Base de datos esquilmada: “Mis clientes son míos y, si me echáis, os quedaréis sin ellos”.
Jaime ya había avisado de lo que estaba dispuesto a hacer cuando, en Seguros Maple, la empresa para la que era comercial, le avisaron del cese de su contrato.
#CasoDeInformáticaForense
Jaime ya había avisado de lo que estaba dispuesto a hacer cuando, en Seguros Maple, la empresa para la que era comercial, le avisaron del cese de su contrato.
#CasoDeInformáticaForense
Como siempre, os recuerdo que este caso novelado está solo basado en hechos reales para propiciar su divulgación educativa. Ni Jaime se llama Jaime, ni existe Seguros Marple ni el orden de la investigación real se va a ajustar al relato (puesto que será interactivo).
También os recuerdo que estas cosas las hago para poder financiar la ayuda desinteresada que ofrece @CiberProtecter.
Aquí tenéis las formas de echar un cable:
Aquí tenéis las formas de echar un cable:
https://twitter.com/ciberprotecter/status/1556694519323795457
Fase de contexto:
Seguros Marple me contacta para poder demostrar ante un Juez que uno de sus trabajadores ha borrado clientes de la base de datos de la empresa tras recibir su notificación de despido.
Seguros Marple me contacta para poder demostrar ante un Juez que uno de sus trabajadores ha borrado clientes de la base de datos de la empresa tras recibir su notificación de despido.
No parece complicado. Al final, voy a ser poco más que un testigo certificado.
Acepto el caso.
Acepto el caso.
Llego a las instalaciones de Seguros Marple (que no se parecen en nada a las oficinas de atención al cliente) y me recibe su CISO (“Chief Information Security Officer”) .
¿Qué le pedimos?
¿Qué le pedimos?
Muy bien, vamos al log de acceso.
Tengo ante mí los nombres de usuario, las fechas y la marca de tiempo de los trabajadores que accedieron a la tabla de clientes el día de autos.
¿Qué hago?
Tengo ante mí los nombres de usuario, las fechas y la marca de tiempo de los trabajadores que accedieron a la tabla de clientes el día de autos.
¿Qué hago?
De acuerdo, me he descargado el log en un pequeño archivo.
Voy a certificarlo.
¿Cómo?
Voy a certificarlo.
¿Cómo?
Pues los peritos virtuales no han atinado: la FNMT tiene unos certificados geniales para garantizar identidades, pero para integridad de cadena de custodia, necesitamos a prestadores de servicios electrónicos cualificados por el Gobierno, y aquí manda el @_minecogob 😊
¿Y ahora?
Mientras esperamos, comentemos esto:
Lo que ponga un forense en su informe pericial es directamente una prueba. Así que, su dictamen es más que suficiente.
Pero siempre viene bien curarse en salud y apoyarse en servicios mucho menos dubitables por la parte no interesada.
Lo que ponga un forense en su informe pericial es directamente una prueba. Así que, su dictamen es más que suficiente.
Pero siempre viene bien curarse en salud y apoyarse en servicios mucho menos dubitables por la parte no interesada.
https://twitter.com/memele87/status/1583934820102459392
Tenemos los últimos accesos a la tabla y, efectivamente, Jaime accede tres veces el día de autos.
Es hora de dejar el log atrás:
¿Ahora?
Es hora de dejar el log atrás:
¿Ahora?
Vamos a la BBDD.
Aquí se presenta un problema:
El CISO no quiere que yo meta las manos directamente en la BBDD. Dice que le pida las consultas y que él me las enviará.
¿Qué hacemos?
Aquí se presenta un problema:
El CISO no quiere que yo meta las manos directamente en la BBDD. Dice que le pida las consultas y que él me las enviará.
¿Qué hacemos?
Cuidado:
¿Orden judicial en un peritaje de parte?
¿Y para solicitar colaboración de la parte que me ha contratado?
No, no, vamos a llegar a un acuerdo.
¿Orden judicial en un peritaje de parte?
¿Y para solicitar colaboración de la parte que me ha contratado?
No, no, vamos a llegar a un acuerdo.
https://twitter.com/MarinaSFC/status/1583940899024695296
Le digo al CISO que no puedo firmar una pericial basándome en unas pruebas que extraiga otro.
Así que llegamos a un acuerdo: estaremos juntos, él usará el teclado, pero las consultas se las dictaré yo.
Así es imposible que altere las pruebas antes de que las documente.
Así que llegamos a un acuerdo: estaremos juntos, él usará el teclado, pero las consultas se las dictaré yo.
Así es imposible que altere las pruebas antes de que las documente.
Ya estamos en la BBDD.
¿Qué pido?
¿Qué pido?
Pues claro 😊
Pedimos la tabla de clientes por un lado (😱¡wow! ¡Es gigantesca!😱) y las copias de seguridad de la misma. En una consulta cruzada señalamos cuántos registros han desaparecido.
Todas las pérdidas del día de autos menos dos (bajas del servicio) son de Jaime.
Pedimos la tabla de clientes por un lado (😱¡wow! ¡Es gigantesca!😱) y las copias de seguridad de la misma. En una consulta cruzada señalamos cuántos registros han desaparecido.
Todas las pérdidas del día de autos menos dos (bajas del servicio) son de Jaime.
https://twitter.com/FudoKami/status/1583944342661521408
Aquí tenéis el número exacto de clientes que Jaime borró de la tabla de clientes, solo para mecenas (en agradecimiento a su aporte a la causa).
patreon.com/posts/73650073…
patreon.com/posts/73650073…
La parte del PC de Jaime, os la voy a resumir (porque, en vuestro orden de investigación, no pasasteis por él):
El tipo, no sé si en un intento de eliminar las pruebas, formateó su equipo. A bajo nivel.
El tipo, no sé si en un intento de eliminar las pruebas, formateó su equipo. A bajo nivel.
Lo cual, lejos de ayudarle, provocó que la parte demandante solicitase además responsabilidades por daños al PC.
No hizo falta defender la pericial: el abogado del trabajador recomendó a su cliente firmar un acuerdo.
⚠️Pruebas localizadas
⚠️Evidencias certificadas
⚠️Informe concluido…
⚠️¡Caso cerrado!
⚠️Evidencias certificadas
⚠️Informe concluido…
⚠️¡Caso cerrado!
(No olvidéis que estamos bastante desbordados en @CiberProtecter, y que tu ayuda nos da soporte. Gracias)
pduchement.org/ciberprotecter/
pduchement.org/ciberprotecter/
• • •
Missing some Tweet in this thread? You can try to
force a refresh
