5 cosas que debes hacer después de descubrir un ciberataque

Cuando cada minuto cuenta, la preparación y la precisión pueden marcar la diferencia entre la disrupción y el desastre.

3 de noviembre de 2025
•
,
Leer durante 5 minutos

Los defensores de la red están sintiendo la presión. El número de filtraciones de datos Verizon La proporción de incidentes investigados el año pasado como porcentaje del número total de incidentes aumentó en 20 puntos porcentuales en comparación con el año anterior. Esto no tiene por qué ser tan catastrófico como parece, siempre y cuando los equipos sean capaces de responder rápida y decisivamente a las intrusiones. Pero esos primeros minutos y horas son cruciales.

La preparación es clave para una respuesta eficaz a incidentes (IR). Aunque cada organización (y cada incidente) es diferente, no se debe inventar algo en el momento en que las alarmas empiezan a sonar. Cuando todos los miembros del equipo de respuesta a incidentes saben exactamente qué hacer, hay mayores posibilidades de lograr una resolución rápida, satisfactoria y rentable.

La necesidad de velocidad

Una vez que los actores de amenazas irrumpen en su red, el tiempo corre. Ya sea que quieran robar datos confidenciales y exigir un rescate, o implementar ransomware u otras cargas maliciosas, la clave es detenerlos antes de que puedan alcanzar sus joyas de la corona. Esto es cada vez más exigente.

El últimas investigaciones afirma que en 2024, los oponentes pasaron del acceso inicial al movimiento lateral (también conocido como “tiempo de ruptura”) un 22% más rápido que el año anterior. El tiempo medio de erupción fue de 48 minutos, aunque el ataque más rápido registrado fue casi la mitad: sólo 27 minutos. ¿Podrías responder a una brecha de seguridad en menos de media hora?

Según esto, el tiempo medio que tardan las empresas globales en detectar y contener una brecha es de 241 días. IBM. Existe un enorme incentivo financiero para hacer bien la RI. Para las infracciones con un ciclo de vida de menos de 200 días, los costos cayeron alrededor de un 5% a 3,9 millones de dólares este año, mientras que las infracciones de más de 200 días costaron más de 5 millones de dólares, según el informe.

5 pasos a seguir después de una infracción

Ninguna organización está 100% protegida contra violaciones de seguridad. Si experimenta un incidente y sospecha de un acceso no autorizado, actúe de forma rápida pero metódica. Estos cinco pasos pueden servirle de guía durante las primeras 24 a 48 horas. También tenga en cuenta que algunos de estos pasos deben realizarse al mismo tiempo. La atención debe centrarse en la velocidad pero también en la minuciosidad, sin comprometer la precisión o el valor probatorio.

1. Reúna información y comprenda el alcance.

El primer paso es comprender exactamente lo que acaba de suceder y desarrollar una respuesta. Esto significa que debe activar su plan IR prediseñado y notificar al equipo. Este grupo debe incluir partes interesadas de toda la organización, incluidos recursos humanos, relaciones públicas y comunicaciones, así como niveles legales y ejecutivos. Todos ellos juegan un papel importante después del incidente.

A continuación, determine el radio de explosión del ataque:

• ¿Cómo entró su oponente en la red de la empresa?
• ¿Qué sistemas se vieron comprometidos?
• ¿Qué acciones maliciosas han realizado ya los atacantes?

Debe documentar cada paso y recopilar pruebas, no sólo para evaluar el impacto del ataque, sino también para investigaciones forenses y posiblemente con fines legales. Mantener la cadena de custodia garantiza la credibilidad cuando es necesario involucrar a las autoridades o los tribunales.

2. Notificar a terceros relevantes

Una vez que haya determinado lo sucedido, deberá informar a las autoridades correspondientes.

• Autoridades reguladoras: si se ha robado información de identificación personal (PII), comuníquese con las autoridades pertinentes de acuerdo con la protección de datos o las leyes específicas de la industria. En los Estados Unidos, esto puede incluir notificaciones de conformidad con los requisitos de divulgación de seguridad cibernética de la SEC o violaciones de la ley estatal.
• Aseguradora: la mayoría de las pólizas de seguro requieren que se notifique a su aseguradora tan pronto como se produzca una infracción.
• Clientes, socios y empleados: la transparencia genera confianza y ayuda a prevenir la desinformación. Es mejor que no se enteren de lo sucedido a través de las redes sociales o los informativos de la televisión.
• Aplicación de la ley: informar incidentes, en particular ransomware, puede ayudar a identificar campañas más grandes y, en ocasiones, obtener herramientas de descifrado o soporte de inteligencia.
• Expertos externos: Es posible que también sea necesario contactar a especialistas externos legales y de TI, especialmente si no tiene este tipo de recursos dentro de la empresa.

3. Aislar y contener

Mientras se contacta con terceros relevantes, debe trabajar rápidamente para evitar que el ataque se propague. Aísle los sistemas afectados de Internet, pero no apague los dispositivos si destruye pruebas. En otras palabras, el objetivo es limitar el alcance del atacante sin destruir pruebas valiosas.

Todas las copias de seguridad deben estar fuera de línea y separadas para que los atacantes no puedan secuestrarlas. El ransomware no puede dañarlos. Se debe desactivar todo acceso remoto, restablecer las credenciales de VPN y utilizar herramientas de seguridad para bloquear el tráfico malicioso entrante y las conexiones de comando y control.

4. Quitar y restaurar

Una vez que se produce la contención, se produce la transición a la erradicación y la recuperación. Realice análisis forenses para comprender las tácticas, técnicas y procedimientos (TTP) de su atacante, desde la intrusión inicial hasta el movimiento lateral y (si corresponde) el cifrado o la exfiltración de datos. Elimine el malware restante, las puertas traseras, las cuentas fraudulentas y otros signos de compromiso.

Ahora es el momento de recuperarse y restaurar. Las medidas más importantes incluyen:

• Eliminación de malware y cuentas no autorizadas.
• Verificar la integridad de los sistemas y datos críticos.
• Restaure las copias de seguridad limpias (después de asegurarse de que no estén comprometidas).
• Preste mucha atención a las señales de nuevo compromiso o mecanismos de persistencia.

Utilice la fase de recuperación para fortalecer los sistemas, no solo reconstruirlos. Esto puede incluir controles de permisos más estrictos, implementar una autenticación más sólida y hacer cumplir la segmentación de la red. Solicite la ayuda de socios para acelerar la recuperación o considere herramientas como ESET Solución de ransomware para acelerar el proceso.

5. Revisar y mejorar

Cuando el peligro inmediato haya pasado, su trabajo estará lejos de terminar. Trabaje a través de sus compromisos con los reguladores, clientes y otras partes interesadas (por ejemplo, socios y proveedores). Una vez que comprenda el alcance de la infracción, se requerirán avisos actualizados, posiblemente incluyendo una solicitud al regulador. Sus asesores legales y de relaciones públicas deberían tomar la iniciativa en este caso.

La revisión posterior al incidente ayuda a convertir un evento doloroso en un catalizador de la resiliencia. Una vez que se haya calmado el polvo, también es una buena idea descubrir qué sucedió y qué lecciones se pueden aprender para evitar que ocurra un incidente similar en el futuro. Investigue qué salió mal, qué funcionó y dónde hubo retrasos en la detección o comunicación. Actualice su plan de IR, sus guías y sus procedimientos de escalamiento en consecuencia. Sería útil cualquier cambio en el plan de IR o recomendaciones para nuevos controles de seguridad y consejos sobre la capacitación de los empleados.

Una cultura post-incidente sólida trata cada infracción como un ejercicio de capacitación para la siguiente, mejorando la resiliencia y la toma de decisiones bajo estrés.

Más allá de TI

No siempre es posible prevenir una infracción, pero sí minimizar el daño. Si su organización no tiene los recursos para monitorear amenazas las 24 horas del día, los 7 días de la semana, considere un servicio administrado de detección y respuesta (MDR) de un proveedor externo confiable. Pase lo que pase, pruebe su plan de IR y luego pruébelo nuevamente. Porque una respuesta exitosa a incidentes no es sólo una cuestión de TI. Requiere que una variedad de partes interesadas de toda la organización y externamente trabajen juntas en armonía. El tipo de memoria muscular que todos necesitamos normalmente requiere mucha práctica para desarrollarse.