Desconecte el equipo de la red. Apagarlo destruye la memoria volátil, donde suele estar la mejor evidencia.
Ni archivos, ni cuentas, ni registros. Cada limpieza previa reduce lo que podremos reconstruir después.
Fotografíe lo que hay en pantalla y anote la hora exacta de cada observación. Sirve como línea de tiempo.
No conteste al atacante ni acepte plazos hasta que hablemos. La primera respuesta condiciona toda la negociación.