En resumen: ¿le afecta? Llame. Le ayudamos. Tras un ciberataque a su empresa, como dirección necesita sobre todo un interlocutor que asuma la parte técnica para que usted pueda decidir. Trabajamos en remoto, aseguramos los rastros, cerramos la puerta de entrada, limpiamos y documentamos hasta que el incidente quede cerrado.
No borre nada ahora y no reinstale nada. Pida también a su departamento de TI y a su proveedor de hosting que de momento no cambien nada. Ordenar con prisas destruye pruebas que necesita para el seguro, la protección de datos y la policía. Comunique la emergencia; nos hacemos cargo desde el primer mensaje.
¿Le afecta? Cómo nota la dirección un ataque
Un ciberataque rara vez empieza con un aviso del departamento de TI. Con frecuencia el primer indicio llega de fuera:
- Un cliente o socio comercial comunica un correo extraño, una redirección o un aviso en el navegador.
- El proveedor de hosting bloquea el sitio web o escribe que se ha encontrado código malicioso.
- El sitio web muestra contenido ajeno, spam o se comporta de forma distinta a la habitual.
- Su departamento de TI informa de archivos, cuentas o procesos desconocidos en el servidor web.
- Hay una extorsión, una oferta de datos en la red o un aviso de las autoridades.
También puede haber un ataque sin una señal inequívoca. Desde la publicación de las vulnerabilidades de PHP PHP2Shell, el BSI (Oficina Federal alemana de Seguridad de la Información) advierte con el nivel de alerta 3 / naranja; según Cloudflare y Patchstack se han observado intentos de ataque. Si su empresa está afectada, lo aclaramos con gusto, sin que tenga que demostrar la sospecha. Los indicios técnicos figuran en ¿Ya estoy comprometido?.
Qué hacer ahora mismo
- Designar a una persona responsable de decidir. Una persona puede decidir en nombre de la empresa sobre apagados, reinicios y cambios de contraseña, y está localizable.
- No dejar que se modifique nada. Ni borrar, ni reinstalar, ni restaurar copias de seguridad antes de asegurar los rastros.
- Anotar brevemente la situación. ¿Qué notó quién y cuándo? ¿Qué sistemas y datos podrían estar afectados?
- Informar al delegado de protección de datos. Si hay datos personales afectados, puede estar corriendo un plazo. Lea al respecto la obligación de notificación del RGPD.
- Consultar con la aseguradora. Si hay una póliza de ciberriesgos, esta suele regular cuándo y cómo debe comunicar el siniestro. Lo que importa se describe en Ciberseguro en caso de siniestro.
- Coordinar la comunicación externa. ¿Quién habla con clientes, prensa y empleados? Ayuda la página Comunicación de crisis tras un ataque.
- Contacte ahora. Llame o escriba por WhatsApp.
Lo que debe aclarar la dirección y lo que asumimos nosotros
Un ciberataque es un suceso técnico y empresarial. Las decisiones siguen siendo suyas; el trabajo técnico podemos asumirlo nosotros.
| Cuestión | Quién es responsable |
|---|---|
| ¿Se desconecta temporalmente el sitio web o la tienda? | Usted decide; nosotros mostramos las consecuencias y las alternativas |
| ¿Han salido datos y cuáles? | Nosotros aportamos los hechos técnicos a partir de registros y archivos |
| ¿Existe obligación de notificar? | El delegado de protección de datos o el abogado, con nuestro informe |
| ¿Se presenta denuncia? | Usted decide; nosotros aseguramos antes las pruebas |
| ¿Cómo se informa a los clientes? | Usted, con especialistas en comunicación; nosotros aportamos los hechos |
| ¿Cómo vuelve limpio el servidor? | Nosotros, de acuerdo con su departamento de TI |
Sobre la responsabilidad de la dirección ante vulnerabilidades de seguridad no prestamos asesoramiento jurídico; hay información general en Responsabilidad de la dirección. La decisión sobre una denuncia penal la facilita la página sobre los puntos de contacto centrales para la ciberdelincuencia.
Pensar juntos la actividad del negocio y el incidente
Además de la parte técnica, en las primeras horas urge saber cómo sigue funcionando el negocio. Si pedidos, reservas de citas o encargos dependen del sitio web, la actividad necesita una solución provisional: una página de mantenimiento con número de teléfono, un formulario en un sistema limpio o la gestión por teléfono y correo electrónico. Según informes de los medios, a raíz de la situación de PHP2Shell algunas autoridades retiraron sus sitios de la red como medida preventiva y siguieron localizables por teléfono y por correo electrónico; eso demuestra que desconectar y seguir siendo accesible pueden ir de la mano.
Hable además con su plantilla. Quien conoce el incidente no caerá en los correos de phishing que ahora suelen llegar a continuación y no dará información al exterior que luego parezca contradictoria. Mantenga las declaraciones sobre el incidente breves y demostrables. Las suposiciones no pertenecen a un correo a clientes; lo que sabemos con seguridad, lo que suponemos y lo que sigue abierto lo separamos expresamente en nuestro informe.
¿Cómo ayuda PHP SOS en concreto?
- Evaluar la situación: en una primera conversación aclaramos qué se sabe, qué sistemas pueden estar afectados y qué hay en ellos. Recibe una valoración breve con los siguientes pasos.
- Asegurar y cerrar: se aseguran archivos, base de datos y registros antes de modificar nada. Luego contenemos y cerramos el punto de entrada; en el caso de PHP2Shell, con el parche y el reinicio de todos los procesos.
- Revisar y limpiar: buscamos puertas traseras, accesos ajenos y archivos manipulados y ordenamos. Cuando es necesario, reconstruimos a partir de fuentes de confianza.
- Reforzar e informar: recibe un informe legible para la protección de datos, la aseguradora y los socios comerciales, además de recomendaciones para la etapa posterior.
Si el incidente se extiende más allá de un servidor, pasamos a una respuesta a incidentes estructurada. Si se necesita un esclarecimiento válido ante los tribunales, incorporamos socios especializados en análisis forense informático.
Qué debería enviarnos
- Nombre y datos de contacto de la persona decisoria en la empresa
- una descripción breve: ¿qué ha llamado la atención, cuándo, por parte de quién?
- datos sobre el sistema afectado y sobre el proveedor de hosting o de servicios
- indicaciones sobre un ciberseguro existente y sobre el organismo de protección de datos competente
- acceso al servidor o autorización para hablar directamente con su proveedor de hosting
Por qué PHP SOS
Trabajamos Made in Germany y llevamos más de 25 años especializados en seguridad informática junto con nuestra red de socios, profesionales de la ciberseguridad. Usted tiene un interlocutor en lugar de una cola de espera. Trabajamos en remoto, sin desplazamientos, en toda Europa. Cada paso queda documentado, también para que pueda acreditar ante la aseguradora, la protección de datos y los socios comerciales lo que ha ocurrido. Le decimos con franqueza qué está demostrado y qué es solo probable, y no prometemos nada que nadie pueda cumplir. Lo que puede costar un incidente se describe en la página Partidas de coste de un hackeo.
¿Le afecta? Llame. Le ayudamos.
Cuanto antes se aseguren los rastros, más podrá demostrarse después. Nos hacemos cargo desde el primer mensaje y seguimos hasta que el incidente esté cerrado y documentado. Comunicar la emergencia ahora.
Preguntas frecuentes
Ciberataque a la empresa: ¿qué debe hacer primero la dirección?
Designar a una persona como responsable de decidir e interlocutora, no borrar ni reinstalar nada y conseguir ayuda técnica. En paralelo hay que informar al delegado de protección de datos y, si lo hay, al asegurador de ciberriesgos. La situación técnica la aclaramos con usted.
¿Cuándo hay que notificar un ciberataque?
Si hay datos personales afectados, puede ser necesaria una notificación a la autoridad de protección de datos en un plazo de 72 horas. Si la obligación se aplica lo valoran los delegados de protección de datos o los abogados. Nosotros aportamos los hechos técnicos.
¿Debo presentar una denuncia tras un ciberataque?
Muchas empresas lo hacen, también porque aseguradoras o socios comerciales lo esperan. La policía alemana dispone para ello de puntos de contacto centrales para la ciberdelincuencia. Para que las pruebas sigan siendo utilizables, conviene asegurar antes los rastros.
¿Necesitamos un proveedor de servicios si ya tenemos nuestro propio departamento de TI?
A menudo sí. El departamento de TI interno conoce la operación normal, pero con menos frecuencia el aseguramiento de rastros y la limpieza tras una intrusión. Trabajamos con su equipo de TI y asumimos la parte para la que falta experiencia o tiempo en la empresa.
¿Cuánto cuesta un ciberataque a la empresa?
Depende de la duración, de los datos afectados y de la interrupción de la actividad. Las partidas de costes típicas figuran en nuestra página sobre los costes de un hackeo. No damos una cifra sin conocer su situación.