Las primeras 48 horas tras un ciberataque: qué hacer y en qué orden

Si tu empresa acaba de sufrir un ciberataque, el orden correcto es este: primero contener (aislar los equipos afectados sin borrar nada), después avisar (a tu aseguradora o a tu corredor y a quien lleve tu informática), luego documentar y evaluar qué se ha visto afectado, y solo entonces restaurar y comunicar hacia fuera. Las primeras horas deciden cuánto dura la parada, cuánto cuesta y si el seguro puede actuar con todas sus herramientas. Esta guía está pensada para pymes y autónomos que no tienen un departamento de informática y necesitan saber qué hacer ahora mismo.

Antes de nada: cómo reconocer que es un ataque

No todos los incidentes empiezan con una pantalla que pide un rescate. Estas son las señales más habituales en un negocio pequeño:

• Archivos que no se abren o que han cambiado de nombre o de extensión.
• Clientes o proveedores que te dicen que han recibido correos tuyos que no has enviado.
• Contraseñas que dejan de funcionar o avisos de inicio de sesión desde lugares desconocidos.
• Movimientos en la cuenta bancaria que nadie reconoce.
• El programa de gestión o la tienda online dejan de funcionar sin explicación.

Ante la duda, trátalo como un incidente. Es mucho más barato descartar una falsa alarma que llegar tarde a un ataque real.

Hora 0 a 2: contener sin destruir pruebas

El objetivo de estas primeras horas es que el problema no se extienda, pero sin borrar el rastro que después necesitarán los técnicos y la aseguradora.

1. Desconecta de la red los equipos afectados. Quita el cable de red o desactiva el wifi. Si sospechas que el ataque se está extendiendo, desconecta también el router de internet.
2. No borres, no formatees y no reinstales nada. Aunque la tentación sea «limpiar» el ordenador, eso destruye las pruebas de cómo entró el atacante y puede complicar la tramitación del siniestro.
3. No contactes con el atacante ni respondas a los mensajes de rescate. Cualquier negociación debe hacerse con expertos y con el conocimiento de la aseguradora.
4. Desconecta las copias de seguridad que estén conectadas a la red o a un equipo afectado, para que no se cifren también.
5. Si hay dinero en juego, llama a tu banco de inmediato. Cuanto antes se intente frenar una transferencia, más posibilidades hay de recuperarla.

Hora 2 a 6: avisar a quien corresponde

Con el incidente contenido, toca activar la ayuda. El orden importa:

1. Tu aseguradora o tu corredor. Si tienes un seguro de ciberseguridad, la póliza indica el canal para comunicar un incidente, que a menudo es un teléfono de atención especializada. Llama antes de contratar por tu cuenta a ningún técnico: la póliza incluye el acceso a expertos en ciberseguridad para restaurar los sistemas, y también a abogados y a especialistas en comunicación. Si actúas por libre, puede que algún gasto no se reconozca.
2. Tu proveedor informático, si lo tienes, para que se coordine con el equipo que asigne la aseguradora.
3. Tu equipo. Explica en pocas palabras qué ha pasado y qué no deben hacer: no encender equipos apagados, no conectar pendrives, no abrir el correo desde los ordenadores afectados. Hazlo por teléfono o en persona, no desde un correo que puede estar comprometido.

Si no tienes seguro ciber, puedes buscar orientación en los servicios públicos de ayuda en ciberseguridad y en un profesional informático de confianza. En cualquier caso, avisa también a tu corredor: puede que alguna otra póliza, como la de defensa jurídica, ayude en parte.

Hora 6 a 24: documentar y evaluar el alcance

Mientras los técnicos trabajan, tu tarea es reunir información y empezar a anotar todo. Te servirá para la aseguradora, para una posible denuncia y para tomar decisiones.

• Abre un diario del incidente. Hora a hora: qué se detectó, quién lo vio, qué se hizo y con quién se habló.
• Haz fotos de las pantallas con mensajes de rescate, avisos o errores, y guarda los correos sospechosos sin reenviarlos.
• Identifica qué datos podían estar en los equipos afectados: clientes, empleados, pacientes, datos bancarios. Esto determina si hay que notificar a alguien.
• Guarda los justificantes de todos los gastos: horas extra, técnicos, compras urgentes. Serán la base de la reclamación.
• Anota qué actividad está parada y desde cuándo, para calcular después la pérdida por interrupción del negocio.

Si se han visto afectados datos personales

Cuando un ataque compromete datos de clientes o empleados, la normativa de protección de datos puede obligarte a notificarlo a la autoridad de control, y en algunos casos a los propios afectados, en plazos muy cortos, que pueden empezar a contar desde que tienes conocimiento de la brecha. Aquí es donde el asesoramiento legal de la póliza resulta más útil: los abogados valoran si hay obligación de notificar, qué decir y cómo hacerlo. Si no tienes seguro, consulta con un abogado o con tu delegado de protección de datos cuanto antes.

La denuncia

Presentar denuncia ante la Policía o la Guardia Civil suele ser recomendable, sobre todo si hay dinero desviado o extorsión. El banco y la aseguradora pueden pedirte una copia. Lleva el diario del incidente y las capturas: facilitan mucho el trámite.

Hora 24 a 48: restaurar y comunicar hacia fuera

Con el atacante fuera y el alcance claro, empieza la vuelta a la normalidad. Hazlo siguiendo las indicaciones de los técnicos, no por tu cuenta:

1. Restaurar desde copias limpias. Antes de volcar una copia de seguridad hay que comprobar que no está infectada. Si no hay copia, entra en juego la recuperación de datos.
2. Cambiar contraseñas desde un equipo limpio, empezando por el correo, la banca y los programas de gestión. Activa la verificación en dos pasos donde se pueda.
3. Comunicar a clientes y proveedores lo que necesiten saber, sobre todo si pueden haber recibido correos fraudulentos en tu nombre. Un aviso claro y a tiempo evita que alguien pague una factura falsa.
4. Revisar las cuentas bancarias y los pagos programados de los próximos días.

Cómo comunicar sin empeorar las cosas

La comunicación mal hecha puede hacer más daño que el propio ataque. Algunas pautas:

• Habla de hechos, no de suposiciones. «Hemos sufrido un incidente informático y estamos trabajando con especialistas» es mejor que dar detalles que después resulten falsos.
• No culpes a nadie en público, ni a un empleado ni a un proveedor. Las responsabilidades se analizan después.
• Un solo portavoz. Que clientes y proveedores reciban siempre el mismo mensaje.
• Consulta antes de publicar. Si tu póliza incluye asesoramiento legal y gestión reputacional, úsalo antes de enviar comunicados o publicar en redes sociales.

Tabla resumen de las primeras 48 horas

Momento	Objetivo	Acciones clave
0 a 2 horas	Contener	Aislar equipos, no borrar nada, no hablar con el atacante, llamar al banco si hay pagos
2 a 6 horas	Avisar	Aseguradora o corredor, proveedor informático, equipo interno
6 a 24 horas	Documentar	Diario del incidente, capturas, datos afectados, gastos, denuncia
24 a 48 horas	Restaurar y comunicar	Copias limpias, contraseñas nuevas, aviso a clientes y proveedores

Errores que encarecen un ciberataque

• Reinstalar todo el mismo día. Se pierden las pruebas y, a veces, el propio atacante sigue dentro porque no se sabe por dónde entró.
• Pagar un rescate por libre. No garantiza recuperar los datos y puede dejarte fuera de la cobertura.
• Avisar tarde a la aseguradora. La póliza fija cómo y cuándo comunicar el incidente; cumplirlo es parte de tus obligaciones.
• Olvidar al proveedor. Si el ataque viene de un proveedor tecnológico, tu póliza puede cubrir la parada si lo incluye; anótalo desde el primer momento.
• No guardar facturas ni horas. Lo que no se documenta es difícil de reclamar.

Prepárate hoy para no improvisar mañana

Todo lo anterior sale mucho mejor si está pensado antes. Dedica una mañana a esta lista:

• Apunta en papel, fuera del ordenador, el teléfono de incidentes de tu póliza, el de tu corredor y el de tu informático.
• Comprueba que tienes copias de seguridad desconectadas de la red y que alguna vez has probado a restaurarlas.
• Decide quién coordina un incidente y quién habla con clientes y proveedores.
• Revisa qué cubre tu póliza. Si no sabes qué incluye, te lo explicamos en qué cubre un seguro de ciberriesgo.
• Si hay cambios, como más teletrabajo o dispositivos personales, comunícalos. Lo explicamos en ciberseguridad y teletrabajo.
• Establece un procedimiento para verificar por teléfono cualquier cambio de cuenta bancaria, la vía de entrada del fraude del CEO y las facturas falsas.

Cómo te ayudamos en Retuerto y Asociados

Si eres cliente y sufres un incidente, llámanos: como corredores defendemos tus intereses ante la compañía desde la apertura del parte hasta el cierre del expediente, y te ayudamos a comunicarlo por el canal correcto. Tienes los teléfonos útiles en teléfonos de asistencia y el resto de herramientas en asistencia. Si todavía no tienes un seguro de ciberseguridad, cuéntanos cómo trabaja tu negocio en contacto y te preparamos una comparativa.