Lunes, 8:15. La responsable de administración llama: no puede abrir ninguna factura y en la pantalla aparece una nota que pide un pago en bitcoins. A media mañana, un cliente avisa de que ha recibido un correo raro «de vuestra parte». Así empieza casi siempre un ciberataque en la empresa. Y lo que se decide en las horas siguientes pesa tanto como el propio ataque.
La respuesta corta: aísle los equipos sin borrar nada y conserve las pruebas. Averigüe qué datos personales se han visto afectados y documéntelo todo. Si hay riesgo para las personas, notifique a la AEPD en un máximo de 72 horas y avise a los afectados cuando el riesgo sea alto. Después, la AEPD no le preguntará solo qué pasó. Le preguntará qué medidas tenía antes. En los tres casos sancionados que analizamos abajo, las multas van de 3.000 € a 680.000 €.
En este artículo vamos a tratar...
Un ciberataque en la empresa es casi siempre una brecha de datos personales
Cuando un atacante cifra los servidores o se lleva información, lo normal es que haya datos de clientes, trabajadores o proveedores por medio. El RGPD llama a esto «violación de la seguridad de los datos personales». Incluye tanto el robo o la filtración como la pérdida de disponibilidad: si no puede acceder a sus datos porque están cifrados, también hay brecha.
Esto tiene tres consecuencias prácticas:
- Todas las brechas se registran internamente, aunque no haya que notificarlas (artículo 33.5 RGPD).
- Hay que notificar a la AEPD sin dilación indebida y, si es posible, en un máximo de 72 horas desde que se tiene constancia, salvo que sea improbable que suponga un riesgo para las personas.
- Hay que avisar a los afectados sin dilación indebida cuando el riesgo sea alto (artículo 34 RGPD).
Qué hacer ante un ciberataque en la empresa: las primeras 72 horas
Primeras horas: contener sin destruir pruebas
- Aísle los equipos afectados de la red, incluidas las conexiones remotas y la VPN. El objetivo es que el ataque no se extienda.
- No borre nada ni reinstale todavía. Los registros, los correos sospechosos y la nota de rescate son las pruebas que necesitarán los técnicos, la Policía y, más adelante, la AEPD.
- Cambie las contraseñas de las cuentas que puedan estar comprometidas, empezando por las de administrador y el correo, y active la doble autenticación si no la tenía.
- Avise a su proveedor informático. Si tiene póliza de ciberriesgos, revise el plazo que le da para comunicar el incidente.
- Abra un registro del incidente con hora de detección, quién lo detectó y cada decisión que se tome. El plazo de 72 horas cuenta desde que se tiene constancia, y tendrá que poder demostrarlo.
Hasta las 24 horas: saber qué datos hay en juego
Con la ayuda técnica, responda a estas preguntas:
- Qué sistemas se han visto afectados y si el atacante ha podido llevarse información.
- Qué datos personales había: identificativos, bancarios, nóminas, DNI, datos de salud…
- De quién y de cuántas personas: clientes, trabajadores, exempleados, candidatos.
- Si estaban cifrados y si tiene copias de seguridad que no se hayan visto afectadas.
No hace falta saberlo todo para seguir adelante. El RGPD permite facilitar la información a la AEPD por fases si no se dispone de toda al principio.
Hasta las 72 horas: notificar y denunciar
- Notificación a la AEPD, en su sede electrónica, si hay riesgo para las personas. Si se pasa de las 72 horas, la notificación debe explicar el motivo del retraso. Explicamos cuándo es obligatoria en nuestra guía sobre cuándo notificar una brecha de seguridad a la AEPD.
- Denuncia ante la Policía Nacional o la Guardia Civil, aportando las pruebas que haya conservado.
- Línea de ayuda de INCIBE (017). Atiende gratis a empresas y orienta en la respuesta técnica. INCIBE recomienda no pagar el rescate, porque pagar no garantiza recuperar la información.
Avisar a los afectados
Si el riesgo es alto, por ejemplo porque se han filtrado DNI, cuentas bancarias o contraseñas, hay que avisar a las personas afectadas. El aviso tiene que ser claro y sencillo: qué ha pasado, qué datos están afectados, qué ha hecho la empresa y qué pueden hacer ellas. Por ejemplo, desconfiar de correos o llamadas que usen esos datos para engañarlas.
Ciberataque en la empresa: tres casos sancionados por la AEPD
| Empresa | Qué pasó | Por qué | Multa |
|---|---|---|---|
| Flexicar | Brecha en los formularios web, notificada a tiempo | Faltaban medidas básicas de seguridad | 680.000 € |
| Coinsoft 21 | Ransomware en un sistema antiguo | Datos sin cifrar y sin monitorización | 3.000 € |
| Vodafone | Ataque a su proveedor de televenta | Seguridad y contrato de encargo sin firmar | 400.000 € |
Flexicar, 680.000 €: notificó bien, pero le faltaban medidas básicas
Qué pasó. Flexicar sufrió una brecha de confidencialidad que afectó a datos que los usuarios habían introducido en los formularios de contacto de su web. La notificó a la AEPD el 3 de junio de 2024 y avisó a los afectados. Aun así, varios de ellos reclamaron.
Por qué se sancionó. En la resolución PS/00540/2025, firmada en mayo de 2026, la AEPD constató que una serie de medidas de seguridad no estaban implantadas y se introdujeron después de la brecha. Algunas eran básicas. Según la Agencia, haberlas aplicado antes podría haber evitado la brecha o, al menos, mitigado sus efectos. Impuso 400.000 € por vulnerar la confidencialidad (artículo 5.1.f) y 250.000 € por falta de medidas de seguridad (artículo 32). Añadió 30.000 € porque la política de privacidad no informaba bien de cuánto tiempo se guardaban los datos (artículo 13).
La lección. Notificar a tiempo es obligatorio, pero no le salva de la multa. Lo que se juzga es la seguridad que tenía antes del ataque.
Coinsoft 21, 3.000 €: un sistema antiguo y datos de exempleados
Qué pasó. En junio de 2024 esta empresa sufrió un ataque de ransomware con robo de datos, probablemente tras un phishing. Afectó a un sistema antiguo, heredado tras una adquisición, que solo se usaba para consultas. Había datos de unas 50 personas: socios, clientes, empleados y exempleados. Notificó la brecha a la AEPD dos días después de detectarla. Un antiguo trabajador, que había dejado la empresa en 2019, reclamó: temía que se hubieran expuesto su DNI, sus nóminas y su finiquito.
Por qué se sancionó. La resolución PS/00031/2026 recoge lo que la propia empresa reconoció. Ese sistema no se había integrado bien y carecía de las medidas de seguridad estándar. Los datos no estaban cifrados y no había monitorización para detectar incidentes. Tampoco se pudo confirmar por dónde entró el atacante. La multa fue de 5.000 € por vulnerar la confidencialidad. Quedó en 3.000 € porque la empresa reconoció su responsabilidad y pagó pronto.
La lección. Los sistemas viejos y los datos que ya no hacen falta son el punto débil. Si no se usan, se suprimen, como explicamos para el correo de un exempleado. Y sin registros de actividad no podrá explicar qué ocurrió.
Vodafone, 400.000 €: el ataque fue a su proveedor
Qué pasó. En noviembre de 2023, un atacante accedió a los servidores de la empresa que prestaba a Vodafone los servicios de televenta. Se vieron afectados datos personales de ese servicio, entre ellos de clientes potenciales. Vodafone notificó la brecha a la AEPD seis días después del inicio del ataque.
Por qué se sancionó. En la resolución PS/00253/2025 la AEPD impuso 300.000 € por falta de medidas de seguridad (artículo 32). Añadió otros 100.000 € porque ese proveedor había tratado datos durante periodos sin un contrato de encargo firmado (artículo 28). La Agencia dejó claro que las auditorías al proveedor no sustituyen ese contrato.
La lección. Si atacan a su proveedor, la multa puede ser para usted. El contrato de encargo se firma antes de que el proveedor empiece a tratar datos, y su seguridad se revisa. Es lo que hacemos en nuestro servicio de control de proveedores.
Errores frecuentes tras un ciberataque
- Esperar a saberlo todo para notificar. El plazo corre desde que se tiene constancia. Se puede notificar con la información disponible y completarla después.
- Reinstalar los equipos el primer día. Se pierden las pruebas que explican por dónde entró el atacante.
- Pagar el rescate creyendo que así se evita la brecha. Los datos ya han salido o se han cifrado, y las obligaciones siguen ahí.
- Avisar a los afectados con un mensaje genérico que no les dice qué datos están en riesgo ni qué deben hacer.
- Olvidar a los proveedores. Si el incidente empezó en uno de ellos, necesita su información para notificar en plazo.
Cómo preparar a su empresa antes del próximo ataque
- Copias de seguridad desconectadas de la red y probadas, para poder restaurar sin depender del atacante.
- Doble autenticación en el correo, las conexiones remotas y las cuentas de administrador.
- Un protocolo de gestión de brechas con responsables, teléfonos y plantillas de notificación y de aviso a afectados.
- Inventario de datos y sistemas, con fecha de supresión para los que ya no se usan.
- Contratos de encargo firmados con todos los proveedores que tratan datos, y revisión de su seguridad.
- Formación en phishing para toda la plantilla, que sigue siendo la puerta de entrada más habitual.
Cómo podemos ayudarle
Si su empresa acaba de sufrir un ciberataque, en nuestro servicio de gestión de brechas de seguridad le acompañamos desde la primera hora. Valoramos el riesgo, preparamos la notificación a la AEPD y el aviso a los afectados, y documentamos cada decisión. Si quiere prepararse antes de que ocurra, como DPO externo revisamos sus medidas, sus contratos con proveedores y su protocolo de brechas. Cuéntenos su caso.
Preguntas frecuentes
¿Hay que notificar a la AEPD todos los ciberataques?
No todos, pero sí todos los que afecten a datos personales y supongan un riesgo para las personas. Si el riesgo es improbable, no se notifica, pero hay que registrar la brecha y justificar esa decisión.
¿Desde cuándo cuentan las 72 horas?
Desde que la empresa tiene constancia de que se ha producido una brecha de datos personales. Si no puede notificar en ese plazo, debe hacerlo igualmente y explicar el retraso.
¿Hay que avisar a los clientes?
Solo cuando la brecha suponga un alto riesgo para ellos, por ejemplo si se han filtrado datos bancarios, DNI o contraseñas. El aviso debe ser claro y decirles qué pueden hacer para protegerse.
¿Debo pagar el rescate?
INCIBE recomienda no pagarlo, porque pagar no garantiza recuperar la información. Además, pagar no elimina la obligación de notificar ni las posibles sanciones.
¿Me pueden multar aunque el ataque viniera de un proveedor?
Sí. La AEPD sancionó a Vodafone con 400.000 € por una brecha en su proveedor de televenta, entre otros motivos porque faltaba el contrato de encargo durante parte del tiempo.
Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.
