He detectado una intrusión en los servidores de la empresa

¿Tienes razón?

La intrusión se evalúa por tres focos: la evidencia técnica de acceso no autorizado, la afectación a datos o servicios y la continuidad del ataque. Si existen registros de accesos fuera de horarios, cuentas elevadas usadas de forma anómala, procesos no reconocidos o cambios en archivos críticos, eso apunta a intrusión. También se considera si el atacante logró persistencia (instalar puertas traseras) y si los sistemas siguen comprometidos.

La responsabilidad administrativa o penal dependerá de la naturaleza de la entidad (privada o pública), del tipo de información afectada y de la diligencia previa. Contar con políticas de seguridad, registros de auditoría y medidas de respaldo mejora su defensa. Pero si la intrusión se debió a prácticas negligentes —contraseñas por defecto, ausencia de parches, cuentas compartidas— la exposición es mayor.

Cómo se soluciona

1. Aislar y contener sin destruir evidencia.

• Separe las máquinas afectadas de la red, pero evite formateos o reinicios que borren logs. Realice imágenes forenses del estado afectado y conserve copias en almacenamiento seguro. Documente quién y cuándo interviene.

1. Active un equipo de respuesta: técnico y legal.

• Coordine a TI, seguridad y a un perito en informática forense que realice un análisis de la intrusión, determine vectores de acceso, huellas y extracción de datos. Involucre al área legal para coordinar comunicaciones y obligaciones de notificación.

1. Identifique el alcance y las vulnerabilidades explotadas.

• Revise logs, cuentas con privilegios, servicios expuestos, y aplicaciones con parches faltantes. Corregir la vulnerabilidad sin destruir artefactos probatorios es esencial; priorice mitigación y registro.

1. Notifique internamente y, si procede, a terceros afectados.

• Informe a usuarios, clientes y proveedores cuya información pueda haberse visto comprometida. Prepare un mensaje que explique lo sucedido y las medidas de protección.

1. Denuncie ante las autoridades competentes.

• Si hay indicios de delito —accésos no autorizados, extracción de información, sabotaje— presente la denuncia para que la fiscalía inicie la investigación. Aporte el informe pericial que describa el modo de intrusión y el alcance.

1. Plan de recuperación y refuerzo de seguridad.

• Tras contener, restaure sistemas desde copias seguras, actualice controles de acceso, aplique parches, cambie credenciales y active mecanismos de monitoreo continuo.

Acciones que usted puede ejecutar: aislar servicios, iniciar registro de incidentes y avisar a responsables. Tareas forenses y tramitación penal requieren especialistas.

Qué puede pasar

1) Resolución operativa interna. Muchas intrusiones se resuelven con contención, corrección de vulnerabilidades y reforzamiento de controles sin que derive en sanción o litigio, especialmente cuando la empresa demuestra diligencia en la respuesta.

2) Reclamaciones y conciliación. Si datos de terceros se filtraron, puede haber reclamaciones de clientes o acciones ante autoridades. Un acuerdo o conciliación puede incluir obligaciones de mejora, compensaciones y compromisos de seguridad.

3) Investigación penal. Si la intrusión tiene carácter delictivo —acceso ilícito, sabotaje, espionaje— la fiscalía puede abrir carpeta de investigación. En ese proceso, la empresa puede colaborar aportando peritajes y datos técnicos. Si se identifica al autor y es responsable, la sanción penal depende del delito probado; sin embargo, la persecución puede ser compleja si el atacante es internacional o usa técnicas de anonimato.

Incluso con una sentencia penal, la recuperación de datos o reparación del daño no siempre es automática; depende de la identificación y de la existencia de bienes identificables para ejecutar.

Errores que arruinan el caso

• Reiniciar o formatear servidores sin haber realizado imagen forense: destruye pruebas clave.
• No documentar la cadena de custodia de las evidencias ni quién accedió a ellas.
• Publicar información técnica sensible en canales públicos que facilite al atacante movimientos posteriores.
• No cambiar credenciales tras detectar la intrusión o no revocar accesos comprometidos.
• Ignorar la colaboración con la fiscalía por temor reputacional; la falta de denuncia puede dificultar futuras acciones y la obtención de información de proveedores.