Hackearon nuestra cuenta de correo y dijeron que se requiere investigación de incidentes: ¿quién hace esto y qué se registra?

Al reiniciar el servidor probablemente borraron los sockets de red activos en la RAM y las trazas temporales de la sesión del atacante. Las primeras intervenciones que hacen los sysadmins en medio del pánico suelen destruir las pruebas que más necesitan los analistas forenses. De aquí en adelante no instalen ni borren nada en el sistema; saquen directamente una imagen del disco actual.

Miren sí o sí las reglas de reenvío en la casilla de correo. Por lo general los atacantes crean reglas que reenvían sin que te des cuenta los correos con palabras como factura, pago, comprobante a una dirección externa o mueven las respuestas directamente a elementos eliminados. Además archiven ya mismo los logs de auditoría de administración desde la consola de correo.

Lo que tienen q hacer ahora mismo es: ejecutar la orden de cerrar sesión en todos los dispositivos desde el panel de control de correo y forzar la verificación en dos pasos para absolutamente todos los empleados. Aunque cambien la contraseña, los tokens de sesión que queden abiertos pueden hacer que el atacante siga adentro.

El año pasado nos pasó exactamente lo mismo con una factura en nuestra oficina de logística de Moscú. Pagamos 450.000 RUB a una empresa local de ciberseguridad para la investigación del incidente. En el análisis salió que el atacante estuvo 43 días monitoreando en silencio los correos tras colar un phishing en la pc del contador.

q el banco se haya avivado a último momento fue una suerte increíble la verdad, 3.8 millones de rublos no es poca plata. pero el consultor tiene razón lo más probable es que no solo hayan entrado a esa cuenta sino tb a otra máquina de la red. en fin yo q ustedes no postergaría la investigación.

De conformidad con la legislación de la Federación de Rusia, usted cuenta con responsabilidades legales respecto a la protección de datos personales y secretos comerciales. Si el incidente trasciende el ámbito interno de la empresa y se presenta una denuncia penal ante las autoridades judiciales, el informe de un perito licenciado que demuestre que no se rompió la cadena de custodia será su único sustento válido en el tribunal.

Este tipo de estafas con facturas no se hacen al azar. El atacante ya conocía su flujo contable, la forma de hablar con el proveedor y las fechas de facturación. Eso demuestra que estuvieron vigilando por días o semanas desde adentro. Su equipo interno solo va a apagar el fuego visible; para un análisis de causa raíz hace falta sí o sí la mirada de un experto externo.

Soy una pequeña empresa os lo cuento desde mi lado... la verdad si el permiso y el alcance no están por escrito que no empiece la prueba.

Ánimo.

Tomo nota, gracias.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Hay un punto que me genera dudas. Las decisiones apresuradas son las que hay que corregir seis meses después.

Yo seguiría por ese camino.

Aquí hay que hacer una distinción. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Creo que es difícil hablar con tanta claridad sobre investigación de incidentes. Tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Lo dejo como nota, por si sirve.

Gracias, esa era la respuesta que buscaba. El error cometido por investigación de incidentes suele ser reversible, pero caro.

Yo seguiría por ese camino.

Resumen breve para nuevos usuarios: El tiempo que tardas en detectar un problema determina directamente su coste.

Corrijanme si me equivoco.

¿Podría ampliar un poco esto? Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación. Corrijanme si me equivoco.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Comprobado por experiencia.

Es correcto en general, pero falta un detalle. Todos los que se apresuran con investigación de incidentes se atascan en el mismo punto.