Ransomware
Análisis del alcance del cifrado y de la posible exfiltración de datos, identificación del vector de entrada y apoyo en la recuperación.
03 · Incidentes
Cuando ocurre un incidente, cada decisión cuenta
Un ransomware, una cuenta de correo comprometida o una fuga de datos exigen actuar rápido, pero también con orden. Te ayudamos a entender qué ha pasado, a contener el daño, a recuperar la operación y a cumplir con las obligaciones de notificación sin destruir las evidencias.
24 h
para la alerta temprana de un incidente significativo a la que obliga la Directiva NIS2.
72 h
para notificar a la AEPD una brecha de datos personales que suponga un riesgo (RGPD).
1 mes
después de la notificación, el informe final del incidente que exige NIS2.
017
la línea gratuita y confidencial de ayuda en ciberseguridad de INCIBE.
Tipos de incidente
Situaciones en las que actuamos
Compromiso de correo
Cuentas de correo suplantadas o comprometidas, fraudes de cambio de cuenta bancaria y estafas del CEO.
Fuga de datos
Determinar qué información ha salido, cómo y a quién afecta, para tomar decisiones y notificar con fundamento.
Accesos no autorizados
Intrusiones en sistemas, aplicaciones o servicios cloud, y uso indebido de credenciales.
Malware
Análisis de equipos infectados, persistencia y alcance real de la infección en la red.
Fraude con IA
Suplantaciones mediante voz clonada o vídeo manipulado. Más información en forense de IA.
Obligaciones
El reloj empieza a correr
Un incidente puede tener plazos legales de notificación muy cortos. Mueve el control para ver qué obligaciones vencen en cada momento desde la detección.
- AhoraDetección del incidente
Los plazos cuentan desde que se tiene constancia del incidente. Activa el plan de respuesta y documenta cada decisión.
El reloj está en marcha - 24 hAlerta temprana (NIS2)
Entidades esenciales e importantes: aviso inicial al CSIRT de referencia, indicando si el incidente puede deberse a una acción ilícita.
Quedan 24 h - 72 hAEPD (RGPD) y notificación NIS2
Brechas de datos personales con riesgo para las personas, y evaluación inicial de la gravedad y el impacto del incidente.
Quedan 3 días - 1 mesInforme final (NIS2)
Un mes después de la notificación: causa raíz, medidas aplicadas y, si lo hay, impacto transfronterizo.
Quedan 33 días
Plazos orientativos. Qué notificaciones proceden depende del tipo de entidad, del incidente y de su impacto; lo determinamos en el análisis inicial.
- RGPD. Las brechas de datos personales que supongan un riesgo deben notificarse a la Agencia Española de Protección de Datos en un máximo de 72 horas y, si el riesgo es alto, también a los afectados.
- NIS2. Las entidades afectadas por la Directiva NIS2 deben enviar una alerta temprana de los incidentes significativos en 24 horas, una notificación en 72 horas y un informe final en el plazo de un mes.
- Esquema Nacional de Seguridad. Las entidades del sector público y sus proveedores deben notificar los incidentes al CCN-CERT conforme a los criterios establecidos.
- Denuncia. Cuando el incidente puede constituir un delito, preparamos las evidencias para acompañar la denuncia.
Así se gestiona un incidente
Las primeras 48 horas de un ransomware
Contener, entender, notificar y recuperar, en ese orden y sin destruir las evidencias que explican cómo entraron.
Red de la oficina · T+0,5 h
Caso ilustrativo con datos ficticios
- ALERTA
Los usuarios no pueden abrir los archivos del servidor y aparecen notas de rescate.
- CONT
Aislamiento de red de los equipos afectados, sin apagarlos, para preservar la memoria.
- FOR
Vector de entrada identificado: acceso remoto con credenciales robadas y sin doble factor.
- DATOS
El tráfico saliente muestra indicios de exfiltración de 12 GB antes del cifrado.
- NOTIF
Alerta temprana al CSIRT y preparación de la notificación a la AEPD.
- REC
Restauración desde copias offline verificadas, tras eliminar la persistencia del atacante.
- OK
Servicios críticos operativos, con monitorización reforzada y doble factor en todos los accesos.
Cómo actuamos
Respuesta ordenada en cuatro fases
- Análisis inicial
Entender qué ocurre, qué sistemas están afectados y qué decisiones hay que tomar de inmediato.
- Contención
Aislar el problema y evitar que se extienda, preservando las evidencias necesarias para la investigación.
- Erradicación y recuperación
Eliminar la causa, restaurar los servicios de forma segura y vigilar posibles reapariciones.
- Lecciones aprendidas
Informe del incidente, causa raíz y medidas para evitar que se repita.
Si está ocurriendo ahora
Primeros pasos ante un incidente
Lo que se hace en la primera hora condiciona la recuperación, la investigación y las notificaciones.
Conviene
- Desconectar de la red los equipos afectados, sin apagarlos.
- Cambiar las contraseñas desde un equipo limpio y activar el doble factor.
- Proteger las copias de seguridad: desconectarlas si aún no están afectadas.
- Anotar lo que se observa, con fecha, hora y quién lo detecta.
- Pedir ayuda: también puedes llamar al 017 de INCIBE, gratuito y confidencial.
Evita
- Apagar o reiniciar los equipos: se pierde la información en memoria.
- Borrar, reinstalar o restaurar antes de saber cómo entraron.
- Contactar con los atacantes o pagar sin asesoramiento.
- Comunicar el incidente por canales que podrían estar comprometidos, como el correo afectado.
- Dejar pasar las horas: los plazos de notificación cuentan desde la detección.
Incidente en curso
¿Necesitas ayuda ahora?
Escríbenos con «INCIDENTE EN CURSO» en el asunto, describe lo que observas e indica un teléfono de contacto. Te responderemos con los primeros pasos y una propuesta de intervención.
- Pymes
- Despachos profesionales
- Sector público y proveedores ENS
- Entidades NIS2
- Aseguradoras de ciberriesgo
Preparación
Mejor si el incidente te encuentra preparado
La mayoría de las decisiones difíciles de un incidente pueden tomarse antes, con calma.
Plan de respuesta
Procedimiento de gestión de incidentes con roles, contactos, criterios de escalado y plantillas de comunicación.
Guías de actuación
Pasos concretos para los escenarios más probables: ransomware, robo de credenciales, pérdida de dispositivos o fuga de datos.
Simulacros
Ejercicios de mesa con la dirección y los equipos técnicos para probar el plan antes de necesitarlo.
Copias y recuperación
Comprobamos que las copias existen, están aisladas y se pueden restaurar en el tiempo que necesita el negocio.
Preguntas frecuentes
Lo que suelen preguntarnos
¿Debemos pagar el rescate de un ransomware?
Las autoridades desaconsejan el pago: no garantiza la recuperación de los datos ni que no se publiquen, y financia nuevos ataques. En cualquier caso, es una decisión que debe tomarse con toda la información disponible, y te ayudamos a valorarla.
¿Qué hacemos mientras llegáis?
No apagues los equipos afectados salvo que sea imprescindible: desconéctalos de la red. No borres ni reinstales nada, y anota lo que vayas observando con fechas y horas.
¿Es obligatorio notificar todos los incidentes?
No. Depende del tipo de entidad, del tipo de incidente y de su impacto. Parte del análisis inicial consiste en determinar qué notificaciones proceden, a quién y en qué plazo.
¿Nos cubre el seguro de ciberriesgo?
Depende de la póliza. Muchas exigen avisar a la aseguradora de inmediato y, a veces, trabajar con proveedores designados. Revisa las condiciones o avísanos para tenerlo en cuenta desde el principio.
¿Podéis presentar el análisis en un juicio?
Sí. Al trabajar con criterios forenses desde el primer momento, el análisis del incidente puede convertirse en un informe pericial si se necesita.
Servicios relacionados
También te puede interesar
Contacto
¿Un incidente en curso o quieres prepararte?
Si el incidente está ocurriendo, escribe «INCIDENTE EN CURSO» en el asunto e indica un teléfono de contacto. Si quieres preparar a tu organización, cuéntanos su tamaño y qué te preocupa y te propondremos un plan.
¿Prefieres el correo?info@afsinformatica.com
Si el correo de tu organización puede estar comprometido, escríbenos desde otra cuenta.