Una intrusión en los servidores no es algo que deba gestionarse solo con apagar máquinas: puede convertirse en delito investigado y en una pérdida grave de prueba. Lo que determina si puedes reaccionar bien es la evidencia registrada (logs, copias forenses), la continuidad del vector de ataque y si la intrusión afectó datos personales o sistemas críticos. Primer paso: preservar las evidencias y avisar al equipo técnico; documenta todo lo que haces y no borres archivos ni reinicies servidores sin asesoría técnica.
Cuéntanoslo y te lo analizamos gratis en un minuto: qué opciones tienes, qué urge y qué contarle al abogado.
Analizar mi caso gratis Sin compromiso · Gratis
Que haya ocurrido una intrusión se determina por tres ejes: los registros técnicos (logs de acceso, alertas del sistema de detección, archivos modificados), la existencia de actividad anómala (procesos, usuarios desconocidos, tráfico saliente inusual) y el impacto sobre datos personales o activos relevantes. Si tienes copias de los logs que muestran accesos desde IPs desconocidas o usuarios que no deberían estar activos, tu posición es fuerte para denunciar y reclamar mitigación. Si solo notas lentitud o errores sin registros, sigue siendo posible que haya intrusión, pero la falta de evidencia técnica complica probar su existencia y su autoría.
Documenta fechas, horas y capturas de pantalla. No confundas la detección con la corrección: apagar un servidor puede detener el daño, pero también destruye información forense. Guarda toda comunicación interna y externa sobre el incidente: correos, chats, órdenes de trabajo. Si la intrusión afectó datos personales, tendrás obligaciones de notificación bajo la normativa aplicable y deberás coordinar con quien responda por la protección de datos en la empresa.
1) Preserva la evidencia técnica. Pide a tu equipo de TI o proveedor que haga imágenes forenses de las máquinas afectadas y copie los logs. Si no tienes expertos internos, contrata a un proveedor que realice un volcado forense. Expórtenlo en formato inalterable y registra quién tuvo acceso a esos archivos.
2) Aísla sin destruir. Separa las máquinas afectadas de la red para cortar la actividad maliciosa, pero evita acciones que reescriban discos (no reiniciar si el procedimiento forense lo desaconseja). Documenta cada paso que tomes: hora, persona que ordenó la desconexión y motivo.
3) Reúne toda la prueba documental. Junta contratos con proveedores, órdenes de acceso, cambios de configuración recientes, correos de administración y cualquier comunicación con clientes que pueda relacionarse. Exporta conversaciones de aplicaciones (WhatsApp, Teams) que hablen del incidente.
4) Evalúa el alcance legal. Si hay datos personales comprometidos, consulta con quien maneja protección de datos para valorar la obligación de notificación. Si existe daño económico, prepara un inventario de pérdidas y gastos asociados.
5) Denuncia y coordinación con fiscalía. Si los antecedentes apuntan a un delito (acceso no autorizado, sabotaje, exfiltración de datos), presenta una denuncia en la fiscalía correspondiente con la evidencia técnica. Acompaña la denuncia con las imágenes forenses y un informe técnico que explique en términos claros lo sucedido.
6) Comunicación externa. Redacta mensajes a clientes y empleados con la información mínima necesaria: qué ocurrió, qué datos pueden verse afectados y las medidas que adoptaste. Evita atribuciones de culpa públicas hasta que la investigación técnica y legal lo respalden.
7) Remediación y prevención. Aplica parches, revisa configuraciones, cambia credenciales y endurece controles (segmentación de red, autenticación multifactor). Documenta estas medidas para probar diligencia en caso de responsabilidades.
En cuanto a qué puedes hacer sin abogado: muchas de las acciones técnicas y la notificación inicial las puede gestionar el equipo interno o un proveedor, pero cuando hay indicios de autoría externa, pérdida de datos personales o posibles responsabilidades, conviene asesoría penal y de protección de datos.
1) Se arregla con medidas técnicas y comunicación: el incidente se contiene, las vulnerabilidades se corrigen y solo hay un impacto operativo. Frecuente cuando no hubo exfiltración de información sensible.
2) Acuerdo o reparación: si la intrusión fue causada por un tercero con relación contractual (proveedor o empleado), es posible llegar a un acuerdo de compensación o reparación. Un acuerdo puede ser mejor que litigio porque evita riesgos y desgaste, y permite acordar confidencialidad y medidas de reparación.
3) Investigación penal y juicio: si la fiscalía abre investigación por delitos informáticos, se puede llegar a una causa penal. Si pierdes en este escenario (por ejemplo, no pruebas la autoría), las consecuencias son reputacionales y puedes asumir los costos de la investigación interna. Si ganas, la sentencia puede imponer medidas reparadoras, pero cobrar depende de la solvencia del condenado.
Y si ganas, ¿cobras? Una sentencia a favor no garantiza efectivo: si la persona o entidad declarada responsable no tiene activos, la sentencia será un título ejecutivo difícil de cobrar. Por eso la fase de asegurar responsabilidad patrimonial es clave.
La primera fase técnica y la notificación interna puedes gestionarlas con tu equipo o un proveedor de ciberseguridad. Necesitarás abogado cuando la intrusión implique datos personales, pérdida económica relevante, o si hay indicios de autoría que puedan derivar en investigación penal. Si la otra parte ya insinúa un pago o ofrece un acuerdo, consulta con un abogado: ese es el momento en que su intervención suele rentabilizarse. Si no puedes pagar, verifica si calificas para asistencia jurídica gratuita.
Otros problemas frecuentes en delitos informáticos
Sí, puedes presentar una denuncia con los antecedentes que tengas, pero la falta de informe forense hace más difícil atribuir responsabilidad. Es recomendable acompañar la denuncia con todo lo que sí poseas: logs, comunicaciones y evidencias de impacto.
Sí, ayuda, pero es débil si está aislada. Mejor consigue exportaciones de logs, registros del servidor, y copia forense, que ofrecen evidencia técnica con mayor valor probatorio.
Si hubo acceso a datos personales, deberás evaluar la obligación de notificación según la normativa de protección aplicable y adoptar medidas de mitigación. Consulta con quien maneje protección de datos y con un asesor legal.
Apagar puede cortar la actividad pero también eliminar pruebas. Prioriza hacer imágenes forenses y, si existe riesgo operativo grave, coordina la acción con un experto para preservar evidencias antes de apagar.
La fiscalía puede abrir investigación si hay antecedentes de acceso no autorizado, extorsión o exfiltración. Presentar una denuncia con pruebas aumenta las opciones de investigación penal.
Te conectamos con los mejores abogados especializados. Consulta gratuita y sin compromiso.
