Adquisición
Imagen forense del disco del equipo y de los dispositivos USB asociados, verificada con función resumen. Todo el análisis posterior se realizó sobre copia, nunca sobre el original.
Caso de estudio · forense
Documentos que salieron
de un equipo corporativo.
Supuesto de fuga de información confidencial desde un equipo corporativo, resuelto con el método y las herramientas que emplearía en un encargo real. Muestra cómo trabajo y qué documento se entrega.
Caso de estudio. Supuesto desarrollado íntegramente con el método, las herramientas y el formato de informe que empleo en un encargo. Los trabajos que hago para clientes son confidenciales y no se publican; este caso existe para que puedas evaluar cómo trabajo antes de contratarme.
El planteamiento
La pregunta que había que responder.
Determinar si hubo salida de información confidencial desde un equipo corporativo y, en tal caso, caracterizar técnicamente por qué vía, qué documentos y en qué momento.
La dificultad de este tipo de encargo no es encontrar rastros: es sostenerlos. Un hallazgo que no se puede reproducir ni acreditar no sirve, por muy convincente que parezca.
Qué se hizo
El trabajo, paso a paso.
Línea temporal
Reconstrucción cronológica con Autopsy, cruzando marcas de tiempo del sistema de ficheros, registro, artefactos de aplicación y conexiones de dispositivos extraíbles.
Análisis de artefactos
Correo, historial de navegación, documentos ofimáticos y rastros de uso de servicios en la nube. Cada fuente aporta una pieza; ninguna basta por sí sola.
Correlación
Encaje de las evidencias técnicas con la secuencia cronológica de los hechos. Aquí es donde piezas sueltas pasan a ser un relato sostenible.
Resultado
Qué quedó acreditado.
- Acceso, copia y consolidación de documentación sensible en el equipo analizado, con su secuencia temporal.
- Evidencias de salida de información mediante un servicio de almacenamiento en la nube y enlaces compartidos.
- Informe completo, estructurado conforme a UNE 197001 y 197010, con el formato que se aporta en un procedimiento.
El informe separa lo que la evidencia prueba, lo que permite inferir razonablemente y lo que no se puede sostener. Un artefacto acredita actividad en una cuenta o en un equipo; la identidad física de quien operaba requiere evidencia adicional, y así se hace constar.
Cuándo sirve esto
Si sospechas que se ha llevado algo.
Salida de un comercial con la cartera de clientes, documentación técnica que aparece en manos de un competidor, un despido en el que la otra parte niega los hechos. En todos ellos, la diferencia entre ganar y perder suele estar en si alguien preservó el estado del equipo a tiempo.
Lo primero, si estás en esa situación: no apagues el equipo y no lo uses. Cada arranque destruye rastros que después no se recuperan.