A túa empresa recibe unha alerta de credenciais expostas: como investigala

O provedor que vos vixía as filtracións manda unha alerta: persoa@empresa.example, cun contrasinal e a URL do portal corporativo, marcada como «recente». Alguén ten que decidir se é un incidente, unha filtración antiga que volve circular ou algo intermedio, e case nunca ten todos os datos para facelo. Por «provedor» refírome ao servizo que che manda estas alertas: ás veces vén incluído no antivirus, outras no paquete do teu provedor informático, e outras contrátase á parte.

Que significa cada tipo de alerta e como ler as súas datas contámolo en O teu correo aparece na dark web. Aquí vai o que eu faría despois, xa dentro da empresa.

Que podemos comprobar dun anuncio de venda

Ás veces a alerta trae a captura dun anuncio e unha mostra dos datos. O vendedor pode presumir de ter a base de datos completa ou acceso de administrador, pero a mostra só permite comprobar unha parte: nin o volume nin que o acceso siga funcionando. E ás veces mestura datos reais con filtracións antigas, ou atribúeos á empresa equivocada.

Ao documentalo, convén ser concretos:

A mostra contén correos da organización. O vendedor afirma dispor de acceso activo, pero aínda non puidemos confirmalo.

Que revisar dentro da empresa

Empezaría por comprobar se a conta existe, se está activa e a que ten acceso. Tamén se pertence a unha persoa ou se utiliza para administrar sistemas ou executar servizos.

Despois revisaría a actividade relacionada co caso: inicios de sesión, dispositivos, cambios nos métodos de autenticación, regras de reenvío do correo e accesos a documentos.

Estes rexistros necesitan contexto. Unha IP descoñecida podería pertencer a unha VPN e unha localización estraña podería ser un erro de xeolocalización. E un inicio de sesión aceptado só di que alguén usou credenciais válidas, non quen.

Outra limitación: canto podes revisar. Se só se gardan sete días de rexistros, non se pode descartar un acceso de hai meses, e iso hai que dicilo nas conclusións.

Para validar a alerta, segue os procedementos autorizados da túa organización. Non probes a iniciar sesión co contrasinal filtrado nin lle pidas ao usuario que envíe o seu contrasinal actual por correo ou por un ticket.

Volvamos á alerta do principio

Ao pedirlle máis información ao provedor, resulta que acaba de incorporar o rexistro á súa plataforma, pero non sabe cando se obtiveron os datos.

A conta segue activa. O seu propietario cóntanos que ás veces accede desde o seu ordenador persoal. Ese equipo é unha posibilidade que investigar, aínda que polo momento non podemos atribuírlle a orixe da exposición.

Mentres se revisa o caso, o equipo protexe os accesos afectados e comproba a actividade dispoñible. No rexistro da investigación deixa anotado:

• O confirmado: hai un rexistro que relaciona a conta co servizo.
• O pendente: cando se obtiveron os datos, de que equipo proceden e se alguén os utilizou.
• As medidas tomadas: que accesos se protexeron, que falta por revisar e quen se ocupa diso.

Non fai falta sabelo todo para empezar a protexer contas. O que non vale é escribir «o equipo do usuario estaba infectado» cando só é unha hipótese.

Que información pedir ao provedor

Pídelle ao provedor de onde sae a alerta, que datas ten, que tipo de datos inclúe e por que a relaciona coa túa empresa. E se é a primeira vez que o ve ou é unha exposición que xa vos notificara.

Se asigna un nivel de confianza, debería explicar en que se basa. Que comprobase unha mostra vale moito máis que «o vendedor ten boa reputación no foro».

Ao compartir a evidencia dentro da empresa, limita o acceso a quen o necesite. Se contén contrasinais ou datos persoais, evita copialos completos en correos ou tickets de acceso amplo.

Cando dar por pechada a investigación

Antes de pechar o caso, debería quedar documentado que se expuxo, que contas ou equipos estaban afectados, que medidas se tomaron e que actividade se puido revisar.

Hai casos que se pechan rápido, porque os datos eran antigos e eses contrasinais xa non se usan. Outros acaban nun equipo comprometido. E algúns péchanse sen saber de onde saíu a información nin se alguén a usou. Tamén é un resultado válido, sempre que quede anotado que non se puido revisar e por que.