Tu reinstalación no revocó las credenciales VPN robadas

Borrar un portátil comprometido parece el final del incidente. Normalmente es la mitad. Una contraseña, un token de sesión o un perfil VPN exportado copiados de esa máquina sobreviven a la reinstalación completamente intactos, porque nada de formatear un disco llega al servidor que los acepta. La recuperación del dispositivo y la recuperación de la cuenta son dos tareas con relojes distintos.

Dos incidentes, dos relojes

El trabajo del dispositivo es local y rápido: reconstruir, parchear, restaurar datos. El trabajo de la cuenta es remoto y más lento, porque depende de lo que exponga el proveedor y de si aún controlas el canal de recuperación. Hacer primero el trabajo rápido parece productivo y deja la exposición real exactamente donde estaba.

Trata el portátil como no confiable hasta que el trabajo de la cuenta esté hecho. Usarlo para recuperar la cuenta significa usar una máquina que quizá ya tiene un registrador de teclas.

Tres condiciones que fijan el orden

Averígualas antes de tocar nada, porque deciden si la recuperación tarda quince minutos o una escalada al soporte.

Primero, qué había en el dispositivo: una contraseña que escribiste, un certificado de cliente con su clave privada, un token de sesión guardado o las tres cosas. Segundo, qué te permite revocar tú mismo el proveedor, ya que algunos servicios exponen listas de dispositivos y sesiones mientras otros solo ofrecen una casilla de contraseña y nada más. Tercero, si el canal de recuperación sigue siendo tuyo, es decir, el buzón y el número de teléfono vinculados a la cuenta. Si el tercero está comprometido, todo lo demás espera.

Escribe las respuestas. Un incidente en el que no puedes decir qué se copió es un incidente que no puedes cerrar.

Sustituye lo que se puede reproducir

Todo lo que se puede reproducir debe sustituirse, no solo cambiarse en la máquina nueva. Las contraseñas, los certificados de dispositivo y los perfiles exportados cumplen el requisito. La guía de NIST sobre el ciclo de vida de los autenticadores describe invalidar de inmediato un autenticador comprometido y exigir un aviso independiente cuando se vincula otro, que es la forma correcta de la tarea incluso donde una VPN de consumidor expone menos controles.

Después termina las sesiones. Cambiar la contraseña no invalida de forma fiable los tokens existentes, y un perfil VPN ya instalado en otra máquina sigue funcionando hasta que se revoca su credencial. Comprueba lo que documenta el servicio, no lo que esperas que haga.

Reconstruye sin restaurar el compromiso

Reinstalar es la parte fácil, y es donde la gente deshace su propio trabajo. Restaurar una copia de seguridad completa puede devolver el mismo perfil guardado, la misma sesión del navegador y el mismo almacén de credenciales. Revisa qué importa realmente la restauración y después inscribe el dispositivo de nuevo por el flujo compatible con material recién emitido.

Mantén los dispositivos extraíbles por separado donde el servicio lo permita. Un perfil por dispositivo es el detalle que convierte un incidente futuro en una sola revocación en lugar de una carrera por toda la flota.

Decide cuándo ha terminado el incidente

Ha terminado cuando tres cosas son ciertas. El acceso legítimo funciona desde el dispositivo reconstruido. Las identidades expuestas se han retirado mediante controles que puedes ver de verdad. Y los métodos de recuperación restantes, el buzón, el número de teléfono, los códigos de respaldo, son tuyos. Una instalación limpia que conecta solo cumple la primera.

Si no puedes inspeccionar o eliminar un autenticador o un contacto de recuperación inesperados, escala por el proceso de soporte verificado. Reinstalar en local nunca arreglará un método de recuperación que controla otra persona.