¿Puede un ciberataque poner en riesgo la continuidad de la empresa? ¿Cómo debe una organización actuar en las primeras horas de un hackeo? En el último año conocidas de empresas de gran relevancia del sector turístico, textil, energía, sanidad o apuestas han sufrido graves ciberataques con accesos no autorizados o robo de datos sensibles de clientes como documentos de identidad, cuentas bancarias, etc., que han comprometido no solo a los usuarios, sino también a la continuidad y reputación de estas empresas.
La dimensión del problema es grave para las organizaciones ya que no solo se encuentran ante un problema de ciberseguridad, sino también se enfrentan a consecuencias económicas y legales de gran calado. Y es que según datos del INCIBE en 2025 se gestionaron más de 122.000 incidentes de ciberseguridad, un 26% más que en 2024, entre los que se registraron 3.849 incidentes relacionados con acceso o sustracción no autorizada de información y 392 ataques de ransomware.
Ante este escenario, desde DLTCode, empresa especializada en ciberseguridad, formación y tecnología Deep Tech basada en IA y adherida al Grupo Armora, han elaborado una guía de actuación que propone seis medidas para las primeras horas de un hackeo en cualquier organización.
- Aislar los sistemas comprometidos para parar su propagación. Una vez detectado el hackeo, el primer objetivo de la empresa no es averiguar quién ha sido el atacante, sino evitar que el ataque se propague y ponga en riesgo todos los sistemas de la empresa. Por ese motivo es importante identificar y aislar los equipos, servidores o cuentas, entre otros afectados, desconectarlos y bloquear los accesos sospechosos. Además, es conveniente revisar las sesiones activas, conexiones VPN y accesos remotos. La prioridad en las primeras horas debe ser la contención sin destruir información que pueda servir como evidencias forenses.
2. Reunir al equipo de gestión de crisis y organizar una respuesta rápida y eficaz. En toda organización debe existir un protocolo de respuesta ante posibles incidentes liderado por un equipo de responsables de la ciberseguridad y tecnología de la empresa, dirección, gabinete jurídico, protección de datos, comunicación y, cuando se requiera, de recursos humanos y seguros. Durante esta gestión de crisis y, una vez paralizada la propagación, es importante contar con un registro cronológico que informe sobre cuándo fue detectado el conflicto, qué medidas se han adoptado, qué información y evidencias digitales se tienen y qué cuestiones siguen pendientes de arreglo o comunicación a las partes implicadas. Esta información se hace especialmente relevante a la hora de construir una toma de decisiones por parte del equipo de gestión de crisis.
3. Investigación exhaustiva de lo ocurrido e información expuesta. Contenido el hackeo y evitada su propagación es el momento de llevar a cabo una investigación de la mano de técnicos especialistas de lo ocurrido. Estos deben determinar cuál fue la brecha de seguridad vulnerada, qué cuentas y credenciales han sido comprometidas, equipos y servidores afectados, si ha habido robo de datos o exposición de datos sensibles o cifrados y si existen otras puertas de entradas vulnerables en la empresa que puedan volver a producir un ciberataque. Es clave preservar siempre las evidencias antes de realizar cualquier actuación que pueda alterarlas.
En los casos de ramsomware, desde DLTCode recomiendan no precipitarse en la actuación o peticiones del atacante ya que el pago por el rescate no garantiza recuperar la información, sino que puede favorecer otros nuevos ataques. Por eso es muy importante valorar la respuesta y las circunstancias del incidente.
4. Activar de forma inmediata el protocolo legal. En un ciberataque el tiempo es oro. Cualquier hora es decisiva en la actuación. Por eso desde la empresa especializada en ciberseguridad recomiendan no esperar a conocer al 100% el alcance del hackeo para comenzar a analizar las obligaciones legales y el modus operandi.
“Cabe recordar que, si el incidente conlleva una fuga de datos personales que vulnere los derechos y libertades de personas y, por consecuencia, consumidores, el RGPD obliga a notificar el incidente a la autoridad competente sin dilación dentro de las 72 horas siguientes a tener constancia de la brecha de seguridad. Además, la AEPD insiste en que estos incidentes, fugas de datos y brechas deben quedar debidamente documentadas”, afirma Fernando Mairata, CEO de DLTCode.
Así pues, de entrañar un alto riesgo para los derechos y libertades el RGPD obliga a la empresa a comunicar a los afectados lo sucedido, sus consecuencias y las medidas adoptadas.
5. Preservar las evidencias digitales y formalizar la denuncia. El hackeo a cualquier organización supone un delito por lo que la empresa debe poner a disposición de las Fuerzas y Cuerpos de Seguridad del Estado toda la información y documentación de lo ocurrido que tenga a su alcance. De esta forma permite a los expertos investigar sobre e origen del delito y perseguir a los responsables. Por ello, la organización debe preservar elementos como correos electrónicos sospechosos, logs, IP, alertas de seguridad, posibles mensajes de rescate, registros de autentificación y cualquier otra información relevante.
6. Recuperar la normal actividad de la empresa. Antes de volver a la actividad de la empresa no basta solo con restaurar los sistemas. Hay que asegurarse de que la puerta de entrada del atacante está identificada y cerrada. Es probable que se requiera el cambio de credenciales, revocar sesiones, aplicar parches, reforzar la doble autentificación, contar con sistemas de respaldo y reforzar la formación a los empleados en materia de ciberseguridad entre otras medidas técnicas para evitar que pueda volver a pasar. La restauración ha de aplicarse de manera progresiva, priorizar sobre los servicios esenciales y mantener una vigilancia más intensa durante los días y semanas posteriores por si el ciberatacante hubiera mecanismos que le permitieran volver a vulnerar los sistemas.
Para los expertos de ciberseguridad de DLTCode las primeras horas en un ciberataque son cruciales y es por ese motivo que la respuesta debe abordarse desde distintos ámbitos como es la contención y aislamiento técnico del conflicto, preservación de evidencias, cumplimiento normativo y gestión de la comunicación del ciberataque. Los últimos casos de empresas afectadas evidencian también la importancia de controlar la cadena de suministro y toda la superficie de ataque ya que la vulnerabilidad puede estar en la propia organización o venir derivada de proveedores externos, entre otros. Por todo, insisten en que la prevención y formación constante a empleados, directivos, proveedores y consumidores sigue siendo la mejor arma que tienen todas las empresas e instituciones en la lucha contra los ciberataques.
