3. Quitar bots y webhooks desconocidos
En los ajustes del servidor, en Integraciones, revisa qué bots y webhooks hay. Quita cualquier bot que nadie del equipo haya invitado a propósito y elimina los webhooks que se crearon durante el ataque. A través de webhooks se puede seguir publicando spam incluso sin bot.
Rewind puede encargarse de esto por sí mismo desde el momento en que está activado. Con Quitar al instante bots con permisos peligrosos, Lizbot expulsa a un bot con permisos peligrosos que añada una cuenta no permitida y actúa contra esa cuenta. Con Retirar al instante los permisos peligrosos del incidente, Lizbot revierte los permisos que se añadieron durante el incidente.
Cómo detectar webhooks comprometidos y limitar el permiso para gestionarlos lo muestra la guía Webhook de Discord comprometido.
4. Cerrar el servidor
Mientras limpias, no deben entrar cuentas nuevas ni nadie debe seguir haciendo spam en los canales:
- En los ajustes del servidor, en Invitaciones, elimina los enlaces sospechosos o todos los activos. Si quieres, Rewind pausa automáticamente todas las invitaciones durante un incidente; para ello Lizbot necesita el permiso "Gestionar servidor".
/channel lockdown start sube temporalmente el nivel de verificación a Alto, por defecto durante 15 minutos, y con la opción minutos hasta 24 horas. Para esto Lizbot también necesita "Gestionar servidor"; /channel lockdown end termina el bloqueo antes de tiempo./channel lockall bloquea, tras una confirmación, todos los canales de texto para los miembros normales. /channel unlockall lo deshace.
Cómo actuar contra oleadas de entradas desde fuera lo explica en detalle la guía de protección contra raids.
5. Asegurar la cuenta robada
Mientras el atacante siga dentro de la cuenta del miembro del equipo, puede volver en cuanto alguien le devuelva los roles. Por eso la persona afectada debería, a ser posible desde un dispositivo limpio:
- cambiar su contraseña, si hace falta con "¿Has olvidado tu contraseña?" en la página de inicio de sesión
- en los ajustes de usuario, en Dispositivos, cerrar la sesión en todos los dispositivos que no reconozca
- activar o volver a configurar la autenticación en dos pasos
- en Aplicaciones autorizadas, quitar todo lo que no reconozca
- averiguar cómo pasó: una supuesta prueba de un juego, un código QR para "verificarse", un programa descargado
Si la persona ya no puede entrar en su cuenta, solo queda el soporte de Discord. Todos los pasos están en la guía sobre qué hacer con una cuenta de Discord hackeada. Devuélvele sus roles de equipo solo cuando vuelva a controlar su cuenta de forma segura.
6. Revisar los daños
Ahora que nadie sigue destruyendo, haz balance. Anota a partir del registro de auditoría lo que se eliminó o cambió: canales, roles, permisos, baneos, expulsiones, emojis. Discord solo guarda las entradas del registro de auditoría durante 45 días, así que en un incidente grande haz capturas de pantalla enseguida.
Lizbot te ayuda a revisarlo en dos sitios:
- Incidentes de Rewind: en el panel, en Moderación, pestaña Rewind, aparece cada incidente con un resumen, por ejemplo "8 canales eliminados, 3 roles eliminados, 14 baneos". Cada incidente incluye una instantánea de lo que la cuenta eliminó o cambió.
- Registros: si el módulo Registros estaba activo, en tus canales de registro encontrarás canales y roles eliminados y modificados, cambios de roles de miembros, baneos, expulsiones y borrados masivos de mensajes. En el plan Free los registros se guardan 14 días en el panel, en Pro 90 días y en Studio 365 días.
Revisa además el Registro de auditoría de Lizbot en el panel. Ahí aparece cada cambio en los ajustes de Lizbot, también si el atacante, por ejemplo, desactivó AutoMod o cambió un canal de registro.
7. Deshacer el incidente con Rewind (Pro)
Rewind es el camino más rápido de vuelta, si estaba activado antes del ataque. Debajo de la alerta en Discord y en cada incidente del panel encontrarás Deshacer. Lizbot vuelve a crear exactamente los canales y roles eliminados, con sus permisos y lo más cerca posible de su posición anterior, revierte los cambios de permisos y devuelve los roles retirados. Si quieres, Lizbot también elimina los canales, roles y webhooks creados durante el incidente.
Lizbot solo revoca baneos si lo pides expresamente: en Discord con Deshacer y desbanear, en el panel con la opción Desbanear a los usuarios baneados. Si a un incidente le falta algún detalle, Lizbot lo completa con la última copia de seguridad o, desde Pro, con las Instantáneas de estructura que Lizbot crea cada día en Pro y cada 6 horas en Studio.
Lo que ni siquiera Rewind puede hacer: los mensajes de los canales eliminados desaparecen en Discord y solo vuelven si una copia de seguridad los guardó. Los miembros expulsados tienen que volver a unirse por su cuenta. Los webhooks eliminados reciben URLs nuevas, así que tendrás que volver a configurar los servicios conectados. Lizbot no devuelve automáticamente los roles con permisos de equipo.
La detección, la contramedida, la alarma y la pausa de invitaciones están incluidas en todos los planes. Deshacer incidentes con exactitud está disponible desde Pro.
8. Restaurar con una copia de seguridad
Sin Pro o sin Rewind activado, te ayuda una copia de seguridad. Abre Copias de seguridad en el panel, elige la última copia anterior al ataque y haz clic en Restaurar. En Discord se hace con /server backup restore.
Elige el modo Solo lo que falta (en Discord fehlend). Vuelve a crear los roles y canales eliminados y no toca nada de lo que sigue en pie. Completa devuelve todo el servidor al estado de la copia y está pensada para una reconstrucción total, no para reparar después de un nuke.
Antes, sube el rol de Lizbot lo más arriba posible en la lista de roles. Lizbot no puede crear ni cambiar roles por encima de su rol más alto. En el plan Free puedes guardar 2 copias, en Pro 10 y en Studio 50. Desde Pro, Lizbot hace copias automáticas, y en Studio, si quieres, también guarda mensajes. Todos los detalles están en la guía Copia de seguridad del servidor de Discord.
Si no hay ninguna copia, queda reconstruirlo a mano. Una plantilla de servidor te puede dar una estructura básica lista para adaptar.
Si no tienes copia de seguridad, la guía Restaurar un canal o rol eliminado explica lo que todavía se puede salvar.
9. Revisar y revocar baneos
Un nuke suele ir a por los miembros activos y el equipo. En los ajustes del servidor abre la lista de Baneos y compárala con el registro de auditoría. Todo lo que baneó el atacante deberías revocarlo.
Si son muchos baneos, usa en Lizbot la Acción masiva: en el panel, en Casos, elige la acción Desbanear, pega hasta 200 IDs de usuario, una por línea o separadas por comas, indica un motivo como "Nuke del 24 de octubre" y confirma escribiendo la palabra "DESBANEAR". Para copiar IDs de usuario, activa en los ajustes de Discord, en Avanzado, el Modo de desarrollador, explicado paso a paso en la guía para copiar IDs de Discord.
A la inversa, la acción masiva con Banear sirve para las cuentas que entraron durante el ataque y participaron en el spam. Cada entrada se guarda como un caso propio con su motivo. Revocar un baneo no trae a nadie de vuelta automáticamente, porque un bot no puede invitar a nadie. Después, envía a las personas afectadas un enlace de invitación nuevo.
Cómo encontrar a los usuarios baneados en la lista de baneos y desbanearlos, también desde el móvil, lo muestra la guía Cómo desbanear a alguien en Discord.
10. Avisar a los miembros
El silencio genera inseguridad. En cuanto el servidor vuelva a estar en pie, publica un mensaje breve y objetivo en un canal de anuncios:
- qué ha pasado, sin detalles que sirvan de guía a imitadores
- que el servidor vuelve a ser seguro y qué se ha restaurado
- que nadie haga clic en enlaces del momento del ataque, si se enviaron mensajes de estafa
- que las personas baneadas han sido desbaneadas y cómo pueden volver
Si el atacante envió mensajes directos con enlaces de estafa a los miembros desde la cuenta robada, este aviso es especialmente importante. Reporta a Discord los mensajes de estafa que queden.
Lecciones del incidente
Un hackeo es molesto, pero muestra exactamente dónde estaba abierto tu servidor. Estos puntos cierran la mayoría de huecos:
- Dar permisos con moderación: administrador solo para una o dos personas. Los moderadores necesitan banear, expulsar y aislar temporalmente, pero no "Gestionar roles" ni "Gestionar servidor". Cómo es una estructura segura lo muestra la guía Configurar roles en Discord.
- 2FA obligatoria para la moderación: Discord puede exigir que todas las personas con permisos de moderación tengan activada la autenticación en dos pasos. Cómo activar la 2FA obligatoria para la moderación lo cuenta su propia guía.
- Activar Rewind: viene desactivado por defecto. Elige una Sensibilidad (Estricta, Normal o Relajada), una Contramedida contra la cuenta y un Canal de alertas. Activa Alertar también por el propietario del servidor, por si algún día roban tu propia cuenta. Cómo funciona la protección en detalle lo muestra la guía sobre la protección anti-nuke.
- Copias de seguridad periódicas: haz como mínimo una copia antes de cada reorganización, y desde Pro de forma automática.
- Revisar los bots: da a los bots solo los permisos que necesitan y añade los bots que hacen limpieza con regularidad en IDs de usuario permitidos, para que Rewind no los confunda con atacantes.
- Formar al equipo: quien sabe cómo son las pruebas de juegos falsas, los inicios de sesión con código QR y los regalos de Nitro, hace clic con menos frecuencia. Tienes consejos para tu equipo en la guía del equipo de moderación.
Lista de comprobación
- cuenta responsable encontrada y sin permisos
- bots y webhooks desconocidos quitados
- invitaciones eliminadas o pausadas, servidor bloqueado si hace falta
- cuenta robada con contraseña nueva, 2FA y dispositivos desconectados
- daños anotados a partir del registro de auditoría, los incidentes y los registros
- canales y roles recuperados con Rewind o una copia de seguridad
- baneos injustificados revocados
- miembros avisados
- Rewind activado, copia de seguridad al día
Errores comunes
- Reconstruir enseguida: mientras el atacante tenga permisos, lo vuelve a borrar todo. Primero frenar, luego limpiar.
- Devolver los roles demasiado pronto: si un miembro del equipo recupera sus roles antes de que su cuenta esté asegurada, el ataque empieza de nuevo.
- Completa en lugar de Solo lo que falta: el modo Completa elimina antes canales y roles. Después de un nuke casi siempre basta con Solo lo que falta.
- Rol de Lizbot demasiado abajo: entonces Lizbot no puede intervenir ni restaurar roles. El rol tiene que estar muy arriba.
- Pasar por alto bots desconocidos: un bot olvidado con permiso de administrador deja el servidor expuesto de nuevo al instante.
- Hacer la copia de seguridad después del ataque: entonces solo guarda el estado destruido.
