Ha aparecido una cuenta de administrador que nadie recuerda haber creado. ¿Qué hacemos?

Trátelo como un incidente hasta tener una explicación. Las cuentas de administrador nuevas son una forma habitual de que los atacantes conserven el acceso, y suelen tener nombres que parecen normales, como una variante de una cuenta de servicio o de soporte. No la borre enseguida: desactívela, anote su nombre, cuándo se creó y quién o qué la creó, y guarde los registros del directorio y del sistema que lo muestran antes de que se sobrescriban. Después pregunte a los candidatos obvios, como su proveedor de TI o un fabricante de software, si la crearon ellos. Si nadie lo hizo, busque qué más cambió al mismo tiempo, restablezca desde un dispositivo limpio las contraseñas de los demás administradores y llame a su proveedor de respuesta a incidentes. La cuenta en sí es una evidencia de identidad que un sensor de red no ve; NetSenX muestra si los equipos usados en ese momento empezaron a escanear o a abrir sesiones nuevas hacia servidores.

← Las 35 preguntas sobre ¿Me han hackeado?Todos los temas