Qué ocurre realmente cuando una empresa sufre una brecha de seguridad

Una brecha de seguridad casi nunca empieza con una pantalla roja y una calavera. Empieza con un cliente que llama porque ha recibido un correo raro «de vuestra parte», con un compañero que no puede abrir sus archivos o con un aviso de Microsoft que nadie ha leído. Desde ese momento empieza a correr un reloj, y lo que se haga en las primeras horas decide si el incidente se queda en un susto o se convierte en un problema legal, económico y reputacional.

En el área tecnológica de DAXIA gestionamos estos incidentes junto al equipo de protección de datos. Por confidencialidad no voy a contar ningún caso concreto, pero sí cómo es, de verdad, el proceso por dentro.

Un caso típico: una cuenta de correo comprometida

El incidente más habitual que vemos en pymes es este: alguien de la empresa introduce su usuario y contraseña en una página falsa que imita a Microsoft 365 o a Google. El atacante entra en el buzón, se queda unos días observando y, cuando le interesa, lo usa para enviar correos de phishing a todos los contactos o para cambiar el número de cuenta de una factura.

Para la empresa el problema es doble. Hay un problema técnico (alguien ajeno ha tenido acceso a sus sistemas) y un problema de protección de datos: ese buzón contiene nombres, correos, teléfonos, facturas y conversaciones de clientes, proveedores y empleados. Eso, según el RGPD, es una brecha de datos personales.

Las primeras horas: contener antes de investigar

Lo primero no es averiguar qué ha pasado, sino cortar el acceso del atacante. En el caso del correo, eso significa:

• Cambiar la contraseña desde un equipo que no esté comprometido y cerrar todas las sesiones abiertas de la cuenta. Cambiar la contraseña no basta si el atacante mantiene la sesión iniciada.
• Activar el doble factor de autenticación si no estaba activo.
• Revisar y eliminar las reglas de reenvío y de buzón que haya creado el atacante. Es su truco favorito: una regla que reenvía copia de todo a una dirección externa o que mueve las respuestas a una carpeta oculta para que la víctima no se entere.
• Revisar las aplicaciones con acceso a la cuenta y revocar las que no se reconozcan.
• Si el atacante ha enviado correos masivos, avisar cuanto antes a los destinatarios para que no abran ni respondan.

Si el incidente es un ransomware, la contención es aislar los equipos afectados de la red (desconectar el cable o la wifi) para que el cifrado no se extienda. Y una recomendación que repiten tanto la AEPD como INCIBE: no pagar el rescate. No garantiza recuperar los datos, ni que no se publiquen, ni que no vuelvan.

El análisis: qué ha pasado, desde cuándo y qué se ha visto

Una vez contenido, toca investigar. Aquí el error más común es borrar pruebas sin querer: formatear el equipo, vaciar la papelera o borrar los correos enviados por el atacante «para que no se vean». Antes de limpiar hay que conservar las evidencias.

Las preguntas que hay que responder son siempre las mismas:

• ¿Por dónde entró? Un enlace de phishing, una contraseña reutilizada, un equipo sin actualizar, un acceso remoto expuesto…
• ¿Desde cuándo? Los registros de acceso (en Microsoft 365, el registro de auditoría y los inicios de sesión) dicen desde qué IP, país y dispositivo se entró y cuándo.
• ¿Qué ha hecho? Correos enviados, leídos, descargados o reenviados; ficheros abiertos; cambios en la configuración.
• ¿Qué datos personales se han visto afectados y de cuántas personas? No es lo mismo un buzón con correos comerciales que uno con nóminas, datos de salud o DNI escaneados.

De la calidad de este análisis depende todo lo que viene después, porque es la base para decidir si hay que notificar y a quién.

La parte legal: 72 horas y una decisión que hay que documentar

El RGPD establece en su artículo 33 que el responsable del tratamiento debe notificar la brecha a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que tiene constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas.

Tres matices que en la práctica marcan la diferencia:

• Las 72 horas cuentan desde que se tiene constancia, no desde que se termina la investigación. Si no se tiene toda la información, se puede notificar por fases y completar después.
• Si el riesgo es alto (por ejemplo, datos bancarios, de salud o de menores, o un riesgo real de fraude o suplantación), el artículo 34 obliga además a comunicarlo a las personas afectadas sin dilación indebida, con lenguaje claro y diciéndoles qué pueden hacer para protegerse.
• Aunque se decida no notificar, hay que documentarlo. El artículo 33.5 exige registrar todas las brechas: qué ha pasado, sus efectos y las medidas adoptadas. Ese registro es lo primero que pedirá la AEPD si el caso llega a sus manos por otra vía.

Y si la empresa presta servicios a otra y los datos eran de esa otra empresa (es decir, actúa como encargado del tratamiento), su obligación es avisar a su cliente sin dilación indebida, para que este pueda notificar.

Un dato que tranquiliza a muchos clientes: notificar una brecha no significa una sanción automática. Lo que la AEPD valora es la diligencia: que la empresa haya detectado, contenido, evaluado el riesgo, documentado y corregido. Lo que sí suele acabar mal es ocultarla o notificarla tarde.

La corrección: cerrar la puerta por la que entraron

Contener es parar el ataque; corregir es evitar que se repita. Según cómo haya entrado el atacante, las medidas habituales son:

• Doble factor de autenticación obligatorio en todas las cuentas, no solo en la afectada.
• Revisión de las políticas de contraseñas y de los accesos de antiguos empleados.
• Filtrado de correo y protección frente a suplantación (SPF, DKIM y DMARC bien configurados).
• Actualización de equipos y servidores, y cierre de servicios expuestos innecesariamente.
• Copias de seguridad separadas y probadas: la copia que nunca se ha intentado restaurar no es una copia.

Después del incidente: que sirva para algo

Cuando todo ha pasado, queda la parte que más se olvida: aprender. Hay que actualizar el análisis de riesgos y el registro de actividades si el incidente ha revelado tratamientos o riesgos que no estaban contemplados, revisar el protocolo de actuación y, sobre todo, formar al equipo. En la gran mayoría de los incidentes que vemos, la puerta de entrada es una persona que no supo reconocer un engaño. La tecnología ayuda, pero la formación es la medida más rentable.

Lo que de verdad marca la diferencia

Después de gestionar unos cuantos incidentes, la conclusión es siempre la misma: las empresas que mejor salen de una brecha no son las que tienen más tecnología, sino las que saben qué hacer antes de que ocurra. Tienen claro a quién llamar, quién decide, qué se conserva y cómo se evalúa el riesgo. Tienen un protocolo, aunque sea sencillo, y lo han leído.

Si quieres saber en qué punto está tu empresa, puedes hacer en 3-4 minutos nuestro diagnóstico gratuito de preparación ante brechas. Y si ya estás en medio de un incidente, contacta con nosotros: en DAXIA combinamos la respuesta técnica con el apoyo de nuestro equipo de Delegado de Protección de Datos para la parte legal.