Un empleado que se va descarga 4 GB a las 2:00

Señales

Un empleado con baja en 3 días descarga 4 GB de SharePoint a las 02:00
Sube los ficheros a un almacenamiento personal en la nube (no corporativo)
Accede a carpetas fuera de su rol habitual
El volumen es 40× su media diaria

¿Cuál es tu primera prioridad?

▸ Ver la resolución (razonamiento, evidencia, MITRE, detección)

A) Deshabilitar sin más puede destruir evidencia volátil y alertar al empleado; en un caso de insider el orden importa por sus implicaciones legales.
B) ✅ Correcto. En exfiltración de insider lo primero es preservar la evidencia (logs, qué ficheros, a dónde) y acotar el alcance, coordinando con RRHH/Legal. La contención llega justo después, de forma controlada y documentada.
C) No puedes (ni debes) borrar datos en un servicio de terceros; además destruirías la evidencia.
D) Encarar al empleado antes de tener evidencia y el visto bueno de Legal/RRHH compromete el caso.

Por qué

Los incidentes de insider se rigen por preservación de evidencia y proceso legal, no solo por contención técnica. Antes de deshabilitar, documenta: qué se descargó, cuándo, a qué destino y con qué cuenta; involucra a RRHH y Legal; y solo entonces contén de forma controlada (revocar acceso y sesiones). Actuar en caliente puede invalidar el caso y las pruebas.

Evidencia dónde mirar

Defender for Cloud Apps (MCAS): descarga anómala + subida a app no sancionada
Logs de SharePoint/OneDrive: volumen y carpetas accedidas fuera de rol
Correlación con la fecha de baja del empleado

MITRE ATT&CK

T1567.002 Exfiltration to Cloud Storage T1530 Data from Cloud Storage T1078.004 Valid Accounts: Cloud Accounts

Cómo detectarlo

Alerta por volumen de descarga anómalo (vs. la línea base del usuario) + subida a almacenamiento no corporativo, ponderada por empleados en preaviso de baja.

Practícalo aquí

Caza el patrón (KQL)Analizador de Logs

Compártelo como reto y publica luego la resolución.

Incidentes anteriores

#5 · Un ${jndi:ldap://…} en el User-Agent contra una app Java #4 · vssadmin borra las shadow copies y los ficheros mutan en masa #3 · Un login correcto entre 47 fallidos… y una app OAuth nueva #2 · MFA aprobado, pero el mismo usuario en dos continentes #1 · Una tarea programada lanza powershell -enc cada hora