No es legal que te pidan dinero a cambio de no publicar o devolver datos. Lo que determina si puedes parar la extorsión son: qué información se llevó el atacante, si hay copia o solo amenaza, y si hay riesgo real para terceras personas. Primer paso: conserva toda la evidencia técnica y de comunicación y ponte en contacto con la Policía y con un especialista en ciberseguridad. No pagues sin entender las consecuencias legales y técnicas.
Compara abogados especializados y elige con calma. Análisis de tu caso gratuito.
Ver abogados Sin compromiso · Gratis
Tres cosas determinan si estás en una posición de defensa fuerte. Primero: qué se comprometió. Si el atacante solo dice tener archivos pero no puede probarlo, tu posición es mejor; si publicaron datos o filtraron pruebas, el caso es más grave. Segundo: la naturaleza de los datos. Los datos sensibles (salud, financiera, información de trabajadores o clientes) elevan la responsabilidad y la necesidad de medidas de contención. Tercero: quién es responsable técnicamente del incidente. Si eres tú el responsable del tratamiento de los datos, te corresponde tomar medidas de seguridad, notificar a los afectados y coordinar con autoridades, aunque eso no exonera la ilicitud de la extorsión.
No confundas la respuesta técnica con la legal. Que exista una vulnerabilidad no te obliga a pagar; la ley penal y civil prohíbe la extorsión. Pero en la práctica, la decisión de pagar tiene riesgos: financiar criminales, perder control de los datos y crear obligaciones contractuales con tu proveedor si su respuesta fue insuficiente.
1) Conserva la evidencia. Guarda todos los correos, pantallazos, conversaciones y archivos que el atacante haya publicado. No borres nada. Exporta los mensajes de WhatsApp o Telegram y guarda los encabezados de los correos (con remitente y hora). Si el atacante dejó malware, no manipules los equipos: apágalos y aísla la red.
2) Documenta el alcance técnico. Pide a tu equipo de TI o a un proveedor externo un informe técnico que explique qué sistemas fueron afectados, qué datos fueron exfiltrados y si hay copias públicas. Ese informe debe incluir hash de archivos y rutas afectadas. Si no tienes equipo, contrata peritaje en ciberseguridad; el informe técnico es clave para Policía y posibles reclamaciones.
3) Denuncia ante la Policía. Presenta la denuncia penal por extorsión y delito informático. Adjunta la evidencia técnica y las comunicaciones del agresor. La denuncia pone en marcha investigación criminal y puede llevar a rastreo de los atacantes.
4) Notifica a los afectados. Si hay datos personales comprometidos, tienes la obligación de proteger derechos: informar a las personas afectadas, según la naturaleza de los datos y el riesgo. La notificación debe explicar qué ocurrió y las medidas de protección que ofreces. También informa a la autoridad de protección de datos si corresponde.
5) Actúa con proveedores y bancos. Si hay datos financieros o acceso a cuentas, notifica a los bancos y a plataformas implicadas. Cambia contraseñas, revoca credenciales, despliega autenticación fuerte y aísla los sistemas comprometidos.
6) Valora la negociación técnica, no el pago. En ocasiones negociar con los atacantes facilita recuperar claves o detener la filtración, pero negociar no es lo mismo que pagar. Toda negociación debe hacerse con asesoría técnica y legal: el especialista comprobará si las claves reales se entregan y el abogado evalúa riesgos penales y contractuales.
7) Repara y previene. Implementa parches, mejora copias de seguridad y documenta las acciones tomadas. Conserva registros de todo el proceso: serán necesarios para inspecciones, reclamaciones contractuales o demandas de terceros.
¿Qué puedes hacer hoy tú solo? Exportar y guardar mensajes, apagar máquinas infectadas y recopilar pruebas. ¿Qué necesita un profesional? Peritaje forense, redacción de la denuncia y, si hay negociación, acompañamiento legal.
1) Se arregla con una carta o negociación: muchas situaciones terminan cuando el equipo de respuesta demuestra la solidez técnica y la imposibilidad de comprobar la exfiltración, o cuando se negocia la publicación. Un acuerdo puede incluir la no divulgación y el borrado de archivos; valora que un acuerdo es una solución práctica, no una garantía absoluta.
2) Acuerdo o conciliación: si terceros sufren daño (clientes, trabajadores), puedes cerrar acuerdos extrajudiciales que incluyen indemnizaciones y medidas de reparación. Esto evita procesos largos y puede ser mejor si el agresor acepta condiciones verificables.
3) Juicio y sanciones penales: si la Policía identifica y procesa a los autores, hay responsabilidad penal por extorsión y delitos informáticos. En paralelo, como responsable del tratamiento podrías enfrentar responsabilidad administrativa si se demuestra negligencia en seguridad, y reclamos civiles de afectados. Si pierdes un procedimiento civil frente a muchos afectados, cobrar puede ser difícil si el responsable es insolvente o el agresor está en el extranjero.
Y si ganas, ¿cobras? Una sentencia a tu favor no siempre garantiza recuperación de daños: si quien debe pagar no tiene activos o está fuera del país, la ejecución será limitada. Por eso la fase técnica y la identificación de los autores es crucial.
La primera defensa técnica la puede hacer tu equipo de IT o un especialista en ciberseguridad, y la denuncia policial la puedes presentar sin abogado. Necesitas abogado cuando hay negociación con el atacante, posible responsabilidad frente a afectados, o cuando la empresa proveedora falla y debes reclamar daños. Si te ofrecen acuerdo económico, consulta a un abogado: es el momento en que una valoración profesional suele pagarse sola. Si no puedes costearlo, verifica acceso a asistencia legal gratuita o a defensoría pública para asesoría inicial.
Otros problemas frecuentes en abogados de derecho tecnológico
Pagar no es la solución ideal: financia delincuencia y no garantiza recuperación total. Antes de cualquier pago, consigue un informe técnico que verifique si los datos existen y consulta a Policía y abogado. En algunos casos técnicos, la negociación con mediación puede dar resultados sin pago; en otros, el pago sólo empeora la situación.
Sí, sirve como indicio, pero es mejor si exportas la conversación completa y conservas metadatos (fechas y remitentes). Para la Policía y el perito, los datos técnicos y copias forenses de dispositivos tienen más peso que simples pantallazos.
Si hay datos personales expuestos con riesgo para sus derechos, debes informar a las personas afectadas y valorar informar a la autoridad de protección de datos. La notificación debe ser clara y explicar medidas de protección; consulta con tu asesor para ajustar el contenido y alcance.
Sí, la Policía tiene unidades que investigan delitos informáticos y pueden iniciar rastreo. El éxito depende de la rapidez, la calidad de evidencia técnica y la cooperación internacional cuando los atacantes están fuera del país.
Podrías enfrentar reclamaciones civiles de afectados por daños, y sanciones administrativas si se demuestra negligencia en seguridad. La prueba técnica de las medidas razonables que tuviste antes del incidente es clave para defenderte.
Te conectamos con los mejores abogados especializados. Consulta gratuita y sin compromiso.
