¿Para quién es?
- Encontró archivos cifrados o una nota de rescate.
- Ve cuentas de administrador o inicios de sesión que nadie reconoce.
- Su proveedor de antivirus o de correo le alertó de un compromiso.
- Ya pasó el susto, pero no sabe si el atacante sigue dentro.
Qué hacemos
Cerramos sesiones, deshabilitamos cuentas comprometidas, restablecemos credenciales de administradores y la cuenta KRBTGT, y aislamos los equipos afectados sin destruir evidencia.
Revisamos los registros de Active Directory y Microsoft Entra ID para encontrar por dónde entró el atacante, qué cuentas usó y qué dejó instalado: cuentas nuevas, políticas de grupo, tareas programadas.
Recuperamos controladores de dominio desde un respaldo confiable, reforzamos el acceso con MFA y acceso condicional, y dejamos un plan para que no se repita.
Qué recibe
- Bitácora de acciones con hora, responsable y resultado.
- Informe ejecutivo en lenguaje claro para la dirección.
- Informe técnico con la cadena del ataque y la evidencia.
- Plan de endurecimiento priorizado para las siguientes semanas.
Cómo trabajamos
Diagnóstico sin costo, propuesta con alcance y precio cerrado, piloto antes de tocar producción, ejecución por fases con bitácora y plan de regreso, y entrega con memoria técnica. Ver el método completo.
Preguntas frecuentes
¿Atienden de forma remota?
Sí. La mayor parte de la contención y la investigación se hace de forma remota y segura, coordinada con su equipo o proveedor de TI. Si hace falta presencia física en la zona metropolitana de la Ciudad de México, se acuerda.
¿Debo pagar el rescate?
No tome esa decisión sin asesoría. Pagar no garantiza recuperar los datos ni que el atacante se vaya. Primero hay que contener el ataque y revisar si los respaldos sirven.
¿Qué hago mientras me contactan?
Desconecte de la red los equipos afectados sin apagarlos, ponga a salvo los respaldos y anote todo lo que observe. Nuestra guía gratuita La primera hora ante un ciberataque le dice qué hacer en orden.