Respire hondo. La mayoría de los incidentes en pequeños negocios se pueden contener en la primera hora si se hacen las cosas en el orden correcto. Elija lo que está pasando y siga los pasos. Imprima esta página ahora para tenerla a mano si su computadora deja de funcionar.
Tres reglas para cualquier situación
Use otro dispositivo, uno limpio (su teléfono o una computadora de confianza) para cambiar las contraseñas. Una computadora hackeada puede capturar las nuevas.
No borre nada todavía. Los correos, mensajes y archivos son pruebas para su banco, su aseguradora y la policía. Tome capturas de pantalla y anote las horas sobre la marcha.
El dinero primero. Si se movió dinero o podría moverse, llame a su banco antes que nada. Las primeras horas deciden si se puede detener.
Alguien entró a nuestra cuenta de correo
Ahora mismo (primeros 15 minutos)
Desde un dispositivo limpio, cambie la contraseña de la cuenta por una nueva que nunca haya usado en ningún lado.
Cierre todas las sesiones: Microsoft 365 (configuración de la cuenta, «Cerrar sesión en todas partes») o Google («Seguridad», «Tus dispositivos», cerrar sesión en todos).
Active la verificación en dos pasos (lo mejor es una aplicación de autenticación) si todavía no está activa.
En la próxima hora
Revise las reglas de reenvío y de la bandeja de entrada. Los atacantes agregan reglas que reenvían u ocultan correos (a menudo todo lo que diga «factura» o «pago»). Borre las que usted no haya creado.
Revise los elementos enviados y eliminados en busca de mensajes que usted no envió, sobre todo a clientes y proveedores sobre pagos.
Si salieron mensajes falsos, avise a esos contactos por teléfono: no confíe en el correo hasta que esté seguro.
Cambie la contraseña de cualquier otra cuenta que usara la misma, empezando por su banco y su registrador de dominio.
Después
Si pudo verse información personal de clientes o empleados, consulte la sección de reportes de privacidad más abajo.
Haga la revisión de seguridad del correo gratuita para que las falsificaciones de su dirección sean más fáciles de bloquear la próxima vez.
Nuestros clientes recibieron facturas o solicitudes de pago falsas «de nosotros»
Ahora mismo
Llame a los clientes que la recibieron. Dígales que no paguen y que usted nunca cambia sus datos bancarios por correo.
Revise con cuidado la dirección del remitente. Pegue los encabezados del correo en el Detector de correos falsos: le dirá si vino de su cuenta real (siga los pasos de correo hackeado) o de un imitador.
Denuncie el dominio imitador al contacto de abusos de su registrador (cualquier consulta WHOIS lo muestra). Incluya el correo de estafa como prueba.
Envíe una nota breve a todos sus clientes: «Nunca cambiaremos nuestros datos bancarios por correo. Llámenos al [su número conocido] para confirmar cualquier solicitud».
Denúncielo al Centro Canadiense Antifraude (Canadian Anti-Fraud Centre) (contactos más abajo).
Después
Active DMARC para que se bloqueen los correos que falsifican su dirección exacta: la revisión de seguridad del correo le muestra cómo.
Enviamos dinero a un estafador
Ahora mismo: cada minuto cuenta
Llame a la línea de fraudes de su banco (el número de su tarjeta o del sitio web del banco, no uno del correo). Pida que recuperen o congelen el pago. Tenga a mano la fecha, el monto y la cuenta que lo recibió.
Si pagó con tarjetas de regalo, llame al número de la empresa que aparece al reverso de la tarjeta y deles los números de las tarjetas.
Si pagó con tarjeta de crédito, llame al emisor de la tarjeta y dispute el cargo.
En la próxima hora
Denúncielo a la policía local (línea que no es de emergencias) y pida un número de reporte. Los bancos y las aseguradoras suelen pedirlo.
Denúncielo al Centro Canadiense Antifraude (Canadian Anti-Fraud Centre).
Avise a su aseguradora si tiene cobertura cibernética o contra delitos. Muchas pólizas exigen aviso rápido.
Averigüe cómo supo el estafador a quién atacar: la razón habitual es una cuenta de correo hackeada. Siga los pasos de correo hackeado si algo parece raro.
Hackearon nuestro sitio web
Ahora mismo
Llame a su proveedor de hosting o a su desarrollador web. Pídales que pongan el sitio en modo de mantenimiento o lo saquen de línea mientras lo limpian.
Desde un dispositivo limpio, cambie las contraseñas de su cuenta de hosting, del administrador del sitio (por ejemplo WordPress) y del FTP o la base de datos, si los tiene.
En la próxima hora
Pregunte a su proveedor de hosting sobre restaurar una copia de seguridad limpia de antes de que empezara el problema.
Elimine a los usuarios administradores que no reconozca y luego actualice WordPress, cada plugin y cada tema. Borre los plugins que no use.
Si recibe pagos en el sitio, avise a su proveedor de pagos: es posible que hayan robado datos de tarjetas.
Después
Si Google muestra una advertencia en su sitio, solicite una revisión en Google Search Console una vez que esté limpio.
Desconecte de la red las computadoras afectadas (quite el cable, apague el Wi-Fi). No las apague: lo que hay en la memoria puede ayudar a los investigadores.
Desconecte los discos de respaldo y las unidades compartidas para que no se bloqueen también.
No pague ni contacte a los atacantes por ahora. Pagar no garantiza que recupere sus archivos y lo marca como objetivo.
Tome una foto de la nota de rescate.
En la próxima hora
Llame a su proveedor de TI. Si no tiene uno, su aseguradora cibernética normalmente tiene una línea de respuesta a emergencias.
Denúncielo al Centro Canadiense de Ciberseguridad (Canadian Centre for Cyber Security) y a su policía local.
Verifique si sus copias de seguridad están desconectadas e intactas. Restaurar desde una copia limpia suele ser el camino de vuelta.
Después
Si pudo robarse información personal de clientes o empleados, consulte la sección de reportes de privacidad.
¿Tenemos que reportarlo?
Según la ley canadiense de privacidad del sector privado (PIPEDA), si información personal que usted guarda se perdió, fue robada o consultada y eso crea un riesgo real de daño significativo para alguien (por ejemplo, robo de identidad o pérdida económica), debe reportarlo a la Oficina del Comisionado de Privacidad (Office of the Privacy Commissioner), avisar a las personas afectadas lo antes posible y llevar un registro. Registre cada incidente, incluso los pequeños. Si no está seguro, consulte a un abogado o a su aseguradora.
A quién contactar en Canadá
La línea de fraudes de su bancoEn su tarjeta o en el sitio web del banco. Llame primero si se movió dinero.
Centro Canadiense de Ciberseguridad (Canadian Centre for Cyber Security)Incidentes cibernéticos, incluido el ransomware: cyber.gc.ca
Oficina del Comisionado de Privacidad (Office of the Privacy Commissioner)Filtraciones de información personal: priv.gc.ca
Policía localLínea que no es de emergencias, para obtener un número de reporte. Llame al 911 si alguien está en peligro.
Cuando todo esté bajo control
La mayoría de los ataques empiezan por fallas que se ven desde afuera: un correo fácil de falsificar, un sitio web desactualizado, un subdominio olvidado, un dominio imitador. Revise los suyos gratis y luego deje que la Protección continua los vigile todos los días.
Belvic Group · Beltus Bejanga, analista SOC y cazador de amenazas · [email protected] · 1-456 Carlton Street, St. Catharines, ON L2M 4X1 · Privacidad · Términos Orientación general, no asesoría legal ni respuesta de emergencia. Ante un incidente activo, involucre a su proveedor de TI, su banco y su aseguradora.