Caso de estudio · Respuesta a incidente · 2026
Plataforma SaaS de e-mail marketing, comprometida. Informe DFIR aceptado por la DNSC, plataforma de nuevo en línea y protegida.
Cliente: proveedor rumano de servicios de e-mail marketing, con clientes empresariales activos en todo el país. El nombre del cliente y los detalles técnicos sensibles se omiten en este material.
La situación
Un ataque que detuvo la plataforma y bloqueó el acceso de los clientes
La plataforma, utilizada por los clientes para campañas de e-mail a sus propias bases de contactos, quedó no disponible tras un ciberataque. El operador no tenía equipo de seguridad interno ni procedimientos de respuesta. Estaban en juego la disponibilidad del servicio, los datos personales de las bases de contactos de los clientes y las obligaciones de notificación ante la DNSC y la ANSPDCP, con plazos que corrían desde la primera hora.
NIW fue llamado como equipo externo de respuesta. Empezamos a trabajar antes de la firma del contrato, sobre la base de la oferta, porque los plazos legales no esperan.
El mandato
Dos componentes, claramente separados
Componente A: investigación, contención del ataque, notificación. Preservación de evidencias, análisis forense, identificación del vector y del alcance del compromiso, informe DFIR y notificaciones legales.
Componente B: remediación y securización. Plan de vuelta a la operación, hardening de la plataforma, protección perimetral y soporte para la reconexión de los clientes.
El precio se fijó en el límite inferior del mercado, sobre la base de un estudio de mercado de servicios DFIR en Rumanía.
Cronología de la intervención
Cinco fases, tres frentes en paralelo
Triaje
Movilización y aislamiento
Conexión fuera del horario laboral, evaluación del alcance, aislamiento de los sistemas afectados sin destruir evidencias. Instrucciones claras para el cliente: qué no tocar, qué no reiniciar.
Evidencias
Preservación y adquisición forense
Imágenes de los sistemas, exportación de logs de sistema, aplicación y acceso, instantáneas de las configuraciones. Cadena de custodia documentada para cada artefacto.
Análisis
Reconstrucción del ataque
Cronología de los eventos, vector inicial de acceso, cuentas y sistemas comprometidos, datos accedidos. Las conclusiones fundamentaron tanto el informe DFIR como la evaluación del impacto sobre los datos personales para la ANSPDCP.
Notificación
DNSC y ANSPDCP
Informe DFIR redactado en el formato que espera la DNSC, acompañado del plan de securización y vuelta a la operación. La DNSC aceptó íntegramente el informe y el plan, sin requerimientos adicionales. La notificación a la ANSPDCP se presentó en plazo; el expediente está en análisis en la autoridad.
Recuperación
Securización, puesta en línea, soporte
La plataforma volvió a funcionar detrás de una protección WAF y anti-DDoS configurada y administrada por NIW. Los cambios de seguridad afectaron a la autenticación de los clientes existentes, por lo que NIW asumió la línea de soporte para la reconexión, con intervenciones diarias hasta la estabilización.
Capacidades demostradas
Lo que tuvimos que saber hacer, todo al mismo tiempo
| Ámbito | Capacidad | Cómo se vio en este incidente |
|---|---|---|
| Respuesta a incidentes | Movilización y triaje fuera del horario laboral | Más de la mitad de las 400+ horas fueron en régimen de urgencia o fuera del horario laboral |
| Forense digital | Preservación de evidencias, cadena de custodia, análisis de logs e imágenes | Reconstrucción completa de la cronología y del vector de ataque |
| Notificación legal | Informe DFIR en formato DNSC | Aceptado íntegramente, sin requerimientos adicionales |
| Cumplimiento | Notificaciones OUG 155/2024 y RGPD art. 33 | Presentadas en plazo ante la DNSC y la ANSPDCP |
| Arquitectura de seguridad | Plan de securización y vuelta a la operación | Aceptado por la DNSC junto con el informe |
| Protección perimetral | WAF, anti-DDoS, DNS/CDN administrado | Configurado por NIW, administrado desde entonces por NIW |
| Operación de plataforma | Administración técnica de una plataforma SaaS heredada | Estabilización, soporte diario para la reconexión de los clientes |
| Gestión de crisis | Comunicación con la dirección, los accionistas y los clientes de la plataforma | Informes intermedios, horas documentadas mediante registros de acceso |
Lecciones
Lo que habría reducido el coste del incidente a una fracción
- MFA en todos los accesos administrativos y en el panel de control de la plataforma.
- Recogida centralizada de logs con retención suficiente: sin ella, la reconstrucción del ataque tarda varias veces más.
- Protección WAF / anti-DDoS antes, no después.
- Backup verificado, separado de la infraestructura de producción.
- Un procedimiento de respuesta a incidentes por escrito, con un contacto externo ya contratado.