Un empleado introdujo su contraseña en una página de phishing. ¿Qué deberíamos revisar en la red?

Primero, la parte de identidad: restablecer la contraseña, revocar sesiones, revisar el registro de inicios de sesión y los métodos de MFA. Después, busque en la red señales de que el acceso se usó para ir más allá. Preguntas útiles: ¿el equipo o la cuenta del empleado se conectó a servidores que normalmente no usa, como servidores de archivos, el controlador de dominio o sistemas financieros? ¿Empezaron sesiones de escritorio remoto o de administración remota desde una máquina inusual? ¿Algún equipo inició conexiones regulares y periódicas con una dirección externa desconocida, lo que puede indicar un canal de control remoto? ¿Salieron de la red volúmenes de datos inusualmente grandes? En NetSenX, el historial de alertas y el mapa de red muestran estos patrones en todos los planes: beaconing, escaneo interno, movimiento lateral y volúmenes de salida inusuales. Si nada de eso aparece en los días posteriores al clic, es tranquilizador pero no una prueba, porque a los buzones en la nube y a las aplicaciones SaaS se llega por internet y esa actividad nunca pasa por su red.

← Las 29 preguntas sobre Phishing y qué hacer despuésTodos los temas