Qué hacer tras un ciberataque: el método ICER

Primeros minutos: detectar y aislar

• 1. Detecta la amenaza: reconoce señales como lentitud, mensajes inesperados, errores continuos o alertas del antivirus.
• 2. Desconecta y aísla los equipos afectados de la red para que el problema no se extienda.
• 3. Evalúa el alcance: qué dispositivos y servicios están afectados.
• 4. Contén la amenaza: por ejemplo, cambia contraseñas desde un equipo no comprometido o limita temporalmente el acceso a los servicios críticos.

Comunicación

• 5. Informa con calma a tu equipo, a través de responsables y canales definidos.
• 6. Avisa a los expertos cuando haga falta, por ejemplo a la línea de ayuda 017 de INCIBE.

Evidencias

• 7. Documenta todo: qué ocurrió, cuándo, qué equipos se vieron afectados y qué acciones tomaste.
• 8. Analiza el malware si tienes medios, o pide asistencia técnica para eliminar el origen y confirmar que no persiste.

Recuperación y aprendizaje

• 9. Restaura desde copias verificadas, idealmente desconectadas, comprueba que todo funciona y vigila los sistemas por si el incidente se repite.
• 10. Revisa lo sucedido y mejora procedimientos para reducir el riesgo futuro.

Prepárate antes: el «botiquín digital»

INCIBE recomienda anticiparse con un manual de actuación, responsables asignados, una lista de contactos de emergencia y un «botiquín digital» con accesos y copias de seguridad listos para usar. Un ejercicio de simulación una vez al año detecta lo que falla antes de que sea real.

Preguntas frecuentes