adecuado

1) Aislar el equipo de la red

2)Obtener la mayor cantidad de datos del incidente

3) Analizar y buscar contener y buscar conexiones salientes sospechosas

4) Cambiar contraseñas

5) En le tenant, bloquear la cuenta que envió el correo

6) Informar a los otros empleados

7) Documentar el incidente

Es muy importante la objetividad ya que aún cuando se han ido sofisticando estas técnicas. Se ha tratado de concientizar a los empleados si tiene duda, no abrir y acudir con personal de soporte técnico y en caso de que suceda el equipo puede ponerse en cuarenta y realizar el análisis correspondiente

La mesa de ayuda, comparte la información necesaria en caso de identificar estos correos.

• Evaluar si hubo exfiltración de datos (especialmente si hay indicios de conexión con servidores externos).

• Verificar otros equipos en la red que pudieran haber sido afectados o vulnerables.

• Realizar pruebas de sandbox para análizar el comportamiento y patrones del malware

A nivel organizacional si hay un caso de un usuario que lo abrió se debe aislar el equipo de la red, cambiar contraseña del equipo, hacer un escaneo del equipo y de la red y verificar los accesos que ese usuario tiene en los diferentes sistemas.

2. Proporciona detalles: cuándo se detectó, qué sistemas están afectados, si hay mensajes de rescate,

3. Evaluar los daños y determinar que respaldo se cifraron y si se tienen respaldos fuera de sitio.

4. No pagar el rescate

5. Respaldar respaldos seguros

6. Limpiar y trabajar en la reconstrucción

7. Cambiar contraseñas y fortalecer la seguridad

8. Documentar el incidente

Notificación al CISO, reporte inicial

Realizar un escaneo al equipo

Existen software que te permite detectar el comportamiento y generar los indicadores compromiso

actualizar los indicadores compromiso en las herramientas de seguridad

realizar escaneo en la red

realizar un análisis forense

depende el equipo infiltrado se debe notificar a las diferentes regulaciones cnbv, banxico, estrategia digital, cómite de riesgos, de auditoría, dirección general)

el protocolo de respuesta a incidentes solicita el escaneo de vulnerabilidades en la infraestructura

2. Notificación

• Informar de inmediato a las áreas que podrían intervenir.

• Registrar el incidente: fecha, hora, usuario afectado, síntomas observados.

3. Análisis inicial

• Identificar el tipo de amenaza

• Determinar el alcance

4. Contención

• Aislar otros equipos sospechosos.

5. Eliminación y limpieza

• Ejecutar herramientas antivirus, antimalware o software especializado en desinfección.

6. Recuperación

• Restaurar los datos de respaldos verificados y actualizados.

7. Análisis forense

• Revisar registros de eventos, la red y archivos sospechosos para determinar el origen.

• Documentar los hallazgos y mejorar las medidas de seguridad.

8. Medidas preventivas posteriores

• Actualizar, sistemas operativos y aplicaciones.

• Capacitar al personal sobre buenas prácticas de ciberseguridad.

• Implementar filtros de correo y navegación más estrictos.

• Revisar y fortalecer las políticas de respaldo.

Por mi parte recomendaría usar navegadores actualizados, extensiones controladas, filtros DNS, políticas de navegación segura (como SmartScreen o listas blancas), y educar al usuario constantemente.