Las primeras horas: contener
- Mantén la calma y registra la hora: anota cuándo y cómo te enteraste.
- Aísla el sitio: ponlo en modo mantenimiento o desconéctalo mientras investigas, para frenar el daño a visitantes.
- Cambia las credenciales ya: administradores, hosting, base de datos, correo, claves de API y tokens; empieza por las cuentas con más acceso, y activa el doble factor.
- Conserva evidencia: haz una copia del sitio comprometido y de los registros (logs) antes de borrar nada; sirve para entender qué pasó.
- Avisa a tu proveedor de hosting y a quien mantiene el sitio.
Después: restaurar y corregir la causa
- Restaura desde una copia de seguridad anterior al incidente, y comprueba que esa copia esté limpia.
- Actualiza todo (núcleo, plugins, temas, librerías) antes de volver a publicar.
- Busca la causa: un plugin o dependencia vulnerable (plugins de WordPress, cadena de suministro), una contraseña filtrada, un acceso innecesario.
- Revisa usuarios administradores, tareas programadas y archivos que no reconozcas: los atacantes dejan puertas traseras.
- Si el servidor pudo ejecutar código ajeno, rota todos los secretos, aunque creas que no se usaron.
- Pide la retirada de avisos de "sitio peligroso" en Google si aparecen.
Datos personales: tus obligaciones en Colombia
Si el incidente expuso datos personales (nombres, correos, teléfonos, datos de pacientes o clientes), aplica la Ley 1581 de 2012, de protección de datos personales, cuya autoridad es la Superintendencia de Industria y Comercio (SIC). En el caso de las empresas obligadas a inscribir sus bases de datos en el RNBD, el instructivo de la SIC indica reportar los incidentes de seguridad dentro de los 15 días hábiles siguientes a tener conocimiento de ellos.
Las fuentes que encontramos son secundarias y algunas de 2021: confirma el procedimiento vigente, y si la obligación de inscripción en el RNBD aplica a tu empresa, con la SIC o con un abogado. También evalúa si debes informar a las personas afectadas.
Prepárate antes de que ocurra
- Copias de seguridad automáticas, fuera del servidor y con restauración probada.
- Doble factor en hosting, correo, panel de administración y repositorio de código.
- Un listado de dónde están tus credenciales y cómo rotarlas.
- Registros y alertas para enterarte tú primero.
- Un contacto de emergencia: quién decide, quién restaura, quién comunica.
Revisa la lista de 20 puntos antes de publicar tu sitio o pide una revisión.
Fuentes
Preguntas frecuentes
¿Qué hago primero si mi sitio fue hackeado?
Contener el daño (poner el sitio en mantenimiento), cambiar las credenciales, conservar una copia y los registros como evidencia, y avisar a tu proveedor de hosting y a quien mantiene el sitio.
¿Debo reportar el incidente a la SIC?
Depende de si se expusieron datos personales y de si tu empresa está obligada a inscribir sus bases de datos en el RNBD. Según el instructivo de la SIC, los incidentes de seguridad se reportan dentro de los 15 días hábiles siguientes a tener conocimiento. Confírmalo con un abogado, porque la fuente es secundaria y pueden existir cambios.
¿Basta con restaurar una copia de seguridad?
No. Si no se corrige la causa (un plugin vulnerable, una contraseña filtrada), el sitio puede volver a ser comprometido. Hay que actualizar, cambiar las credenciales y buscar accesos que dejó el atacante.