Edition 17

Lea más allá de las criptomonedas, porque el patrón existe en su propia organización. Es un fallo de autorización. El control de firma protegía la clave, no la veracidad de la instrucción: se le pidió que autorizara una transferencia, confirmó que tenía permiso para hacerlo y firmó. Nadie verificó que la transferencia fuera legítima. Cambie cartera por proceso de pagos o por datos bancarios de un proveedor, y tendrá una estafa de compromiso de correo corporativo con mejor criptografía.

El control que realmente necesita está en la capa anterior, en la integridad de lo que llega al firmante. ¿De dónde proviene esta instrucción, coincide con una fuente aprobada, y el sistema que compone las transferencias recibe más escrutinio que el que las firma? Y mantenga la hipótesis norcoreana con cautela por ahora: es preliminar, el punto de entrada se desconoce, y Lazarus se ha convertido en una etiqueta para cualquier cosa vagamente asociada a la RPDC. El mecanismo es la lección, no la atribución.

Segunda vez en dos meses que llega la misma lección: un restablecimiento de contraseña no desaloja a un atacante. En agosto fue un kit de phishing que registraba su propio passkey, y que sobrevivió al restablecimiento. Aquí el proveedor fraudulento sobrevive al restablecimiento y captura la contraseña de sustitución. El orden de las operaciones es, por tanto, un control en sí mismo. Elimine primero la persistencia: el proveedor, sus aplicaciones, claves y URIs de redirección; y rote las credenciales después. Al revés, habrá entregado la nueva contraseña.

Sea preciso sobre qué es esto, porque importa. Es post-compromiso, no acceso inicial: registrar un proveedor fraudulento requiere Global Administrator o Authentication Policy Administrator. El hallazgo upstream es el privilegio permanente, no el MFA roto. Y observe qué verificó Entra: una firma válida en un token que afirmaba que el segundo factor había ocurrido. Nunca que hubiera ocurrido realmente.

Fije esa frase en la pared. El mecanismo de seguridad mostró un bloqueo de política después de que los datos ya habían salido. Recibió el mensaje tranquilizador y la brecha, del mismo control, en el mismo segundo. Si alguna vez necesitó una prueba de que un control que informa éxito no es lo mismo que un control que funciona, llegó esta semana con una captura de pantalla.

Dos aspectos que trasladar a su propio entorno. Primero: un formulario público de captación es entrada no confiable con camino directo a sus activos más críticos; por tanto, examine qué puede escribir en cualquier dato que sus agentes lean. Segundo: el agente no sabía quién lo estaba dirigiendo, de modo que firmó el phishing con su propio nombre de confianza. Esta es la versión concreta del consejo que di hace dos semanas: una identidad por agente y registros de lo que el agente realmente hizo, no de lo que se suponía que debía hacer.

Examine los fundamentos. Sin brecha, sin ataque, sin vulneración técnica. Licitud, equidad, transparencia, conservación e incapacidad de demostrar cumplimiento. Este último fundamento es el artículo 5(2), y es el mismo hilo que recorre todo lo anterior: ser conforme y poder evidenciarlo no son dos mitades opcionales. Si no puede mostrar su trabajo, el regulador lo trata como no hecho. La retención fue calificada como factor agravante; es la tercera vez este año que escribo sobre datos que sobreviven a su finalidad.

Preste atención al orden, no a la cifra. Lo mismo dije sobre la multa por la DMA en julio: para Alphabet el dinero es una partida contable; la medida correctora conductual es el instrumento real, y Google tiene ahora seis meses para cambiar cómo trata los datos de ubicación. Tenga en cuenta también el reloj. Abierto en febrero de 2020, resuelto en septiembre de 2026: seis años y medio, que es el tiempo transcurrido desde los hechos durante el que se le puede pedir que justifique decisiones tomadas por personas que ya no están en la organización.

Una cultura no es un procedimiento. No se puede redactar, aprobar y archivar, y un auditor no la evaluará leyendo su página de política. La evaluará preguntando a sus personas cómo se notifican los defectos y si alguien duda antes de comunicar malas noticias. Su defensa es la evidencia de lo que la dirección hace realmente: actas del consejo, decisiones en las que la calidad prevaleció sobre el calendario, qué ocurrió con la última persona que escaló un problema. Recójalas ahora, porque no podrá reconstruirlas después.

Dos notas prácticas. El Anexo A.6.1.2 indica que el pensamiento basado en riesgos no implica un enfoque formal de gestión del riesgo ni un proceso documentado; por tanto, si un consultor le dice que la nueva versión le obliga a tener un registro de riesgos, le está vendiendo algo. Y no confíe en el margen de tres años. La mayoría de las organizaciones realizan la transición durante una auditoría de seguimiento o de recertificación programada, y esas fechas las asigna el organismo de certificación, no usted. Si cuenta hacia atrás desde su propio ciclo, generalmente encontrará una única ventana realista. La lectura completa cláusula por cláusula está enlazada más arriba.