Cómo se descubre una campaña silenciosa

Una campaña de espionaje de larga duración está pensada para no hacer ruido. Entra con cuentas válidas, se comunica con su mando poco y a intervalos regulares, se lleva documentos elegidos y no rompe nada. Cada uno de sus rastros, mirado solo, parece un fallo menor o un servicio legítimo. Por eso estas campañas se descubren casi siempre de tres maneras: alguien de fuera avisa (un CSIRT, un socio, un investigador que vio la infraestructura del actor), alguien dentro junta señales débiles que otros cerraron por separado, o una cacería busca a propósito la conducta del actor.

Lo que casi nunca pasa es que una regla dispare con una alerta clara y el caso quede resuelto ese día. Si esperas a la alerta, llegas años tarde.

Abre la consola y ejecuta SELECT * FROM notificacion. Es el aviso que llegó por la red de intercambio el 26 de febrero. Fíjate en lo que sabe quien avisa: una dirección de salida de Sotará, un dominio y un periodo. No sabe qué equipo fue, porque desde fuera toda la empresa sale por la misma dirección.

Después ejecuta SELECT * FROM tiquetes_2026. Son las señales débiles del año: cosas raras que alguien notó, anotó y cerró. Una notificación externa casi siempre tiene un eco en lo que la propia casa ya había visto y no supo leer.

Cada tiquete lo cerró una persona distinta, en un día distinto, mirando solo el suyo. Ninguno era grave. Lo que nadie hizo fue agruparlos por el equipo al que se refieren. Esa es la operación más barata y más rentable para destapar una campaña silenciosa: dejar de mirar cada señal como un caso y mirarlas por equipo, por cuenta o por destino.

Consulta SELECT * FROM tiquetes_2026 WHERE equipo = 'sot-srv-031' y SELECT * FROM inventario para saber qué es ese equipo.

Entre la primera señal débil de un equipo y el día en que alguien de fuera avisa pasa el tiempo en que la campaña estuvo a la vista sin que nadie la viera. Es una medida incómoda y útil: dice cuánto tiempo regaló el proceso de cierre de tiquetes, no la falta de herramientas.

Cuenta días corridos entre la fecha del primer tiquete de ese equipo y la fecha en que se recibió la notificación.

La dirección de Sotará pregunta qué cambio de proceso habría acortado ese tiempo. La respuesta no puede ser «comprar otra herramienta»: los cuatro tiquetes ya estaban escritos.