Cómo Comunicar un Ciberataque o un Ransomware sin Hundir la Confianza de tus Clientes

Son las 6:40 de un lunes. El responsable de sistemas llama al director general: los servidores no arrancan, los ficheros compartidos tienen una extensión extraña y en cada carpeta hay un documento de texto con instrucciones para «recuperar tus datos». A las 8:00 los empleados no pueden fichar ni acceder al ERP. A las 9:30 un cliente pregunta en redes sociales por qué la web no carga. A las 11:00 un periodista especializado escribe al departamento de comunicación: un grupo de ransomware ha añadido el nombre de la empresa a su página de víctimas en la dark web.

En ese momento nadie en la empresa sabe todavía qué ha pasado exactamente, qué datos se han visto afectados, cuánto durará la interrupción ni si los atacantes tienen copia de la información. Y, sin embargo, todo el mundo —clientes, plantilla, proveedores, medios y, muy pronto, la autoridad de protección de datos— espera una respuesta. Esa es la paradoja central de comunicar un ciberataque: hay que hablar antes de saber, y lo que se diga en las primeras horas quedará registrado para siempre.

Esta guía no trata de cómo contener técnicamente un ataque —eso corresponde a tu equipo de seguridad y a los especialistas en respuesta a incidentes—, sino de algo igual de determinante para el futuro de la empresa: cómo comunicarlo para que la confianza de tus clientes sobreviva al incidente. Lo que aquí se explica vale para una pyme industrial, un e-commerce, una clínica, una consultora o una cadena de retail. Ningún sector está a salvo.

Los datos del sector bancario ilustran muy bien la fragilidad de la confianza digital: casi nueve de cada diez clientes confían en su banco con sus datos, pero dos de cada tres reconocen que probablemente se marcharían tras una filtración grave. Si eso ocurre en el sector con más regulación, más inversión en seguridad y más fidelidad histórica, imagina lo que puede suponer para una empresa cuyos clientes tienen alternativas a un clic de distancia. La brecha no destruye la confianza por sí sola: lo que la destruye es, casi siempre, una mala gestión de la comunicación de la brecha.

1. Por qué una crisis de ciberseguridad no se parece a ninguna otra

Quien ya ha gestionado una crisis reputacional clásica —un producto defectuoso, un vídeo viral de un mal servicio, unas declaraciones desafortunadas de un directivo— tiende a pensar que un ciberataque se gestiona igual. No es así. Los principios generales de la gestión de crisis reputacional en empresas siguen valiendo, pero un incidente de ciberseguridad añade cuatro rasgos que lo convierten en una crisis de naturaleza distinta.

1.1. La tentación del silencio (y por qué casi nunca funciona)

Ante tanta incertidumbre, la reacción instintiva de muchas direcciones es no decir nada hasta tener todas las respuestas. Es comprensible, pero rara vez es viable. Los empleados ya saben que algo grave ocurre porque no pueden trabajar; los clientes notan la caída del servicio; los propios atacantes pueden anunciar el ataque en su portal de filtraciones. Si la empresa calla, el relato lo construirán otros: foros técnicos, periodistas especializados, extrabajadores en redes sociales o el propio grupo criminal.

Usar estos términos con rigor no es una cuestión académica. Decir «hemos sufrido una brecha de datos» cuando todavía no se sabe si hubo exfiltración puede generar alarma innecesaria; decir «no se han visto afectados datos de clientes» cuando aún no se ha comprobado puede convertirse, dos semanas después, en el titular que hunda definitivamente tu credibilidad.

2. El comité de crisis: IT, legal, comunicación y dirección en la misma mesa

El error organizativo más frecuente en un ciberataque es que cada área trabaje en su propio carril: sistemas intentando restaurar, el asesor legal preparando la notificación, comunicación redactando un comunicado y la dirección hablando con clientes clave por su cuenta. El resultado son mensajes contradictorios, compromisos que no se pueden cumplir y declaraciones que complican la posición legal de la empresa.

La solución es un comité de crisis reducido, con roles claros y un único canal de decisión. Si tu empresa ya tiene protocolos de comunicación de crisis, el escenario de ciberataque debe tener su propio anexo, porque los perfiles que se sientan a la mesa son distintos a los de una crisis de producto o de redes sociales.

Área	Responsabilidad principal	Error típico que hay que evitar
IT / Seguridad (y respuesta a incidentes externa)	Contener, investigar el alcance y aportar hechos verificados con su nivel de certeza	Dar estimaciones optimistas de recuperación que comunicación convierte en promesas públicas
Legal / DPO	Evaluar obligaciones de notificación, plazos, contratos con clientes y riesgo de litigios	Bloquear cualquier comunicación por miedo a responsabilidades, dejando el relato a terceros
Comunicación	Traducir los hechos a mensajes claros para cada audiencia, gestionar medios y canales	Adelantarse a los hechos técnicos o usar frases tranquilizadoras que luego resultan falsas
Dirección general	Decidir, asumir la portavocía en los momentos clave y proteger la coherencia del conjunto	Hablar por su cuenta con clientes o periodistas sin pasar por el comité
Recursos humanos / Atención al cliente	Hacer llegar los mensajes a plantilla y clientes, y recoger dudas recurrentes	Improvisar respuestas individuales distintas del mensaje oficial

2.1. La regla de oro: los hechos los aporta seguridad, las palabras las elige comunicación, la decisión la toma la dirección

Ningún mensaje externo debe salir sin que el equipo técnico confirme que cada afirmación de hecho es correcta, sin que legal valide que no compromete a la empresa y sin que la dirección lo apruebe. Parece burocrático, pero con un procedimiento ensayado este circuito puede resolverse en menos de una hora. Lo que no puede ocurrir es que el comunicado diga «el incidente está controlado» porque a alguien le pareció una buena frase.

3. Obligaciones de notificación: el reloj legal que empieza a correr

Este no es un artículo jurídico y cada caso debe revisarlo tu asesor legal o tu delegado de protección de datos, pero ningún responsable de comunicación puede gestionar un ciberataque sin conocer, al menos a grandes rasgos, el marco de obligaciones. Porque esas obligaciones condicionan el calendario de toda la comunicación externa.

Cuando un incidente afecta a datos personales, el Reglamento General de Protección de Datos (RGPD) establece que el responsable del tratamiento debe notificarlo a la autoridad de control competente —en España, la Agencia Española de Protección de Datos— sin dilación indebida y, a más tardar, en las 72 horas siguientes a haber tenido constancia de ella, salvo que sea improbable que la brecha suponga un riesgo para los derechos y libertades de las personas. Si la notificación no se puede completar en ese plazo con toda la información, puede hacerse por fases, justificando el retraso.

Además, cuando la brecha entrañe un alto riesgo para los derechos y libertades de las personas afectadas, la empresa debe comunicárselo también a ellas sin dilación indebida, con un lenguaje claro y sencillo, explicando la naturaleza de la brecha, sus posibles consecuencias, las medidas adoptadas y un punto de contacto para obtener más información.

1. Detección y constancia del incidente (hora 0)
   Documenta cuándo y cómo se tuvo conocimiento del incidente. Ese momento marca el inicio del plazo y la autoridad puede pedir explicaciones sobre él.
2. Evaluación inicial del riesgo (primeras horas)
   Seguridad y legal determinan si hay datos personales implicados, de qué tipo (identificativos, bancarios, de salud, credenciales) y cuántas personas podrían estar afectadas.
3. Notificación a la autoridad de control (antes de 72 horas)
   Con la información disponible en ese momento, aunque sea incompleta, y con el compromiso de ampliarla. Comunicación debe conocer el contenido para que el relato público sea coherente.
4. Comunicación a las personas afectadas (si hay alto riesgo)
   Un mensaje directo, comprensible y con recomendaciones prácticas. Es, en la práctica, el comunicado reputacionalmente más delicado de toda la crisis.
5. Otras notificaciones según el caso
   Denuncia ante las fuerzas de seguridad, aviso a los equipos públicos de respuesta a incidentes, comunicación a clientes empresariales según lo pactado en contrato y, en determinados sectores, obligaciones adicionales de la normativa de ciberseguridad para entidades esenciales e importantes (NIS2) o de supervisores sectoriales.

En la práctica, el plazo de 72 horas tiene un efecto colateral importante para comunicación: si se va a notificar a una autoridad y, posiblemente, a miles de personas afectadas, la información acabará siendo pública. Planificar la comunicación como si todo lo notificado fuera a conocerse es la única hipótesis prudente.

4. Qué decir y qué no decir mientras dura la investigación

La fase más difícil de un ciberataque no es la primera hora, sino los días intermedios: el incidente ya es público, la investigación forense sigue en curso y cada audiencia exige respuestas que aún no existen. Aquí se juega buena parte de la reputación de la empresa. Hay tres pecados capitales en esta fase: especular, minimizar y culpar.

4.1. Cómo reformular las frases más peligrosas

Muchas de las frases que dañan la credibilidad de una empresa en un ciberataque se dicen con buena intención: se busca tranquilizar. El problema es que tranquilizar con afirmaciones no verificadas es apostar la reputación a que la investigación confirme el mejor escenario. Esta tabla recoge alternativas más seguras.

Frase de riesgo	Por qué es peligrosa	Alternativa recomendada
«No se han visto afectados datos de clientes»	Puede ser desmentida por la investigación o por los propios atacantes	«Por ahora no tenemos evidencias de que se hayan visto afectados datos de clientes; la investigación continúa y os informaremos de inmediato si eso cambia»
«Ha sido un ataque muy sofisticado»	Suena a excusa y desplaza la responsabilidad	«Estamos analizando cómo se produjo el acceso para reforzar nuestras defensas»
«Todo estará restablecido mañana»	Si no se cumple, cada día de retraso es una nueva noticia negativa	«Estamos restableciendo los servicios por fases; actualizaremos el estado cada día a las 18:00»
«El fallo fue de un proveedor»	Al cliente no le importa de quién fue el fallo: confió sus datos en ti	«Estamos trabajando con todos nuestros proveedores para entender el alcance del incidente»
«Sin comentarios»	Se interpreta como ocultación	«No podemos compartir detalles técnicos mientras dure la investigación, pero sí lo que sabemos hasta ahora»

El principio subyacente es sencillo: es preferible decir menos, pero que todo lo dicho sea verdad, a decir mucho y tener que rectificar. Cada rectificación pública resta más confianza que la información negativa original.

5. El dilema del rescate y cómo (no) comunicarlo

En un ataque de ransomware hay una pregunta que llega antes o después a la mesa del comité y, casi siempre, a la de algún periodista: ¿va a pagar la empresa el rescate? Es una decisión de dirección que depende de factores técnicos, legales, éticos y de negocio, y que debe tomarse con asesoramiento especializado. Las autoridades y los organismos de ciberseguridad desaconsejan de forma general el pago, entre otras razones porque no garantiza la recuperación de los datos ni que la copia robada se destruya, y porque financia nuevas actividades delictivas.

Desde el punto de vista estrictamente comunicativo, el dilema es doble: qué se decide y qué se cuenta. Y ambas cosas tienen consecuencias reputacionales distintas.

5.1. Posiciones comunicativas posibles

Posición	Cuándo tiene sentido	Riesgo reputacional
Declarar firmemente que no se pagará	Cuando la decisión está tomada y existen copias de seguridad que permiten recuperarse	Bajo, si es cierto; refuerza la imagen de solidez. Puede aumentar la presión de los atacantes para publicar datos
No hacer comentarios sobre la negociación	Mientras la decisión no está tomada o hay una investigación policial en curso	Medio; debe explicarse por qué no se comenta, para que no suene a ocultación
Reconocer el pago a posteriori	Si se pagó y es probable que se conozca (o lo exigen obligaciones legales)	Alto, pero menor que el de ser descubierto. Requiere explicar las razones y las medidas adoptadas

6. Un mensaje para cada audiencia: clientes, empleados, proveedores, prensa y reguladores

El mismo hecho —«hemos sufrido un ataque de ransomware»— significa cosas muy distintas para cada público. El cliente quiere saber si sus datos están en peligro y qué debe hacer. El empleado, si puede trabajar y si su nómina corre riesgo. El proveedor, si va a cobrar y si la infraestructura compartida es segura. El periodista, qué ha pasado y por qué. El regulador, si se están cumpliendo las obligaciones. Un único comunicado genérico no responde bien a ninguno de ellos.

Audiencia	Qué necesita saber	Canal recomendado	Cuándo
Empleados	Qué ha pasado, qué pueden y no pueden hacer, a quién derivar preguntas, qué no deben decir fuera	Reunión, mensaje directo por canal alternativo, responsables de equipo	Primero, antes que nadie
Clientes afectados	Si sus datos están implicados, riesgos concretos, pasos para protegerse, contacto	Comunicación directa (email, carta, llamada en clientes clave)	Lo antes posible y siempre antes de que lo lean en prensa
Clientes en general	Estado del servicio, si deben preocuparse, cómo identificar intentos de fraude	Página de incidente en la web, redes sociales, atención al cliente	En las primeras horas y con actualizaciones periódicas
Proveedores y socios	Impacto en pedidos y pagos, riesgos de conexión con sus sistemas, precauciones ante correos fraudulentos	Contacto directo de los responsables de cada relación	En las primeras 24 horas
Prensa	Hechos verificados, medidas adoptadas, portavoz identificado	Declaración oficial, portavoz único	Cuando el incidente sea público o vaya a serlo
Reguladores	Información precisa y completa según sus requisitos	Canales oficiales de notificación	Dentro de los plazos legales

6.1. Los empleados, primera línea y primer riesgo

Los empleados son a la vez la audiencia más afectada y el principal canal de filtración. Si se enteran del ataque por la prensa, se sentirán ignorados; si no tienen instrucciones claras, comentarán lo que saben en grupos de mensajería, LinkedIn o con clientes. Además, en un ciberataque son objetivo directo: los atacantes pueden intentar engañarles con correos que suplantan a la empresa.

• Explica lo que se sabe en lenguaje no técnico y reconoce lo que aún no se sabe
• Da instrucciones operativas claras: qué equipos no encender, qué herramientas usar mientras tanto
• Advierte de posibles correos, llamadas o mensajes fraudulentos que suplanten a la empresa
• Indica a quién derivar cualquier pregunta de clientes o periodistas
• Pide discreción explicando por qué, sin tono amenazante
• Si hay datos de la plantilla afectados (nóminas, DNI, cuentas bancarias), trátalos como afectados con todos sus derechos

6.2. Clientes: el momento de la verdad

El mensaje a los clientes afectados es el que más pesa en la confianza futura. Debe ser directo, empático y útil: menos «lamentamos las molestias» y más «esto es lo que ha pasado con tus datos y esto es lo que te recomendamos hacer». Ofrecer medidas concretas —un canal de atención específico, servicios de vigilancia de identidad cuando el tipo de datos lo justifique, una guía para detectar intentos de fraude— demuestra que la empresa se hace cargo del problema y no solo informa de él.

Si operas en un sector especialmente regulado o sensible a la confianza, como la banca o los seguros, el análisis específico que hicimos sobre reputación online en el sector bancario y asegurador profundiza en cómo esa confianza se construye y se pierde. Pero la lógica es universal: el cliente no espera que nunca te ataquen; espera que, si ocurre, le trates como un adulto.

6.3. Prensa: un portavoz, una versión

Los ciberataques interesan cada vez más a los medios generalistas, no solo a la prensa tecnológica. Designar un único portavoz, preparar una batería de preguntas y respuestas y mantener la coherencia con lo notificado son condiciones mínimas. Si el caso alcanza repercusión mediática amplia, muchas de las pautas que explicamos en la guía sobre crisis reputacional en medios de comunicación son directamente aplicables, con un matiz: aquí el periodista puede tener información obtenida de los propios atacantes, por lo que nunca debes asumir que sabe menos que tú.

7. Doble extorsión: cuando amenazan con publicar tus datos

El ransomware moderno rara vez se limita a cifrar sistemas. La modalidad dominante es la doble extorsión: antes de cifrar, los atacantes copian información sensible y amenazan con publicarla en sus portales si la empresa no paga. Algunos grupos añaden una tercera capa de presión —contactar directamente a clientes, empleados o periodistas, o lanzar ataques de denegación de servicio— para forzar el pago.

Desde el punto de vista de la comunicación, esto cambia por completo las reglas del juego: la empresa no controla el calendario. En cualquier momento puede aparecer una muestra de datos publicada como «prueba», una lista de documentos internos o una captura de correos de dirección. Y esa publicación puede convertirse en noticia antes de que la investigación haya concluido qué se llevaron exactamente.

7.1. Cómo prepararse ante una posible publicación

1. Mapear lo que pudo salir
   Con el equipo forense, identifica qué repositorios, carpetas o bases de datos pudieron ser copiados y clasifícalos por sensibilidad: datos personales, información comercial, comunicaciones internas.
2. Preparar mensajes por escenario
   Redacta borradores para tres casos: publicación de una muestra, publicación masiva de datos de clientes y publicación de documentos internos comprometedores. Así no improvisarás bajo presión.
3. Monitorizar los portales de filtración y las menciones
   Con apoyo especializado, vigila los sitios de los grupos de ransomware, foros y redes sociales para detectar la publicación en cuanto ocurra. Una buena monitorización de marca online es aquí una herramienta de seguridad, no solo de marketing.
4. Avisar a los afectados antes que nadie
   Si los datos de un colectivo van a aparecer o ya han aparecido, ellos deben saberlo por la empresa, no por un periodista ni por un correo de los propios delincuentes.
5. Advertir del fraude derivado
   Los datos filtrados alimentan campañas de phishing y suplantación. Explica a clientes y empleados cómo identificar mensajes fraudulentos que usen esa información.
6. Actuar sobre la difusión
   Con asesoramiento legal, solicita la retirada de contenidos que reproduzcan datos personales en plataformas legítimas y evalúa medidas para limitar la indexación de esos datos.

8. Plantillas: comunicado inicial y comunicado de actualización

Ninguna plantilla sustituye al criterio del comité de crisis, pero tener una base redactada y preaprobada por legal ahorra horas en el momento más crítico. Estas dos estructuras breves sirven como punto de partida para la mayoría de empresas; adáptalas siempre a los hechos verificados de tu caso.

Si quieres disponer de un repertorio más amplio —versiones cortas, medias y largas, comunicados internos y respuestas tipo para redes sociales—, en este mismo artículo puedes descargar nuestras plantillas de comunicados de crisis, que incluyen escenarios aplicables a incidentes de ciberseguridad.

9. Canales y ritmo de actualizaciones

En un ciberataque, el canal también comunica. Y hay una dificultad añadida: es posible que la web, el correo o la plataforma de atención al cliente estén caídos o comprometidos. Por eso conviene prever canales alternativos y definir, desde el principio, un ritmo de actualizaciones que dé previsibilidad a todas las audiencias.

9.1. La cadencia como antídoto contra la ansiedad

Comprometerse a actualizar a una hora fija —por ejemplo, cada día a las 18:00— aunque no haya grandes novedades tiene un efecto tranquilizador enorme. Reduce la presión sobre atención al cliente, limita la especulación y demuestra que la empresa mantiene el control del proceso aunque no controle todavía todos los hechos. Una actualización que diga «seguimos restaurando sistemas, sin cambios relevantes respecto a ayer» es mucho mejor que el silencio.

10. Después del ataque: transparencia sobre las medidas

Que los sistemas vuelvan a funcionar no significa que la crisis haya terminado. Para clientes y socios, la pregunta pasa de «¿qué ha pasado?» a «¿por qué debería volver a confiar en vosotros?». La respuesta no está en un mensaje de relaciones públicas, sino en demostrar con hechos qué ha cambiado.

1. Comunicado de cierre
   Explica qué ocurrió (en el nivel de detalle que la seguridad permita), qué datos se vieron afectados finalmente, qué consecuencias ha tenido y qué se ha hecho por los afectados.
2. Medidas concretas y verificables
   No «hemos reforzado nuestra seguridad», sino «hemos implantado autenticación multifactor en todos los accesos, segmentado la red y contratado un servicio de vigilancia 24/7». La concreción es lo que da credibilidad.
3. Lecciones aprendidas, con humildad
   Reconocer lo que no funcionó en la respuesta, también en la comunicación, refuerza la percepción de seriedad. Las empresas que salen mejor paradas son las que no pretenden haberlo hecho todo bien.
4. Seguimiento a los afectados
   Mantén abierto el canal de atención durante semanas y comunica cualquier novedad relevante, como nuevos intentos de fraude que usen los datos filtrados.
5. Reconstrucción reputacional
   Revisa qué aparece al buscar tu marca junto a «ciberataque», «hackeo» o «filtración», y trabaja para que el relato completo —incluida la respuesta y las mejoras— sea lo que encuentren clientes y buscadores.

Este trabajo posterior tiene mucho en común con cualquier proceso de recuperación de la reputación después de una crisis: requiere constancia, coherencia entre lo que se dice y lo que se hace, y paciencia. La confianza perdida en un día tarda meses en recuperarse, pero se recupera cuando el cliente percibe que la empresa ha aprendido.

11. Prepararse antes del ataque: checklist y conclusiones

La mayoría de errores de comunicación en un ciberataque no se cometen por falta de talento, sino por falta de preparación. Cuando el ataque llega, ya es tarde para decidir quién se sienta en el comité, quién valida un comunicado o cómo se avisa a la plantilla si el correo no funciona. Esta checklist resume lo mínimo que toda empresa debería tener resuelto de antemano.

• Anexo específico de ciberataque dentro del protocolo de comunicación de crisis
• Comité de crisis definido con titulares y suplentes de IT, legal, comunicación y dirección
• Canal de coordinación fuera de banda y lista de contactos accesible sin los sistemas corporativos
• Procedimiento interno de evaluación de brechas y notificación en 72 horas, conocido por comunicación
• Plantillas preaprobadas: comunicado inicial, actualización, aviso a afectados, mensaje a empleados y a proveedores
• Portavoz designado y entrenado para preguntas difíciles sobre rescates, datos y responsabilidades
• Página de incidente preparada para activarse en un alojamiento independiente
• Inventario de datos sensibles y de documentos internos cuyo robo sería especialmente dañino
• Acuerdos previos con especialistas en respuesta a incidentes y en comunicación de crisis
• Al menos un simulacro anual que incluya la parte de comunicación, no solo la técnica

11.1. Conclusiones

Ninguna empresa puede garantizar que no sufrirá un ciberataque. Lo que sí puede garantizar es cómo responderá cuando ocurra. Y esa respuesta, más que el ataque en sí, es lo que determinará si los clientes se quedan o se van. La confianza no se rompe porque un grupo criminal haya conseguido entrar en tus sistemas; se rompe cuando el cliente siente que le ocultaste información, que minimizaste un riesgo real o que intentaste culpar a otros.

Las empresas que salen reforzadas de un ransomware comparten un patrón: comunicaron pronto, separaron con honestidad lo que sabían de lo que no, cumplieron sus obligaciones legales sin esconderse detrás de ellas, cuidaron primero a sus empleados y a los afectados, y después demostraron con hechos qué habían cambiado. No es una fórmula mágica, pero sí un método. Y como todo método, funciona mucho mejor si se ha ensayado antes de necesitarlo.

Si quieres saber cómo está preparada tu empresa para comunicar un incidente de ciberseguridad —y qué encontraría hoy un cliente o un periodista si buscara tu marca junto a la palabra «ciberataque»—, podemos ayudarte a revisar tu protocolo, tus mensajes y tu exposición digital. Nuestro servicio de gestión de crisis trabaja precisamente en ese terreno.

12. Preguntas frecuentes