¿Me han hackeado?

Busque comportamientos que han cambiado: destinos de salida nuevos, conexiones a intervalos regulares, inicios de sesión a horas extrañas, un equipo que se conecta a muchos otros y un volumen de salida inusual. Cada uno se comprueba en los registros del cortafuegos, del DNS y del directorio. Dos o más a la vez merecen una investigación; la monitorización continua de la red los vigila todos los días, no solo el día en que alguien mira.

Sí. En el aviso conjunto AA24-038A del 7 de febrero de 2024, la CISA, la NSA y el FBI informaron de que actores de Volt Typhoon habían mantenido el acceso a los entornos de TI de algunas víctimas durante al menos cinco años. Los atacantes que usan las mismas herramientas de administración que su equipo de TI dejan pocas firmas, y por eso importa el comportamiento en la red.

Exporte desde el cortafuegos o el servidor DNS los destinos de salida más frecuentes y revise los poco habituales; revise los inicios de sesión correctos fuera del horario laboral; cuente con cuántos equipos internos contacta cada puesto en los puertos de SMB, RDP, SSH y WinRM; y compare el volumen de salida de cada servidor con su propia media.

No. NetSenX añade la visión de red: ve los dispositivos sin agente y el movimiento entre equipos. La protección de los equipos sigue cubriendo lo que ocurre dentro de cada máquina. El plan Free no tiene límite de tiempo ni pide tarjeta de crédito, así que primero puede ver lo que encuentra en su propia red.

Sí. Los atacantes que usan contraseñas robadas y las herramientas de administración que ya hay en sus sistemas pueden pasar desapercibidos mucho tiempo: nada se rompe, así que nadie mira. Les delata su comportamiento, por ejemplo un ordenador que contacta con un servidor externo nuevo a intervalos regulares, una máquina que se conecta con muchas otras o envíos de datos de noche. NetSenX detecta beaconing, escaneos, movimiento lateral y volúmenes de datos salientes inusuales en todos los planes, incluido Free. No ve la actividad que nunca pasa por la red.

A menudo, sí. Un atacante que controla una máquina la usa para observar y seguir avanzando: busca otros equipos, prueba las contraseñas guardadas en la primera máquina y se conecta mediante protocolos de administración como SMB, RDP o SSH. En una red plana, donde cualquier ordenador llega a cualquier servidor, nada lo frena. Tres medidas gratuitas limitan hasta dónde llega: segmente la red para que los puestos de trabajo no alcancen servidores que no necesitan, retire los permisos de administrador local a las cuentas de uso diario y use una contraseña distinta en cada sistema. NetSenX detecta los escaneos y las nuevas sesiones entre equipos que genera este movimiento, en todos los planes, incluido Free. No ve lo que el atacante hace dentro de la primera máquina antes de que algo toque la red.

Rara vez por sí sola. La lentitud suele tener causas corrientes: una copia de seguridad, una actualización del sistema, una videollamada, un enlace saturado. Merece una revisión cuando viene acompañada de tráfico que no sabe explicar, como un servidor que sube grandes volúmenes de noche, un ordenador que contacta con un destino desconocido a intervalos regulares o un equipo que casi nunca enviaba nada y de pronto envía mucho. Empiece por el cortafuegos o el router: qué dirección interna consume el ancho de banda y adónde va el tráfico. Si es una tarea conocida, asunto cerrado. Un monitor de rendimiento muestra que un enlace está ocupado; NetSenX muestra volúmenes salientes inusuales por equipo, comparados con la normalidad de ese mismo equipo, y si el patrón parece una salida de datos.

Puede serlo. Desactivar las herramientas de seguridad es un paso temprano habitual de los atacantes y del ransomware, porque elimina un testigo antes de que empiece el trabajo de verdad. Revise en la consola de protección de endpoints quién o qué cambió la configuración y cuándo, busque en esa máquina cuentas de administrador nuevas, servicios nuevos y tareas programadas, y aíslela si no puede explicar el cambio. Pregunte al soporte del fabricante si pudo deberse a una actualización; a veces esa es la respuesta. Es una evidencia del endpoint: un sensor de red no ve un cambio de configuración en un ordenador. Lo que sí puede mostrar es si esa máquina empezó después a comportarse de forma inusual en la red, por ejemplo contactando con un servidor externo nuevo a intervalos regulares o abriendo sesiones hacia otros equipos, algo que NetSenX detecta en todos los planes.

Empiece por lo que ya tiene: las concesiones DHCP del router o del servidor, las tablas de direcciones MAC de los switches y la lista de clientes del controlador wifi. Compárelas con su inventario e investigue todo lo que no tenga explicación; la primera mitad de una dirección MAC identifica al fabricante, lo que a menudo indica si es una impresora, un teléfono o un ordenador pequeño. La seguridad de puertos o 802.1X impide que los dispositivos desconocidos entren en la red. El mapa de red de NetSenX, en todos los planes, muestra los equipos vistos en los segmentos supervisados y con quién se comunican, así que un dispositivo nuevo que empieza a transmitir llama la atención. Un dispositivo que permanece en silencio, o que está en un segmento que no supervisa, no aparece.

Sí, desde el punto de acceso o el controlador wifi: su lista de clientes muestra cada dispositivo conectado con su dirección MAC, la intensidad de la señal y a menudo un nombre. Compárela con lo que espera ver y revise las concesiones DHCP del router para localizar los dispositivos que obtuvieron dirección hace poco. Algunos ajustes hacen que esa lista sea más fiable: una red de invitados separada para visitas y teléfonos personales, una contraseña wifi que cambia cuando alguien deja la empresa y WPA2 o WPA3 Enterprise con credenciales individuales en lugar de una clave compartida. Los teléfonos modernos usan una dirección MAC distinta en cada red, así que una dirección desconocida no demuestra una intrusión. NetSenX no gestiona la wifi, pero su mapa de red muestra los dispositivos que se comunican en los segmentos supervisados, de modo que un recién llegado que alcanza servidores internos llama la atención.

Sí, si la toma está conectada a un puerto activo del switch. Una visita, un contratista o un intruso puede conectar un portátil o dejar detrás de una impresora un ordenador pequeño, como una Raspberry Pi, que queda así dentro de su cortafuegos. Prevenirlo es barato: desconecte los puertos que no se usan, utilice 802.1X o al menos seguridad de puertos para que solo los dispositivos conocidos tengan acceso, lleve las salas de reuniones y la recepción a una red de invitados y mire detrás de las impresoras y bajo las mesas en las rondas. La detección es la segunda capa. El mapa de red de NetSenX, en todos los planes, muestra los dispositivos nuevos que empiezan a transmitir en los segmentos supervisados, y NetSenX señala como beaconing un dispositivo oculto que contacta con el exterior a intervalos regulares. Si el dispositivo llega al atacante por su propia conexión móvil, solo es visible lo que hace dentro de su red, como un escaneo; un dispositivo que solo escucha sigue siendo invisible.

Normalmente de días a semanas, a veces mucho más. El informe M-Trends 2026 de Mandiant sitúa la mediana mundial del tiempo de permanencia (dwell time), es decir, el tiempo desde el inicio de una intrusión hasta su descubrimiento, en 14 días para los incidentes investigados en 2025. Una mediana oculta una cola larga: la mitad de esas intrusiones duró más. El tiempo es corto cuando el atacante hace ruido, como con el ransomware, y largo cuando busca un acceso discreto o robar datos; las intrusiones que descubre un tercero han durado en general más que las que encuentra la propia empresa. Lo que lo acorta es vigilar el comportamiento, no solo las firmas: contactos regulares con un servidor externo nuevo, escaneos, sesiones nuevas entre equipos. NetSenX los detecta en todos los planes, incluido Free, en los segmentos que supervisa.

La mayor parte de la vigilancia no deja nada visible en la pantalla, así que fíjese en lo que está instalado y en quién gestiona el ordenador. La supervisión de la empresa suele aparecer en la lista de programas instalados o de perfiles de gestión y debería estar descrita en una política escrita; si tiene dudas, pregunte a TI o a Recursos Humanos. Pueden indicar algo no autorizado una herramienta de acceso remoto que usted no instaló, el ratón o las ventanas moviéndose solos, una extensión nueva en el navegador, la luz de la cámara que se enciende o un software de seguridad desactivado. En la red, un ordenador que envía datos con regularidad a un servidor externo desconocido es la señal técnica más clara. NetSenX vigila dispositivos y conexiones, nunca personas: detecta ese tipo de beaconing en todos los planes, pero no ve lo que se ejecuta dentro del ordenador.

Normalmente no de forma directa. El sniffing pasivo, un dispositivo que solo escucha, no envía nada y por eso casi no deja rastro. Lo que sí se detecta es el trabajo que el atacante tiene que hacer para ver tráfico que no va dirigido a él. En una red con switches tiene que desviarlo, por ejemplo con ARP spoofing, o conectarse a un puerto espejo, a un hub o a un TAP. Funciones de los switches como la inspección dinámica de ARP y el DHCP snooping bloquean el desvío, la seguridad de puertos limita quién puede conectarse y cifrar los servicios internos con HTTPS, SSH y cifrado SMB hace que el tráfico capturado sirva de mucho menos. Un sensor que vigila el segmento ve anuncios ARP inusuales y el dispositivo nuevo que empieza a transmitir; un escucha que permanece totalmente en silencio es invisible para NetSenX, como para cualquier sensor de red.

De muchos, si la red se lo permite. Una vez dentro, el atacante llega a todos los sistemas que alcanza la máquina comprometida e inicia sesión allí donde funcionan las contraseñas guardadas o robadas. Las carpetas compartidas, un servidor de archivos que todos pueden leer y una misma contraseña de administrador en todos los equipos alargan esa lista. La acortan tres cosas: segmentos que mantienen los puestos de trabajo lejos de los servidores que no necesitan, cuentas con los mínimos permisos que todavía permiten trabajar y autenticación multifactor (MFA) en el acceso remoto y en los inicios de sesión de administrador. Además, los datos robados tienen que cruzar la red dos veces: cuando el atacante reúne archivos de otros equipos y cuando los envía fuera. NetSenX detecta las sesiones nuevas entre equipos y los volúmenes salientes inusuales por equipo, en todos los planes, incluido Free.

A través de un servicio que responde en esa dirección, o a través de una persona. Su dirección IP pública no es una puerta por sí misma; lo son los puertos abiertos detrás de ella. Los atacantes rastrean todo internet en busca de escritorios remotos, pasarelas VPN, cortafuegos con gestión remota y servidores de correo y web, y luego prueban contraseñas robadas o vulnerabilidades conocidas en todo lo que responde. La otra vía habitual se salta la dirección pública: un correo de phishing lleva a un empleado a ejecutar algo y el ordenador infectado contacta después por sí mismo con el atacante. Compruebe desde fuera qué puertos expone, cierre todo lo que no haga falta, ponga el resto detrás de una VPN con autenticación multifactor (MFA) y parchee primero los equipos expuestos a internet. En los segmentos supervisados, NetSenX muestra qué equipos reciben conexiones desde fuera y detecta el beaconing que sigue a una infección.

Sí, y a menudo una fácil. Impresoras, cámaras IP, grabadores de vídeo, televisores inteligentes y sistemas de acceso funcionan con pequeños sistemas operativos que rara vez se actualizan, suelen conservar las contraseñas de fábrica y no pueden ejecutar antivirus. Los atacantes los aprovechan de dos maneras: como punto de apoyo oculto que nadie vigila y como punto de partida para escanear el resto de la red. Cambie las contraseñas de fábrica, actualice el firmware, desactive los servicios que no use y coloque estos dispositivos en un segmento de red propio que no llegue a sus servidores ni a internet más allá de lo que necesitan. Como no puede instalarles un agente, vigílelos desde la red: desde un puerto SPAN o un TAP, NetSenX ve sus destinos y detecta beaconing y escaneos, en todos los planes, sin ningún software en el dispositivo.

Puede serlo. Los televisores inteligentes, los dispositivos para compartir pantalla y los sistemas de videoconferencia son ordenadores con micrófonos, cámaras y acceso a la red, que se actualizan al ritmo de sus fabricantes, si es que se actualizan. Muchos contactan con la nube del fabricante todo el día, incluso en reposo, y algunos aceptan que cualquiera de la misma red comparta pantalla. Póngalos en un segmento de red propio que no llegue a sus servidores de archivos ni a los portátiles que se proyectan en ellos, desactive las funciones que no use, cambie las contraseñas de fábrica y aplique las actualizaciones. Después compruebe lo que hacen de verdad: vigilados desde un puerto SPAN o un TAP, NetSenX ve sus destinos y detecta beaconing y escaneos en todos los planes, sin software en el dispositivo. Si una nube del fabricante en el extranjero es aceptable lo decide usted; NetSenX muestra el tráfico, no juzga al fabricante.

A menudo es el empleado, pero solo lo sabrá tras comprobarlo. Los inicios de sesión desde un país o un proveedor nuevos se producen al viajar, con un teléfono nuevo o con una red móvil que sale por otra ciudad, y también cuando alguien usa una contraseña robada. Pregunte directamente a la persona, por un canal distinto de la cuenta en cuestión, si fue ella. Después revise los registros de identidad del servicio: se completó la autenticación multifactor (MFA), se añadieron reglas de buzón o dispositivos nuevos, y la misma cuenta inició sesión desde dos lugares lejanos en menos de una hora. Esas pruebas están en los registros de su proveedor de identidad, de la VPN y de los servicios SaaS, no en la red. NetSenX aporta la parte de red, como un equipo que después empieza a escanear o abre sesiones nuevas hacia servidores; no ve los eventos de identidad ni vincula un inicio de sesión con una persona.

A veces, porque una reinstalación solo limpia las máquinas reinstaladas. Lo que sobrevive suele estar en otro sitio: contraseñas y tokens de sesión robados, cuentas creadas en el directorio o en servicios en la nube, una herramienta de acceso remoto en un servidor que nadie reinstaló, scripts programados en una carpeta compartida, reglas del cortafuegos modificadas o una copia de seguridad que ya contenía sus herramientas. Antes de dar un incidente por cerrado, restablezca todas las credenciales que puedan haberse expuesto, revise en todas partes las cuentas nuevas, las reglas de reenvío de correo y el software de acceso remoto, compare la configuración del cortafuegos y de la VPN con una copia fiable y restaure solo desde copias anteriores a la intrusión. Después vigile de cerca durante varias semanas. Las conexiones renovadas con los servidores del atacante son una señal típica de que algo se pasó por alto; NetSenX detecta beaconing C2 en todos los planes, incluido Free.

En parte, sí. Varios organismos nacionales ofrecen servicios gratuitos: en España, el servicio Antibotnet de INCIBE comprueba si su dirección IP pública aparece en informes de dispositivos infectados, y los CERT nacionales de otros países trasladan avisos similares a los titulares de las redes afectadas; pregunte a su proveedor de internet si se los reenvía. También ayudan las comprobaciones gratuitas por su parte: el registro de conexiones salientes bloqueadas del cortafuegos, los registros DNS con consultas a dominios maliciosos conocidos y cualquier equipo que contacte con el mismo servidor externo a todas horas. Una consulta de reputación le dice que algo detrás de su dirección pública ha sido notificado, no qué dispositivo era. NetSenX detecta beaconing C2 por equipo en todos los planes, incluido Free, lo que señala al propio dispositivo.

Una evaluación de compromiso (compromise assessment) es una investigación acotada en el tiempo que responde a una pregunta: ¿hay ahora un atacante en nuestro entorno, o lo hubo hace poco? Unos especialistas revisan evidencias de endpoints, registros y red en busca de señales de intrusión, en lugar de comprobar si una intrusión es posible, como hace una prueba de penetración. Tiene sentido antes de una adquisición, después de que atacaran a un proveedor o a una empresa de su sector, cuando hereda una red que nadie documentó o cuando pasó algo raro que nadie supo explicar. Pregunte al proveedor qué datos necesita, hasta dónde puede mirar hacia atrás y qué no cubrirá. Su calidad depende de las evidencias que ya existen: un historial de red registrado antes de empezar la evaluación vale más que todo lo que se recoja después. NetSenX conserva las alertas y sus motivos durante el historial que incluye su plan: 30 días en Free y más en los planes de pago.

Averigüe cómo la atacaron y compruebe exactamente ese camino en su empresa. Lea el comunicado público, el aviso de su CSIRT nacional o de su organismo sectorial y las informaciones que citan el método: una VPN o un cortafuegos explotados, un proveedor común, phishing, un grupo de ransomware conocido. Los grupos criminales suelen reutilizar la misma vulnerabilidad o el mismo acceso de proveedor contra muchas empresas a la vez, así que, si comparte software o proveedor de servicios con la víctima, pregúntele directamente. Parchee el producto señalado, revise el acceso remoto y las cuentas de proveedores y confirme que sus copias de seguridad están desconectadas y se pueden restaurar. Después busque en su red los primeros pasos: servidores externos nuevos contactados a intervalos regulares, escaneos internos y nuevas sesiones de administrador. NetSenX los detecta en todos los planes, incluido Free; no puede decirle lo que ocurre en segmentos que no supervisa.

Cualquier vínculo con ella y cualquier cosa nueva. Empiece por lo que les une: túneles VPN compartidos, cuentas de acceso remoto que usa en sus sistemas, transferencias de archivos, hilos de correo y carpetas compartidas en la nube. Suspenda o cambie esas credenciales hasta que confirme qué se vio afectado y trate con cautela sus correos que pidan cambiar datos de pago, porque los atacantes reutilizan hilos de correo robados. Si su aviso o comunicado incluye indicadores de compromiso, como direcciones IP, dominios o hashes de archivos, búsquelos en los registros del cortafuegos, del proxy y de DNS de varias semanas atrás. Después vigile el comportamiento: equipos que de repente contactan con servidores externos nuevos a intervalos regulares, escaneos, subidas inusuales. NetSenX los detecta en todos los planes, y su mapa de red muestra quién se comunica con quién en los segmentos supervisados.

Convierta el incidente del año pasado en una prueba. Anote cada paso del atacante, desde el primer acceso hasta el momento en que lo detectaron, y pregúntese en cada uno qué control o qué registro lo vería hoy. Después cierre las brechas: si la entrada fue una cuenta VPN sin autenticación multifactor (MFA), compruebe que todas las cuentas remotas la tienen ahora; si solo lo vieron en el cifrado, averigüe qué paso anterior cruzó la red y si algo alertaría hoy sobre él. Un ejercicio de simulación de mesa o una simulación de brechas y ataques (BAS) reproduce el escenario sin daño real. NetSenX cubre los pasos de red que comparten la mayoría de los incidentes, como el beaconing, los escaneos, el movimiento lateral y los volúmenes salientes inusuales, en todos los planes; la simulación de brechas y ataques se incluye desde el plan Business. Lo que ocurre solo dentro de un equipo requiere protección de endpoints.

Porque nadie dentro miraba en el lugar adecuado. Un cliente recibe una factura falsa desde su buzón hackeado, un banco avisa de transferencias extrañas, la policía o un CERT nacional encuentra sus datos en un servidor delictivo, o los atacantes lo anuncian en su sitio de filtraciones. Dentro de la empresa, las señales solían estar ahí pero sin leer: registros del cortafuegos que nadie revisa, una alerta del antivirus cerrada como ruido, un servidor que sube datos de noche. Los informes M-Trends de Mandiant han constatado repetidamente que las intrusiones descubiertas por un tercero llevaban más tiempo en marcha que las que encontró la propia empresa. Enterarse por fuera también le quita el control del calendario y del mensaje. Leer lo que ya cruza su red cambia eso; NetSenX lo convierte en alertas explicadas de beaconing, escaneos, movimiento lateral y subidas inusuales, en todos los planes, incluido Free.

Preguntando quién, adónde y cuándo, y comparando la respuesta con lo normal. Una copia de seguridad mueve datos desde equipos conocidos hacia un destino conocido, normalmente a una hora fija y con un volumen parecido cada noche. Una actualización descarga desde los servidores del fabricante a muchos equipos en una ráfaga corta. Un robo tiene otro aspecto: un equipo que casi nunca sube datos envía mucho, a un destino que nadie más usa, a una hora en la que suele estar en silencio, o un puesto de trabajo empieza de repente a leer muchas carpetas compartidas. Mantenga una lista breve de sus tareas programadas, con sus equipos y horarios, para que cualquiera pueda contrastar una alerta con ella. NetSenX compara cada equipo con sus propios destinos, volúmenes y horas habituales, explica en cada alerta qué características de red la provocaron y le permite marcar una alerta como falso positivo, con la decisión guardada en el registro de auditoría.

Registrándolo antes de necesitarlo. Lo normal es una descripción de quién se comunica con quién, cuándo y cuánto: qué servidores usa cada puesto de trabajo, a qué servicios externos llega, cuándo se ejecutan las copias de seguridad, qué dispositivos permanecen callados de noche. La mayoría de las pequeñas empresas nunca lo ha puesto por escrito, y por eso cuesta juzgar una conexión extraña en pleno incidente. Empiece por una lista sencilla de sus servidores, tareas programadas, herramientas de acceso remoto y proveedores que se conectan desde fuera. Los registros del cortafuegos y de DNS de una semana corriente le dan una primera imagen. NetSenX aprende lo normal de cada equipo a partir del tráfico de los segmentos que supervisa y compara con ello cada conexión nueva, y su mapa de red, en todos los planes, muestra quién habla con quién. Un sensor recién instalado necesita tiempo con su propio tráfico antes de que su idea de lo normal sea fiable, y NetSenX le avisa cuando todavía no tiene datos suficientes.

Un indicador de compromiso es una evidencia que sugiere que un sistema ha sido atacado: una dirección IP o un dominio que se sabe que usan los atacantes, el hash de un archivo malicioso, un nombre de archivo sospechoso, la huella TLS de un cliente de malware conocido o un cambio de configuración que realiza un malware. Los publican los avisos de CISA, de los CERT nacionales y de investigadores de seguridad para que otros puedan buscar en sus propios registros. Son útiles y efímeros: los atacantes cambian de servidores y recompilan sus herramientas, así que una dirección maliciosa el mes pasado puede pertenecer hoy a alguien inocente. Por eso los indicadores complementan la vigilancia del comportamiento en lugar de sustituirla. Busque en los registros del cortafuegos, del proxy y de DNS los indicadores de cualquier aviso que le afecte. Desde el plan Starter, NetSenX compara los handshakes TLS con huellas de malware conocido allí donde el agente captura paquetes, en Linux o como sensor SPAN/TAP, y detecta comportamientos como el beaconing en todos los planes.

Sí. Los antivirus y las herramientas de endpoint buscan archivos maliciosos conocidos y comportamientos sospechosos en la máquina, y solo pueden informar desde las máquinas en las que están instalados y funcionando. Un atacante que inicia sesión con una contraseña robada y usa las herramientas de administración que ya existen les da poco que señalar, y una impresora, una cámara o un servidor sin agente no informan de nada. Una herramienta que alguien desactivó también puede parecer tranquila en lugar de roja. Compruebe qué máquinas informan de verdad a la consola, cuándo se comunicó cada una por última vez y si alguna lleva días en silencio. Después añada una segunda mirada, independiente: la red. En los segmentos que supervisa, NetSenX observa el comportamiento que la cruza, como el beaconing hacia un servidor externo nuevo, los escaneos, las sesiones nuevas entre equipos y las subidas inusuales, en todos los planes, incluido Free, tenga o no el equipo algún agente.

Trátelo como un incidente hasta tener una explicación. Las cuentas de administrador nuevas son una forma habitual de que los atacantes conserven el acceso, y suelen tener nombres que parecen normales, como una variante de una cuenta de servicio o de soporte. No la borre enseguida: desactívela, anote su nombre, cuándo se creó y quién o qué la creó, y guarde los registros del directorio y del sistema que lo muestran antes de que se sobrescriban. Después pregunte a los candidatos obvios, como su proveedor de TI o un fabricante de software, si la crearon ellos. Si nadie lo hizo, busque qué más cambió al mismo tiempo, restablezca desde un dispositivo limpio las contraseñas de los demás administradores y llame a su proveedor de respuesta a incidentes. La cuenta en sí es una evidencia de identidad que un sensor de red no ve; NetSenX muestra si los equipos usados en ese momento empezaron a escanear o a abrir sesiones nuevas hacia servidores.

Primero, si es una tarea que conoce. Mire la hora, el destino y el volumen, y compárelos con su calendario de copias de seguridad, las actualizaciones de software y cualquier sincronización con un servicio en la nube. Una copia conocida va a un destino conocido a una hora fija. Si el destino es nuevo, el volumen inusual o el servidor suele estar callado a esa hora, localice en el propio servidor el proceso responsable, compruebe quién inició sesión poco antes y vea en el registro del cortafuegos o del proxy desde cuándo ocurre. Corte el acceso del servidor a internet si la transferencia continúa y nadie sabe explicarla. NetSenX detecta volúmenes salientes inusuales por equipo en todos los planes y conserva la hora, el destino y el volumen de cada alerta durante el historial que incluye su plan; no ve qué archivos iban dentro de una transferencia cifrada.

No necesariamente, pero significa que algo detrás de esa dirección se comportó mal o fue denunciado por ello. Las causas habituales son un buzón o un dispositivo comprometido que envía spam, un ordenador infectado con malware que forma parte de una botnet, un servicio abierto del que abusan otros o una dirección que pertenecía a otra persona antes de que su proveedor se la asignara. Averigüe qué lista es y qué motivo da, revise los registros del servidor de correo y del cortafuegos en busca de correo o conexiones salientes inusuales y cambie la contraseña de cualquier buzón que haya enviado mensajes inesperados. Pida la retirada solo cuando haya corregido la causa, o volverá a aparecer. Una lista de bloqueo apunta a su dirección pública, que comparten muchos dispositivos; NetSenX detecta beaconing y tráfico saliente inusual por equipo, en todos los planes, lo que le ayuda a encontrar el dispositivo.

Es posible, así que compruébelo en lugar de descartarlo. El hardware explica muchos casos: un ratón que falla, un receptor inalámbrico que capta otro dispositivo o un touchpad que reacciona a una manga. La otra explicación es el control remoto, por parte de su propio soporte de TI o de otra persona con una herramienta de acceso remoto. Pregunte a TI si había alguien conectado en ese momento, revise los programas instalados y las herramientas de asistencia remota en ejecución y compruebe si después hubo cuentas nuevas, cambios de contraseña o pagos. Si nadie lo explica, desconecte el ordenador de la red, déjelo encendido y llame a su proveedor de respuesta a incidentes. Las herramientas de control remoto necesitan conexión de red, a menudo con un servidor de retransmisión del fabricante, así que el tráfico se puede ver: NetSenX muestra las conexiones de ese ordenador y señala como beaconing los contactos regulares con un servidor externo nuevo, en todos los planes.

Observe antes de actuar y luego actúe de una sola vez. Un atacante que nota que lo están mirando puede borrar pruebas, pasarse a otra máquina o adelantar el cifrado, así que evite pasos ruidosos, como restablecer la contraseña del usuario o lanzar un análisis completo, antes de tener un plan. Primero reúna con discreción lo que pueda: el historial de la consola de endpoints, los registros del cortafuegos y de DNS y las conexiones que hace el ordenador. Decida con su proveedor de respuesta a incidentes qué cuentas y equipos contener y hágalo todo a la vez: aislar, restablecer credenciales desde un dispositivo limpio y bloquear los destinos del atacante en la misma ventana corta. Trabaje desde un dispositivo limpio y no hable del incidente por un buzón que podría estar comprometido. Un sensor de NetSenX en un puerto SPAN o un TAP observa sin tocar el ordenador, y sus alertas indican los destinos, los horarios y los volúmenes que necesita un plan de contención.