Conocer KerioControl →GFI LanGuard
Permite identificar vulnerabilidades y sistemas sin actualizar. Además, puede apoyar la gestión de parches para reducir superficies de ataque conocidas.
Conocer LanGuard →GFI MailEssentials
Ayuda a reducir amenazas provenientes del correo mediante mecanismos de filtrado antispam, antimalware y protección frente a contenido sospechoso.
Conocer MailEssentials →GFI ClearView
Aporta visibilidad sobre el tráfico y utilización de la red. De este modo, facilita la detección e investigación de comportamientos que requieren atención.
Conocer ClearView →Si el incidente comenzó con una contraseña robada, la prioridad puede ser MFA y gestión de identidades. En cambio, si entró mediante una vulnerabilidad, puede ser necesario fortalecer parches y evaluación de vulnerabilidades. Primero se identifica el problema; después se selecciona la tecnología.
Convierte el incidente en una mejora
Una vez restablecida la operación, la empresa debería realizar una revisión posterior para determinar qué cambios reducirán la posibilidad de que el incidente vuelva a repetirse. Además, esa revisión permite detectar fallas de proceso que quizá no fueron evidentes durante la crisis.
Durante un incidente, la prioridad es tomar las decisiones correctas
La rapidez es importante, pero no debe confundirse con improvisación. En primer lugar, aislar los sistemas comprometidos, preservar evidencia, proteger credenciales y determinar el alcance puede reducir significativamente el impacto.
Después, es necesario corregir la causa antes de restaurar. De lo contrario, el mismo problema podría reaparecer una vez que los sistemas regresen a operación.
Finalmente, existe una conclusión todavía más importante: el mejor momento para definir qué hacer durante un ciberataque es antes de que ocurra.
Por eso, después de los primeros auxilios viene la ciberresiliencia: preparar a la empresa para prevenir, detectar, responder y recuperarse.
¿Tu empresa sabría qué hacer si mañana ocurre un ciberataque?
Nuestro checklist de ciberseguridad puede ayudarte a identificar controles faltantes y determinar qué áreas requieren una evaluación más profunda antes de que ocurra una emergencia.
