Aviso de un proveedor, la primera hora

Un aviso de proveedor puede ser verdadero, impreciso o una suplantación que aprovecha justo ese momento. Quien lo recibe no puede saberlo mirando el correo. Lo que sí puede es confirmarlo por un canal que ya conocía: el contacto de seguridad y el medio que figuran en el contrato, no el remitente ni el enlace del mensaje.

Esto no significa desconfiar del proveedor: significa no entregar nada a un formulario que llegó en el mismo correo que se quiere comprobar. Que el remitente no coincida con el contacto del contrato no prueba nada por sí solo; solo obliga a comprobar.

Mientras el proveedor confirma, tus registros ya pueden decir si algo pasó en tu lado. La cuenta de Faroseco se conecta siempre desde dos direcciones acordadas al abrir el acceso. Una conexión desde otra dirección, y de madrugada, no encaja con ese uso, aunque la contraseña haya sido la correcta.

La tabla de orígenes habituales dice cuáles son las dos direcciones; el registro de la VPN, desde dónde entró cada sesión.

Una cuenta de proveedor no entra «a la red»: entra a destinos concretos, y esos destinos son el alcance inicial de la revisión. En el registro de la VPN cada conexión trae el destino. La cuenta usa habitualmente srv-tinte-02 para su trabajo; lo que importa es adónde más llegó desde la dirección ajena.

Faroseco dice que el acceso no autorizado fue entre el 2 y el 8 de septiembre. Esa ventana es lo que declara el proveedor, no lo que tus registros hayan probado: sirve para contar qué sesiones caen dentro, y también para notar las que quedan fuera. Una sesión correcta es la que llegó a abrirse; las fallidas no cuentan, aunque indican intento.

Se cuentan las sesiones correctas de esa dirección entre el 2 y el 8 de septiembre, ambos días incluidos.

Suspender la cuenta corta el acceso, y es lo que parece más urgente. Pero los registros que cuentan lo ocurrido caducan solos: la VPN conserva 14 días, y el primer movimiento sospechoso es del 3 de septiembre. Se suspende y se anota la hora, pero antes se copian los registros que se van a perder.

La tabla de registros disponibles dice cuánto vive cada fuente. Contener sin preservar destruye la evidencia que después haría falta para saber qué se tocó.