Thread by @PDuchement

Carlos trabaja en una subcontrata que administra y gestiona la infoestructura de un organismo público del del Estado (pongamos la Seguridad Social, aunque aviso que ni es ese, ni se llama Carlos).
Un día contacta conmigo asustado.
Tenemos nuevo #CasoDeInformáticaForense.

Carlos acaba de volver de vacaciones.
Cuando llega a su puesto, se encuentra lo típico: su sustituto temporal ha hecho lo que le ha dado la gana, como suele pasar.
Ha instalado programas poco seguros en algunos de lo equipos.
Esto incluye:

Pues me temo que tenemos un combo completo: Los cuatro.

Dejar claro que. cualquiera de esos patinazos. son gravísimas brechas de seguridad🤦‍♀️

No daré más datos de lo encontrado en esos equipos, pero mis mecenas tienen aquí lo más curioso que encontramos:
patreon.com/posts/expedien…

Acaba el turno de su primer día y se marcha de su puesto (siempre es uno de los últimos en salir y hoy tiene demasiado trabajo acumulado).
Mientras camina hacia el coche, repasa sus últimos pasos en la oficina. Algo no le cuadra, pero no termina de saber qué.

Cuando hubo acabado de limpiar un poco los desastres de su sustituto, había cogido el disco de respaldo del armario en el que lo guardan, lo había conectado al servidor y comenzado la copia de seguridad, como debe ser.
Pero algo le está picando en un rinconcito de la cabeza.

Abre la puerta de su coche, se sube, arranca el motor y, de pronto, lo apaga sobresaltado: acaba de darse cuenta.

El disco duro NO es el dispositivo de respaldo de servicio.

ALGUIEN HA CAMBIADO LOS DISCOS DUROS.

Carlos es un crack. En menos de unos minutos se da cuenta de que, si alguien ha dado el cambiazo, pueden haber evidencias en el disco duro desconocido.

¡Pero el sistema de copia de seguridad se las estará machacando con la nueva copia!

Decide llamar a su superior. Le explica lo que ha ocurrido y le pide que acceda en remoto y pare la copia.

La actuación de Carlos hace que solo pasen entre 10 y 20 minutos. Muchas pruebas podrán salvarse.

Pero Carlos acaba de colocarse en una situación comprometida.

Parece que

A ver cómo defiende ahora el haber iniciado un proceso que resulta en el borrado de pruebas.

Durante esos minutos, se machaca una cantidad preocupante de información.

Mis mecenas tienen aquí la cantidad de memoria sobrescrita y comprenderán.
patreon.com/posts/expedien…

Es así como Carlos descubre que está en un buen aprieto:

Tiene acceso al disco original
Sus huellas están en el disco intruso
Ha iniciado una operación que borra pruebas en del mismo
Está en la base del organigrama del equipo humano
Es personal laboral

Así que...

Carlos tiene todas las papeletas de ser el último al que le llegue la papa caliente: si no se sabe quién es el culpable, será culpado y nadie más asumirá responsabilidades.

Y Carlos lo sabe.

Quiero que imaginéis lo grave de esto:

¿Datos de la SS de los ciudadanos de toda una provincia? ¿Historiales médicos? ¿Ayudas por dependencia?

Esto, en la #DarkNet, se subastaría por un buen pico. Y, en malas manos, podría hacer un daño irreparable.

Preguntad a @SoyMmadrigal

Él, de este tipo de subasta de datos, sabe muchísimo.

Y de las consecuencias... también.

La pregunta de "¿quién se va a comer este marrón?" acosa a Carlos mientras se imagina, de vuelta a su casa, esa información filtrada o, peor, utilizada para hacer el mal.

Llega a su destino, pero no se baja del coche. Descuelga su teléfono y pide ayuda.

Ahí aparezco yo.

Me lo cuenta todo y me echo las manos a la cabeza.

Ha avisado a sus superiores (más de uno, algunos jefes de proyectos y trabajadores públicos) de lo sucedido, pero no le han visto importancia.

"Ya lo hablaremos mañana".

Poco se puede hacer al respecto, salvo una cosa:

PROTEGER A CARLOS.

Vamos a prevenir que, si la bomba estalla, le salpique. Ha actuado de buena fe. Es el único que parece tomarse en serio este asunto. Odiaría que fuera inculpado por la irresponsabilidad de otros.
Así que le cuento "unos truquis".

A continuación, con el consentimiento de Carlos, trabajador de la Seguridad Social (que no se llama Carlos ni trabaja en la Seguridad Social), vais a ver algo poco habitual en mis hilos:

La conversación en diferido.

Por supuesto, datos identificativos ocultados.

Protegido Carlos, vamos a averiguar quién fue.

Fase de informática forense:

Pues va a durar poco.

En el disco duro intruso hay copias de respaldo de los datos de la SS. ¿Qué hacemos?

Se comprueban las fechas de esos archivos: Esa ultima copia se realizó durante las vacaciones de Carlos.

Ha quedado demostrado que el cambiazo se produjo tras la marcha de Carlos y antes de su regreso 😊

Los jefes de Carlos, ante esta información, deducen que el culpable es su sustituto.

Lo llaman y aparece con el disco correcto.

Que dice que fue una equivocación que fuese al trabajo con un disco duro personal y que se marchase con un dispositivo de otro modelo y capacidad 🤷‍♂️

Lo más triste de todo es que, teóricamente, los datos presuntamente sustraídos no eran la supuesta motivación del tipo: EL TÍO VIO UN DISCO DURO MEJOR QUE EL SUYO Y LES DIO EL CAMBIAZO PARA QUEDARSE CON UNO MEJOR🤦‍♀️

Con Carlos habiendo perdido 10 años de vida y conmigo subiéndome por las paredes porque esos datos hayan estado ese tiempo fuera del control de los mecanismos de seguridad, pero con unos superiores contentos por no verse metidos en un lío tras la devolución...

PARECE QUE NO VA A HABER DENUNCIA

Por lo menos, conseguimos evitar que Carlos se viese en un lío y solucionar el entuerto (quiera Dios que el sustituto no haya hecho copias).

⚠️Evidencias localizadas
⚠️Pruebas certificadas
⚠️Informe pericial concluido
⚠️¡Caso cerrado!

Este caso no iba sobre menores, pero si necesitas informática forense para investigar una agresión a tus peques o quieres echarme una mano para atender las de los peques de muchos otros, tienes toda la información aquí:

pduchement.org/ciberprotecter/