Hackearon el teléfono personal de un empleado y tiene datos de la empresa — ¿qué hacemos ya?

Hagan que el empleado ponga el teléfono en modo avión y saque la SIM ya mismo. El malware del SMS sospechoso puede estar leyendo SMS en segundo plano y robando los códigos de doble factor que llegan por mensaje. Si no cortan la transferencia de SMS con el operador, los restablecimientos de contraseña que hagan desde el ordenador también pueden verse comprometidos.

Revisen los permisos OAuth en su servidor de correo. El malware puede haber obtenido un token de API permanente a través del cliente de correo del dispositivo. Aunque cambien la contraseña, si en la lista de aplicaciones corporativas autorizadas (third-party apps) hay una que no reconocen, el acceso sigue activo.

Según el DSGVO, el reloj de las 72 horas para notificar empieza en el momento en que se detecta la violación. Revisen si en el pliego técnico hay datos personales y el contrato de protección de datos de la entidad pública que abrió la licitación. Si el riesgo es alto, deben abrir una notificación previa ante el delegado de protección de datos del estado federado (Landesdatenschutzbeauftragter).

El año pasado, en un caso parecido de phishing, le robaron la cuenta a uno de nuestros arquitectos. En las primeras 2 horas cerramos las sesiones y en la revisión de logs detectamos que solo se habían extraído 3 correos de la bandeja de entrada. Gastamos 1.400 EUR en un análisis forense externo pero la autoridad de datos no nos multó.

Checklist de las primeras 3 horas: 1) Aísla el dispositivo de la red (modo avión y sacar la SIM), 2) Cierra todas las sesiones desde el panel de administración y renueva contraseña/MFA, 3) Exporta los logs de descargas de la nube de las últimas 24 horas, 4) Avisa al resto de empleados de la empresa sobre la misma trampa del SMS.

¿En el dispositivo personal del empleado había un perfil de trabajo aparte (sandbox) para el correo de la empresa o estaba configurado directamente como IMAP en la app de correo nativa? ¿El dispositivo es Android o iOS? Estos detalles son clave para saber si los datos salieron o no.

¿También deberíamos cambiar la contraseña del wifi compartido de la oficina? pues el empleado estuvo ayer conectado a la red de la oficina con ese teléfono ¿puede haberse infectado algún otro ordenaor de ahí?

si no tienen política de byod no borren nunca el dispositivo entero en remoto. el año pasado un amigo borró por completo el teléfono de un empleado, el chaval fue al juzgado de lo social diciendo q había perdido las fotos de su boda y le dieron la razón.

No te olvides de: La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Lo dejo como nota, por si sirve.

No sabía eso.

Tengo una pregunta, no quiero desviarme del tema, pero... Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Eso es todo, disculpa si me he extendido demasiado.

Estoy en la misma situación, por eso pregunto. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

También me gustaría saber si alguien lo hace de otra manera.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Yo también tengo curiosidad. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Corrijanme si me equivoco.

Estoy de acuerdo. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Corrijanme si me equivoco.

Estoy totalmente de acuerdo. Si decidimos sin medir, siempre acabamos en el mismo punto.

No tengáis miedo de preguntar, quien no pregunta siempre paga más caro. Ánimo.

Voy a resumir el tema porque se han dado varias respuestas diferentes. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Corrijanme si me equivoco.

Estoy en la misma situación por eso pregunto. Empezad con una pequeña prueba no lo integréis todo de golpe.

Ánimo.