Qué amenaza a una organización de la región

Cuando se piensa en «amenaza» se piensa en alguien que entra a un servidor. El registro de Jacarandá cuenta otra cosa: la mayoría de lo que le ocurre al banco y a quienes lo rodean pasa sin que ningún sistema suyo falle. Un cliente engañado que entrega su clave, un portal falso con el logo del banco, un mensaje que exige un pago: en ninguno hay un sistema del banco accedido, y los tres le cuestan dinero, confianza o ambas cosas a alguien.

Por eso el equipo mide cada evento con dos preguntas distintas. La primera, a quién afecta: clientes, marca, proveedores o el propio banco. La segunda, si entró a un sistema del banco. Lo que sirve a la dirección es la primera; lo que sirve a la defensa técnica, la segunda. Las dos se anotan, porque una no sustituye a la otra.

Abre el registro y revisa las columnas afecta_a y entra_a_sistemas_del_banco de los doce eventos.

Entre los doce eventos hay intrusiones de verdad: alguien llegó a un sistema. Pero no todas dañan solo al banco. Una puede nacer en un proveedor conectado y alcanzar al banco desde fuera, y eso cambia quién debe actuar primero y a quién hay que avisar.

Filtrar por categoría separa las intrusiones del resto; mirar después a quién afecta cada una separa la que es solo del banco de la que pasa por un tercero. Es el mismo gesto de siempre en inteligencia: no quedarse con la etiqueta, mirar el detalle que cambia la decisión.

La suplantación de marca es el uso del nombre, el logo o un dominio parecido de la organización para hacerse pasar por ella. El banco no la ve en sus registros porque no ocurre en sus sistemas: ocurre en dominios, tiendas de aplicaciones y redes sociales que no controla. La ve un monitoreo de marca que busca activamente, y por eso su fila en el registro dice aviso_de: monitoreo de marca.

Quien sufre primero es el cliente engañado y, detrás, la marca. Saber cuántas veces ocurre en el trimestre es el primer dato para decidir cuánto esfuerzo merece.

El evento EVT-3109 es un mensaje a la gerencia que exige un pago bajo la amenaza de publicar datos del banco. La revisión no encontró datos sacados ni equipos cifrados. Esa combinación existe y se llama extorsión sin hallazgo: puede ser un farol, o puede ser una intrusión que nadie ha detectado todavía.

El analista no la descarta ni la trata como un robo confirmado. La registra como lo que es —una amenaza recibida, sin intrusión comprobada—, pide verificar qué datos dice tener el remitente, y no se compromete a nada que dependa de una filtración que nadie ha visto. Ceder al miedo o al desdén son las dos formas de equivocarse.