5.1Reaccionar ante un incidente (cuenta hackeada, ransomware)
Lo esencial en 30 segundos
- Aislar sin apagar : red cortada (Wi-Fi off, cable desconectado), máquina encendida — apagar destruye las pruebas.
- Avisar sin demora, no tocar más : IT/RSSI primero, nunca se manipula solo un incidente.
- No pagar nunca : ninguna garantía, financiación del crimen — la salida es la copia de seguridad sin conexión (3.1).
Mini-caso hilado — Karim y la mañana en que todo se bloquea
Karim, empleado de oficina en Argel, abre una mañana un adjunto « factura » : su pantalla se bloquea, los archivos se renombran con extensiones extrañas, un mensaje reclama un rescate. En lugar de apagar o pagar, corta el Wi-Fi, deja la máquina encendida, llama al referente IT y anota la hora, los síntomas y su último clic. Esta sección cuenta sus 10 primeros minutos — y el hilo continúa en 5.2, 5.3, 5.4 y 5.5.
Este mismo caso vuelve en el curso, el esquema, el script y el reto 48h — y continúa en 5.2, 5.3, 5.4 y 5.5.
1. Los primeros minutos decisivos
Cuenta hackeada, equipo con comportamiento anormal, ransomware, fraude : los primeros minutos deciden la magnitud de los daños. Una buena reacción limita ; una mala (apagar, pagar, manipular) los multiplica. Karim ganó porque su ficha de reflejos estaba lista antes del día D.
Regla de oro : en situación de estrés, no se improvisa, se ejecuta la ficha. La duda no cuesta nada (un falso positivo se verifica) ; el silencio o la manipulación cuestan caro.
2. Aislar sin apagar, avisar, no tocar más
Aislar : cortar la red del equipo (Wi-Fi off, cable desconectado) para frenar la propagación — pero no apagar nada (la memoria RAM contiene pruebas útiles para el análisis). Avisar sin demora al IT/RSSI y a la jerarquía ; no tocar más la máquina. Karim aísla, llama y luego se aparta del teclado.
Caso de la cuenta hackeada : contraseña cambiada desde otro dispositivo sano + desconexión de todas las sesiones + verificación de las reglas de reenvío del correo (el atacante suele añadir ahí una redirección discreta).
3. No pagar nunca, preservar las pruebas
Nunca se paga el rescate : ninguna garantía de recuperación, financiación del crimen, señal de « buen pagador » que invita al reataque. La verdadera salida es la copia de seguridad sin conexión (3.1) y los profesionales. Karim se niega a pagar pese a la presión de la cuenta atrás mostrada.
Preservar las pruebas : capturas de pantalla, correo de origen conservado, horarios anotados. Este expediente servirá para el análisis, la denuncia y el seguro. Avisar también a los colegas si un mensaje trampa sigue circulando.
🔎 Ejemplo concreto — Los 10 primeros minutos de Karim
Lo que hace Karim, minuto a minuto.
Minuto 0-2 : pantalla bloqueada + archivos renombrados -> Wi-Fi OFF, cable desconectado, máquina DEJADA encendida.
Minuto 2-5 : llamada al referente IT (contacto anotado de antemano) : « equipo sospechoso, aislado, no toco más ».
Minuto 5-10 : anota hora + síntomas + último clic, captura el mensaje de rescate, avisa a 2 colegas expuestos.
-> Cuenta : contraseña cambiada DESDE el teléfono + sesiones desconectadas + reglas de reenvío verificadas.Lectura : cada minuto tiene su gesto, ninguna manipulación.
Lección : la ficha se escribe antes del incidente, no durante.
Vocabulario de la sección
- Incidente de seguridad
- Todo evento que compromete (o parece comprometer) la seguridad : cuenta hackeada, equipo anormal, ransomware, fraude.
Ejemplo sencillo: Karim ve sus archivos renombrados con extensiones extrañas : lo trata como un incidente.
Lo que no es: « es solo un fallo, espero a que pase ».
Reflejo: ante la duda, aislar y avisar — un falso positivo no cuesta nada.
- Aislar
- Cortar la red de la máquina afectada SIN apagarla : frenar la propagación preservando las pruebas.
Ejemplo sencillo: Karim corta el Wi-Fi y desconecta el cable, pantalla dejada encendida.
Lo que no es: apagar el equipo o seguir trabajando en él.
Reflejo: red cortada primero, preguntas después.
- No apagar
- Apagar destruye las pruebas en la memoria RAM útiles para el análisis.
Ejemplo sencillo: La máquina de Karim permanece encendida hasta la llegada del IT.
Lo que no es: pulsar el botón de encendido « para frenar el virus ».
Reflejo: salvo indicación del IT, nunca se apaga un equipo sospechoso.
- No pagar nunca
- El rescate no garantiza nada, financia el crimen y atrae el reataque.
Ejemplo sencillo: Karim se niega a pagar pese a la cuenta atrás mostrada.
Lo que no es: pagar rápido « para recuperar los archivos vitales ».
Reflejo: rescate = copias de seguridad (3.1) + profesionales, nunca pago.
- Preservar las pruebas
- Capturas, correo de origen, horarios : el expediente del análisis, de la denuncia y del seguro.
Ejemplo sencillo: Karim fotografía el mensaje y guarda el correo trampa de origen.
Lo que no es: eliminar el correo trampa « para limpiar ».
Reflejo: anotar hora, síntomas, último clic — de inmediato.
En la práctica — Su ficha de reflejos personal (a preparar ANTES)
- Redacte su ficha en 5 líneas : 1) Aíslo (red cortada, máquina encendida) ; 2) Aviso [contacto IT : nombre/número] ; 3) No toco más la máquina ; 4) Anoto lo que he visto (hora, síntomas, último clic) ; 5) Aviso a mis colegas si un mensaje trampa circula.
- Rellene el contacto real de su IT/referente — ahora, no el día D.
- Caso de la cuenta hackeada (personal o profesional accesible) : cambio de contraseña inmediato DESDE OTRO DISPOSITIVO + desconexión de todas las sesiones + verificación de las reglas de reenvío del correo.
- Imprima o guarde la ficha donde la encontrará bajo estrés — ese es todo su interés.
Script listo para decir — avisar al IT en 1 min
« Buenos días, soy Karim : equipo sospechoso, lo he aislado de la red sin apagarlo y no toco nada más. Síntomas : pantalla bloqueada y archivos renombrados desde [hora], tras abrir un adjunto [asunto del correo]. Les envío las capturas y sigo localizable en mi teléfono. »
A decir por teléfono al referente IT/RSSI, y luego enviar capturas + correo de origen sin reenviarlo a otros colegas.
Modelo copiar-pegar — ficha de reflejos incidente
INCIDENTE — FICHA DE REFLEJOS (a completar ANTES)
1) AÍSLO : Wi-Fi OFF + cable desconectado, máquina DEJADA encendida.
2) AVISO : IT/RSSI [nombre + número] : _______________ | Jerarquía : _______________
3) NO TOCO MÁS la máquina.
4) ANOTO : hora ___ | síntomas ___ | último clic ___ | capturas : SÍ/NO
5) AVISO a los colegas expuestos (sin reenviar la trampa).
CUENTA HACKEADA : contraseña cambiada DESDE otro dispositivo + sesiones desconectadas + reglas de reenvío verificadas.Solo / oficina pequeña
Karim solo sin IT interno : ficha con contacto del proveedor + jerarquía, equipo aislado y apartado a la espera de la intervención.
TPE / presupuesto reducido
Ficha expuesta junto a cada equipo + contacto IT escrito con rotulador : ninguna herramienta costosa, solo el número localizable y las 5 líneas.
Pyme Argelia
Karim anota el referente interno y la jerarquía a avisar en Argel : ningún número de urgencia inventado — el circuito interno prima, las plataformas oficiales después (5.2).
Equipo que empieza
Cada miembro rellena su ficha y luego prueba en blanco de 5 minutos : quién llama a quién, con qué palabras, sin tocar la máquina.
✓ Buenas prácticas
- Aísle el equipo de la red sin apagarlo.
- Prepare su ficha de reflejos (contacto IT real) ANTES del incidente.
- Para una cuenta hackeada, cambie la contraseña desde un dispositivo sano.
✗ Errores frecuentes
- Apagar la máquina (destrucción de las pruebas).
- Pagar el rescate (ninguna garantía, financiación del crimen).
- Manipular solo en lugar de avisar al RSSI/IT.
Puntos clave
- Aislar sin apagar, avisar de inmediato, no tocar más : el tríptico de los primeros minutos.
- Nunca se paga el rescate : las copias de seguridad (3.1) y los profesionales son la vía de salida.
- Una cuenta hackeada : contraseña cambiada desde un dispositivo sano + sesiones desconectadas + reglas de reenvío verificadas.
- La ficha de reflejos se prepara antes del incidente — en situación de estrés, ya no se reflexiona, se ejecuta.
Reto 48h — aplica mañana
Redacte su ficha de reflejos en 5 líneas con el verdadero contacto IT/RSSI y expóngala junto a su equipo : ¿es capaz de avisar en menos de 5 minutos ?
- Puedo citar el tríptico : aislar, avisar, no tocar más.
- Mi ficha de reflejos está escrita con el contacto IT real.
- Sé por qué no se apaga y no se paga nunca.
Preguntas frecuentes
¿Cómo saber si mi equipo está comprometido ?
Señales clásicas : lentitud repentina, ventanas/redirecciones anormales, contraseñas rechazadas, correos enviados sin su conocimiento, archivos renombrados con extensiones extrañas (ransomware). Ante la duda : aislar y avisar — un falso positivo no cuesta nada.
¿Por qué no pagar, si los datos son vitales ?
Además de la ética : una víctima de cada varias nunca recupera todo, el pago invita al reataque, y hay sanciones contra ciertos pagos. El verdadero seguro de vida es la copia de seguridad sin conexión del 3.1 — es ahora cuando se pone en marcha.
El equipo de Karim muestra un mensaje de rescate. ¿Primer reflejo ?