Verificación de sospechas
¿Un comportamiento anómalo, una alerta, un correo sospechoso? Análisis rápido para decidir: incidente real o falso positivo. Lo sabrá en días, no en semanas.
La consultora · Análisis e investigaciones
Analizar los rastros disponibles y establecer qué permiten concluir.
Una duda, una alerta, un incidente: antes de decidir, hay que establecer los hechos. Galyct realiza tres tipos de investigaciones, desde la simple comprobación hasta la prueba utilizable ante la justicia. El objetivo nunca es ahogarle en tecnicismos: es iluminar su decisión.
Primera conversación confidencial, sin compromiso. No borre nada antes de hablar con nosotros.
01 · TRES NIVELES DE INVESTIGACIÓN
De la simple comprobación a la prueba utilizable.
No todas las situaciones requieren la misma profundidad de análisis. Tres niveles, según quiera resolver una duda, comprender un ataque confirmado o preparar un expediente que se sostenga ante un tercero.
Análisis de compromiso
El incidente está confirmado. Reconstituimos el camino del atacante: punto de entrada, movimientos, datos afectados, mecanismos de persistencia. Es la base de la remediación y de las notificaciones obligatorias (ANSSI, CNIL en 72 h).
Análisis forense probatorio
Recoger y conservar la prueba digital conforme a las buenas prácticas, para el banco, la aseguradora, el abogado o la justicia. Cadena de custodia documentada, entrega comprensible para personas no técnicas.
02 · LAS PREGUNTAS QUE RESOLVEMOS
Una investigación parte de una pregunta, no de una herramienta.
Estas son las que resolvemos con más frecuencia: lo que examinamos, lo que el resultado permite afirmar y lo que no permite.
¿De dónde procede realmente este mensaje?
Encabezados técnicos, ruta de encaminamiento, autenticación (SPF, DKIM, DMARC), dominio emisor. Establecemos si un correo o un SMS ha sido suplantado, sin poder siempre nombrar al remitente real.
¿Ha sido comprometida esta cuenta, y hasta dónde?
Conexiones, dispositivos, reglas de reenvío, aplicaciones autorizadas, medios de recuperación. Establecemos el alcance del acceso y lo que ha podido verse o modificarse.
¿Es legítima esta conexión?
Dirección, dispositivo, horario, geolocalización aproximada, historial. Distinguimos un acceso habitual de un acceso anómalo, sin certeza sobre la identidad que hay detrás de la dirección.
¿Es fraudulento este sitio o este dominio?
Fecha de creación, proveedor de alojamiento, certificado, parecido con una marca, denuncias. Calificamos el riesgo de un dominio y su modo de operar probable.
¿Está comprometido este dispositivo?
Aplicaciones instaladas, permisos, conexiones salientes, mecanismos de persistencia, actualizaciones. Separamos los síntomas benignos de los signos reales de compromiso.
¿Qué ocurrió, y en qué orden?
Registros, notificaciones, marcas de tiempo, correlación entre eventos. Reconstruimos una cronología que distingue los hechos establecidos de las hipótesis.
03 · LO QUE IMPORTA
Lo que destruye la prueba, lo que la conserva
La prueba digital es frágil: una vez sobrescrita, no vuelve. Distinguir los gestos que la borran de los elementos que siguen siendo utilizables como prueba cambia el desenlace de un expediente.
Lo que destruye la prueba
Los reflejos que lo borran todo
Estas acciones, realizadas de buena fe, a veces hacen que un expediente sea indefendible.
- Reinstalar un sistema o «limpiar» un dispositivo
- Borrar mensajes, registros o historiales
- Seguir utilizando una cuenta comprometida
- Modificar o mover los archivos originales
Lo que puede servir de prueba
Los elementos que hay que preservar
Recogidos y conservados correctamente, mantienen su fuerza en el tiempo.
- Registros de conexión y direcciones técnicas
- Encabezados de correos y mensajes originales
- Capturas de pantalla con marca de tiempo
- Extractos de operaciones y rastros de acceso
¿Acaba de producirse un incidente? No toque nada más.
Reinstalar, borrar, «empezar de cero»: los reflejos más naturales suelen ser los que destruyen lo que podría haberle protegido. No borre nada, no reinstale nada, y solicite la calificación de la situación: aseguramos lo que todavía puede asegurarse.
04 · LOS ENTREGABLES
Lo que recibe al final.
Una investigación solo vale por lo que le permite decidir. Nuestros entregables separan siempre lo constatado de lo supuesto, conforme a la doctrina del CODEX.
Informe de análisis factual
Constatado frente a supuesto, conforme al CODEX. Una cronología del ataque, sin conclusiones que los hechos no respalden.
Alcance del incidente
La lista de los sistemas y datos afectados, y recomendaciones priorizadas para la remediación y las notificaciones obligatorias.
Vertiente probatoria
Cuando el expediente debe sostenerse ante un tercero: precintos digitales y certificado de recogida, con una cadena de custodia documentada.
05 · NUESTRA HONESTIDAD
Lo que establecemos, y lo que no prometemos.
La investigación establece los hechos con rigor. No reescribe lo que ya se ha sobrescrito, y no señala a un culpable sin pruebas. Preferimos ser claros desde la primera conversación.
Lo que no prometemos
Ningún resultado garantizado
Una prueba destruida puede estarlo de forma definitiva, y la atribución sigue siendo una cuestión de prueba.
- No garantizamos recuperar un dato ya sobrescrito
- No atribuimos un ataque a un autor sin una prueba que lo respalde
- No garantizamos el desenlace de una gestión bancaria, de seguros o judicial
- Nunca prometemos un resultado: nos comprometemos con un método
Aquello con lo que nos comprometemos
El método y la claridad
Lo que depende de nosotros, lo cumplimos.
- Preservar lo que todavía puede preservarse, sin alterar los originales
- Documentar cada etapa: una cadena de custodia trazable
- Separar lo constatado de lo supuesto, sin conclusiones precipitadas
- Confidencialidad estricta: nunca le pedimos sus códigos
Establecer los hechos antes de actuar
Decidir sin saber es arriesgarse a limpiar lo que no se ha entendido, a notificar demasiado pronto o a acusar injustamente. La investigación da a su decisión la base que le falta: lo que realmente ocurrió, y lo que los rastros permiten (o no) afirmar.
¿Una duda que despejar, hechos que establecer?
Una primera conversación con un experto sobre su situación, confidencial, sin compromiso y sin prospección comercial. Preservamos lo que todavía puede preservarse y después reconstituimos lo que ocurrió.