Qué hacer con una alerta de señuelo

La alerta del señuelo trae una dirección de origen. El primer paso del procedimiento es traducirla: qué equipo es, quién responde por él y qué se sabe de su actividad reciente. Sin ese paso no se puede hablar con nadie ni decidir nada.

Lee la alerta AS-31 y cruza su origen con el inventario.

Antes de abrir un caso se descarta lo que la propia empresa programó: un escaneo de vulnerabilidades, una copia de respaldo o un inventario pueden tocar un señuelo con permiso. Se compara el origen y la hora de la alerta con la lista de escaneos autorizados. Un origen distinto o una hora fuera de ventana no cuentan, aunque estén cerca.

Los registros de acceso previos dan el contexto: qué cuenta estaba activa en el equipo, desde dónde llegó y cuánto tiempo antes de la alerta. Una cuenta no es una persona: la misma credencial puede estar en manos de otra. Lo que se anota son los hechos, no la acusación.

Minutos antes de la lectura, la cuenta abrió una sesión remota por VPN. Esa dirección externa es un dato clave del informe: dice desde dónde llegó la sesión, y es lo que el coordinador necesita para decidir si se bloquea la cuenta. No se investiga más allá de lo que la propia red de la empresa registró.

Ante una alerta de señuelo no se interactúa con el señuelo para «ver qué pasa», no se borra el archivo ni se reinicia el equipo, y no se responde desde la red hacia quien está al otro lado. Se preserva el registro, se abre el caso y se contiene según el plan, con la aprobación de quien coordina el incidente. La tentación de «darle la vuelta» al intruso expone a la empresa a más riesgo y a problemas legales.