Es lunes, 8 de la mañana. Nadie puede abrir los archivos del servidor y en varias pantallas aparece el mismo mensaje: tus datos están cifrados, paga para recuperarlos. El teléfono empieza a sonar y todos voltean a ver a la misma persona: a ti. 

Lo que pase en las siguientes horas define si esto será un mal día o una mala temporada para tu negocio. Y casi nunca depende de qué tan grande sea tu empresa, sino de qué tan claro tengas qué hacer. 

Por qué las primeras horas pesan tanto 

Cuando se detecta un ataque, el atacante puede seguir dentro. La evidencia que explica cómo entró es frágil y se pierde con facilidad. Y la presión empuja a tomar decisiones rápidas que después son difíciles de revertir, como pagar, formatear equipos o avisar a todo el mundo sin tener claro qué pasó. 

Una empresa preparada no es la que nunca sufre un incidente. Es la que, cuando ocurre, sabe en qué orden actuar. Este es el orden que recomendamos en OCD Tech México. 

Cómo saber que el reloj ya empezó a correr 

No todos los ataques se anuncian con una nota de rescate. Muchas veces la primera señal es más discreta, y reconocerla a tiempo te da horas de ventaja. Estas son algunas de las que más vemos: 

1. Archivos que cambian de nombre o de extensión y ya no se pueden abrir. 

2. Equipos o servidores que se vuelven muy lentos sin una razón clara. 

3. Clientes o proveedores que reciben correos raros enviados desde cuentas de tu empresa. 

4. Alertas del antivirus que alguien desactivó o que nadie revisó. 

5. Inicios de sesión a horas extrañas o desde otros países. 

6. Movimientos bancarios o cambios de cuenta para pagos que nadie autorizó. 

Si alguien de tu equipo nota algo así, lo más valioso es que lo reporte de inmediato, aunque no esté seguro. Un falso positivo cuesta unos minutos. Un aviso tardío puede costar semanas. 

Hora 0 a 1: contener sin destruir 

Aísla, no apagues 

Desconecta de la red los equipos afectados, ya sea quitando el cable o apagando el wifi, pero no los apagues ni los formatees. La memoria de un equipo encendido guarda información valiosa para entender el ataque, y al reiniciar se pierde. 

No pagues ni contactes al atacante todavía 

Pagar no garantiza recuperar la información ni que el atacante se vaya. Antes de cualquier decisión, necesitas saber qué se comprometió y si tienes respaldos utilizables. 

Cambia las credenciales críticas desde un equipo limpio 

Empieza por las cuentas de administrador, el correo de la dirección, la banca en línea y los servicios en la nube. Hazlo desde un dispositivo que no esté conectado a la red afectada. 

Activa a tu equipo y cambia de canal 

Define quién toma decisiones, quién habla con proveedores y quién con los colaboradores. Coordínense por un canal alterno, como llamadas o un grupo de mensajería personal, porque el correo de la empresa puede estar comprometido. 

Horas 1 a 6: entender qué pasó 

7. Delimita el alcance: qué equipos y sistemas están afectados, qué información contenían y desde cuándo hay actividad sospechosa. 

8. Preserva los registros: bitácoras del firewall, del correo, de los servidores y del antivirus. Son la base de cualquier investigación. 

9. Llama a especialistas en respuesta ante incidentes. Un equipo con experiencia forense puede distinguir lo que se ve de lo que realmente pasó, y evitar que restaures sobre una puerta que sigue abierta. 

10. Si tienes un seguro de riesgos cibernéticos, avisa a la aseguradora cuanto antes. Muchas pólizas piden aviso temprano y que la atención la den proveedores autorizados. 

11. Lleva una bitácora: qué se hizo, quién lo hizo y a qué hora. Te servirá para la aseguradora, para las autoridades y para aprender del incidente. 

Horas 6 a 24: recuperar con cuidado y comunicar 

Restaura solo desde respaldos verificados 

Antes de reconectar sistemas, confirma que la vía de entrada quedó cerrada y que el respaldo que vas a usar no contiene el mismo código malicioso. Restaurar demasiado pronto es una de las causas más comunes de un segundo ataque. 

Habla con tu equipo, sin buscar culpables 

Un mensaje breve y claro para los colaboradores: qué pasó, qué pueden y qué no pueden usar, y a quién reportar cualquier cosa extraña. Si alguien abrió el correo que originó todo, lo que necesitas es que lo diga, no que lo esconda. 

Decide qué decir a clientes y proveedores 

Comunica con hechos confirmados, no con suposiciones. Es mejor un mensaje corto y honesto que uno largo que después tengas que corregir. 

Revisa tus obligaciones legales 

Si el incidente involucra datos personales, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares obliga a informar a las personas afectadas cuando la vulneración afecta de forma significativa sus derechos. Además, puedes presentar una denuncia ante la policía cibernética o la fiscalía correspondiente. Conviene revisar estos pasos con tu asesor legal desde el primer día. 

Los errores que más complican la recuperación 

12. Apagar y formatear todo de inmediato, borrando la evidencia de cómo entró el atacante. 

13. Pagar el rescate antes de saber si hay respaldos o qué se llevaron. 

14. Coordinar la respuesta por el mismo correo que pudo haber sido comprometido. 

15. Buscar al culpable antes que la solución, lo que hace que la gente oculte información clave. 

16. Restaurar respaldos sin revisarlos y volver a infectarse. 

Lo que tiene una empresa preparada antes del ataque 

Ninguna de estas cosas requiere un gran presupuesto, pero todas se tienen que hacer antes del día del incidente: 

1. Un plan de respuesta escrito, de una o dos páginas, que diga quién decide qué y en qué orden. 

2. Una lista de contactos impresa: especialistas en respuesta ante incidentes, aseguradora, asesor legal, proveedor de TI y bancos. 

3. Respaldos que se prueban con regularidad y al menos una copia fuera de la red. 

4. Un simulacro al año, para que el plan no se lea por primera vez durante una crisis. 

El simulacro es lo que más se pospone y lo que más diferencia hace. Basta con reunir a la dirección, al responsable de TI y a quien lleva la comunicación durante dos horas, plantear un escenario realista y recorrer el plan paso a paso. Casi siempre aparecen huecos: un teléfono que nadie tiene, un respaldo que nadie ha probado o una decisión que nadie sabe a quién le toca. Encontrarlos en una sala de juntas es mucho más barato que encontrarlos a mitad de un ataque. 

Que el peor día no te tome por sorpresa 

Un ciberataque siempre es un mal momento. La diferencia está en si tu equipo improvisa o sigue un plan. En OCD Tech México acompañamos a las empresas en los dos momentos: antes, preparando el plan de respuesta y los simulacros, y durante, con un equipo que ayuda a contener, investigar y recuperar la operación. 

Si hoy no tienes claro qué haría tu empresa en la primera hora de un ataque, ese es un buen momento para platicar.