03 Sep Cómo demostrar un acceso no autorizado al correo electrónico de una empresa
El correo electrónico corporativo contiene una gran cantidad de información sensible: conversaciones con clientes, contratos, facturas, documentación interna, credenciales e incluso datos personales. Por este motivo, el acceso no autorizado a una cuenta empresarial puede tener consecuencias importantes tanto desde el punto de vista de la ciberseguridad como desde el jurídico.
Cuando existe la sospecha de que una persona ha entrado sin autorización en una cuenta de correo, una de las primeras preguntas es cómo puede demostrarse. En estos casos, la investigación técnica y la correcta conservación de las evidencias digitales resultan fundamentales.
Las señales que pueden indicar un acceso no autorizado
Un acceso indebido no siempre resulta evidente. En ocasiones, la empresa detecta mensajes enviados que ningún empleado reconoce, correos marcados como leídos, modificaciones en determinadas configuraciones o avisos de inicio de sesión desde ubicaciones o dispositivos desconocidos.
También pueden aparecer reglas de reenvío que nadie recuerda haber creado. Este mecanismo es especialmente relevante porque un atacante podría configurar la cuenta para recibir automáticamente copias de determinados mensajes sin necesidad de acceder continuamente al buzón.
Otras señales pueden ser cambios inesperados de contraseña, modificaciones en los métodos de recuperación, accesos desde direcciones IP desconocidas o comunicaciones enviadas a clientes y proveedores suplantando la identidad de un trabajador.
Sin embargo, detectar alguno de estos indicios no permite determinar automáticamente qué ha ocurrido. Es necesario analizar las evidencias disponibles.
Los registros de acceso pueden ser una pieza clave
Muchos servicios de correo electrónico y plataformas corporativas mantienen registros de actividad. Dependiendo del sistema utilizado, estos registros pueden aportar información sobre fechas y horas de conexión, direcciones IP, dispositivos utilizados, cambios realizados en la cuenta o intentos de autenticación.
El análisis de estos datos puede ayudar a reconstruir cronológicamente el incidente.
Por ejemplo, puede resultar relevante comprobar si una cuenta utilizada habitualmente desde España registra repentinamente conexiones desde una infraestructura desconocida o si aparecen varios intentos de acceso inmediatamente antes de una modificación de seguridad.
No obstante, una dirección IP por sí sola no siempre identifica directamente a la persona responsable. Debe interpretarse junto con el resto de evidencias.
Correos, dispositivos y configuraciones también aportan información
La investigación no debería limitarse exclusivamente al historial de conexiones.
Los propios mensajes pueden contener información técnica relevante en sus cabeceras, permitiendo analizar servidores, rutas de envío y otros datos asociados a la comunicación.
También puede ser necesario revisar ordenadores o dispositivos utilizados por los empleados para determinar si existen indicios de malware, robo de credenciales o sesiones que hayan quedado abiertas.
Las configuraciones de la cuenta son igualmente importantes. Reglas automáticas, delegaciones de acceso, aplicaciones conectadas o cambios en los sistemas de autenticación pueden aportar pistas sobre cómo se produjo el incidente.
La importancia de conservar correctamente las evidencias
Uno de los errores más habituales después de detectar un posible acceso indebido consiste en modificar o eliminar información antes de conservar las pruebas.
Cambiar la contraseña puede ser una medida necesaria para detener un acceso activo, pero también es recomendable preservar previamente, siempre que las circunstancias lo permitan, aquellos registros que puedan desaparecer o sobrescribirse.
Realizar únicamente capturas de pantalla puede resultar insuficiente en determinadas situaciones. Aunque pueden servir como apoyo, existen mecanismos técnicos que permiten preservar las evidencias con mayores garantías.
Conceptos como la integridad de los archivos, las funciones hash o la cadena de custodia adquieren especial importancia cuando la información puede terminar formando parte de un procedimiento judicial.
El papel del perito informático
Cuando existe un conflicto judicial o la empresa necesita acreditar técnicamente lo ocurrido, puede resultar necesario recurrir a un perito informático.
Su función consiste en analizar las evidencias digitales aplicando una metodología técnica y documentar sus conclusiones mediante un informe pericial.
El objetivo no debería ser únicamente afirmar que existió un acceso extraño, sino intentar reconstruir qué ocurrió, cuándo sucedió, qué cuentas o sistemas estuvieron afectados y qué evidencias permiten sostener cada conclusión.
El informe debe explicar los aspectos técnicos de forma comprensible para abogados, empresas y tribunales, manteniendo al mismo tiempo el rigor necesario para que los resultados puedan ser revisados.
¿Se puede identificar al responsable?
Esta es una de las cuestiones más complejas.
En determinadas investigaciones pueden encontrarse evidencias que relacionen los accesos con una persona concreta. Sin embargo, en otros casos únicamente será posible demostrar que existieron conexiones no autorizadas sin identificar técnicamente al responsable con absoluta certeza.
Los atacantes pueden utilizar VPN, servidores intermediarios, dispositivos ajenos o credenciales previamente comprometidas para dificultar su identificación.
Por ello, las conclusiones deben basarse en las evidencias realmente disponibles y evitar atribuciones que los datos técnicos no permitan sostener.
Actuar rápidamente puede marcar la diferencia
Cuando una empresa sospecha que alguien ha accedido sin autorización a su correo electrónico, el tiempo es un factor importante. Algunos registros se conservan durante periodos limitados y determinadas acciones posteriores pueden modificar información relevante.
Además de proteger inmediatamente las cuentas afectadas, resulta recomendable preservar las evidencias, revisar los accesos y analizar el alcance del incidente.
Una investigación técnica correctamente realizada puede permitir reconstruir lo sucedido y aportar evidencias ante una posible reclamación o procedimiento judicial. En un entorno empresarial cada vez más digitalizado, saber conservar y analizar este tipo de información puede ser determinante para demostrar qué ocurrió realmente.
Contáctanos en luis@luisvilanova.es