Recolección sin dejar rastro

Ánfora quiere saber más del dominio que sirve el canal de mando de la campaña. Hay dos formas. La pasiva: consultar registros que ya existen sin tocar la infraestructura del actor —DNS pasivo (quién resolvió ese dominio y cuándo, en bases de datos de terceros), archivos históricos de la web, certificados publicados. La activa: conectarse directamente al dominio del actor para ver qué responde. La activa deja la dirección de Ánfora escrita en los registros del adversario y le dice que alguien lo investiga.

La regla del oficio es pasivo antes que activo: se agota todo lo que se puede saber sin tocar al actor antes de plantearse siquiera tocarlo. Casi siempre lo pasivo basta.

Un analista de Ánfora necesita abrir la página del kit de phishing del actor para ver cómo está hecha. Si la abre desde el navegador de la oficina, la conexión sale de la dirección corporativa de Ánfora, y queda registrada en el servidor del actor como «alguien de esta cadena de tiendas nos está mirando» —justo la empresa que el actor tiene en la mira—. La higiene operativa dice que ese tipo de consulta se hace desde infraestructura separada y no atribuible: una máquina de recolección aislada en la nube, sin nada que la ate a Ánfora.

No es paranoia: es no regalarle al adversario la confirmación de a quién le está funcionando el ataque y quién se defiende.

Investigando, Ánfora encuentra que el panel de control del actor está expuesto en internet, y en un volcado público aparecen unas credenciales que parecen abrir ese panel. Entrar daría muchísima información. Pero entrar es acceso no autorizado a un sistema ajeno: es ilegal aunque el sistema sea de un criminal y aunque las credenciales estuvieran tiradas en un foro. La inteligencia defensiva se detiene en el borde de lo que la ley permite; cruzarlo convierte al defensor en otro intruso y tira cualquier uso posterior de lo hallado.

Lo que sí se hace: documentar que el panel existe, su dirección como indicador, y avisar por los canales adecuados. Lo que no: usar las credenciales.

La página de phishing del actor recolectó datos de un empleado de otra empresa que picó: su nombre, su correo personal, su teléfono. Ánfora ve todo eso en el kit. Para defenderse, a Ánfora le sirve el indicador —el dominio de phishing, cómo está hecho el señuelo— para reconocer la campaña. Los datos personales de la víctima no son inteligencia de amenazas: recopilarlos, cruzarlos o difundirlos sería hacer doxing de una persona que ya es la parte perjudicada, y eso queda fuera del oficio por completo.

La inteligencia se queda con lo que describe al ATACANTE y su método. Los datos de las víctimas se protegen o se entregan a quien corresponda, nunca se coleccionan.

Abre el registro de recolección pasiva: todo lo que ves se leyó de bases de datos de terceros, sin tocar la infraestructura del actor. Entre los nombres resueltos, uno tiene aspecto de red de reparto pero no pertenece a Ánfora y es el que sirve el canal de mando de la campaña. Aíslalo y escríbelo entero.