He detectado una intrusión en los servidores de la empresa

¿Tienes razón?

Que haya habido una intrusión depende de cuatro cosas concretas: los registros (logs) que muestran accesos no autorizados; la comparación entre la actividad prevista y la real (procesos, usuarios, puertos abiertos); la prueba de cambios en ficheros críticos o en bases de datos; y la existencia de comunicaciones externas (salidas de datos, conexiones a servidores remotos). Si dispone de logs íntegros, copias de seguridad previas y capturas de pantalla o registros del proveedor de nube, su posición es sólida. Si solo detectó un fallo funcional sin registros, sigue siendo posible que existiera acceso, pero tendrá que reconstruir la prueba técnica —y eso cuesta tiempo y pericia.

No confunda un error de software con una intrusión: la diferencia la marcan los indicadores de compromiso (tareas programadas que no creó, cuentas nuevas, conexiones salientes desconocidas). También importa quién administra la infraestructura: si usted es el responsable técnico, sus acciones inmediatas valen como prueba; si un tercero gestiona los servidores, anote cuándo y cómo se lo notificó.

Cómo se soluciona

1. Aisle y documente: Corte o limite el acceso del servidor afectado de forma que no borre la evidencia. Haga una imagen forense del disco si puede o pida que la haga un especialista. Tome fotos del estado físico y copie los logs completos. Escriba en un registro qué hizo usted y quién intervino.

1. Preserve la prueba correctamente: Exportar logs desde el panel de la nube, copiar los archivos de registro en un soporte independiente y generar sumas de verificación (hash) si es posible. No reinicie servicios críticos sin antes asegurar una copia forense; reiniciar puede borrar indicadores valiosos.

1. Identifique el alcance de la intrusión: Con un técnico forense determine qué cuentas fueron comprometidas, qué ficheros se modificaron, si hubo exfiltración de datos y qué servicios quedaron vulnerables. Liste usuarios, direcciones IP, marcas temporales y procesos afectados.

1. Notifique internamente y externamente: Informe a la dirección, al responsable de seguridad de la información y a los responsables legales. Valore si la intrusión afecta datos personales o clientes: si es así, haga un inventario de la información comprometida y redáctelo por escrito.

1. Denuncia y cooperación con autoridades: Si hay indicios de delito (acceso no autorizado, extorsión, robo de datos), presente la denuncia ante la Policía Nacional o la Fiscalía especializada. Entregue la evidencia preservada y solicite que se conserve la cadena de custodia.

1. Comunicación: Prepare un mensaje técnico y otro para clientes/usuarios que explique qué ocurrió y las medidas adoptadas. Evite conjeturas públicas sobre culpables; un técnico o abogado le ayudará a redactarlo.

1. Prevención posterior: Cambie credenciales, aplique parches, limite accesos por IP, active autenticación multifactor, revise privilegios y actualice políticas de copia y retención. Documente todas las medidas.

Qué puede hacer usted solo y qué necesita profesional: Usted puede aislar máquinas, exportar logs y cambiar contraseñas. Necesitará un perito informático para la imagen forense, análisis de exfiltración y para preparar la evidencia útil en una denuncia o demanda.

Qué puede pasar

1. Se arregla con medidas internas: En muchos casos la empresa resuelve todo con restauraciones desde backup, actualización de contraseñas y seguimiento técnico. Esto recupera la operación rápido y evita un procedimiento penal si no hay interés en perseguir a los autores.

1. Acuerdo o investigación administrativa: Si hay clientes afectados, puede abrirse una investigación administrativa interna o ante autoridades regulatorias. A veces se acuerda notificar a afectados y ofrecer mitigaciones (monitorización, cambio de contraseñas) en lugar de ir a juicio.

1. Procedimiento penal o civil: Si hay indicios de delito, Fiscalía puede investigar y promover medidas cautelares. En una causa penal usted será parte como denunciante o víctima. Si el responsable identificable tiene activos, una sentencia puede permitir reclamar reparación; si es insolvente, la sentencia puede quedar difícil de cobrar. Además, si fallan las medidas de preservación de evidencia, el caso puede no prosperar.

Y si gana, ¿cobro? Una sentencia a favor es útil, pero la ejecución depende de la capacidad económica del condenado y de pruebas sobre su responsabilidad patrimonial. Por eso la preservación de pruebas y la identificación temprana son claves.

Errores que arruinan el caso

• Reiniciar o parchear sin una imagen forense: borra trazas esenciales.
• No preservar logs del proveedor de nube o del firewall.
• Permitir que personal no técnico manipule evidencias: fotos y copias deben hacerse por quien entienda la cadena de custodia.
• No documentar por escrito todas las comunicaciones y órdenes internas desde el momento del descubrimiento.
• Hablar públicamente de responsables o culpables sin pruebas: perjudica la investigación.