En resumen: Cuando un ataque afecta a más de un solo sitio web, necesita un proveedor de respuesta a incidentes que gestione el incidente de forma estructurada. Nos encargamos del panorama de la situación, la contención, la limpieza y la restauración segura, con roles claros y una documentación sin lagunas. Usted conserva las decisiones; nosotros aportamos la base técnica.
Qué significa la respuesta a incidentes ante ataques a servidores
La respuesta a incidentes es la gestión ordenada de un incidente de seguridad. En lugar de acciones sueltas y precipitadas, el trabajo sigue fases fijas: detectar y clasificar, contener, eliminar, restaurar, hacer el seguimiento. Cada medida se registra con su momento y su justificación.
En los servidores web esto es especialmente importante. Un servidor con aplicaciones PHP suele contener credenciales de bases de datos, proveedores de pago, servidores de correo e interfaces. Quien ha entrado ahí puede seguir avanzando. La situación tras PHP2Shell muestra con qué rapidez puede darse algo así: ejecución de código sin autenticación, más de 22,6 millones de instancias expuestas según Unit 42 y ningún indicador de compromiso (IOC) confirmado y publicado.
Cuándo necesita un proveedor de respuesta a incidentes
- están afectados, o podrían estarlo, varios servidores o aplicaciones
- se sospecha que se han filtrado datos personales o datos de pago
- es posible que un atacante siga activo, por ejemplo por conexiones en curso o cuentas nuevas
- hay una extorsión o un anuncio público del ataque
- la aseguradora, las autoridades o los socios comerciales esperan un proceso documentado
Si hay un único sitio web infectado, suele bastar la ayuda de emergencia ante un sitio web hackeado. La transición a la gestión completa del incidente la hablamos con usted en cuanto se perfile un alcance mayor.
¿Cómo ayuda PHP SOS en concreto?
- Triaje y panorama de la situación: aclaramos qué se ha observado, qué sistemas y datos pueden estar afectados y quién debe participar internamente. El resultado es un primer panorama de la situación por escrito, con las preguntas abiertas.
- Asegurar rastros y contener: se aseguran registros, sistemas de archivos y bases de datos antes de intervenir. Después aislamos los sistemas afectados, bloqueamos los accesos comprometidos e interrumpimos las conexiones identificables del atacante.
- Eliminar: cerramos la puerta de entrada, por ejemplo parcheando a las versiones corregidas de PHP y reiniciando todos los workers, eliminamos puertas traseras y cambiamos los secretos. Para el análisis detallado incorporamos, si es necesario, socios especializados en análisis forense informático.
- Restaurar: los sistemas vuelven a funcionar de forma controlada, a ser posible desde fuentes limpias o en servidores montados de nuevo. Después los vigilamos de forma reforzada por si aparecen nuevas anomalías.
- Seguimiento: recibirá un informe final con cronología, causas, medidas y recomendaciones. Juntos dejamos constancia de lo que debería ir más rápido la próxima vez.
Conserve los registros del servidor y no modifique ningún sistema antes de haberlo asegurado. En el caso de PHP2Shell, el BSI recomienda desconectar temporalmente de la red los servidores web que no puedan parchearse de inmediato.
Roles y comunicación durante el incidente
Un incidente necesita responsabilidades claras. Ha dado buen resultado un pequeño grupo formado por una persona con capacidad de decisión, un contacto técnico por su parte y nosotros como dirección técnica. Las reuniones de situación se celebran a intervalos fijos y los resultados se registran por escrito.
En paralelo hay tareas que no asumimos, pero para las que aportamos hechos: la revisión de una obligación de notificación según el RGPD en 72 horas, la información a la aseguradora, una posible denuncia y la comunicación de crisis con clientes y socios.
Lo que necesitamos de usted y lo que recibe
Necesitamos accesos administrativos a los sistemas afectados, una visión general de la infraestructura y los proveedores, una persona con capacidad de decisión y la disposición a desconectar sistemas temporalmente si es necesario. Son útiles los planes de emergencia existentes, los esquemas de red y las copias de seguridad con fecha.
Recibirá un protocolo continuo del incidente, panoramas de la situación periódicos en un lenguaje comprensible, un informe final para la dirección, los delegados de protección de datos y la aseguradora, y una lista priorizada de mejoras. Cómo prepararse mejor para el próximo incidente se describe en Crear un plan de emergencia informático para servidores web.
Errores típicos en las primeras horas
Muchos incidentes se agravan porque, con los nervios, se dan pasos bienintencionados en el orden equivocado. Estos son los patrones que vemos con frecuencia:
- Reinstalar de inmediato: se borra el servidor y se reinstala antes de haber asegurado los rastros. Después ya no puede aclararse si se han filtrado datos.
- Cambiar contraseñas desde el sistema infectado: si el atacante aún tiene acceso, también ve las contraseñas nuevas.
- Borrar solo el archivo visible: la webshell desaparece, pero la segunda puerta trasera en la tarea cron se queda.
- Parchear sin reiniciar: los archivos PHP nuevos están en el disco, pero los workers antiguos siguen en memoria.
- Nadie lleva un registro: más tarde nadie recuerda quién cambió qué y cuándo. Eso dificulta las conversaciones con la aseguradora y las autoridades.
Un proceso coordinado evita estos errores sin retrasar la contención.
Lo que no prometemos
No prometemos que todo incidente se esclarezca por completo; sin rastros quedan preguntas abiertas, y así lo escribimos también en el informe. No prestamos asesoramiento jurídico ni hacemos afirmaciones sobre la responsabilidad o la cobertura del seguro. Nuestro objetivo es un final claro: trabajamos en el incidente hasta que esté cerrado y documentado.
Preguntas frecuentes
¿Cuál es la diferencia entre la respuesta a incidentes y el análisis forense informático?
La respuesta a incidentes tiene como objetivo contener el incidente y restablecer el funcionamiento de forma segura. El análisis forense informático aclara con detalle y con valor probatorio qué ha ocurrido. En la práctica ambos se complementan: el análisis forense suele asegurar rastros en paralelo.
¿Cuándo debo contratar a un proveedor de respuesta a incidentes?
En cuanto sospeche que un atacante ha tenido acceso a sistemas y no pueda valorar con seguridad el alcance. Cuanto antes empiece la conservación de rastros, más se podrá demostrar después.
¿Quién decide durante el incidente?
Las decisiones las toma usted, por ejemplo sobre desconexiones, comunicación o notificaciones. Nosotros preparamos la base técnica, mostramos las opciones con sus consecuencias y ejecutamos las decisiones.
¿Tengo que avisar a la policía?
En muchos casos es conveniente presentar una denuncia, y para algunos seguros es relevante. Las Zentrale Ansprechstellen Cybercrime (puntos de contacto centrales contra la ciberdelincuencia) de la policía alemana son las competentes. Si presenta una denuncia y cuándo, lo decide con su abogado.