# Han hackeado mi empresa

> Ransomware, la web caída, el correo corporativo enviando facturas falsas. Qué hacer en la primera hora, a quién avisar y qué obligaciones tienes.

Fuente: https://mehanhackeado.es/empresa · Revisado: 2026-10-23 · Autor: equipo de inteligencia de QuantumSec (Quantumsec S.L.)

## En 30 segundos

**Lo primero:** Desconecta de la red los equipos afectados (cable y wifi), pero NO los apagues ni borres nada: la memoria guarda pruebas que se pierden al apagar.

1. Aísla, no apagues (5 min)
2. Pide ayuda profesional y avisa a INCIBE-CERT (10 min)
3. Cambia credenciales desde un equipo limpio (20 min)
4. Si hay datos personales, notifica a la AEPD (30 min)
5. Avisa a clientes y proveedores (15 min)
6. Denuncia (20 min)
7. Restaura desde copias verificadas (60 min)

Tiempo total aproximado: 160 minutos. Ayuda gratuita y confidencial: llama al 017 (INCIBE).

## ¿Cómo sé si me ha pasado?

- Ficheros con extensiones raras y una nota pidiendo un rescate.
- Clientes que reciben facturas tuyas con otra cuenta bancaria.
- Tu web redirige a otra página o muestra contenido que no es tuyo.

## Pasos

### 1. Aísla, no apagues (5 min)

Saca de la red los equipos afectados. No reinicies servidores ni formatees: necesitas saber por dónde entraron para que no vuelvan.

### 2. Pide ayuda profesional y avisa a INCIBE-CERT (10 min)

INCIBE-CERT es el equipo de respuesta de referencia para empresas en España y su ayuda es gratuita. Para contener y recuperar, necesitarás además un equipo de respuesta a incidentes.

Enlace oficial: [Reporta tu incidente a INCIBE-CERT](https://www.incibe.es/empresas/te-ayudamos/reporta-tu-incidente)

### 3. Cambia credenciales desde un equipo limpio (20 min)

Cuentas de administrador, correo, VPN y accesos remotos. Cierra las sesiones activas y comprueba que nadie ha añadido usuarios ni reglas de reenvío.

### 4. Si hay datos personales, notifica a la AEPD (30 min)

Si se han visto afectados datos de clientes o empleados, el RGPD obliga a notificar la brecha a la Agencia Española de Protección de Datos en 72 horas desde que la conoces.

Enlace oficial: [Notificar una brecha a la AEPD](https://sedeagpd.gob.es/sede-electronica-web/vistas/formBrechaSeguridad/procedimientoBrechaSeguridad.jsf)

### 5. Avisa a clientes y proveedores (15 min)

Diles que no paguen ninguna factura con un cambio de cuenta sin confirmarlo por teléfono. Es la forma de que el incidente no se multiplique.

### 6. Denuncia (20 min)

Con los registros, la nota de rescate y los correos fraudulentos. Te hará falta también para el seguro.

### 7. Restaura desde copias verificadas (60 min)

Solo desde copias que estuvieran desconectadas, y después de cerrar la puerta por la que entraron. Si no, vuelven a cifrarlo todo.

## No hagas esto

- No pagues el rescate: no garantiza que te devuelvan los datos y financia el siguiente ataque.
- No negocies tú con los atacantes.
- No borres los registros ni reinstales a ciegas «para volver a funcionar».

## Para que no vuelva a pasar

- Copias de seguridad desconectadas y probadas.
- Verificación en dos pasos en el correo y en los accesos remotos.
- Un plan de respuesta escrito antes de necesitarlo.

## Preguntas frecuentes

### ¿Debo pagar el rescate?

No. No garantiza que recuperes los datos, financia el siguiente ataque y a menudo vuelven a pedir más.

### ¿Tengo que avisar a alguien obligatoriamente?

Si hay datos personales afectados, el RGPD obliga a notificarlo a la AEPD en 72 horas. Si tu empresa está bajo NIS2, también tiene obligaciones de notificación propias.

### ¿Apago los equipos infectados?

No: desconéctalos de la red sin apagarlos. Al apagar se pierden pruebas que están en la memoria.

## Dónde pedir ayuda y denunciar

- 017 de INCIBE: gratuito y confidencial, de 8:00 a 23:00, todos los días del año. WhatsApp 900 116 117, Telegram @INCIBE017.
- INCIBE-CERT (empresas): https://www.incibe.es/empresas/te-ayudamos/reporta-tu-incidente · incidencias@incibe-cert.es
- Policía Nacional (091): denuncia por internet en https://denuncias.policia.es/OVD/ o en comisaría. La denuncia por internet solo es válida si la firmas en la comisaría que elijas, como mucho 72 horas después.
- Guardia Civil (062): denuncia por internet en https://guardiacivil.sede.gob.es/categoria?idCat=100375 o en un puesto. Con firma electrónica (certificado digital), y no hace falta ir después en persona. Adjunta el extracto del banco si hubo cargos.
- Si el delito está pasando ahora: 112, 091 (Policía Nacional) o 062 (Guardia Civil).

## Fuentes oficiales

- [Reporta tu incidente a INCIBE-CERT](https://www.incibe.es/empresas/te-ayudamos/reporta-tu-incidente)
- [Notificar una brecha a la AEPD](https://sedeagpd.gob.es/sede-electronica-web/vistas/formBrechaSeguridad/procedimientoBrechaSeguridad.jsf)
- [INCIBE · Tu Ayuda en Ciberseguridad (017)](https://www.incibe.es/linea-de-ayuda-en-ciberseguridad)
- [Policía Nacional · denuncia por internet](https://denuncias.policia.es/OVD/)
- [Guardia Civil · denuncia por internet](https://guardiacivil.sede.gob.es/categoria?idCat=100375)