Retainer de soporte: pack de incidente de seguridad / compromiso de credenciales (con IA)

Cuando un cliente con retainer de soporte reenvía un “creemos que nos hackearon”, un inicio de sesión desde un país nuevo o una contraseña que apareció en un informe de filtraciones, no estás ante un P1 urgente clásico (web caída) ni ante una ventana de mantenimiento planificada. Estás en un incidente de seguridad: contener primero, comunicar con cuidado, rotar credenciales con trazabilidad y conservar evidencias sin convertir el ticket en teatro.

Este pack ofrece a autónomos y agencias pequeñas un flujo repetible con ChatGPT (triaje HECHO vs SUPOSICIÓN), un Google Doc de Brief de Incidente de Seguridad de una página y Gmail secuenciado—para que las horas del retainer tengan foco y el cliente tenga claridad por escrito.

Qué es (y qué no es)

Sí es: sospecha de compromiso de credenciales, clic en phishing, sesión admin anómala o contraseña filtrada con retainer activo.

No es: la retrospectiva post-incidente tras una caída mayor (usa esa guía cuando el servicio esté estable), la escalación a proveedor cuando el SaaS es dueño del arreglo, ni el pack de cambio de contacto principal. Enlaza esas guías si el incidente crece.

Antes de empezar (5 minutos)

1. Confirma que el retainer incluye respuesta de seguridad (o acuerda bloque puntual facturable).
2. Identifica sistemas: identidad (Google/Microsoft), hosting, CRM, pagos, buzones compartidos, API keys.
3. Carpeta fechada Cliente-Incidente-Seguridad-AAAA-MM-DD; exportaciones en solo lectura—sin secretos en el cuerpo del correo.

Paso 1 — Triaje HECHO vs SUPOSICIÓN

Pega en ChatGPT el mensaje del cliente, texto de alerta o export de inicios de sesión:

Eres asistente de triaje de incidentes IT para pyme. Separa HECHO (dato observado) y SUPOSICIÓN (interpretación). Lista acciones de contención seguras sin destruir evidencia. Señala lo que requiera legal o seguro. Solo viñetas; sin dramatismo.

Revisa tú las SUPOSICIONES. Los clientes mezclan “clic en enlace” con “perdimos todo”. Tu trabajo es nombrar lo verificado.

Paso 2 — Contener sin adivinar

Checklist mínimo (adapta al stack):

• Cerrar sesiones de cuentas afectadas.
• Deshabilitar o resetear contraseñas; nuevos secretos en gestor de contraseñas.
• Revocar y reemitir API keys, OAuth y webhooks vinculados.
• Activar o verificar MFA en cuentas admin.
• Conservar logs: exportar inicios de sesión, auditoría y reglas de correo antes de limpiar.
• Si hay reenvíos de correo sospechosos, elimínalos y documenta el texto de la regla en el brief.

No borres dispositivos ni buzones hasta documentar alcance—muchas pymes necesitan evidencia para el seguro.

Paso 3 — Brief de Incidente (Google Doc)

Título: Brief Incidente Seguridad — [Cliente] — [Fecha]. Secciones:

1. Resumen — un párrafo, solo HECHOS.
2. Cronología — UTC y hora local del cliente.
3. Alcance — cuentas, apps, datos (marca desconocidos).
4. Contención realizada — quién, qué, cuándo.
5. Lista de rotación — pendiente vs hecho.
6. Acciones del cliente — p. ej. avisar a nómina si había datos bancarios en el buzón.
7. Preguntas abiertas — tickets vendor, legal, siniestro cyber.
8. Registro de comunicación — enlaces a hilos Gmail.

Comparte solo lectura con el contacto principal; edición en tu lado hasta cerrar.

Flujo de punta a punta

Paso 4 — Secuencia Gmail (lista para copiar)

Correo 1 — Aviso (≤2 h tras señal confirmada)

Asunto: [Acción] Incidente de seguridad — contención en curso — [Cliente]

Qué sabemos (HECHO), qué hacemos ahora, qué necesitamos (p. ej. último login legítimo), enlace al Doc, contacto único.

Correo 2 — Acción requerida (mismo día)

Rotaciones que debe hacer el cliente (banco, email personal reutilizado, redes). Plazo y slot de llamada 15 min.

Correo 3 — Todo claro (tras verificación)

Asunto: Incidente cerrado — verificación completa — [Cliente]

Rotaciones hechas, monitorización 7 días, una lección (MFA admin). Apunta a la fila de revisión mensual del retainer.

Paso 5 — Verificar antes del “todo claro”

• Sin usuarios admin ni reglas de correo desconocidas.
• MFA en cuentas privilegiadas.
• Lista de rotación completada con fechas.
• Cliente reconoce el brief por escrito (respuesta vale).

Si falla la verificación, vuelve a contención—no envíes cierre solo para cortar correos.

Paso 6 — Higiene del retainer

Fila en la revisión mensual: fecha, categoría (phishing, reutilización de clave, brecha vendor), horas, acción preventiva. Si hubo caída de servicio, enlaza la guía de retrospectiva post-incidente.

Consejos prácticos

• Factura con transparencia: la seguridad consume retainer; anota horas de incidente en el pie del brief.
• Evita nombrar atacantes en comunicaciones; quédate en hechos observables.
• Escala pronto si hay datos de pago o salud—el doc debe decir “legal avisado”, no diagnosticar cumplimiento.

Con esto tienes un camino visible para el cliente, de la sospecha a la recuperación verificada, sin mezclar respuesta de seguridad con un ticket genérico de caída.