Qué aprenderás en esta guía

Una alerta de Kaduu que detecta credenciales ejecutivas filtradas en la Dark Web no es el final del trabajo: es el disparador de un proceso. La diferencia entre una organización madura y una reactiva no está en la calidad de la detección, sino en lo que ocurre en los minutos y horas posteriores a que la alerta llega a la bandeja de entrada. Esta guía operativa está pensada para equipos de seguridad corporativa y de Comunicación/PR que necesitan un playbook de escalado interno claro, repetible y auditable una vez que Kaduu —el módulo de Darkweb Risk & Digital Reputation Intelligence del Multiply Suite de Wayland— ha hecho su trabajo de detección.

Este artículo es complementario a la configuración técnica de las alertas: aquí no hablamos de cómo activar los módulos de monitorización, sino de qué hacer exactamente cuando una alerta ya ha saltado. El objetivo es que triaje, notificación legal, activación del Comité de Crisis y comunicación ejecutiva dejen de improvisarse y pasen a ejecutarse como cualquier otro proceso crítico de la compañía.

Requisitos previos

Antes de construir el playbook de escalado, tu organización debería tener ya:

Kaduu configurado con el perímetro de monitorización definido (identidades ejecutivas, dominios, marcas registradas).
Un listado actualizado de los miembros del Comité de Crisis con sus datos de contacto.
Roles asignados para Comunicación Interna, Oficina de Comunicación, RR.HH., Seguridad y Dirección General.
Un canal predefinido (email, Slack, teléfono) para la recepción de alertas de Nivel Amarillo y Rojo.

Paso 1: Recibir y registrar la alerta

En cuanto Kaduu genera una alerta, el primer movimiento no es reaccionar: es documentar. La Oficina de Comunicación debe recopilar y analizar la información disponible —medios de comunicación, redes sociales y otras fuentes— antes de tomar ninguna decisión. Este paso de recopilación es el que da contexto real a la alerta técnica: qué credencial ha aparecido, en qué entorno, y si existe ya conversación pública relacionada.

En paralelo, designa a un responsable —normalmente el Secretario del Gabinete o de la Oficina de Comunicación— cuya única función en esta fase sea anotar hechos y decisiones. Anotar hechos y decisiones es una responsabilidad explícita dentro de la constitución del Gabinete de Comunicación en situaciones de crisis. Sin este registro, cualquier investigación posterior —legal, de auditoría o de comunicación— carece de trazabilidad.

Nota: No confundas velocidad con precipitación. Este paso debe completarse en minutos, no en horas, pero su objetivo es tener datos suficientes para clasificar correctamente la alerta en el Paso 2.

Paso 2: Clasificar el riesgo (Verde / Amarillo / Rojo)

Toda alerta de Kaduu debe pasar por un marco de clasificación de tres niveles que determina automáticamente qué tipo de respuesta corresponde, eliminando la ambigüedad en el momento de mayor presión:

Nivel Verde: impacto limitado sobre los grupos de interés, sin efectos graves sobre el entorno, las personas o la reputación. Respuesta reactiva: se registra el incidente y se programa una revisión periódica.
Nivel Amarillo: consecuencias graves sobre la reputación de la compañía, con impacto moderado o significativo sobre los grupos de interés. Respuesta combinada proactiva/reactiva: se informa a Dirección General cuando procede y se convoca al Comité de Crisis.
Nivel Rojo: consecuencias muy graves, con impacto muy alto sobre los grupos de interés. Respuesta exclusivamente proactiva: se activa de inmediato el protocolo de actuación completo.

Este marco no es un añadido burocrático: es lo que permite que el equipo de seguridad no tenga que decidir en caliente cómo reaccionar cada vez que aparece una credencial filtrada. Cada nivel tiene una ruta de escalado predeterminada, y esa predeterminación es la que ahorra las horas críticas que separan la contención de la crisis mediática.

Paso 3: Activar la cadena de avisos y localización de responsables

Una vez clasificada la alerta como Amarilla o Roja, el sistema de escalado debe activarse sin fricciones. Esto exige tener preparado de antemano un documento operativo con los datos de contacto de quienes deben intervenir. El protocolo contempla la participación del Director General cuando proceda, además de algún responsable adicional en función del tipo de emergencia, y exige preparar un documento con nombres y teléfonos de contacto.

El Plan de Gestión de la Crisis que sostiene este paso contempla fases concretas y secuenciales: detección del incidente, escalada de avisos —personas y maneras de localización—, evaluación del incidente, decisión y activación de planes, convocatoria del Comité de Crisis, gestión de la crisis y activación de los planes correspondientes.

a. Escalada de avisos. Identifica y localiza de inmediato a las personas que deben ser informadas, según los canales de contacto ya documentados.

b. Evaluación del incidente. Contrasta la clasificación inicial (Paso 2) con la información recopilada para confirmar el nivel de gravedad.

c. Decisión y activación de planes. Sobre la base de la evaluación, se decide formalmente qué plan se activa: seguimiento interno, convocatoria del Comité o protocolo de actuación completo.

Paso 4: Convocar el Comité de Crisis

Para alertas de Nivel Amarillo o Rojo, la convocatoria del Comité de Crisis es un paso no negociable. La estructura de este comité asigna responsabilidades claras a cada función dentro de la organización:

Constituir el Gabinete de Comunicación: participan la Dirección de Marketing/Gabinete, la Oficina de Comunicación, Tienda/Zona, RR.HH., Seguridad y Dirección General.
Dar instrucciones oportunas (a centralita, empleados, Community Manager, grandes clientes): responsabilidad de la Dirección del Gabinete o del responsable de Comunicación Interna o RR.HH.
Valorar el envío de un comunicado o publicación en redes: corresponde a la Dirección del Gabinete, el Secretario y la Oficina de Comunicación.
Coordinar la información hacia audiencias internas y externas, incluidos grandes clientes: tarea conjunta de la Oficina de Comunicación, la Dirección del Gabinete y la Dirección de Tienda/Zona/Comercial.
Preparar intervenciones externas: responsabilidad de la Dirección del Gabinete, el portavoz de la compañía y el Secretario/Oficina.

Estas responsabilidades forman parte de la constitución formal del Gabinete de Comunicación en situaciones de crisis, y deben ejecutarse en el orden establecido para evitar mensajes contradictorios o decisiones tomadas sin la autoridad adecuada.

En cada punto del proceso, el Comité debe valorar explícitamente si la crisis se disuelve o si escala al siguiente nivel. Esta evaluación continua —y no una decisión única al principio— es lo que permite ajustar la respuesta a medida que la situación evoluciona, hasta llegar, si es necesario, a valorar la convocatoria de una rueda de prensa.

Paso 5: Preparar y coordinar la comunicación externa

Si la gravedad del hallazgo lo justifica, entra en juego la preparación de intervenciones externas: comunicados, publicaciones en redes o declaraciones de portavoces. Aquí la velocidad es determinante. Si se va a emitir una respuesta en redes sociales, debe producirse dentro de las primeras 24-48 horas para ser relevante.

Esto significa que el trabajo de los pasos anteriores —clasificación rápida, localización de responsables, convocatoria ágil del Comité— no es solo buena práctica operativa: es la condición necesaria para poder cumplir esta ventana de respuesta. Un Comité que tarda en reunirse porque los contactos no estaban centralizados llega tarde a esta ventana, independientemente de lo bien diseñado que esté el resto del protocolo.

Al preparar cualquier comunicado, ten en cuenta el contexto de la conversación pública. Es importante entender el volumen de conversación sobre un tema en relación con la conversación general de ese asunto, ya que una alerta técnica de gravedad moderada puede generar una desproporción mediática si no se contextualiza adecuadamente en el mensaje.

Paso 6: Gestionar la conversación pública y la reacción de audiencias

Si la filtración detectada por Kaduu deriva en comentarios, quejas o menciones negativas en redes sociales, el protocolo de gestión de contenido y reputación online se activa en paralelo a la respuesta legal y ejecutiva:

Monitorizar el perfil de los usuarios implicados y clasificarlos si son recurrentes en este tipo de situaciones.
Valorar si responder públicamente, reservando la respuesta directa solo para casos excepcionales.
Borrar los comentarios ofensivos y ocultar los negativos que no requieran eliminación.
Buscar de forma proactiva si existen quejas relacionadas en otras publicaciones, mensajes privados u otras redes.
Recoger todos los comentarios negativos en un informe, incluyendo capturas de pantalla de los comentarios ofensivos antes de proceder a su eliminación.

Este registro documental cumple una doble función: sirve como evidencia para el equipo legal si la situación deriva en acciones de suplantación de identidad o fraude, y alimenta el informe de evaluación posterior a la crisis.

Paso 7: Evaluar, cerrar y documentar (poscrisis)

Ninguna crisis —resuelta o contenida— termina cuando cesa la actividad. La evaluación y el seguimiento poscrisis son responsabilidad conjunta de la Dirección del Gabinete, el Secretario y la Oficina de Comunicación, y deben ejecutarse de forma sistemática tras cualquier activación del protocolo, sin importar el nivel de gravedad alcanzado.

Este cierre formal debe responder a tres preguntas: ¿la clasificación inicial (Verde/Amarillo/Rojo) fue correcta a la luz de cómo evolucionó el incidente? ¿La cadena de avisos funcionó sin fricciones o hubo demoras en localizar a algún responsable? ¿Qué ajustes necesita el perímetro de monitorización de Kaduu o el documento de contactos del Comité de Crisis a raíz de lo aprendido?

Buenas prácticas para sostener el playbook en el tiempo

Mantén el documento de contactos siempre actualizado. La convocatoria del Comité de Crisis depende de tener nombres y teléfonos accesibles en el momento exacto en que se necesitan, no de tener que buscarlos bajo presión.
Ensaya la escalada, no solo la detección. Simular la recepción de una alerta y practicar la cadena completa —clasificación, aviso, convocatoria, comunicado— revela cuellos de botella que no aparecen en la teoría.
Contextualiza siempre el volumen de conversación. Antes de redactar cualquier respuesta pública, compara el volumen de conversación sobre el incidente con el volumen habitual del tema para calibrar la magnitud real del riesgo reputacional.
Cierra el ciclo con brand safety y liderazgo. Cualquier situación de crisis debe ponerse en conocimiento de los equipos de Brand Safety y del liderazgo relevante tan pronto como sea posible, ya que su perspectiva debe formar parte de cada decisión que se tome durante el proceso.
Trata el informe de comentarios negativos como activo legal. Las capturas de pantalla y los informes recopilados durante la gestión de redes sociales pueden ser determinantes si el incidente deriva en una investigación o en una notificación legal formal.

Solución de problemas comunes

“La alerta llegó, pero nadie sabía a quién avisar primero.” Esto indica que el documento de contactos del Comité de Crisis no estaba preparado con antelación. Su elaboración debe ser un requisito previo, no una tarea que se improvisa tras la primera alerta real.

“El Comité se reunió, pero no había consenso sobre la gravedad.” Esto suele señalar que la clasificación Verde/Amarillo/Rojo no se aplicó de forma sistemática en el Paso 2. La evaluación del incidente debe completarse antes de la convocatoria, no durante ella.

“El comunicado se emitió, pero fuera de la ventana de 24-48 horas.” Revisa en qué paso se produjo el cuello de botella: normalmente está en la escalada de avisos o en la localización de portavoces, no en la redacción del mensaje en sí.

Resumen

Una alerta de Kaduu es el punto de partida de un proceso de gestión de riesgo, no el final. El valor real de la detección temprana en la Dark Web se materializa cuando existe un playbook de escalado interno que conecta, sin fricciones, la clasificación del riesgo, la convocatoria del Comité de Crisis, la comunicación ejecutiva y el cierre documentado poscrisis. Wayland, a través de Kaduu dentro del Multiply Suite, no solo detecta: acompaña a los equipos de seguridad y comunicación en la construcción de este proceso completo de detección a resolución, como se observa en este caso de estudio sobre la prevención de crisis de PR mediante la detección de credenciales filtradas, con la misma disciplina operativa que cualquier otro sistema crítico de la compañía.

Cómo crear un protocolo interno de escalado cuando salta una alerta de Kaduu en la Dark Web