6.1Casos prácticos
Lo esencial en 30 segundos
- Encadenar : ante un ataque real, lo que marca la diferencia es la cadena detectar, dudar, verificar, aislar, avisar, restaurar.
- Verificar : toda solicitud urgente o inhabitual se controla por un canal separado, nunca con los datos del mensaje sospechoso.
- Avisar : alertar rápido al equipo de TI y a su referente también protege a los colegas — un incidente dominado es un incidente compartido pronto.
Hilo Karim — un año después : dos incidentes evitados por poco
Karim, empleado de oficina en Argel, repasa sus dos expedientes destacados del año : el viernes a las 17 h en que un correo del « director general » reclamaba una transferencia urgente y confidencial, y el día en que el equipo de un colega mostró una petición de rescate. Los dos casos de abajo repiten su encadenamiento : verificación por canal separado y doble validación por un lado, aislamiento sin apagar y restauración fuera de línea por otro.
Cada caso sigue el desarrollo Contexto → Etapas → Resultado : repítelo con tus situaciones.
Por qué casos prácticos
Los niveles anteriores pusieron los reflejos ; aquí los encadenamos de principio a fin. Ante un ataque real, es la cadena de los buenos gestos — detectar, dudar, verificar, aislar, avisar, restaurar — lo que separa un incidente dominado de una crisis.
Caso 1 — Un correo de « la dirección » pide una transferencia urgente
Contexto: Un viernes a las 17 h, un correo del « director general » pide una transferencia urgente y confidencial a un nuevo proveedor, « no se lo diga a nadie ».
Déroulé :
- Detectar las señales : urgencia + confidencialidad + transferencia = probable fraude al presidente.
- No ceder a la confidencialidad impuesta : es precisamente la señal de alarma.
- Verificar por un canal separado : llamar al director general a su número histórico conocido, nunca al del correo.
- Aplicar la doble validación prevista para toda transferencia inhabitual.
- Avisar al equipo de TI sobre el correo para proteger a los colegas.
- Si una transferencia ya había salido : alertar al banco de inmediato y presentar denuncia.
Resultado: El fraude se frustra con la verificación por canal separado — un procedimiento, no un golpe de suerte.
Caso 2 — Un equipo muestra una petición de rescate
Contexto: Un colega ve sus archivos renombrados y un mensaje que exige un rescate : es un ransomware en curso.
Déroulé :
- Aislar de inmediato : cortar la red (wifi/cable) sin apagar el equipo.
- Alertar sin demora al equipo de TI y a la dirección ; no volver a tocar el equipo.
- No pagar nunca el rescate : ninguna garantía, financiación del delito.
- Prevenir a los colegas si circula un correo trampa.
- Restaurar desde la copia de seguridad fuera de línea — la única que el ransomware no cifró.
- Documentar y denunciar (Cybermalveillance, denuncia) ; analizar el origen para evitar la reincidencia.
Resultado: El incidente queda contenido y la actividad se reanuda gracias a las copias de seguridad — sin pagar un céntimo.
Guion listo para decir — pedir una verificación antes de toda transferencia inhabitual (30 s)
« Recibí una solicitud urgente y confidencial de transferencia. Antes de todo, aplico nuestro procedimiento : verifico por un canal separado con el emisor en su número conocido, y pido la doble validación prevista. Sin confirmación, no pago y aviso al equipo de TI. »
Modelo copiar-pegar — ficha caso repetible
SITUACIÓN que tratar (correo sospechoso, llamada, equipo afectado) : ...
SEÑALES detectadas (urgencia, confidencialidad, solicitud inhabitual) : ...
VERIFICACIÓN por canal separado (quién, qué número conocido, cuándo) : ...
AISLAMIENTO si el equipo está afectado (red cortada, equipo no apagado) : ...
AVISO (TI / referente : nombre, hora, síntomas anotados) : ...
REFERENCIAS de la guía (N0 → N5) : ...
RESULTADO esperado (incidente contenido, colegas protegidos) : ...Pyme / bajo presupuesto
Un solo caso expuesto junto a los equipos : señales en 3 líneas, verificación por canal separado, contacto de TI anotado.
Pyme Argelia
Adaptar la verificación a las realidades locales : números históricos conocidos, horarios y picos de actividad, canales telefónicos habituales.
Remoto / híbrido
Duplicar la trazabilidad a distancia : verificación por llamada al número conocido y aviso escrito inmediato al equipo de TI.
Intercultural
Verificar los usos locales antes de transponer un caso : una formulación de autoridad o un canal inhabitual debe alertar en todas partes.
Reto 48h — aplica mañana
Toma 1 situación real (último correo urgente o duda reciente) y escribe su encadenamiento en 4 tiempos (detectar → verificar → aislar si hace falta → avisar). Anota el contacto de TI al que prevenir.
- Sé encadenar los reflejos en el buen orden sobre un caso real.
- Tengo una ficha caso repetible para mi próxima situación.
- Hice el reto 48h o planifiqué su fecha.
Karim recibe el viernes a las 17 h un correo del « director general » que reclama una transferencia urgente y confidencial. ¿Qué encadenamiento respeta la guía ?