Muchos ataques hoy no pasan por una computadora física: pasan por la cuenta de administrador, por la consola de la nube y por la cadena de publicación del código. El peritaje reconstruye ese camino después del hecho, con registros que esas plataformas conservan por poco tiempo.
En los incidentes recientes, el centro del ataque casi nunca es una máquina. Es una identidad. El atacante obtiene una cuenta, escala privilegios, crea recursos en la nube y altera un pipeline, la cadena automática que prueba y publica el código. Los vestigios quedan en los registros de autenticación, de auditoría y de actividad de las plataformas.
Este núcleo no hace contención ni recuperación del entorno. El trabajo es pericial y comienza después del hecho. Responde cómo entró el atacante, con qué cuenta, en qué minuto, qué hizo, qué se llevó y desde cuándo estaba allí. El resultado es un dictamen o un informe técnico para la aseguradora, para la ANPD (la autoridad brasileña de protección de datos), para el proveedor de nube o para el proceso.
La prisa aquí es otra. Los registros nativos de esas plataformas tienen retención corta, que varía según el plan contratado. Preservar esos registros, con hash y cadena de custodia, es el primer acto del peritaje.
Quien controla la identidad controla el resto. La pregunta central es cómo el atacante se convirtió en administrador, y en qué minuto.
Reutilización de credenciales robadas (Pass-the-Hash), abuso de la delegación Kerberos (el mecanismo que permite a un servicio actuar en nombre del usuario), intento de copiar las contraseñas de todo el dominio (DCSync). También política de grupo alterada para ejecutar comandos del intruso y copia de la base de credenciales por snapshot del servidor. Cada técnica deja eventos propios en los controladores de dominio.
Registros de inicio de sesión y de auditoría, métodos de autenticación registrados, permisos otorgados a aplicaciones, reglas de buzón creadas por el intruso y administradores eliminados. Es donde aparecen la toma del tenant (el entorno de la empresa en la nube de Microsoft) y el fraude por correo corporativo.
Cuando el dominio local se sincroniza con la nube, el ataque atraviesa los dos. El peritaje pone eventos de orígenes distintos en la misma línea de tiempo, en el mismo huso horario. El orden de los hechos decide por dónde comenzó el ataque.
El restablecimiento de contraseña validado solo por SMS puede convertirse en puerta de entrada, más aún en una cuenta con privilegio permanente de administrador. El peritaje muestra quién restableció, por qué canal y qué hizo a continuación.
"Teníamos MFA" es la frase más oída después de la intrusión en una cuenta. El segundo factor reduce el riesgo, pero no cierra la discusión. La elusión de la autenticación multifactor es hoy una de las demandas más frecuentes de esta área.
Los registros suelen mostrar cuál fue el camino: dispositivo, dirección, navegador, sesión reutilizada sin nuevo inicio de sesión, método nuevo registrado minutos antes. Y la respuesta cambia la discusión de responsabilidad. Falla de configuración, descuido del usuario, falla del proveedor y participación interna llevan a desenlaces distintos en la aseguradora, en la ANPD y en la justicia laboral.
Peritaje en AWS, Microsoft Azure y Google Cloud, en clústeres Kubernetes (la plataforma que ejecuta y coordina contenedores, los paquetes en que las aplicaciones corren hoy) y en repositorios y pipelines de código, lo que el área de tecnología llama DevOps. La recolección usa acceso de solo lectura. Cuando el proveedor informa el hash del dato, la copia se verifica contra él.
Falla en la aplicación que lleva al servicio de metadatos de la instancia (la dirección interna donde la máquina virtual guarda sus credenciales temporales), robo de esas credenciales y creación de tareas maliciosas. El vector se prueba cruzando los registros de actividad de la nube con el log de la aplicación, con precisión de segundos.
Adquisición de los nodos y de los volúmenes, registros de auditoría del clúster y comandos ejecutados. El examen muestra qué corrió, con qué cuenta de servicio y por dónde salieron los datos.
Claves de acceso olvidadas en el código, pipeline alterado para ejecutar comandos del intruso y herramientas legítimas de acceso remoto usadas como disfraz. El historial de versiones muestra quién cambió qué, y cuándo.
A veces el intruso no quiere los datos. Quiere la capacidad de procesamiento de la víctima. Crea máquinas virtuales para minar criptomonedas, procesar video, romper contraseñas o lanzar ataques de denegación de servicio (DDoS) contra terceros. La empresa descubre el ataque por la factura.
El peritaje muestra qué recursos fueron creados, cuándo, en qué regiones, por qué identidad y desde dónde. Separa el uso legítimo del uso del intruso y delimita el período del abuso. El dictamen sostiene la impugnación del cobro ante el proveedor. En caso de DDoS, puede documentar también que la empresa fue usada en el ataque, y no es su autora.
Una empresa recibió del proveedor de nube un cobro adicional que no reconocía. En la cuenta había máquinas virtuales creadas sin autorización, minando criptomonedas.
El peritaje reconstruyó, a partir de los registros de la cuenta, la creación de esas máquinas y las separó del uso legítimo de la empresa.
El trabajo pericial apoyó la impugnación del cobro ante el proveedor. El cobro adicional fue cancelado.
Un ataque alcanzó el dominio local y la nube de una organización. La pregunta era por dónde había comenzado.
El peritaje correlacionó millones de eventos de dos controladores de dominio, agrupados por tipo de evento, con los registros de la nube, en una única línea de tiempo.
El dominio local fue comprometido casi media hora antes que la nube. Ese fue el punto de partida de la investigación.
Una empresa paga a un proveedor en una cuenta bancaria cambiada por correo electrónico. El buzón del director financiero tenía MFA activo, y la aseguradora pregunta cómo fue tomada la cuenta.
En ese escenario, el peritaje examinaría los registros de inicio de sesión y de auditoría de Microsoft 365. Podría encontrar un token de sesión reutilizado en otro país, sin nueva autenticación, y una regla de buzón creada minutos después para esconder las respuestas del proveedor verdadero.
El dictamen mostraría la técnica, el momento de la toma de la cuenta y lo que el intruso leyó y envió. Es la base para la discusión de cobertura y para la acción contra quien recibió el dinero.
Consulte también
Autoría Digital y Levantamiento del Secreto Telemático → Antiforense y Evidencia Destruida → Peritaje en LGPD, ANPD y Fugas de Datos → Peritaje en Fraude Financiero y Medios de Pago → Investigación Corporativa y Compliance → Informática Forense e Investigación Digital → Seguros y Siniestros Cibernéticos →
Antes de decidir, vale ver lo que ya pasó por este laboratorio: casos descritos sin identificar a las partes, en el formato desafío, método y resultado.
El canal de control del intruso estaba grabado en contratos inteligentes. El peritaje decodificó lo que había borrado y entregó a las autoridades los caminos de identificación.
Ver el caso Prueba negativaEl peritaje oficial había concluido que participó. El reexamen demostró que los vínculos eran falsos positivos, y la persona acusada fue absuelta.
Ver el caso