Qué información conservar de un intento de suplantación
De un intento de suplantación conserva el mensaje original, su contexto técnico y la interacción que hubo, con acceso restringido.
Equipo enginerIT· 2 min de lectura
De un intento de suplantación conserva el mensaje original, su contexto técnico y la interacción que hubo, con acceso restringido. Una captura ayuda a explicar lo ocurrido, pero no sustituye la información necesaria para analizar el origen y relacionarlo con otros avisos. No necesitas confirmar que hubo daño para preservar el intento.
Guarda el original sin convertirlo en material de difusión
Utiliza el mecanismo de reporte aprobado para conservar el correo en su formato original o permitir al equipo técnico recuperarlo. Incluye cabeceras completas cuando las solicite el procedimiento. INCIBE explica que estas contienen información útil para analizar mensajes sospechosos. Evita reenviar repetidamente el correo dentro del cuerpo de otros mensajes, porque puede perderse contexto y multiplicarse la exposición a enlaces o adjuntos.
Registra qué se intentó y qué llegó a suceder
Anota receptor, fecha y zona horaria, asunto, identidad suplantada y acción solicitada. Distingue recibir, responder, pulsar, descargar, facilitar datos y ejecutar un pago. Si el intento llegó por mensajería o teléfono, conserva identificador visible, conversación disponible, hora y descripción de la instrucción sin hacer nuevas llamadas al contacto sospechoso para obtener más pruebas. Señala si alguna captura o nota es una reconstrucción posterior.
Relaciona las evidencias sin guardar secretos de más
Asigna un caso y enlaza documentos, alertas y operaciones afectadas. Si se entregaron credenciales, registra qué cuenta y cuándo, sin copiar la contraseña al expediente. Los adjuntos potencialmente maliciosos deben recogerse mediante personal y herramientas adecuados; no los abras para averiguar qué contienen. Define quién custodia el material, dónde está y quién puede acceder. NIST SP 800-61r3 recoge la preservación de procedencia e integridad durante la respuesta.
Comprueba que la conservación permitirá investigar
Pide al responsable técnico que verifique que el original se abre con medios seguros, que las cabeceras están completas y que los enlaces de referencia funcionan. Anota lo que falta, como mensajes borrados o un intervalo de registros ya vencido. Aplica la retención y el tratamiento de datos acordados con los responsables del caso. Si hay una operación económica ejecutada, activa además su respuesta urgente: conservar evidencia acompaña a la contención, no la sustituye.
Comprobaciones para cerrar la tarea
- ✓ El original conserva contexto técnico, no solo una captura.
- ✓ Se distingue intento de acción y operación efectivamente realizada.
- ✓ El expediente permite localizar custodio, archivos y limitaciones.
Fuentes y documentación
- INCIBE · Legitimidad del correo y cabeceras — Información de cabeceras para analizar correos sospechosos.
- NIST · SP 800-61 Rev. 3 — Procedencia, integridad y custodia de evidencias de incidentes.
Aplicarlo en tu empresa
Podemos revisar el entorno y acordar qué actuaciones, validaciones y mantenimiento necesitas.
Conocer el servicio relacionado →