Miércoles, 11:23. A Lucía le entra un correo que parece venir del área de IT y le pide que actualice sus credenciales de VPN antes del mediodía. Algo no le cierra. Aprieta el botón de reportar y vuelve a lo que estaba haciendo.
Eso es todo lo que ella hace. En la pieza anterior de esta serie quedó planteado que el hábito de reportar se sostiene solo si avisar tiene una consecuencia que la persona pueda percibir, y que esa consecuencia depende de cuánto tarde el correo real en tener una respuesta. El análisis automático de correos reportados es lo que comprime esa espera, y acá está su recorrido paso por paso, sin tecnicismos. Los horarios y los números son los de una organización concreta, la misma de las piezas anteriores, y no promedios del sector.
¿Qué es lo primero que se revisa cuando entra un correo reportado?
Lo primero es si el correo lo envió tu propio programa. Es la única pregunta que la plataforma puede contestar sin investigar nada, porque tiene el registro de cada simulación de phishing que envió, y por eso va primero.
Cuando la respuesta es sí, el caso se cierra en el acto. La plataforma le reconoce el acierto a la persona, lo suma a su puntaje y no queda nada para analizar. El correo de Lucía no es una simulación, así que el recorrido sigue.
¿Qué revisa el análisis de un correo reportado?
11:24. Desde acá el correo se analiza de forma automática, con el mismo detalle con el que lo revisaría alguien del equipo de seguridad, pero sin que nadie tenga que abrirlo.
Se comprueba si el correo viene de donde dice venir o si alguien está suplantando a una empresa conocida. Se sigue cada enlace hasta su destino final, porque un enlace puede mostrar una dirección y llevar a otra. Se revisan los archivos adjuntos, incluido el clásico que aparenta ser una factura y no lo es.
Y se miran las imágenes del mensaje. Ahí es donde hoy se esconde buena parte de lo que el email security no alcanza a ver. Un código QR ocupa el lugar del enlace y una captura de pantalla ocupa el lugar del texto, así que un análisis que solo lee el texto pasa de largo por los dos casos.
Un análisis que solo lee el texto de un correo no ve el ataque que viene dentro de una imagen.
Cómo simular ese ataque para entrenar a tu gente ya está tratado en el artículo sobre qrishing de este blog. Acá el QR viene en un correo que alguien ya reportó, y lo que hay que hacer con él es decidir qué es.
¿Y cuando la evidencia técnica no alcanza?
Hay correos que la evidencia no resuelve. El remitente es legítimo, los enlaces no figuran en ninguna lista, no hay adjuntos, pero el mensaje pide algo que no corresponde, con una urgencia que tampoco corresponde. Es la zona gris donde hasta ahora hacía falta el criterio de una persona.
Para esos casos hay un agente de inteligencia artificial que analiza lo que el correo dice y cómo lo dice, desde la urgencia y la presión hasta el pretexto que usa para justificar el pedido. No reemplaza la comprobación técnica. Entra cuando esa comprobación se queda corta, que es exactamente donde se acumulaban los reportes difíciles.
En el correo de Lucía la evidencia alcanza y sobra. El dominio del remitente se registró hace 48 horas, los enlaces apuntan a un servidor en un país donde la empresa no opera y la autenticación del remitente falla.
Veredicto: phishing. Puntuación de riesgo: 92 sobre 100.
¿Qué recibe el equipo de seguridad cuando termina el análisis?
11:25. Al equipo de seguridad le llega un resultado en lugar de un correo para abrir. Son tres cosas.
- Un veredicto. Phishing real o falsa alarma.
- Una puntuación de riesgo de 0 a 100. La prioridad, sin necesidad de leer nada más.
- Una explicación de por qué, escrita en el idioma de quien la lee.
La tercera es la que cambia quién puede trabajar con el reporte. La explicación no llega en el lenguaje de un encabezado de correo, llega en frases como «el archivo adjunto oculta su tipo real» o «las respuestas a este correo irían a una dirección distinta de la del remitente». No hace falta saber leer un correo por dentro para entenderlas, y eso significa que el reporte deja de esperar a la única persona del equipo que sabe hacerlo.
¿Qué pasa con los correos reportados que resultan inofensivos?
El correo de Lucía era phishing, pero la mayoría no lo es. En el mes del que venimos hablando, 160 de los 183 correos reportados resultaron inofensivos. Una factura real que parecía rara, una promoción, el correo de un proveedor nuevo que nadie tenía agendado.
Eso es lo que pasa cuando la gente está atenta. Una organización que trata la falsa alarma como un costo termina enseñándole a su gente a no reportar. La persona que dudó frente a un correo legítimo hizo exactamente lo que se le pidió.
Lo que cambia con el análisis automático es que esos 160 correos también reciben su veredicto y se cierran sin consumirle tiempo a nadie. Dejan de ser la pila debajo de la cual esperan los 23 que sí eran ataques.
¿Cuánto tarda el recorrido completo?
11:27. Quien está de guardia abre el reporte, encuentra el análisis hecho, confirma el veredicto y activa el protocolo de respuesta. La decisión sigue siendo suya. Lo que cambió es que ya no tiene que construir la evidencia para poder tomarla.
Y el protocolo no tiene que esperar esa confirmación. Un Playbook es un conjunto de acciones que se ejecutan solas cuando ocurre un evento determinado, así que el veredicto puede encadenar las primeras sin que nadie las lance.
Puede ser un aviso al equipo por correo, por Slack o por Microsoft Teams, y una llamada a los sistemas que tengas integrados, para que la contención empiece mientras la persona a cargo revisa el caso. Dónde poner ese límite lo decide cada organización, porque hay respuestas que conviene que arranquen solas y otras que no se mueven hasta que alguien mira.
Entre el momento en que Lucía apretó el botón y el momento en que el equipo de seguridad empezó a actuar pasaron cuatro minutos. Con la cola de 47 reportes de la que hablamos en la primera pieza de la serie, habrían sido tres días.
Esa diferencia tiene un costo que la cola no muestra. Un correo de phishing que espera tres días para ser clasificado sigue tres días en las bandejas de entrada del resto de la organización, y nadie puede avisar, bloquear ni contener un ataque que todavía no se miró. El tiempo de clasificación es el tiempo que el ataque tiene para seguir trabajando.
Lo que Lucía nota, sin que nadie se lo explique
Hay una segunda lectura de esos cuatro minutos, y no está en ningún tablero de seguridad. Lucía avisó y pasó algo.
El veredicto y la puntuación nunca van a llegar a su pantalla, y no le hacen falta. Le alcanza con percibir que su aviso entró en un circuito que se movió, porque eso es lo que va a pesar la próxima vez que dude frente a un correo. Cuando el recorrido se mide en días, la respuesta le llega tarde a ella y tarde a la organización. Cuando se mide en minutos, el circuito se cierra solo.
Ese recorrido es el que hace Smart Triage dentro de la consola de reportes de SMARTFENSE, sobre los correos que tu gente reporta con el botón. Si quieres verlo sobre tus propios reportes, en la consola está el detalle de cada análisis y el histórico de lo que se clasificó.
En la próxima pieza de la serie vamos a cambiar de punto de vista otra vez, y a mirar el mes del analista de SOC que abría esos 183 reportes uno por uno y las horas que le devuelve el triaje automático.
Deja una respuesta