Un indicio no es un incidente
Una dirección profesional en un archivo ajeno, una cuenta antigua y una señal sobre un acceso activo son situaciones distintas. No justifican automáticamente la misma respuesta.
Have I Been Pwned advierte de una cobertura incompleta y mantiene referencias históricas tras cambiar contraseñas. La ausencia de resultados no garantiza ausencia de exposición; una coincidencia no demuestra que el acceso siga funcionando. [1]
Separar tres fechas
Recomendamos distinguir la fecha del evento, la primera observación y la última revisión. Algo descubierto hoy puede proceder de un evento antiguo.
Las fechas desconocidas deben seguir marcadas como desconocidas. Varias publicaciones del mismo registro no deben convertirse artificialmente en varios incidentes nuevos.
Atribución antes que puntuación
Aclare si el indicio corresponde a un dominio, una identidad concreta, un servicio o solo un nombre parecido. Nuestra ficha mínima propuesta evita coleccionar archivos completos de terceros.
- Fuente o referencia verificable
- Dominio o identidad autorizada
- Fechas del evento, observación y revisión
- Tipo de señal y confianza en la atribución
- Comprobación recomendada, responsable y resultado
Un ejemplo concreto
Caso ficticio: la dirección antigua de un empleado aparece en un registro histórico. La primera pregunta es si la cuenta y los accesos a aplicaciones se desactivaron realmente. Ese registro no demuestra por sí solo un ataque actual.
Una actividad inexplicada en una cuenta activa exigiría otra investigación. La monitorización ayuda a decidir qué revisar; no sustituye la revisión.
No olvidar las sesiones
Microsoft explica que las aplicaciones pueden controlar sus propios tokens de sesión. Un cambio central de acceso no cierra automáticamente todas las sesiones de aplicación.
Recomendamos comprobar aplicación, identidad, permiso y dispositivo antes de elegir una medida. Probar credenciales expuestas para dar más peso a un hallazgo no forma parte de este enfoque. [2]
Definir el encargo
En Level 3 se acuerdan dominios, identidades, fuentes permitidas e intervalos. Consultar fuentes, observar directamente fuentes accesibles de la dark web e investigar un incidente son actividades diferentes.
Nuestro criterio de aceptación: entender por qué un indicio importa, qué lo respalda y qué debe comprobarse después. Las lagunas de cobertura permanecen visibles.
Lecturas relacionadas
Fuentes y lecturas
Fuentes primarias verificadas el 26.09.2026.
Las fuentes y los límites se indican en el artículo.