Contener sin cortar la operación

Tras deshabilitar la cuenta, sus intentos fallan con un código de cuenta deshabilitada. Pero en el mismo registro hay una fila con éxito que no es de la cuenta, de la misma dirección ajena. Es la primera señal de que lo hecho no cierra el caso.

Las dos acciones que se hicieron (deshabilitar y revocar) se aplican a la cuenta y a sus sesiones. La entidad de servicio de la aplicación nueva tiene otro tipo de credencial. Pregúntate con qué entra cada una y qué tiene que cortarse para cada una.

En el directorio hay tres aplicaciones y dos de ellas se llaman casi igual. Una la creó la cuenta desde la madrugada ajena; la otra existe desde 2026 y mantiene algo que los hoteles usan cada mañana. Borrar por parecido de nombre es el error clásico de una contención apresurada.

La sincronización legítima corre todos los días a la misma hora y usa una de las claves de la cuenta de almacenamiento. Cualquier cambio en esa clave tiene que quedar hecho antes de la próxima ejecución. La decisión de contener se toma a la hora en que empieza la revisión de esta sala, y el margen se cuenta hasta la próxima ejecución del día siguiente.

La tabla de acciones trae el efecto de cada una sobre la operación. Algunas son seguras, otras destruyen evidencia, otras paran la sincronización y una corta a gente que no tiene nada que ver. Y las claves de la cuenta de almacenamiento se consultaron desde la entidad ajena, así que hay que rotarlas, pero una de ellas la usa la sincronización.