Según el informe anual del INCIBE-CERT, los incidentes de seguridad en empresas españolas han crecido cada año desde 2020. El ordenador del trabajo guarda más información sensible de lo que parece. Contratos, conversaciones con clientes, bases de datos, accesos a sistemas internos, proyectos confidenciales. Cuando alguien te hackea el dispositivo que usas para trabajar, el daño no se limita a ti — afecta a tu empresa, a tus clientes y potencialmente a compañeros cuyos datos también estaban en ese equipo. Saber cómo actuar si te hackean el ordenador del trabajo marca la diferencia entre contener el incidente y convertirlo en una crisis mayor. Este artículo te explica exactamente qué pasos dar, en qué orden y por qué cada uno importa.
Te hackean el ordenador del trabajo: lo primero que debes hacer antes de tocar nada
El instinto natural cuando descubres que alguien ha accedido a tu ordenador del trabajo es apagarlo, desconectarlo o intentar «limpiar» lo que ha pasado. Ese instinto es el peor consejo posible. Cada acción que tomas sobre un sistema comprometido puede destruir evidencias que luego serán imprescindibles — tanto para identificar al responsable como para demostrar el alcance del daño en un procedimiento legal o ante una aseguradora.
Lo primero es no tocar nada del equipo más allá de lo estrictamente necesario. Lo segundo es desconectarlo de la red — tanto del WiFi como del cable ethernet — para impedir que el atacante siga teniendo acceso o que continúe exfiltrando datos. No es lo mismo apagarlo que desconectarlo de la red: apagarlo puede borrar datos volátiles de la RAM que podrían ser relevantes para el análisis forense. Lo tercero es notificar a tu empresa inmediatamente — al departamento de IT si existe, o directamente a tu responsable si no hay equipo técnico interno. Y lo cuarto, si el hackeo puede implicar datos personales de terceros, es evaluar si hay obligación de notificarlo a la Agencia Española de Protección de Datos dentro de las 72 horas que marca el RGPD. Qué puede recuperar un análisis forense digital de un ordenador comprometido. Por qué la cadena de custodia digital empieza en el momento en que detectas el incidente.
Cómo saber si tu ordenador del trabajo realmente ha sido hackeado
No todo comportamiento extraño en un ordenador es un hackeo. Un equipo lento puede deberse a falta de memoria o a un proceso que consume recursos. Un archivo que desaparece puede ser un error del sistema o un borrado accidental. Pero hay señales que apuntan claramente a una intrusión y que no deben ignorarse.
El acceso no autorizado al ordenador del trabajo se manifiesta de formas distintas según el tipo de ataque. Si alguien ha accedido físicamente al equipo en tu ausencia, puede haber instalado software de monitorización — un keylogger que registra todo lo que escribes, o un troyano de acceso remoto (RAT) que permite controlar el equipo desde cualquier lugar del mundo. Los síntomas incluyen: el ordenador se activa solo fuera del horario habitual, aparecen archivos o programas que no instalaste, el disco duro tiene actividad cuando el equipo debería estar en reposo, o el tráfico de red es inusualmente alto sin que estés haciendo nada. Si el acceso fue remoto — mediante phishing, credenciales robadas o una vulnerabilidad de software —, los síntomas son similares pero además pueden aparecer sesiones activas que no iniciaste tú, cambios en configuraciones que no modificaste, o alertas del sistema de autenticación de tu empresa. Señales concretas de que tu ordenador ha sido comprometido y cómo verificarlas. Si también usas el móvil para trabajar, el espionaje puede haberse extendido al dispositivo móvil.
El papel del departamento de IT — y cuándo ese departamento no es suficiente
En una empresa grande, el protocolo de respuesta a incidentes de seguridad está definido y el equipo de IT sabe exactamente qué hacer. Pero en la mayoría de pymes y autónomos, el «departamento de IT» es un técnico externo que viene cuando hay un problema y que no tiene formación específica en respuesta a incidentes. Hay una diferencia enorme entre un técnico que arregla ordenadores y un especialista en análisis forense digital.
El técnico de mantenimiento que llega, formatea el equipo y lo deja como nuevo ha resuelto el problema técnico inmediato — el ordenador vuelve a funcionar — pero ha destruido todas las evidencias del incidente. No hay forma de saber quién entró, cómo entró, qué hizo mientras estuvo dentro, qué datos se llevó o qué dejó instalado. Si hay una denuncia policial posterior, una reclamación a la aseguradora o una investigación interna, no habrá nada que analizar. Cuando el hackeo del ordenador del trabajo puede tener consecuencias legales o económicas, antes de que nadie toque el equipo hay que preservar las evidencias con protocolo forense. Cómo se realiza un peritaje de hackeo y qué evidencias puede recuperar. Peritaje de malware y ciberataques: qué analiza el perito y qué certifica ante el juzgado.
Qué puede haberse comprometido — y qué implica cada escenario
El alcance del daño cuando te hackean el ordenador del trabajo depende del tipo de acceso que el atacante consiguió y del tiempo que estuvo dentro. Conocer los escenarios posibles ayuda a tomar decisiones más rápidas y a priorizar las acciones.
Si el atacante solo leyó archivos sin modificar nada ni instalar nada, el daño es una filtración de información — potencialmente grave si había datos de clientes, contratos confidenciales o información estratégica, pero limitado en cuanto a los sistemas. Si instaló un keylogger o un RAT, puede haber obtenido credenciales de acceso a sistemas internos, correos electrónicos completos, conversaciones privadas y acceso a plataformas corporativas. En ese caso hay que asumir que todas las contraseñas usadas desde ese ordenador están comprometidas y cambiarlas de inmediato desde un dispositivo limpio. Si cifró los archivos para pedir un rescate — ransomware —, el problema es más visible pero igualmente grave: los archivos son inaccesibles hasta que se restauren desde backup o se pague el rescate. Si usó el equipo como punto de entrada a la red corporativa, el alcance puede ser mucho mayor que el propio ordenador — servidores, otros equipos de la red, sistemas de gestión. Si el ataque implicó criptomonedas — ransomware o extorsión —, el rastro blockchain puede ser rastreable.
La denuncia: cuándo presentarla y con qué la refuerzas
El hackeo de un ordenador del trabajo es un delito tipificado en el artículo 197 bis del Código Penal español, que castiga el acceso no autorizado a sistemas informáticos con penas de hasta dos años de prisión, y hasta cinco si el acceso fue a sistemas de una empresa o afectó a datos de terceros. Denunciar es no solo un derecho sino en muchos casos una obligación — especialmente cuando el incidente implica datos personales de clientes o empleados.
Para que la denuncia policial tenga peso, necesitas pruebas técnicas. La palabra del denunciante sin respaldo forense raramente es suficiente para que la investigación avance. El dictamen pericial que certifica el acceso no autorizado, documenta los archivos a los que se accedió o que se modificaron, identifica el vector de entrada y establece la cronología del incidente es lo que convierte una denuncia en una investigación real. Guía completa para denunciar un hackeo ante la policía con pruebas válidas. Cómo se presenta la prueba digital en un juicio y qué requisitos debe cumplir para ser admitida.
Cuando te hackean el ordenador del trabajo desde dentro: incidentes internos
No todos los hackeos del ordenador del trabajo vienen de fuera. Un porcentaje significativo de incidentes de seguridad en empresas son internos — un empleado con acceso legítimo al sistema que lo usa para copiar datos, para espiar a compañeros, para sabotear proyectos o para llevarse información confidencial antes de marcharse. Estos casos son especialmente complicados porque el acceso del atacante no deja las mismas trazas que un ataque externo — tiene credenciales válidas y sus acciones pueden confundirse con actividad normal.
El análisis forense de un incidente interno examina los logs de acceso al sistema para detectar patrones anómalos — accesos fuera del horario habitual, consultas masivas a bases de datos, descargas de volúmenes inusuales de archivos, conexiones desde ubicaciones o dispositivos no habituales. Ese análisis puede demostrar que alguien con acceso legítimo lo usó de forma ilegítima, lo que es suficiente base para una denuncia por revelación de secretos empresariales, competencia desleal o acceso no autorizado a datos. Perito informático para empresa: cómo se gestiona un incidente de seguridad interno. Peritaje informático para pymes: los casos de empleados que roban datos son los más frecuentes.
Si te hackean el ordenador del trabajo: contacta con Leyma Peritajes Informáticos
El proceso es completamente remoto. No necesitas desplazarte ni esperar a que nadie vaya a tu empresa. Nos explicas el incidente, identificamos conjuntamente qué evidencias hay que preservar y cómo darte acceso al equipo para el análisis forense sin contaminar las pruebas. El dictamen se entrega en el plazo acordado según la urgencia del procedimiento — para casos con plazos judiciales inminentes trabajamos en 48 horas. La ratificación se hace por videoconferencia con plena validez procesal. Somos miembros de ASPEJURE con el número 03614. Contacta ahora para valorar tu caso sin compromiso.
