Registros de identidad

Cuando alguien tiene la contraseña pero no el segundo factor, su recurso es la insistencia: enviar avisos al teléfono de la persona hasta que uno se apruebe. En el registro se ve como una racha de avisos del mismo origen y de la misma cuenta, con resultados que no son «aprobado», seguida de uno que sí.

Cuenta los avisos de segundo factor de esa cuenta, desde el origen desconocido, que no se aprobaron antes de que se aprobara uno. Los «rechazado» cuentan, y también los «sin respuesta».

La racha tiene una hora de cierre: la del aviso aprobado. El registro la da en UTC, y la persona que lo aprobó vive en Bogotá, donde en ese momento era de noche. Esa hora local importa porque una aprobación a deshoras, tras varios rechazos, es lo que se le pregunta a la persona con calma, sin acusar a nadie.

Convierte la hora del aviso aprobado a la hora de Bogotá (UTC-5, sin cambio de hora).

Entrar una vez es solo el comienzo: lo que sigue es asegurarse de poder volver. En identidad, volver significa dejar algo registrado a nombre de la cuenta: un dispositivo de confianza, un método de verificación, un token. Se reconoce porque aparece después de la aprobación, desde el mismo origen y con un identificador que la cuenta no tenía.

Lee el registro y el inventario de dispositivos, y descarta los que ya existían antes del incidente.

Cambiar la contraseña no desarma lo que ya se registró en la cuenta. Un método de verificación nuevo permite pasar el segundo factor sin necesidad del teléfono de la persona, y por eso es la pieza que más importa retirar. En el registro de la noche siguiente se ve usado.

Busca el alta de método hecha desde el origen desconocido y distínguela del método que la cuenta ya tenía desde 2025.

Un informe afirma lo que la evidencia sostiene y deja el resto en «no determinado». Aquí el registro permite decir con certeza qué pasó con los avisos, qué quedó registrado y que hubo un nuevo inicio de sesión al día siguiente; no permite decir cómo se supo la contraseña, ni qué pensaba o sabía quien aprobó el aviso.

Elige la conclusión que el registro sostiene y que no se pasa de lo que dice.