Escenario — la alerta de las 3 a. m. de un domingo

De las cinco señales previas, una no tiene nada que ver con el caso. Las demás comparten una dirección interna que tenía la sesión de la VPN y que reaparece en el dominio y en los flujos. El tiempo a contar es el que corre desde la primera señal que sí pertenece al caso hasta la alerta de las 03:07.

Una de las señales previas es una salida de datos grande que ninguna alerta recogió. La causa no está en la fuente, que sí llega al SIEM, sino en el estado de una regla. Cruza esa señal con reglas.

La cuenta que aparece en las señales previas es una cuenta de servicio de la flota. Una copia que esa cuenta no alcanza y que no se puede modificar es lo que decide si el cifrado de las 03:07 en adelante se recupera o se paga. Mira copias.

Dos servidores críticos ya tienen el agente detenido. Aislarlos de la red corta el avance y también detiene el despacho de cargas un domingo de madrugada. Quien está de guardia en seguridad no es quien lo decide. Consulta autorizaciones.

La alerta dice que se detuvo la protección, no que ya haya archivos cifrados. Las señales previas muestran un acceso con una cuenta válida, un grupo privilegiado ampliado y una salida de 21 GB. Tres de ellas se cerraron o se dejaron sin revisar con explicaciones que nadie confirmó. La respuesta de la madrugada tiene que decir qué se corta ya, qué espera una autorización y qué sigue sin saberse.