Cuántos y qué dejaron atrás

Una cuenta nueva en plena ventana del incidente, creada por otra cuenta de servicio y colocada de inmediato en el grupo con más poder, es una puerta que sobrevive a limpiar los equipos. Lo que la delata es lo que le falta: nadie la pidió. Los cambios aprobados son la lista contra la que se compara.

El alcance se mide cazando el indicador en toda la flota, no preguntando a los equipos que ya alertaron. Los que alertaron son los que la detección ya veía; los que preocupan son los que tienen el mismo rastro y nunca avisaron, porque ninguna regla los miraba. Ojo: no toda coincidencia por nombre es una coincidencia real.

Un número de alcance es una resta honesta: coincidencias de la caza menos las que se demuestran falsas, y solo con evidencia. No se cuenta lo que no se pudo comprobar, ni se redondea hacia arriba por miedo ni hacia abajo por prisa.

Un indicador por nombre genera falsos positivos: una herramienta legítima puede llamarse igual. La respuesta no es creerle al nombre ni descartarla por intuición, sino comparar lo que sí distingue a una de otra: quién la creó, cuándo, qué ejecuta y a dónde habla.

Dos equipos no contestaron a la caza: uno está apagado y el otro lleva días sin hablar con el agente. No contestar no es estar limpio ni estar comprometido. El alcance honesto distingue tres cosas: lo confirmado, lo descartado con razones y lo no determinado, con lo que haría falta para determinarlo.