Cómo saber si tu empresa fue hackeada: señales y primeros pasos

Casi ningún ataque exitoso empieza con una pantalla roja y un mensaje de rescate. Lo habitual es lo contrario: alguien entra, se queda semanas y solo se nota por detalles pequeños que parecen fallos de informática. Una regla de correo que reenvía mensajes, una cuenta administrativa que nadie creó, un cliente que recibe una factura falsa desde tu dominio. Este artículo te ayuda a reconocer esas señales y te dice qué hacer en las primeras horas, que es cuando más se gana o se pierde.

Una advertencia honesta antes de empezar: ninguna señal por sí sola prueba que te hayan hackeado. Un equipo lento puede ser un disco lleno. Pero varias señales juntas, o una sola de las graves, justifican actuar como si fuera real hasta demostrar lo contrario. Descartar una falsa alarma cuesta una tarde; ignorar una verdadera cuesta meses.

Las señales que más se repiten

En el correo y las cuentas

• Correos de restablecimiento de contraseña que nadie pidió. Alguien está probando entrar a tus servicios.
• Solicitudes de aprobación de autenticación multifactor que el usuario no inició. Si una persona recibe varias seguidas, el atacante ya tiene su contraseña y está esperando que ceda por cansancio.
• Reglas en el buzón que nadie configuró: reenvío automático a una dirección externa, o reglas que mueven mensajes a carpetas poco visibles (RSS, archivo, papelera). Es una técnica clásica en el fraude del CEO, porque permite leer conversaciones sin ser visto.
• Mensajes en la carpeta de enviados que el usuario no escribió, o clientes y proveedores que reciben correos extraños desde tu dominio.
• Inicios de sesión desde países, horarios o dispositivos inusuales. Una persona que trabaja en San José no debería iniciar sesión a las 3 a. m. desde otro continente.
• Aplicaciones a las que alguien dio permiso sobre el correo o los archivos y que nadie reconoce.

En los equipos y servidores

• El antivirus o el firewall aparece desactivado sin que TI lo haya hecho.
• Cuentas nuevas, sobre todo con privilegios de administrador, o usuarios que reaparecen después de eliminados.
• Tareas programadas o servicios desconocidos que se ejecutan al iniciar o a horas fijas.
• Archivos con extensiones raras, notas de texto en las carpetas o documentos que ya no abren. Es la señal tardía del ransomware: cuando aparece, el atacante lleva tiempo dentro.
• Consumo anormal de procesador, disco o red, sobre todo fuera del horario laboral.

En la red y en los datos

• Grandes volúmenes de datos saliendo hacia destinos desconocidos, especialmente de noche. Antes de cifrar, muchos grupos copian la información para extorsionar con publicarla.
• Cambios inesperados en los registros DNS del dominio o en la configuración del firewall.
• Un tercero te avisa. Un banco, un proveedor, un cliente o un investigador que dice haber visto tus datos o tu dominio mal usado. Tómalo en serio: con frecuencia es la primera alerta real.

Tabla de triaje: qué mirar y qué no hacer

Qué hacer en las primeras horas

El orden importa. Estos pasos están pensados para contener sin destruir evidencia:

1. Aísla, no apagues. Desconecta de la red el equipo sospechoso (cable o wifi), pero déjalo encendido. Apagarlo borra la memoria, que a menudo contiene la prueba de cómo entró el atacante.
2. Cambia credenciales desde un equipo limpio, no desde el que sospechas comprometido, o el atacante verá la contraseña nueva. Empieza por las cuentas administrativas y las de correo.
3. Cierra las sesiones abiertas y revoca los permisos de aplicaciones desconocidas. Cambiar la contraseña no expulsa a quien ya tiene una sesión activa.
4. Activa la autenticación multifactor donde no la haya y revisa las reglas de reenvío de todos los buzones, no solo del afectado.
5. Preserva los registros. Exporta los registros de correo, de inicio de sesión y del firewall antes de que se roten. Anota con hora cada cosa que veas y cada paso que des.
6. Revisa tus obligaciones de notificar. Según el tipo de dato y tus contratos con clientes, puede haber plazos para avisar a afectados, a autoridades o a aseguradoras. Consúltalo con tu asesor legal desde el primer día; no esperes a tener el informe final.
7. Llama a un especialista antes de «limpiar». Quitar el síntoma sin encontrar la puerta de entrada garantiza que vuelvan.

Errores que empeoran el incidente

• Intentar arreglarlo todo de inmediato. Reinstalar y restaurar sin investigar elimina la evidencia y deja el acceso del atacante intacto.
• Avisar por el mismo canal comprometido. Si el correo está intervenido, coordina por teléfono o por un canal alterno.
• Culpar a quien hizo clic. Si la persona teme las consecuencias, la próxima vez tardará más en avisar, y en un incidente cada hora cuenta.
• Dar por terminado el incidente al cambiar contraseñas. Si no sabes cómo entraron, lo más probable es que sigan dentro.

Cómo reducir la probabilidad de no enterarte

Lo que convierte semanas de intrusión silenciosa en un hallazgo en horas es tener visibilidad antes de necesitarla: registros de inicio de sesión activados y conservados el tiempo suficiente, alertas ante reglas de reenvío nuevas o administradores nuevos, autenticación multifactor en todo el correo y un canal claro para que cualquier empleado reporte algo raro sin miedo. Las configuraciones críticas de Microsoft 365 cubren buena parte de esto, y el artículo sobre phishing y fraude del CEO explica por qué las reglas de reenvío son tan frecuentes.

Si confirmas que hubo un ataque, la guía de los cinco pasos críticos tras una brecha de datos sigue desde donde termina este artículo, y un plan de respuesta a incidentes escrito antes de la crisis evita improvisar. Si prefieres no hacerlo solo, nuestro servicio de respuesta a incidentes existe para acompañarte desde la contención hasta la recuperación.