Que una empresa sufra un ciberataque puede suponer su disolución por incapacidad para resolver la situación. No en vano, se calcula que entre el 30 y el 60 % de las empresas tienen que cerrar a los pocos meses de sufrir un ciberataque, según diversos estudios. Por eso, desde DLTCode, empresa especializada en ciberseguridad, formación y tecnología Deep Tech basada en IA y adherida al Grupo Armora, han elaborado una guía de actuación que propone seis medidas para las primeras horas de un hackeo en cualquier organización.
La dimensión del problema es grave para las organizaciones, ya que no solo se encuentran ante un problema de ciberseguridad, sino también se enfrentan a consecuencias económicas y legales de gran calado. Y es que según datos del INCIBE en 2025 se gestionaron más de 122.000 incidentes de ciberseguridad, un 26% más que en 2024, entre los que se registraron 3.849 incidentes relacionados con acceso o sustracción no autorizada de información y 392 ataques de ransomware.
Ante este escenario, desde DLTCode han elaborado una guía rápida con 6 acciones que toda empresa víctima de un ciberataque debe realizar cuanto antes, con el fin de limitar daños y comenzar la recuperación de la operativa cuanto antes. A saber:
- Aislar los sistemas comprometidos para parar su propagación. Una vez detectado el hackeo, el primer objetivo de la empresa no es averiguar quién ha sido el atacante, sino evitar que el ataque se propague y ponga en riesgo todos los sistemas de la empresa. Por ese motivo es importante identificar y aislar los equipos, servidores o cuentas, entre otros afectados, desconectarlos y bloquear los accesos sospechosos. Además, es conveniente revisar las sesiones activas, conexiones VPN y accesos remotos. La prioridad en las primeras horas debe ser la contención sin destruir información que pueda servir como evidencias forenses.
- Reunir al equipo de gestión de crisis y organizar una respuesta rápida y eficaz. En toda organización debe existir un protocolo de respuesta ante posibles incidentes liderado por un equipo de responsables de la ciberseguridad y tecnología de la empresa, dirección, gabinete jurídico, protección de datos, comunicación y, cuando se requiera, de recursos humanos y seguros. Durante esta gestión de crisis y, una vez paralizada la propagación, es importante contar con un registro cronológico que informe sobre cuándo fue detectado el conflicto, qué medidas se han adoptado, qué información y evidencias digitales se tienen y qué cuestiones siguen pendientes de arreglo o comunicación a las partes implicadas. Esta información se hace especialmente relevante a la hora de construir una toma de decisiones por parte del equipo de gestión de crisis.
- Investigación exhaustiva de lo ocurrido e información expuesta. Contenido el hackeo y evitada su propagación es el momento de llevar a cabo una investigación de la mano de técnicos especialistas de lo ocurrido. Estos deben determinar cuál fue la brecha de seguridad vulnerada, qué cuentas y credenciales han sido comprometidas, equipos y servidores afectados, si ha habido robo de datos o exposición de datos sensibles o cifrados y si existen otras puertas de entradas vulnerables en la empresa que puedan volver a producir un ciberataque. Es clave preservar siempre las evidencias antes de realizar cualquier actuación que pueda alterarlas.
Qué hacer en caso de ransomware
En los casos de ramsomware, desde DLTCode recomiendan no precipitarse en la actuación o peticiones del atacante ya que el pago por el rescate no garantiza recuperar la información, sino que puede favorecer otros nuevos ataques. Por eso es muy importante valorar la respuesta y las circunstancias del incidente.
- Activar de forma inmediata el protocolo legal. En un ciberataque el tiempo es oro. Cualquier hora es decisiva en la actuación. Por eso desde la empresa especializada en ciberseguridad recomiendan no esperar a conocer al 100% el alcance del hackeo para comenzar a analizar las obligaciones legales y el modus operandi. “Cabe recordar que, si el incidente conlleva una fuga de datos personales que vulnere los derechos y libertades de personas y, por consecuencia, consumidores, el RGPD obliga a notificar el incidente a la autoridad competente sin dilación dentro de las 72 horas siguientes a tener constancia de la brecha de seguridad. Además, la AEPD insiste en que estos incidentes, fugas de datos y brechas deben quedar debidamente documentadas”, afirma Fernando Mairata, CEO de DLTCode.
¿Y si se afectan datos personales de clientes o proveedores?
Es una de las situaciones más complejas, dado que la legislación es especialmente sensible a este asunto. Los expertos de DLTCode recomiendan lo siguiente:
- Preservar las evidencias digitales y formalizar la denuncia. El hackeo a cualquier organización supone un delito por lo que la empresa debe poner a disposición de las Fuerzas y Cuerpos de Seguridad del Estado toda la información y documentación de lo ocurrido que tenga a su alcance. De esta forma permite a los expertos investigar sobre e origen del delito y perseguir a los responsables. Por ello, la organización debe preservar elementos como correos electrónicos sospechosos, logs, IP, alertas de seguridad, posibles mensajes de rescate, registros de autentificación y cualquier otra información relevante.
- Recuperar la normal actividad de la empresa. Antes de volver a la actividad de la empresa no basta solo con restaurar los sistemas. Hay que asegurarse de que la puerta de entrada del atacante está identificada y cerrada. Es probable que se requiera el cambio de credenciales, revocar sesiones, aplicar parches, reforzar la doble autentificación, contar con sistemas de respaldo y reforzar la formación a los empleados en materia de ciberseguridad entre otras medidas técnicas para evitar que pueda volver a pasar. La restauración ha de aplicarse de manera progresiva, priorizar sobre los servicios esenciales y mantener una vigilancia más intensa durante los días y semanas posteriores por si el ciberatacante hubiera mecanismos que le permitieran volver a vulnerar los sistemas.
Para los expertos de ciberseguridad de DLTCode las primeras horas en un ciberataque son cruciales y es por ese motivo que la respuesta debe abordarse desde distintos ámbitos como es la contención y aislamiento técnico del conflicto, preservación de evidencias, cumplimiento normativo y gestión de la comunicación del ciberataque. Los últimos casos de empresas afectadas evidencian también la importancia de controlar la cadena de suministro y toda la superficie de ataque ya que la vulnerabilidad puede estar en la propia organización o venir derivada de proveedores externos, entre otros. Por todo, insisten en que la prevención y formación constante a empleados, directivos, proveedores y consumidores sigue siendo la mejor arma que tienen todas las empresas e instituciones en la lucha contra los ciberataques.
