{"id":65,"date":"2026-10-27T21:45:38","date_gmt":"2026-10-27T21:45:38","guid":{"rendered":"https:\/\/calderongodoy.com\/blog\/ciberataques-hackeos-defensa-legal-tecnica\/"},"modified":"2026-10-27T21:45:38","modified_gmt":"2026-10-27T21:45:38","slug":"ciberataques-hackeos-defensa-legal-tecnica","status":"publish","type":"post","link":"https:\/\/calderongodoy.com\/blog\/ciberataques-hackeos-defensa-legal-tecnica\/","title":{"rendered":"Ciberataques y hackeos: c\u00f3mo defenderse legal y t\u00e9cnicamente (gu\u00eda 2026)"},"content":{"rendered":"\n<div style=\"background:#fff8d6;border-left:4px solid #FFD700;padding:14px 16px;border-radius:6px;margin:14px 0\"><strong>Respuesta r\u00e1pida:<\/strong> si tu empresa sufre un ciberataque, act\u00faa en dos frentes a la vez. <strong>T\u00e9cnicamente<\/strong>: a\u00edsla los equipos afectados sin apagarlos ni borrar nada, activa tu plan de respuesta, preserva las evidencias y recupera desde copias de seguridad limpias. <strong>Jur\u00eddicamente<\/strong>: valora si debes notificar la brecha a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos en <strong>72 horas<\/strong> (art. 33 RGPD) y a los afectados, cumple las obligaciones sectoriales (NIS, DORA o el Reglamento de Ciberresiliencia, seg\u00fan tu actividad), <strong>denuncia<\/strong> los hechos ante la Polic\u00eda Nacional o la Guardia Civil y protege tu posici\u00f3n frente a clientes, aseguradoras y autoridades. La prevenci\u00f3n \u2014doble factor de autenticaci\u00f3n, copias inmutables, parches, formaci\u00f3n y verificaci\u00f3n de pagos por un segundo canal\u2014 evita la mayor\u00eda de los ataques.<\/div>\n\n\n\n<p>Seg\u00fan el Ministerio del Interior, en 2025 se registraron en Espa\u00f1a <strong>488.426 ciberdelitos<\/strong>, un 5,1 % m\u00e1s que el a\u00f1o anterior, que suponen ya el <strong>19,8 %<\/strong> de toda la criminalidad conocida. Casi nueve de cada diez fueron fraudes inform\u00e1ticos, y los delitos de <strong>acceso e interceptaci\u00f3n il\u00edcita<\/strong> crecieron un 40,7 %. Ninguna empresa, por peque\u00f1a que sea, est\u00e1 a salvo: muchos ataques son automatizados y buscan cualquier vulnerabilidad. En esta gu\u00eda explicamos c\u00f3mo defenderse antes, durante y despu\u00e9s de un ataque, desde el punto de vista t\u00e9cnico y jur\u00eddico.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"ataques\">1. Los ataques m\u00e1s frecuentes<\/h2>\n\n\n\n<div style=\"overflow-x:auto\"><table style=\"border-collapse:collapse;width:100%;min-width:600px;font-size:.93rem\"><tr><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Ataque<\/th><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">C\u00f3mo funciona<\/th><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Delito habitual<\/th><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Ransomware<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Un programa malicioso cifra los sistemas y los datos; los atacantes piden un rescate y a menudo amenazan con publicar la informaci\u00f3n robada (doble extorsi\u00f3n).<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Da\u00f1os inform\u00e1ticos (art. 264 CP), extorsi\u00f3n (art. 243 CP), descubrimiento y revelaci\u00f3n de secretos (art. 197 CP).<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Phishing y spear phishing<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Correos, SMS o mensajes que suplantan a una entidad de confianza para obtener credenciales o instalar malware.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Estafa inform\u00e1tica (arts. 248 y 249 CP), acceso il\u00edcito (art. 197 bis CP).<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Fraude del CEO y compromiso del correo empresarial (BEC)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">El atacante accede al correo o lo suplanta y ordena pagos urgentes o cambia la cuenta bancaria de un proveedor.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Estafa (arts. 248 y siguientes CP).<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Robo de credenciales y toma de cuentas<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Reutilizaci\u00f3n de contrase\u00f1as filtradas o ataques de fuerza bruta contra accesos remotos, correo o banca.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Acceso il\u00edcito a sistemas (art. 197 bis.1 CP).<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Exfiltraci\u00f3n de datos<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Intrusi\u00f3n silenciosa para robar informaci\u00f3n confidencial, secretos empresariales o datos de clientes.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Descubrimiento y revelaci\u00f3n de secretos (arts. 197 y 278 y siguientes CP).<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Denegaci\u00f3n de servicio (DDoS)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Saturaci\u00f3n de la web o los servicios para dejarlos inoperativos.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Obstaculizaci\u00f3n de sistemas inform\u00e1ticos (art. 264 bis CP).<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Suplantaci\u00f3n de identidad en redes y WhatsApp<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Robo de la cuenta para pedir dinero a los contactos o da\u00f1ar la reputaci\u00f3n.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Estafa, acceso il\u00edcito y, en su caso, usurpaci\u00f3n de identidad.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">SIM swapping<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Duplicado fraudulento de la tarjeta SIM para recibir los c\u00f3digos de verificaci\u00f3n de la v\u00edctima.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Estafa inform\u00e1tica y acceso il\u00edcito.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Ataque interno<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Empleados o exempleados que acceden a sistemas o se llevan informaci\u00f3n.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Acceso il\u00edcito, revelaci\u00f3n de secretos, da\u00f1os inform\u00e1ticos.<\/td><\/tr><\/table><\/div>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"codigo-penal\">2. Qu\u00e9 dice el C\u00f3digo Penal<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Acceso il\u00edcito a sistemas<\/strong> (art. 197 bis.1 CP): acceder o facilitar el acceso a un sistema de informaci\u00f3n vulnerando las medidas de seguridad y sin autorizaci\u00f3n.<\/li>\n\n\n<li><strong>Interceptaci\u00f3n de transmisiones<\/strong> de datos inform\u00e1ticos (art. 197 bis.2 CP).<\/li>\n\n\n<li><strong>Producci\u00f3n o adquisici\u00f3n de herramientas<\/strong> para cometer estos delitos (art. 197 ter CP).<\/li>\n\n\n<li><strong>Da\u00f1os inform\u00e1ticos<\/strong>: borrar, da\u00f1ar, deteriorar, alterar o hacer inaccesibles datos o programas ajenos (art. 264 CP), y <strong>obstaculizar<\/strong> gravemente el funcionamiento de un sistema (art. 264 bis CP).<\/li>\n\n\n<li><strong>Estafa inform\u00e1tica<\/strong>, mediante manipulaci\u00f3n inform\u00e1tica o artificio semejante (art. 249 CP).<\/li>\n\n\n<li><strong>Descubrimiento y revelaci\u00f3n de secretos<\/strong> (art. 197 CP) y de <strong>secretos de empresa<\/strong> (arts. 278 a 280 CP).<\/li>\n\n\n<li><strong>Responsabilidad penal de la persona jur\u00eddica<\/strong>: las empresas pueden ser responsables de algunos de estos delitos si se cometen en su beneficio y sin un modelo de prevenci\u00f3n eficaz (arts. 31 bis, 197 quinquies y 264 quater CP). Esto afecta, por ejemplo, a la empresa cuyo empleado accede il\u00edcitamente a los sistemas de un competidor.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"respuesta\">3. Las primeras 72 horas: plan de respuesta<\/h2>\n\n\n\n<p>La forma de reaccionar en las primeras horas determina el da\u00f1o final, la posibilidad de recuperar la informaci\u00f3n y la posici\u00f3n jur\u00eddica de la empresa. Los frentes t\u00e9cnico y jur\u00eddico deben avanzar a la vez:<\/p>\n\n\n\n<div style=\"overflow-x:auto\"><table style=\"border-collapse:collapse;width:100%;min-width:600px;font-size:.93rem\"><tr><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Momento<\/th><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Actuaci\u00f3n t\u00e9cnica<\/th><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Actuaci\u00f3n jur\u00eddica<\/th><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Detecci\u00f3n (primera hora)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Activar el equipo de respuesta. Aislar de la red los equipos afectados <strong>sin apagarlos<\/strong>. Cambiar las credenciales de administraci\u00f3n desde un equipo limpio.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Avisar al abogado y a la aseguradora de ciberriesgos. Abrir un registro del incidente con horas y decisiones.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Contenci\u00f3n (primeras 24 horas)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Bloquear accesos remotos comprometidos, cuentas y conexiones sospechosas. Preservar registros (logs), memoria y discos.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Valorar si hay datos personales afectados y empezar a computar el plazo de 72 horas. Comunicar al banco cualquier pago fraudulento para intentar la retrocesi\u00f3n.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">An\u00e1lisis (24 a 48 horas)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Determinar el alcance, el vector de entrada y los datos afectados con apoyo de peritos forenses.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Decidir las notificaciones obligatorias (RGPD, NIS, DORA, Reglamento de Ciberresiliencia). Preparar la denuncia.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Recuperaci\u00f3n (48 a 72 horas)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Restaurar desde copias de seguridad verificadas. Corregir la vulnerabilidad antes de volver a conectar.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Notificar a la AEPD y, si hay alto riesgo, a los afectados. Presentar la denuncia. Gestionar la comunicaci\u00f3n con clientes y proveedores.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Despu\u00e9s<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Informe final, lecciones aprendidas y refuerzo de controles.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Reclamaciones a terceros responsables, gesti\u00f3n del siniestro con la aseguradora, defensa frente a reclamaciones y posibles expedientes sancionadores.<\/td><\/tr><\/table><\/div>\n\n\n\n<div style=\"background:#fdecea;border-left:4px solid #c0392b;padding:14px 16px;border-radius:6px;margin:14px 0\"><strong>No hagas esto:<\/strong> no apagues ni formatees los equipos, no borres correos ni mensajes, no contactes con los atacantes sin asesoramiento y no comuniques p\u00fablicamente detalles del incidente antes de conocer su alcance.<\/div>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"notificacion\">4. Obligaciones de notificaci\u00f3n<\/h2>\n\n\n\n<div style=\"overflow-x:auto\"><table style=\"border-collapse:collapse;width:100%;min-width:600px;font-size:.93rem\"><tr><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Norma<\/th><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Qui\u00e9n est\u00e1 obligado<\/th><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Qu\u00e9 y cu\u00e1ndo<\/th><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">RGPD, art. 33<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Cualquier empresa u organizaci\u00f3n que trate datos personales.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Notificar la brecha de seguridad a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos en un m\u00e1ximo de <strong>72 horas<\/strong> desde que se tenga constancia, salvo que sea improbable que suponga un riesgo para las personas.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">RGPD, art. 34<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">\u00cddem.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Comunicar la brecha a los <strong>afectados<\/strong> sin dilaci\u00f3n indebida cuando suponga un alto riesgo para sus derechos.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Real Decreto-ley 12\/2018 (NIS)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Operadores de servicios esenciales y proveedores de servicios digitales.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Notificar los incidentes significativos al CSIRT de referencia (INCIBE-CERT o CCN-CERT). La Ley de Coordinaci\u00f3n y Gobernanza de la Ciberseguridad, que trasladar\u00e1 la Directiva NIS2 y ampliar\u00e1 mucho el n\u00famero de empresas obligadas, sigue en tramitaci\u00f3n.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Reglamento DORA (UE) 2022\/2554<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Entidades financieras y sus proveedores cr\u00edticos de servicios TIC.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Clasificar y notificar los incidentes graves relacionados con las TIC a su supervisor en plazos de horas. Aplicable desde el 17 de enero de 2025.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Reglamento de Ciberresiliencia (UE) 2024\/2847<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Fabricantes de productos con elementos digitales comercializados en la UE.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Desde el <strong>11 de septiembre de 2026<\/strong>, notificar a ENISA y al CSIRT las vulnerabilidades explotadas activamente y los incidentes graves: alerta temprana en 24 horas, notificaci\u00f3n en 72 horas e informe final.<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Esquema Nacional de Seguridad<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Administraciones p\u00fablicas y sus proveedores.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Notificar los incidentes al CCN-CERT conforme al Real Decreto 311\/2022.<\/td><\/tr><\/table><\/div>\n\n\n\n<p>Adem\u00e1s, conviene comunicar el incidente a <strong>INCIBE-CERT<\/strong> (o llamar al <strong>017<\/strong>, la l\u00ednea de ayuda en ciberseguridad), aunque no sea obligatorio: ofrecen apoyo t\u00e9cnico gratuito y la comunicaci\u00f3n puede acreditar diligencia.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"denuncia\">5. La denuncia y la v\u00eda penal<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Denuncia:<\/strong> ante las unidades especializadas de la Polic\u00eda Nacional o la Guardia Civil, o directamente en el juzgado. Debe aportar una cronolog\u00eda, los indicadores t\u00e9cnicos del ataque y la documentaci\u00f3n disponible.<\/li>\n\n\n<li><strong>Querella:<\/strong> en ataques graves, personarse como acusaci\u00f3n particular permite impulsar la investigaci\u00f3n, pedir diligencias y reclamar la indemnizaci\u00f3n.<\/li>\n\n\n<li><strong>Cadena de custodia:<\/strong> las evidencias digitales deben obtenerse y conservarse de forma que pueda acreditarse su integridad, preferiblemente con un perito inform\u00e1tico forense y huellas digitales (<em>hash<\/em>) de cada archivo.<\/li>\n\n\n<li><strong>Conservaci\u00f3n de datos de terceros:<\/strong> los operadores de telecomunicaciones conservan determinados datos de tr\u00e1fico durante doce meses (Ley 25\/2007), a los que solo se accede con autorizaci\u00f3n judicial: actuar pronto es clave.<\/li>\n\n\n<li><strong>Dimensi\u00f3n internacional:<\/strong> muchos atacantes operan desde el extranjero. Existen instrumentos de cooperaci\u00f3n como el Convenio de Budapest sobre la Ciberdelincuencia y, en la UE, las \u00f3rdenes europeas de producci\u00f3n y conservaci\u00f3n de pruebas electr\u00f3nicas del Reglamento (UE) 2023\/1543.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"rescate\">6. \u00bfSe debe pagar el rescate?<\/h2>\n\n\n\n<p>En Espa\u00f1a no existe una prohibici\u00f3n general de pagar un rescate por ransomware, pero las autoridades recomiendan <strong>no hacerlo<\/strong>, y hay riesgos jur\u00eddicos serios:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>No hay garant\u00eda de recuperar los datos ni de que no se publiquen.<\/li>\n\n\n<li>Si los atacantes est\u00e1n sujetos a <strong>sanciones internacionales<\/strong> o vinculados a terrorismo, el pago puede constituir una infracci\u00f3n grave o un delito.<\/li>\n\n\n<li>Puede convertir a la empresa en objetivo de nuevos ataques.<\/li>\n\n\n<li>La aseguradora puede tener reglas propias sobre su cobertura.<\/li>\n<\/ul>\n\n\n\n<p>La decisi\u00f3n debe tomarse con asesoramiento jur\u00eddico, documentando el an\u00e1lisis, y nunca sustituye a la denuncia ni a las notificaciones obligatorias.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"responsabilidad\">7. La responsabilidad de la empresa atacada<\/h2>\n\n\n\n<p>Ser v\u00edctima de un ataque no exime de responsabilidad si la empresa no hab\u00eda adoptado medidas de seguridad adecuadas.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Frente a los afectados:<\/strong> el art. 82 RGPD permite reclamar los da\u00f1os materiales e inmateriales causados por una brecha. El TJUE (asunto C-340\/21, de 14 de diciembre de 2023) declar\u00f3 que una brecha no implica por s\u00ed sola que las medidas fueran inadecuadas, pero que corresponde al responsable <strong>probar<\/strong> que lo eran, y que el temor a un uso indebido de los datos puede constituir un da\u00f1o inmaterial.<\/li>\n\n\n<li><strong>Frente a la AEPD:<\/strong> sanciones por no aplicar medidas t\u00e9cnicas y organizativas apropiadas (art. 32 RGPD) o por no notificar a tiempo.<\/li>\n\n\n<li><strong>Frente a clientes y socios:<\/strong> responsabilidad contractual por incumplir compromisos de confidencialidad, seguridad o niveles de servicio.<\/li>\n\n\n<li><strong>Administradores:<\/strong> el deber de diligencia (art. 225 de la Ley de Sociedades de Capital) incluye hoy la gesti\u00f3n del riesgo tecnol\u00f3gico. NIS2 prev\u00e9 adem\u00e1s la responsabilidad expresa de los \u00f3rganos de direcci\u00f3n en la supervisi\u00f3n de la ciberseguridad.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"recuperar\">8. Recuperar el dinero en un fraude del CEO o BEC<\/h2>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Avisar al banco <strong>de inmediato<\/strong> para solicitar la retrocesi\u00f3n de la transferencia y que contacte con la entidad de destino; las primeras horas son decisivas.<\/li>\n\n\n<li>Denunciar y aportar la denuncia al banco para que pueda solicitar el bloqueo de los fondos.<\/li>\n\n\n<li>Si se trata de una operaci\u00f3n no autorizada, el banco debe devolverla salvo fraude o negligencia grave del cliente (Real Decreto-ley 19\/2018).<\/li>\n\n\n<li>Valorar las acciones frente al proveedor cuyo correo fue comprometido si incumpli\u00f3 sus deberes de seguridad, y frente al banco de destino si permiti\u00f3 abrir cuentas a los estafadores sin la diligencia debida.<\/li>\n<\/ol>\n\n\n\n<p>Hemos desarrollado este tema en nuestro art\u00edculo sobre <a href=\"\/blog\/estafas-criptoactivos-recuperar-dinero\/\">estafas con criptoactivos y c\u00f3mo recuperar el dinero<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"defensa-tecnica\">9. Defensa t\u00e9cnica: los controles que evitan la mayor\u00eda de los ataques<\/h2>\n\n\n\n<div style=\"overflow-x:auto\"><table style=\"border-collapse:collapse;width:100%;min-width:600px;font-size:.93rem\"><tr><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Control<\/th><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Qu\u00e9 evita<\/th><th style=\"background:#2c3e50;color:#fff;padding:10px;border:1px solid #e1e5e8;text-align:left\">Prioridad<\/th><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Autenticaci\u00f3n de doble factor (MFA) en correo, accesos remotos, banca y aplicaciones en la nube<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Toma de cuentas con contrase\u00f1as robadas.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Muy alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Copias de seguridad 3-2-1, con al menos una copia inmutable o desconectada, y pruebas peri\u00f3dicas de restauraci\u00f3n<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">P\u00e9rdida de datos y extorsi\u00f3n por ransomware.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Muy alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Actualizaciones y parches en sistemas, aplicaciones y dispositivos<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Explotaci\u00f3n de vulnerabilidades conocidas.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Muy alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Verificaci\u00f3n de pagos y cambios de cuenta por un segundo canal (llamada a un tel\u00e9fono conocido)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Fraude del CEO y del proveedor.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Muy alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Protecci\u00f3n de equipos con detecci\u00f3n y respuesta (EDR)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Ejecuci\u00f3n de malware y movimientos dentro de la red.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Principio de m\u00ednimo privilegio y cuentas de administrador separadas<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Que un solo acceso comprometa toda la empresa.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Segmentaci\u00f3n de la red<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Propagaci\u00f3n del ataque a todos los sistemas.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Autenticaci\u00f3n del dominio de correo (SPF, DKIM y DMARC)<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Suplantaci\u00f3n del correo de la empresa.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Formaci\u00f3n y simulacros de phishing<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Errores humanos, la puerta de entrada m\u00e1s com\u00fan.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Registro centralizado de actividad (logs) y alertas<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Ataques que pasan desapercibidos; permite la investigaci\u00f3n posterior.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Media-alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Gesti\u00f3n de proveedores y de la cadena de suministro<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Ataques que entran a trav\u00e9s de un tercero.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Media-alta<\/td><\/tr><tr><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Plan de respuesta a incidentes probado<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Improvisaci\u00f3n y decisiones err\u00f3neas en las primeras horas.<\/td><td style=\"padding:10px;border:1px solid #e1e5e8;vertical-align:top\">Alta<\/td><\/tr><\/table><\/div>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"defensa-juridica\">10. Defensa jur\u00eddica preventiva<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Pol\u00edticas internas<\/strong> de seguridad, uso de dispositivos, teletrabajo y control de accesos, comunicadas a la plantilla y respetuosas con la normativa laboral y de protecci\u00f3n de datos.<\/li>\n\n\n<li><strong>Modelo de prevenci\u00f3n de delitos<\/strong> que incluya los riesgos tecnol\u00f3gicos: reduce o excluye la responsabilidad penal de la empresa (art. 31 bis CP).<\/li>\n\n\n<li><strong>Contratos con proveedores<\/strong> tecnol\u00f3gicos con cl\u00e1usulas de seguridad, notificaci\u00f3n de incidentes, auditor\u00eda, encargo del tratamiento (art. 28 RGPD) y responsabilidad.<\/li>\n\n\n<li><strong>Seguro de ciberriesgos<\/strong> revisado por un abogado: coberturas, exclusiones, requisitos de seguridad exigidos y gesti\u00f3n del siniestro.<\/li>\n\n\n<li><strong>Protocolo de notificaci\u00f3n de brechas<\/strong> con responsables, plantillas y plazos.<\/li>\n\n\n<li><strong>Preparaci\u00f3n para NIS2:<\/strong> aunque la ley espa\u00f1ola a\u00fan no se ha aprobado, muchas empresas de sectores como energ\u00eda, transporte, salud, agua, infraestructuras digitales, fabricaci\u00f3n o alimentaci\u00f3n quedar\u00e1n obligadas. Anticiparse evita sanciones y mejora la seguridad.<\/li>\n\n\n<li><strong>Formaci\u00f3n de los administradores<\/strong> en sus obligaciones de supervisi\u00f3n del riesgo tecnol\u00f3gico.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"particulares\">11. Si eres un particular<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Si te han robado una cuenta (correo, redes sociales, WhatsApp), usa los procedimientos de recuperaci\u00f3n oficiales de cada plataforma, cambia las contrase\u00f1as y activa el doble factor.<\/li>\n\n\n<li>Avisa a tus contactos de que pueden recibir mensajes fraudulentos en tu nombre.<\/li>\n\n\n<li>Si te han sacado dinero, llama de inmediato a tu banco y denuncia.<\/li>\n\n\n<li>En casos de extorsi\u00f3n con im\u00e1genes \u00edntimas, no pagues, guarda las pruebas y denuncia; la l\u00ednea 017 de INCIBE ofrece ayuda gratuita.<\/li>\n\n\n<li>Revisa si tus datos aparecen en filtraciones conocidas y cambia las contrase\u00f1as reutilizadas.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"errores\">12. Errores frecuentes<\/h2>\n\n\n\n<ul class=\"wp-block-list\">\n<li>No tener copias de seguridad desconectadas o no haber probado nunca a restaurarlas.<\/li>\n\n\n<li>Apagar o reinstalar los equipos y destruir las evidencias.<\/li>\n\n\n<li>Dejar pasar las 72 horas sin decidir sobre la notificaci\u00f3n a la AEPD.<\/li>\n\n\n<li>Pagar a proveedores por un cambio de cuenta comunicado solo por correo electr\u00f3nico.<\/li>\n\n\n<li>Contratar un seguro de ciberriesgos sin leer los requisitos de seguridad que exige.<\/li>\n\n\n<li>No implicar al abogado hasta que llega una reclamaci\u00f3n o un expediente sancionador.<\/li>\n\n\n<li>Pensar que una empresa peque\u00f1a no es objetivo.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"preguntas\">Preguntas frecuentes<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfQu\u00e9 hago si mi empresa sufre un ataque de ransomware?<\/h3>\n\n\n\n<p>A\u00edsla los equipos afectados sin apagarlos, activa tu plan de respuesta, preserva las evidencias, avisa a tu abogado y a tu aseguradora, valora la notificaci\u00f3n a la AEPD en 72 horas si hay datos personales afectados, denuncia ante la Polic\u00eda Nacional o la Guardia Civil y restaura desde copias de seguridad limpias. No pagues el rescate sin asesoramiento.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfEs obligatorio notificar un ciberataque?<\/h3>\n\n\n\n<p>Si afecta a datos personales, hay que notificarlo a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos en 72 horas, salvo que sea improbable que suponga un riesgo, y a los afectados si el riesgo es alto (arts. 33 y 34 RGPD). Adem\u00e1s, hay obligaciones sectoriales para operadores esenciales (Real Decreto-ley 12\/2018), entidades financieras (DORA) y fabricantes de productos digitales (Reglamento de Ciberresiliencia, desde el 11 de septiembre de 2026).<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfQu\u00e9 delito comete quien hackea un sistema?<\/h3>\n\n\n\n<p>El acceso no autorizado a un sistema vulnerando sus medidas de seguridad es delito (art. 197 bis CP). Si adem\u00e1s se borran, da\u00f1an o cifran datos es un delito de da\u00f1os inform\u00e1ticos (art. 264 CP), y si se obtiene dinero mediante manipulaci\u00f3n inform\u00e1tica, una estafa inform\u00e1tica (art. 249 CP).<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfEs legal pagar un rescate por ransomware en Espa\u00f1a?<\/h3>\n\n\n\n<p>No existe una prohibici\u00f3n general, pero no se recomienda: no garantiza la recuperaci\u00f3n de los datos y puede ser ilegal si los atacantes est\u00e1n sujetos a sanciones internacionales o vinculados a terrorismo. La decisi\u00f3n debe tomarse con asesoramiento jur\u00eddico.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfPuede reclamarme un cliente si me roban sus datos?<\/h3>\n\n\n\n<p>S\u00ed. El art. 82 RGPD permite reclamar da\u00f1os materiales e inmateriales. Seg\u00fan el TJUE, una brecha no prueba por s\u00ed sola que las medidas fueran inadecuadas, pero la empresa debe demostrar que lo eran. Por eso es clave documentar las medidas de seguridad adoptadas.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfMe devuelve el banco el dinero de un fraude del CEO?<\/h3>\n\n\n\n<p>Depende. Si la transferencia la orden\u00f3 la propia empresa enga\u00f1ada, en principio es una operaci\u00f3n autorizada; por eso es decisivo avisar al banco en las primeras horas para intentar la retrocesi\u00f3n. Si la operaci\u00f3n no fue autorizada, el banco debe devolverla salvo fraude o negligencia grave del cliente.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfQu\u00e9 es la Directiva NIS2 y cu\u00e1ndo se aplicar\u00e1 en Espa\u00f1a?<\/h3>\n\n\n\n<p>Es la directiva europea que ampl\u00eda las obligaciones de ciberseguridad a muchas m\u00e1s empresas de sectores esenciales e importantes. En Espa\u00f1a se trasladar\u00e1 mediante la Ley de Coordinaci\u00f3n y Gobernanza de la Ciberseguridad, todav\u00eda en tramitaci\u00f3n; mientras tanto se aplica el Real Decreto-ley 12\/2018.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">\u00bfD\u00f3nde puedo pedir ayuda ante un ciberataque?<\/h3>\n\n\n\n<p>En la l\u00ednea gratuita 017 y en INCIBE-CERT del Instituto Nacional de Ciberseguridad, en las unidades de ciberdelincuencia de la Polic\u00eda Nacional y la Guardia Civil, y con abogados y peritos forenses especializados.<\/p>\n\n\n\n<div style=\"background:#fff8d6;border-left:4px solid #FFD700;padding:14px 16px;border-radius:6px;margin:14px 0\">\u00bfTu empresa ha sufrido un ciberataque o quieres prepararse? Escr\u00edbenos a <a href=\"mailto:contacto@calderongodoy.com\">contacto@calderongodoy.com<\/a> o por <a href=\"https:\/\/wa.me\/34622006467\" rel=\"nofollow\">WhatsApp<\/a>. Coordinamos la respuesta jur\u00eddica (notificaciones, denuncia, aseguradora, reclamaciones) con peritos forenses, y dise\u00f1amos programas de prevenci\u00f3n y compliance tecnol\u00f3gico. Atenci\u00f3n presencial en Sevilla y online en toda Espa\u00f1a.<\/div>\n\n\n\n<p><em>Juan Manuel Calder\u00f3n Godoy, abogado (ICAS n\u00ba 7.291). Art\u00edculo informativo y general, actualizado a 27 de octubre de 2026; no sustituye el asesoramiento jur\u00eddico ni t\u00e9cnico en cada caso.<\/em><\/p>\n\n\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"BlogPosting\",\"headline\":\"Ciberataques y hackeos: c\u00f3mo defenderse legal y t\u00e9cnicamente (gu\u00eda 2026)\",\"inLanguage\":\"es-ES\",\"datePublished\":\"2026-10-27\",\"dateModified\":\"2026-10-27\",\"author\":{\"@type\":\"Person\",\"name\":\"Juan Manuel Calder\u00f3n Godoy\",\"jobTitle\":\"Abogado\",\"memberOf\":{\"@type\":\"Organization\",\"name\":\"Ilustre Colegio de Abogados de Sevilla\"}},\"publisher\":{\"@type\":\"LegalService\",\"name\":\"calderongodoy.com\",\"url\":\"https:\/\/calderongodoy.com\/\",\"logo\":\"https:\/\/calderongodoy.com\/img\/logo.jpg\"},\"about\":[\"Ciberataques\",\"Ransomware\",\"Ciberdelitos\",\"Brechas de seguridad\",\"Ciberseguridad empresarial\"],\"citation\":[\"C\u00f3digo Penal, arts. 197, 197 bis, 249, 264, 264 bis, 31 bis\",\"RGPD, arts. 32 a 34 y 82\",\"Real Decreto-ley 12\/2018\",\"Reglamento (UE) 2022\/2554 (DORA)\",\"Reglamento (UE) 2024\/2847 (Ciberresiliencia)\",\"TJUE C-340\/21, de 14 de diciembre de 2023\",\"Ministerio del Interior, Informe sobre la Cibercriminalidad en Espa\u00f1a 2025\"]},{\"@type\":\"HowTo\",\"name\":\"C\u00f3mo responder a un ciberataque en las primeras 72 horas\",\"step\":[{\"@type\":\"HowToStep\",\"position\":1,\"name\":\"Detecci\u00f3n: activar el equipo, aislar sin apagar y avisar al abogado y la aseguradora\"},{\"@type\":\"HowToStep\",\"position\":2,\"name\":\"Contenci\u00f3n: bloquear accesos y preservar evidencias\"},{\"@type\":\"HowToStep\",\"position\":3,\"name\":\"An\u00e1lisis: determinar alcance y decidir notificaciones\"},{\"@type\":\"HowToStep\",\"position\":4,\"name\":\"Recuperaci\u00f3n: restaurar desde copias limpias, notificar y denunciar\"},{\"@type\":\"HowToStep\",\"position\":5,\"name\":\"Despu\u00e9s: informe final, reclamaciones y refuerzo de controles\"}]},{\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"\u00bfQu\u00e9 hago si mi empresa sufre un ataque de ransomware?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"A\u00edsla los equipos afectados sin apagarlos, activa tu plan de respuesta, preserva las evidencias, avisa a tu abogado y a tu aseguradora, valora la notificaci\u00f3n a la AEPD en 72 horas si hay datos personales afectados, denuncia ante la Polic\u00eda Nacional o la Guardia Civil y restaura desde copias de seguridad limpias. No pagues el rescate sin asesoramiento.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfEs obligatorio notificar un ciberataque?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Si afecta a datos personales, hay que notificarlo a la Agencia Espa\u00f1ola de Protecci\u00f3n de Datos en 72 horas, salvo que sea improbable que suponga un riesgo, y a los afectados si el riesgo es alto (arts. 33 y 34 RGPD). Adem\u00e1s, hay obligaciones sectoriales para operadores esenciales (Real Decreto-ley 12\/2018), entidades financieras (DORA) y fabricantes de productos digitales (Reglamento de Ciberresiliencia, desde el 11 de septiembre de 2026).\"}},{\"@type\":\"Question\",\"name\":\"\u00bfQu\u00e9 delito comete quien hackea un sistema?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"El acceso no autorizado a un sistema vulnerando sus medidas de seguridad es delito (art. 197 bis CP). Si adem\u00e1s se borran, da\u00f1an o cifran datos es un delito de da\u00f1os inform\u00e1ticos (art. 264 CP), y si se obtiene dinero mediante manipulaci\u00f3n inform\u00e1tica, una estafa inform\u00e1tica (art. 249 CP).\"}},{\"@type\":\"Question\",\"name\":\"\u00bfEs legal pagar un rescate por ransomware en Espa\u00f1a?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"No existe una prohibici\u00f3n general, pero no se recomienda: no garantiza la recuperaci\u00f3n de los datos y puede ser ilegal si los atacantes est\u00e1n sujetos a sanciones internacionales o vinculados a terrorismo. La decisi\u00f3n debe tomarse con asesoramiento jur\u00eddico.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfPuede reclamarme un cliente si me roban sus datos?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"S\u00ed. El art. 82 RGPD permite reclamar da\u00f1os materiales e inmateriales. Seg\u00fan el TJUE, una brecha no prueba por s\u00ed sola que las medidas fueran inadecuadas, pero la empresa debe demostrar que lo eran. Por eso es clave documentar las medidas de seguridad adoptadas.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfMe devuelve el banco el dinero de un fraude del CEO?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Depende. Si la transferencia la orden\u00f3 la propia empresa enga\u00f1ada, en principio es una operaci\u00f3n autorizada; por eso es decisivo avisar al banco en las primeras horas para intentar la retrocesi\u00f3n. Si la operaci\u00f3n no fue autorizada, el banco debe devolverla salvo fraude o negligencia grave del cliente.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfQu\u00e9 es la Directiva NIS2 y cu\u00e1ndo se aplicar\u00e1 en Espa\u00f1a?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Es la directiva europea que ampl\u00eda las obligaciones de ciberseguridad a muchas m\u00e1s empresas de sectores esenciales e importantes. En Espa\u00f1a se trasladar\u00e1 mediante la Ley de Coordinaci\u00f3n y Gobernanza de la Ciberseguridad, todav\u00eda en tramitaci\u00f3n; mientras tanto se aplica el Real Decreto-ley 12\/2018.\"}},{\"@type\":\"Question\",\"name\":\"\u00bfD\u00f3nde puedo pedir ayuda ante un ciberataque?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"En la l\u00ednea gratuita 017 y en INCIBE-CERT del Instituto Nacional de Ciberseguridad, en las unidades de ciberdelincuencia de la Polic\u00eda Nacional y la Guardia Civil, y con abogados y peritos forenses especializados.\"}}]}]}<\/script>\n\n\n","protected":false},"excerpt":{"rendered":"<p>Gu\u00eda para empresas y particulares frente a ciberataques, ransomware, phishing y fraude del CEO: delitos del C\u00f3digo Penal, plan de respuesta en 72 horas, obligaciones de notificaci\u00f3n (RGPD, NIS, DORA, Ciberresiliencia), denuncia, rescates, responsabilidad y controles t\u00e9cnicos de prevenci\u00f3n.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[11],"tags":[],"class_list":["post-65","post","type-post","status-publish","format-standard","hentry","category-delitos-economicos","entry"],"_links":{"self":[{"href":"https:\/\/calderongodoy.com\/blog\/wp-json\/wp\/v2\/posts\/65","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/calderongodoy.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/calderongodoy.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/calderongodoy.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/calderongodoy.com\/blog\/wp-json\/wp\/v2\/comments?post=65"}],"version-history":[{"count":0,"href":"https:\/\/calderongodoy.com\/blog\/wp-json\/wp\/v2\/posts\/65\/revisions"}],"wp:attachment":[{"href":"https:\/\/calderongodoy.com\/blog\/wp-json\/wp\/v2\/media?parent=65"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/calderongodoy.com\/blog\/wp-json\/wp\/v2\/categories?post=65"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/calderongodoy.com\/blog\/wp-json\/wp\/v2\/tags?post=65"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}