Si hay un incidente en curso, primero contener: detenemos la propagación, preservamos la evidencia, entendemos qué ocurrió y recuperamos las operaciones con un orden definido.
Aislamos lo afectado y cortamos el acceso del atacante sin destruir evidencia.
Reconstruimos qué pasó, por dónde entraron, qué tocaron y qué datos pudieron verse comprometidos.
Cerramos la vía de entrada, limpiamos y devolvemos los servicios en el orden que tu negocio necesita.
Documentamos el incidente y dejamos un plan para que no se repita por la misma vía.
Recorre un incidente ilustrativo, desde un correo hasta los datos, y mira en cada momento qué se puede contener, qué evidencia existe y qué hace el equipo.
Desliza o usa las flechas. Los tiempos son horas y minutos desde el acceso inicial.
00:00 desde el acceso inicial
Qué puede detenerse
Aún no hay una intrusión confirmada. Aislar el mensaje y los equipos que lo abrieron evita el paso siguiente.
Qué evidencia existe
El correo original con sus cabeceras, los registros del servidor de correo y la lista de quién lo recibió.
Qué hace el equipo
Triage: confirmar qué ocurrió, preservar la evidencia desde el primer momento y avisar a quien decide.
00:27 desde el acceso inicial
Qué puede detenerse
Se puede bloquear la cuenta, cerrar las sesiones activas y forzar el cambio de credenciales antes de que se usen en otros sistemas.
Qué evidencia existe
Los registros de inicio de sesión de la cuenta, el origen de los accesos y la actividad en el buzón.
Qué hace el equipo
Contener la cuenta afectada y analizar registros y cuentas para saber si la credencial se usó y desde dónde.
01:40 desde el acceso inicial
Qué puede detenerse
Aislar los equipos implicados y cortar el acceso del atacante a las cuentas con más permisos.
Qué evidencia existe
Los cambios en cuentas y permisos, y los registros de los equipos y servidores por donde se movió.
Qué hace el equipo
Aislar sin destruir evidencia, reconstruir la ruta seguida y empezar a retirar el acceso del atacante.
03:15 desde el acceso inicial
Qué puede detenerse
Cerrar las vías de salida y proteger los datos que todavía no se han tocado.
Qué evidencia existe
Los registros de acceso a archivos y de transferencias, que muestran qué datos pudieron verse comprometidos.
Qué hace el equipo
Informar a la dirección con claridad técnica, erradicar el acceso, recuperar los servicios y preparar el informe posincidente.
Agrupamos experiencias sin identificar a los clientes ni publicar datos sensibles. Los resultados corresponden a los alcances documentados de cada trabajo.
Identidades reservadas
Desconecta de la red los equipos afectados, conserva todo lo que veas (notas de rescate, correos, registros) y contáctanos antes de apagar, formatear o reinstalar. Esas acciones pueden destruir evidencia útil.
Es una decisión de negocio y legal que no tomamos por ti. Te damos los hechos técnicos para decidir: qué se cifró, si hay copias utilizables y cuál es el riesgo de exposición de datos.
Depende del caso: de la variante, de las copias disponibles y de lo que pueda restaurarse. Lo evaluamos desde el primer análisis y te decimos qué es posible. Cyber Recovery tiene su propio servicio.
Investigación técnica con trazabilidad y evidencia para incidentes y casos internos.
Restauración segura de información, sistemas y respaldos tras pérdida, daño o cifrado, enfocada en continuidad del negocio.
Pruebas controladas para validar brechas reales y definir remediación efectiva.
Cuéntanos qué está ocurriendo y cómo contactarte. Un especialista de SoluProTec revisa tu aviso y te contacta por el medio que indiques.
