Antes de decir que datos salieron de tu organización, necesitas preservar las fuentes que pueden confirmarlo y las que pueden contradecirlo. La exfiltración no se demuestra con una carpeta comprimida, un pico de red o una frase del atacante.
La investigación debe responder qué información estaba disponible, quién pudo acceder, qué ocurrió antes de la transferencia y qué evidencia conecta esos eventos con una salida concreta.
Preserva los sistemas y su estado
Identifica cada equipo afectado, usuario, cuenta, servicio y fecha de recepción. Documenta el estado físico y lógico sin instalar limpiadores ni ejecutar recuperadores en el original.
Conserva discos o copias forenses cuando sean necesarias, registros de autenticación, accesos remotos, historiales de archivos, carpetas visitadas y procesos. Ese estado permite distinguir el incidente inicial de las acciones posteriores de contención.
También registra quién apagó, desconectó, restauró o cambió cada componente. Si un respaldo se cifró después porque quedó conectado, esa decisión no debe confundirse con el ataque inicial.
Preserva red, correo y nube
Los registros de red pueden mostrar destinos nuevos, picos de salida y conexiones persistentes. No prueban contenido por sí solos. Deben relacionarse con proceso, horario y activo para descartar actualizaciones o respaldos.
El correo puede aportar mensajes con adjuntos, reglas creadas, reenvíos, alias, accesos desde ubicaciones inusuales y borrado selectivo. Preserva reglas antes de eliminarlas. Si una regla ocultaba avisos de pago, borrarla puede destruir la explicación del desvío.
La nube puede mostrar descargas, enlaces públicos, comparticiones externas y versiones de archivos. Un respaldo automático no equivale a robo. Hay que separar sincronización autorizada de compartición externa y revisar permisos y destinatarios.
Preserva los datos que pueden contradecir la sospecha
Una primera lectura de carpetas sensibles no demuestra extracción. Un archivo en una nube no demuestra difusión. Una IP no identifica a una persona. Un pico de actividad puede ser una actualización.
Por eso también hay que conservar políticas, autorizaciones, tareas programadas, respaldos aprobados y actividad administrativa legítima. La revisión no debe buscar solo lo que confirma la acusación.
Un tercer equipo limpio puede cambiar la interpretación del conjunto. Si todos los dispositivos muestran lo mismo, la investigación debe explicar la diferencia en lugar de tratar cada máquina como una escena idéntica.
Qué no debe suponerse
No supongas que hubo robo porque hubo cifrado. Son preguntas distintas: disponibilidad y confidencialidad. No supongas que no hubo robo porque los archivos fueron recuperados. La recuperación no responde si existían copias fuera.
No supongas que un pico de red demuestra contenido, que una antena demuestra domicilio o que un hash demuestra autenticidad histórica. El hash identifica el archivo desde su cálculo, no cuenta todo su pasado.
No supongas que la falta de registros demuestra inexistencia. Puede haber retención insuficiente o canales no medidos. La conclusión debe decir qué fuentes y períodos se revisaron y qué no puede afirmarse.
Qué debe demostrar la conclusión
Una conclusión sólida relaciona datos concretos, acceso, preparación y transferencia. Explica qué evidencia apoya cada eslabón y qué alternativas fueron descartadas. No necesita afirmar quién era el culpable si la atribución no está probada.
Puede concluirse que existen indicios compatibles con exfiltración, que una transferencia concreta está acreditada o que las fuentes no permiten afirmarla. Cada resultado debe incluir su alcance y sus límites.
Para el director, eso permite decidir contención y continuidad sin vender certeza. Para el abogado, permite formular solicitudes y evaluar obligaciones. Para el lector, evita que una sola captura se convierta en prueba de toda una operación.