Las primeras 24 horas tras un ciberataque en una pyme

Las primeras 24 horas sirven para tres cosas: frenar el daño, conservar pruebas y averiguar si hay datos personales afectados, porque de eso depende un plazo legal. Si los hay, el RGPD te da, de ser posible, un máximo de 72 horas desde que tienes constancia de la brecha para notificarla a la autoridad de control (art. 33.1). El reloj no espera a que termines de entender qué ha pasado. Este artículo ordena esas horas con lo que recomiendan las guías de INCIBE, añade los pasos propios de cada tipo de ataque, los errores que empeoran un incidente, la denuncia, el seguro y un modelo de aviso a clientes, y termina con una ficha de una página para imprimir y tener a mano antes de necesitarla.

Una aclaración sobre el formato: el reparto en tramos (0-1 h, 1-4 h, 4-24 h) es mío, para que sea manejable. Las guías oficiales no hablan de horas concretas salvo en el plazo de 72 horas del RGPD; dan pasos y prioridades. Cada paso de abajo lleva su fuente.

¿Qué hay que hacer nada más detectar el ataque?

Lo primero es comprobar que es un ataque. INCIBE avisa de que un servidor de ficheros inaccesible, una web caída o un correo que no funciona pueden ser un mantenimiento o una mala configuración. Su recomendación es revisar los sistemas que registran accesos no autorizados, preguntar a quien administra la red si hay tareas de mantenimiento, identificar a grandes rasgos el tipo de incidente y su gravedad, y documentarlo todo. Y añade una regla útil: si no puedes distinguir una cosa de la otra, es preferible actuar como si fuera un incidente.

Hora 0 a 1: parar, avisar y apuntar

Hay una anotación con consecuencias legales que conviene hacer en esta primera hora: la hora en que tuviste constancia de la brecha. El plazo de 72 horas del RGPD se cuenta desde ahí. Escríbela, junto con quién estaba y cómo os enterasteis.

INCIBE fija además las prioridades en este orden: proteger la seguridad de las personas, proteger la información valiosa (datos de clientes, proveedores, plan de negocio) y proteger los equipos y sistemas minimizando el tiempo que estén parados. La propia guía admite que parar procesos tiene un coste, y que a la larga suele ser peor no detener los sistemas afectados.

Los errores que más empeoran un incidente, empezando por pagar el rescate, tienen su propia sección más abajo.

Hora 1 a 4: contener, conservar y entender el alcance

Con el incidente ya aislado, la guía de INCIBE sobre contención pide tres cosas:

1. Determinar la vía de entrada y proteger ese canal para que no te vuelvan a atacar por el mismo sitio.
2. Clonar los discos de los equipos afectados o sustituirlos por otros nuevos. Esas pruebas sirven para saber qué ha hecho el atacante en tu red. En ransomware, además, trabajar sobre el clon deja intacto el original por si en el futuro aparece una herramienta de descifrado.
3. Cambiar las credenciales de acceso de todos los usuarios, desde un equipo que no esté afectado.

Después hay que saber qué se ha tocado. La segunda guía de INCIBE pide determinar el tipo de ataque (ransomware, robo de información, acceso no autorizado), el vector utilizado, si el ataque iba dirigido contra tu empresa o era aleatorio, y, con eso, qué activos pueden estar comprometidos. Una pregunta concreta se vuelve urgente en este tramo: ¿hay datos personales entre lo afectado? Clientes, empleados, pacientes, proveedores autónomos. Si la respuesta es sí o puede ser sí, mira la sección de decisiones legales más abajo.

Si es ransomware, INCIBE explica cómo identificar la variante con dos archivos cifrados o la nota de rescate en No More Ransom, proyecto colaborativo respaldado por Europol, que ofrece herramienta de descifrado cuando existe. Antes de usarla, lee su manual y consulta con tu soporte informático. Si no hay solución, INCIBE recomienda conservar el disco cifrado por si apareciera después.

Si vas a denunciar, la guía de evidencias recomienda hacer dos copias completas antes de cualquier otra acción: una en un medio de una sola escritura (DVD-R o BD-R) y otra en un medio preferiblemente nuevo, que es la que se usará para intentar recuperar datos. Los discos afectados se retiran y se guardan en un lugar seguro, con información sobre cómo y cuándo se recogieron las pruebas. Documentar todo el proceso importa porque la manera de recoger y manejar las pruebas pesa en un juicio, y la guía sugiere contar con un perito forense si piensas denunciar.

Hora 4 a 24: avisar a quien corresponda y empezar a recuperar

Este es el tramo para las comunicaciones y para lo que no puede esperar a las 72 horas.

• Reportar a INCIBE-CERT. Opera las 24 horas, los 7 días de la semana, y en él participan agentes de la Oficina de Coordinación Cibernética del Ministerio del Interior, lo que permite trasladar con agilidad los casos que son delito a las Fuerzas y Cuerpos de Seguridad. Para ransomware pide una descripción detallada con tus datos de contacto, la nota de rescate (o una captura de ella) y dos archivos cifrados que no contengan datos personales, de origen Word o Excel y de menos de un megabyte. El procedimiento está en Reporta tu incidente.
• Valorar la denuncia. A quién, para qué y qué llevar está en la sección sobre la denuncia, más abajo.
• Avisar a tu seguro de ciberriesgo, si lo tienes, y a tu proveedor informático. La ley fija un plazo máximo para comunicar el siniestro: está en la sección sobre el seguro.
• Empezar la recuperación solo cuando esté contenido, con una copia anterior a la infección que sepas limpia (pasos en «Ransomware»).

Según el tipo de ataque

Los pasos anteriores valen para todos los casos. Estos son cinco para los que INCIBE y los fabricantes publican pautas concretas.

Ransomware

Cuenta de correo comprometida o robo de credenciales

Estos son los pasos de los fabricantes para Microsoft 365 y Google Workspace. Los hace quien administra la cuenta, desde un equipo que no esté afectado.

Si alguien ha podido leer ese correo, hay una posible brecha de datos personales y corre el plazo de 72 horas (INCIBE, Fraude email comprometido).

Fraude del CEO o cambio de cuenta bancaria en una factura

INCIBE trata el fraude BEC, en el que el delincuente cambia la cuenta de pago de una factura, como una variante del fraude del CEO, y para los dos el primer paso es llamar al banco de inmediato.

Web hackeada o tienda online

Robo o pérdida de un portátil o un móvil con datos

Después, cierra las sesiones y cambia las contraseñas de las cuentas que el dispositivo tuviera abiertas (correo, nube). Y si llevaba datos personales, es una «pérdida» de datos en el sentido del art. 4.12 del RGPD, así que toca valorar si notificar. Si el disco estaba cifrado, ese es tu argumento: la guía de la AEPD recoge que, en la pérdida o el robo de dispositivos con el almacenamiento cifrado con un algoritmo no comprometido y el acceso protegido por una contraseña fuerte, los riesgos para la confidencialidad pueden considerarse mitigados.

Errores que empeoran el incidente

Sobre apagar el equipo: las guías de INCIBE que cito hablan de desconectarlo de la red y aislarlo, y de hacer copias completas antes de actuar sobre él. En ellas no aparece una indicación de apagarlo. Si dudas entre apagar y dejarlo encendido y desconectado, pregúntalo al soporte técnico o al 017 antes de tocar nada.

Qué queda para las 72 horas y qué decisiones legales salen de ellas

Las 72 horas del RGPD se refieren a la notificación, no a la recuperación. Si no tienes toda la información, notifica por fases: el art. 33.4 dice que se facilitará de manera gradual y sin dilación indebida. Documenta la brecha aunque al final no notifiques (art. 33.5). Y cierra el incidente con el análisis de causa, los accesos restablecidos de forma controlada y por escrito qué medidas evitarán que se repita.

Si el incidente es un ransomware, el recorrido completo de prevención, respuesta y recuperación está en Ransomware: prevención, detección y recuperación. Aquí me centro en las primeras horas.

¿Y si solo han cifrado los datos y tengo copia?

Sigue pudiendo ser una brecha. La guía de la AEPD (versión de junio de 2021) distingue brechas de confidencialidad, integridad y disponibilidad, y define esta última así: los datos han estado inaccesibles, de forma temporal o permanente, para quien legítimamente debe poder tratarlos. Incluye de forma expresa el cifrado por ransomware. Qué cambia respecto al plazo de 72 horas:

• El reloj corre igual. Empieza cuando sabes que el incidente ha afectado a datos personales y cuenta los fines de semana y los festivos.
• La copia no quita la brecha; cambia la valoración del riesgo. Según la guía, si puedes descartar con certeza que se hayan sacado datos y restableces datos y tratamientos sin afectar de forma significativa al servicio, el riesgo puede considerarse mitigado. Si la recuperación se alarga y afecta al servicio, por ejemplo porque no hay respaldo que funcione, el riesgo no está mitigado: se está materializando.
• «Descartar con certeza» es la parte difícil. Si no puedes descartar que además hayan copiado los datos, también está afectada la confidencialidad. La AEPD señala que se suele pensar solo en la disponibilidad hasta recuperar la información, y que se olvida que pueden haberse comprometido cuentas y haberse sacado datos (AEPD, brechas de seguridad y ransomware).
• Decidas lo que decidas, déjalo por escrito. El art. 33.5 obliga a documentar la brecha aunque no se notifique. Si concluyes que no hay que notificar, esa conclusión, con su razonamiento y su fecha, es lo que enseñarás si alguien te lo pregunta.

Denuncia: a quién, para qué y qué llevar

A quién. INCIBE indica que se puede presentar en cualquier comisaría o a través de los portales de la Brigada de Investigación Tecnológica de la Policía Nacional, la Guardia Civil (su Grupo de Delitos Telemáticos o su Cibercomandancia), la Ertzaintza, los Mossos d'Esquadra o la Policía Foral (Cómo denunciar). Reportar a INCIBE-CERT no sustituye a la denuncia: INCIBE-CERT aclara que la denuncia tiene que presentarla el propio interesado ante las Fuerzas y Cuerpos de Seguridad (preguntas frecuentes de INCIBE-CERT).

Para qué sirve. INCIBE la recomienda para que se investigue el origen del delito y para ayudar a prevenir ataques a otras empresas. Para el resto de trámites, mira qué te pide cada uno: algunas pólizas de seguro y algunas entidades bancarias piden copia de la denuncia, y eso lo dice tu contrato, no una guía oficial. INCIBE la recomienda en todas las guías que cito, y en algunas la da como paso que hay que dar (robo de un dispositivo, fraude BEC consumado), pero ninguna la plantea como obligación legal de la empresa.

Qué llevar.

• La cronología que apuntaste en la primera hora, con la hora de constancia.
• Las pruebas conservadas y la nota de quién hizo las copias, cuándo y quién ha tenido acceso a ellas.
• La nota de rescate o el correo fraudulento con sus cabeceras, y los justificantes de cualquier transferencia.

Ciberseguro: avisa dentro del plazo

El art. 16 de la Ley 50/1980, de Contrato de Seguro obliga al tomador, al asegurado o al beneficiario a comunicar el siniestro al asegurador dentro del plazo máximo de siete días desde que lo conoce, salvo que la póliza fije uno más amplio. Si no lo haces, el asegurador puede reclamar los daños y perjuicios causados por la falta de declaración, salvo que se pruebe que el asegurador ya conocía el siniestro por otro medio. El mismo artículo exige darle toda la información sobre las circunstancias y consecuencias, y solo se pierde el derecho a la indemnización si hay dolo o culpa grave. El art. 17 añade el deber de emplear los medios a tu alcance para aminorar las consecuencias.

En la práctica: localiza la póliza en la primera hora, apunta cuándo supiste del incidente y avisa en las primeras 24 horas, aunque no sepas aún el alcance. Qué cubre y qué trámites exige (a quién llamar, si hay que usar su equipo forense) lo dice tu póliza.

Si trabajas para la Administración o puedes estar en el ámbito de NIS2

Aparte del RGPD, puede haber otras obligaciones de aviso.

• ENS. El Real Decreto 311/2022, art. 33.2, obliga a las entidades del sector público a notificar al CCN los incidentes con impacto significativo, según la instrucción técnica de seguridad correspondiente. El art. 33.7 dice que las organizaciones del sector privado que prestan servicios a entidades públicas notifican al INCIBE-CERT, que lo comunica de inmediato al CCN-CERT. Más en qué es el CCN-CERT y cómo notificarle un incidente.
• Operadores de servicios esenciales y proveedores de servicios digitales. El art. 19 del Real Decreto-ley 12/2018 les obliga a notificar, a través de su CSIRT de referencia, los incidentes con efectos perturbadores significativos. Los operadores lo son por designación; los proveedores de servicios digitales (mercados en línea, motores de búsqueda y servicios de computación en nube) lo son por su actividad, y las micro y pequeñas empresas quedan fuera (art. 2.3.b).
• NIS2. La Directiva (UE) 2022/2555 marca, en su art. 23.4, una alerta temprana en 24 horas desde que se tiene constancia de un incidente significativo, una notificación en 72 horas y un informe final como máximo un mes después de esa notificación, para las entidades esenciales e importantes. En España, a fecha de este artículo (6 de noviembre de 2026), no he encontrado ninguna ley publicada que la transponga: el Consejo de Ministros aprobó el 14 de enero de 2025 el anteproyecto de la Ley de Coordinación y Gobernanza de la Ciberseguridad (DSN), y la legislación consolidada del BOE no recoge ninguna norma con ese nombre. Sigo el estado en Ley NIS2 en España: estado de la transposición.

Cuando la ley de transposición esté en vigor, los plazos de NIS2 serán distintos del de 72 horas del RGPD y se acumularán si el incidente afecta a datos personales.

Mensaje a clientes y proveedores

Envíalo por un canal que el atacante no controle (teléfono o una cuenta de correo no afectada), sin admitir culpas ni dar detalles técnicos. Modelo:

Asunto: Aviso sobre nuestras comunicaciones

Estimado/a [nombre]: estamos resolviendo una incidencia en nuestros sistemas informáticos y puede que durante unos días nuestras comunicaciones se retrasen. Hasta nuevo aviso, no atienda ningún correo nuestro que pida un cambio de cuenta bancaria o un pago urgente: confirme antes cualquier dato de pago llamando al [teléfono]. Le escribiremos de nuevo por este mismo canal cuando esté resuelto. Gracias por su paciencia.

Si además hay datos personales de esas personas en riesgo, el aviso del art. 34 del RGPD es otra comunicación, con su propio contenido y en lenguaje claro.

Ficha imprimible: quién llama a quién

Imprímela, rellena los huecos de tu empresa y guárdala fuera de los sistemas que pueden quedar cifrados: en papel, o en un móvil que no dependa de los sistemas atacados. Si el ataque te deja sin correo y sin servidor, una lista que solo existe dentro de ellos no sirve.

Hora de constancia de la brecha (la que anotaste en la primera hora): ____ / ____ / ______ · ____ : ____

Hora límite de 72 h: ____ / ____ / ______ · ____ : ____

Hora en que supiste del siniestro (para el seguro): ____ / ____ / ______ · ____ : ____

Después de las 24 horas: qué revisar en la semana siguiente

Cómo te ayudo a no improvisar estas 24 horas

Casi todo esto se decide mejor antes del ataque que durante: quién coordina, a quién se llama, dónde están las copias y si alguien ha probado a restaurarlas. Yo preparo un plan de respuesta a incidentes a medida (roles, contactos, criterios para decidir si notificar y modelos de comunicación), te acompaño en el ENS o en la ISO 27001 si te los exigen, y puedo actuar como DPO externo para que alguien valore la brecha desde el primer momento. Si quieres que repasemos tu caso con tus copias, tus proveedores y tu ficha delante, reserva una videollamada de 30 minutos. Más sobre mi servicio en Consultoría de ciberseguridad y RGPD.

Preguntas frecuentes

¿Puedo notificar a la AEPD sin tener toda la información?

El RGPD lo prevé: si no es posible facilitar toda la información a la vez, se facilitará de manera gradual y sin dilación indebida (art. 33.4). La notificación debe incluir como mínimo la naturaleza de la violación, el punto de contacto, las posibles consecuencias y las medidas adoptadas o propuestas (art. 33.3).

¿A qué número llamo si mi empresa sufre un ciberataque?

INCIBE ofrece el 017, un servicio gratuito y confidencial que atiende todos los días de 8:00 a 23:00. Para reportar el incidente al equipo de respuesta de INCIBE-CERT, que opera las 24 horas, se usa el formulario o el correo de su página «Reporta tu incidente».

¿Pago el rescate?

INCIBE dice que no: lo más importante en un ransomware es no pagar nunca, porque pagar no garantiza recuperar los datos y fomenta el negocio de los ciberdelincuentes. Antes, mira si existe un descifrador en No More Ransom y si tienes una copia limpia.

¿Tengo que denunciar?

INCIBE la recomienda en todas las guías que cito, y en algunas la da como paso que hay que dar (robo de un dispositivo, fraude BEC consumado), pero ninguna la plantea como obligación legal de la empresa. Comprueba si tu póliza o tu banco la piden.

¿Me cubre el seguro?

Eso lo dice tu póliza. Lo que fija la ley es el plazo: siete días desde que conoces el siniestro, salvo que la póliza dé más (art. 16 de la Ley de Contrato de Seguro).

¿Es brecha si solo cifraron los datos y tengo copia?

Puede serlo. La guía de la AEPD trata como brecha de disponibilidad que los datos hayan estado inaccesibles de forma temporal o permanente, y cita el ransomware como ejemplo. La copia ayuda a mitigar el riesgo, pero para dar por descartada una notificación tienes que poder descartar con certeza que se hayan sacado datos y recuperar sin que el servicio se resienta de forma significativa, y dejarlo documentado.

¿Qué pasa si no notifico a tiempo?

Si pasan las 72 horas, la notificación debe ir acompañada de los motivos del retraso (art. 33.1 RGPD). Además, el art. 83.4 prevé para el incumplimiento de las obligaciones de los arts. 25 a 39, entre ellos el 33, multas de hasta 10 millones de euros o, en una empresa, el 2 % del volumen de negocio anual global, la cuantía que sea mayor. La sanción concreta la gradúa la autoridad en cada caso.

Fuentes

• INCIBE, Tu Ayuda en Ciberseguridad (017).
• INCIBE, Ayuda ransomware.
• INCIBE, Reporta tu incidente.
• INCIBE, Primeros pasos en la respuesta a incidentes.
• INCIBE, Respuesta a incidentes: tomando evidencias y recuperando la actividad.
• Reglamento (UE) 2016/679 (RGPD), artículos 4, 33, 34 y 83, DOUE L 119, 4.5.2016.
• AEPD, Guía para la notificación de brechas de datos personales (versión de junio de 2021).
• AEPD, Brechas de seguridad: protégete ante el ransomware.
• INCIBE, Primeros auxilios digitales: qué hacer tras un ciberataque.
• INCIBE, Fraude email comprometido.
• INCIBE, Protégete frente al defacement y caso real de pasarela de pago.
• INCIBE, Trabajas desde tu dispositivo móvil.
• INCIBE, Fraude del CEO: el engaño que puede vaciar la cuenta de tu pyme (3 de julio de 2025).
• INCIBE, Cómo denunciar y Respuesta a incidentes de INCIBE-CERT.
• INCIBE, Los hábitos de la pyme ciberresiliente y Copias de seguridad: guía de aproximación para el empresario.
• Microsoft Learn, Responder a una cuenta de correo electrónico en peligro en Microsoft 365.
• Google Workspace, Identificar y proteger cuentas comprometidas.
• Ley 50/1980, de 8 de octubre, de Contrato de Seguro, artículos 16 y 17.
• Real Decreto 311/2022, de 3 de mayo (ENS), artículo 33.
• Real Decreto-ley 12/2018, de 7 de septiembre, artículo 19.
• Directiva (UE) 2022/2555 (NIS2), artículo 23.
• Departamento de Seguridad Nacional, Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad.
• No More Ransom.
• AEPD, sede electrónica.

Fuentes consultadas el 6 de noviembre de 2026.