Ayuda inmediata
Si crees que ha pasado algo.
Esta página está escrita para leerse deprisa. Los primeros minutos determinan si después se puede reconstruir lo ocurrido o no.
Qué hacer ahora, por orden.
-
No apagues el equipo.
Al apagarlo se pierde la memoria volátil, que es donde suele estar la prueba de qué se ejecutó y desde dónde. Un equipo apagado a destiempo puede hacer irreconstruible lo ocurrido.
-
Desconéctalo de la red.
Quita el cable de red o apaga el wifi del equipo, no el router. Así se corta la comunicación sin apagar nada y sin afectar al resto de la oficina.
-
No borres, no limpies, no reinstales.
Pasar un antivirus, borrar ficheros sospechosos o restaurar el sistema elimina exactamente aquello que permitiría saber qué ocurrió y qué alcance tuvo. Si más adelante hay que denunciar o reclamar al seguro, esa información ya no existirá.
-
Anota la hora y lo que has visto.
Fecha y hora exactas, qué apareció en pantalla, qué correo se abrió, quién estaba usando el equipo. En papel o en el móvil, no en el equipo afectado. Estas notas valen más de lo que parece.
-
Cambia contraseñas desde otro dispositivo.
Empieza por el correo, que es el que permite recuperar todos los demás. Hazlo desde un móvil u otro ordenador, nunca desde el equipo bajo sospecha.
-
Llama.
Cuanto antes se documente el estado, más se conserva.
A quién llamar.
Línea nacional gratuita · 24 horas
Línea de Ayuda en Ciberseguridad de INCIBE. Atiende a empresas, autónomos y ciudadanía, es gratuita y confidencial, y funciona todos los días del año. Si estás en mitad de un incidente y no sabes por dónde empezar, llama aquí primero.
Control Digital Pymes · horario laboral
Trabajo solo, así que no te voy a prometer una guardia de 24 horas que no puedo sostener. Lo que sí hago: si me escribes o me llamas en horario laboral, en quince minutos te digo si puedo ayudarte o a quién deberías llamar.
Si hay indicios de delito —extorsión, fraude bancario, suplantación—, puedes denunciar ante la Policía Nacional o la Guardia Civil. Cuanto mejor documentado esté el estado inicial, más útil será la denuncia.
Después
Qué hago yo cuando ya ha pasado.
Adquisición y análisis con cadena de custodia documentada: se preserva el estado del equipo o de la cuenta, se calcula el hash de cada evidencia y se trabaja siempre sobre copia verificada, nunca sobre el original.
El resultado es un informe que separa tres cosas que casi nunca se separan: lo que la evidencia prueba, lo que permite inferir razonablemente, y lo que no se puede sostener. Esa última parte es la que protege el informe si alguien lo discute.
Captura forense de incidente: a presupuesto, según alcance. Ver todos los servicios →