Los rastros en los registros

Una búsqueda por el asunto del correo trae mucho más de lo que parece: el mismo asunto lo usa también el correo legítimo de una naviera. Lo que distingue el correo de la campaña no es lo que dice, sino de dónde viene. Se filtra por el remitente que el aviso señaló y, dentro de lo que queda, se ordena por la hora en que se abrió el adjunto.

Un puesto con una tarea programada ajena puede ser un caso suelto. Si la misma tarea aparece en otro puesto, creada por el usuario de ese puesto y no por la administración, el caso deja de ser suelto. La tabla de tareas guarda quién creó cada una y desde qué cuenta.

Los dos puestos están en oficinas distintas y los usuarios no se conocen. Lo que los une no se ve mirando cada uno por separado, sino poniendo sus rastros lado a lado: qué se repite entre ellos aunque cambien la hora, el usuario y la oficina. Agrupar por lo que se repite es lo que separa una campaña de dos incidentes sueltos.

No todo el rastro es técnico: a veces el adversario entra con una cuenta legítima, y entonces lo único anómalo es el contexto —la hora y el origen—. La tabla de autenticación guarda desde qué dirección entró cada cuenta; el portal de agentes solo debería abrirse desde las oficinas.

Dos tareas programadas más están en el registro, en otros equipos, con una conducta que a primera vista encaja: se repiten, corren solas y las creó una cuenta que no es de una persona. Para descartarlas hace falta mirar cómo nacieron y qué hacen, no cómo se parecen a la campaña.