Contraperitaje: ¿acceso no autorizado a un ordenador y a un servidor?
Revisión técnica de un informe previo que apuntaba a un acceso indebido al ordenador de un trabajador y al servidor de una entidad.
Contexto
Una entidad deportiva sospechaba que, en una franja horaria concreta, alguien había accedido sin autorización al ordenador de un trabajador y al servidor donde estaba el programa de gestión de socios y contabilidad. Existía un primer informe técnico que lo daba por hecho.
Qué se me pidió
Comprobar si había indicios técnicos sólidos de esos accesos y revisar las conclusiones del informe previo.
Cómo se analizó
- Examen in situ del ordenador y del servidor.
- Análisis del Visor de eventos de Windows (sistema y seguridad) filtrando por la franja horaria, con los identificadores de inicio de sesión correcto y fallido.
- Revisión de los accesos por escritorio remoto (Terminal Services) al servidor.
- Contraste punto por punto con las afirmaciones del informe previo.
Conclusión del informe
No se encontraron indicios suficientes ni concluyentes de acceso, ni legítimo ni no autorizado, a ninguno de los dos equipos en la franja investigada. El acceso remoto al servidor era técnicamente posible, pero muy poco probable en esas condiciones.
Qué podemos aprender
Una sospecha no es una evidencia. Los registros del sistema operativo permiten confirmar o descartar un acceso, y un contraperitaje bien fundamentado puede evitar una acusación injusta.
Servicio relacionado: Peritaje de incidentes de ciberseguridad y fraude informático
Caso anonimizado. Los datos personales, las partes y las referencias del procedimiento se han omitido o modificado para preservar su confidencialidad.