Me han hackeado: qué hacer en las primeras 24 horas

Por Kike Gandia · Co-Fundador y CEO, OSCP

Si estás leyendo esto con un incidente en curso: no apagues los equipos afectados, desconéctalos de la red, no borres ni reinstales nada y apunta la hora de todo lo que hagas. Después sigue esta guía en orden. Está pensada para empresas, no para particulares, y separa lo que hay que hacer en la primera hora, lo que hay que hacer en el primer día y a quién hay que avisar, con sus plazos legales. Si necesitas ayuda gratuita de inmediato, el 017 de INCIBE atiende a empresas y ciudadanos.

Primera hora: contener sin destruir pruebas

Aísla, no apagues. Desconecta de la red los equipos afectados (cable y wifi), pero déjalos encendidos: la memoria guarda pruebas que se pierden al apagar. Si el ataque se está extendiendo, aísla el segmento de red entero.
No borres, no reinstales, no restaures todavía. Restaurar sobre un sistema comprometido reinfecta, y borrar destruye lo que necesitas para saber cómo entraron.
Corta los accesos remotos que no sean imprescindibles: VPN, escritorio remoto, accesos de proveedores.
Cambia las credenciales críticas desde un equipo limpio: administradores del dominio, correo, nube, banca. Activa el doble factor donde falte.
Abre un registro del incidente: hora, quién detecta, qué se ve, qué se hace y quién lo decide. Lo vas a necesitar para las notificaciones y para el seguro.
Convoca a quien decide: dirección, responsable técnico y, si lo tienes, el equipo externo de seguridad. Una persona coordina; el resto no actúa por libre.

Primeras 24 horas: entender el alcance

Determina qué se ha visto afectado: qué sistemas, qué cuentas y, sobre todo, si hay datos personales o de clientes implicados. De eso dependen las notificaciones.
Conserva las pruebas: registros de los servidores, del cortafuegos, del correo y de la nube; copias de la memoria y del disco de los equipos clave si es posible. Los registros de la nube y del correo suelen borrarse solos a los pocos días.
Avisa a tu aseguradora si tienes ciberseguro: muchas pólizas exigen comunicarlo enseguida y tienen proveedores de respuesta concertados.
Comprueba tus copias de seguridad antes de usarlas: que estén fuera del alcance del atacante y que no estén cifradas o manipuladas.
Si es ransomware, no pagues sin asesoramiento: pagar no garantiza recuperar los datos ni que no los publiquen, y puede tener implicaciones legales.
Prepara la comunicación: a empleados (qué no deben hacer), a clientes si les afecta y a los organismos que corresponda, con mensajes coherentes entre sí.

A quién avisar y en qué plazo

Situación	A quién	Plazo
Brecha de datos personales con riesgo para las personas	Agencia Española de Protección de Datos (RGPD, art. 33)	72 horas desde que tienes constancia
Brecha con alto riesgo para los afectados	Las personas afectadas (RGPD, art. 34)	Sin dilación indebida
Cualquier empresa: ayuda y orientación técnica	INCIBE: teléfono 017 (de 8:00 a 23:00, todos los días) y, para incidentes, INCIBE-CERT en incidencias@incibe-cert.es	En cuanto puedas
Delito (extorsión, fraude, robo de datos)	Denuncia ante Policía Nacional o Guardia Civil	Cuanto antes, para no perder rastro
Entidad financiera: incidente TIC grave	Su autoridad supervisora (DORA)	Notificación inicial en 4 horas desde que se clasifica como grave, y no más de 24 desde que se detecta
Fabricante: vulnerabilidad explotada o incidente grave en su producto	Plataforma única de ENISA (Cyber Resilience Act, art. 14)	Aviso temprano en 24 horas
Operador de servicios esenciales o proveedor digital (régimen NIS1)	Su CSIRT de referencia (INCIBE-CERT o CCN-CERT)	Sin dilación
Sector público	CCN-CERT	Sin dilación

Si notificas a tiempo con lo que sabes y amplías después, cumples: el RGPD permite hacerlo por fases (art. 33.4). Lo que agrava la situación es callar, retrasar o maquillar.

Un detalle práctico: la notificación a la AEPD se hace por su sede electrónica y exige certificado electrónico. Tenedlo localizado antes de necesitarlo; las 72 horas cuentan también en fin de semana.

Lo que no hay que hacer

Apagar los equipos o reinstalarlos antes de recoger pruebas.
Usar el correo o el chat de la empresa comprometida para coordinar la respuesta: el atacante puede estar leyéndolo.
Negociar con el atacante por tu cuenta.
Restaurar copias sin comprobarlas.
Comunicar cosas distintas a clientes, empleados y autoridades.
Dar el incidente por cerrado sin saber cómo entraron: si no se cierra la puerta, vuelven.

Después: que no vuelva a pasar

Cerrado el incidente, toca entender la causa raíz y corregirla: casi siempre es una combinación de pocos descuidos —una cuenta sin doble factor, un equipo sin parchear, una copia que no se probó, alertas que nadie miraba—. Un pentest posterior comprueba que la puerta está cerrada de verdad, y la seguridad gestionada pone a alguien a vigilar las alertas para que el próximo intento se detecte a tiempo. Si quieres ver cómo se encadenan esos descuidos, recorre nuestro [simulador de una brecha](/blog/asi-cae-una-empresa-simulador/).

FAQ

¿Debo apagar el ordenador si creo que me han hackeado?

No. Desconéctalo de la red (cable y wifi) pero déjalo encendido: la memoria contiene pruebas que se pierden al apagar y que ayudan a saber cómo entró el atacante y qué hizo.

¿Tengo que avisar a la AEPD si me hackean?

Si hay una brecha de datos personales que suponga un riesgo para las personas, sí: en 72 horas desde que tienes constancia (RGPD, art. 33). Puedes notificar con lo que sepas y ampliar después. Si el riesgo para los afectados es alto, también hay que avisarles a ellos.

¿Dónde puedo pedir ayuda gratuita?

INCIBE atiende a empresas y ciudadanos en el teléfono 017, gratuito y confidencial, y su equipo INCIBE-CERT da soporte técnico ante incidentes. Para denunciar un delito, Policía Nacional o Guardia Civil.

¿Debo pagar el rescate de un ransomware?

La recomendación general de las autoridades es no pagar: no garantiza recuperar los datos ni que no se publiquen, financia nuevos ataques y puede tener implicaciones legales. Antes de tomar cualquier decisión, busca asesoramiento técnico y legal.

¿Puedo restaurar las copias de seguridad enseguida?

Solo después de comprobar que las copias no están comprometidas y de haber cerrado la vía de entrada del atacante. Restaurar sobre sistemas todavía comprometidos o con copias manipuladas suele acabar en una segunda infección.

¿Cómo sé por dónde entraron?

Con los registros de los sistemas, del correo, de la nube y del cortafuegos, y con el análisis de los equipos afectados. Por eso es tan importante no borrar ni reinstalar nada en las primeras horas: sin esas pruebas, la causa raíz se queda en una suposición.