Actores estatales y su patrón de paciencia

Un actor con respaldo estatal suele moverse como quien tiene meses por delante: entra con una cuenta legítima, consulta poco y de forma repartida, y se lleva documentos concretos que sirven a un fin político o económico del país que lo respalda. No cifra ni cobra, porque llamar la atención le costaría el acceso.

Lo que la defensa observa de eso son tres cosas medibles: cuántos días pasan desde el primer acceso hasta la detección, cuánto sale por día y de qué recursos. Ninguna de las tres sola es una firma; juntas, forman un patrón.

Abre la consola y mira la tabla intrusiones, que describe dos casos de este año. Después consulta accesos desde fuera de las oficinas, ordenados por fecha: son los accesos de la primera intrusión (INT-T1). La cuenta que aparece en la primera fila es la que abrió la puerta, y la de la última es la que, por ruido, acabó dando la alerta.

La permanencia es el tiempo entre el primer acceso y la detección. Se cuenta en días corridos, restando fechas, y es una medida de qué parte de la historia quedó fuera de la vista de la casa. La tabla intrusiones trae las dos fechas de cada caso.

La segunda intrusión (INT-T2) también usó credenciales y la primera también dejó pocos rastros, pero el resto no se parece: sale casi todo en un día, cifra y cobra. Aun así, una permanencia larga con poco volumen puede venir de una banda que vende el acceso más tarde o de un competidor. El patrón apunta; no firma.

Para sostener «estatal» hacen falta más rasgos independientes: objetivo de interés nacional, ausencia de cobro, infraestructura o herramientas ya vistas en otras campañas. Con lo que hay en la tabla se puede escribir un juicio con cautela.

La tabla retencion dice cuántos días hacia atrás conserva cada fuente. Si una intrusión lleva más días dentro que los que guardas, su comienzo ya no está a la vista cuando la descubres. La paciencia del actor se convierte en un problema de memoria de la defensa.