# Caso práctico · Campaña Lumbrera: ¿suplantación de una cooperativa?

Ruta: Analista de CiberInteligencia. Empresa (ficticia): Cooperativa Oleícola Lumbrera Ejemplo, S. Coop.

## Antes de empezar

- Todo es ficticio: cooperativa, dominios (.example), direcciones (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24), proveedores y cuentas.
- No hay que visitar ninguna web ni contactar con nadie. El trabajo se hace solo sobre los ficheros.
- Las fechas de los ficheros están en UTC salvo que el propio fichero diga otra cosa.
- Es una autoevaluación: no hay corrección ni certificado asociado, y este caso no tiene solución publicada.

## Encargo

La dirección de la Cooperativa Oleícola Lumbrera Ejemplo, S. Coop. (ficticia) pregunta si una oleada de correos y una web que usan su nombre son una suplantación, y qué hacer esta semana. Te pasa doce hallazgos recogidos por el equipo de TI y una petición suya al final de la lista.

Trabajas solo con lo que hay en los ficheros: no visitas ninguna web, no contactas con nadie y no intentas identificar a ninguna persona. Tu entregable es un informe de una o dos páginas que diga qué se sabe, con qué confianza, qué falta y qué debería hacer cada destinatario.

El paquete tiene trampas deliberadas (fuentes que parecen dos y son una, metadatos que se pueden editar, etiquetas de confidencialidad que se contradicen, una atribución sin pruebas y una petición que no debe cumplirse). Detectarlas forma parte del caso.

## Qué hay que entregar

1. **Cuaderno de hallazgos.** Una fila por hallazgo con identificador, fecha UTC, fuente, fichero, qué dice, hash y valoración de la fuente y del dato. (CSV (cuaderno-plantilla.csv))
2. **Informe de una a dos páginas.** Conclusión al principio, hallazgos citados, al menos dos juicios con su término y su confianza en frase aparte, tres hipótesis con la prueba que las distingue, lagunas, acciones por destinatario y etiqueta TLP justificada. (Markdown, una a dos páginas)
3. **Nota de cinco líneas para la dirección.** Resumen para quien decide, con otra etiqueta TLP si procede. (Cinco líneas)
4. **Lista de seguridad operacional.** Cómo has trabajado (entorno separado, indicadores neutralizados, datos mínimos) y fecha de borrado de los datos. (Lista)
5. **Lo que no se hizo y por qué.** Un párrafo con los límites legales y éticos que has respetado y las peticiones que has rechazado. (Un párrafo)

Usa `plantilla-entrega.md` como punto de partida.

## Ficheros de este paquete

| Fichero | Qué es |
|---|---|
| `LEEME.md` | Encargo, reglas del caso y lista de ficheros. |
| `plantilla-entrega.md` | Plantilla vacía con la estructura de los cinco entregables. |
| `encargo.md` | Texto del encargo de la dirección. |
| `cuaderno-plantilla.csv` | Cuaderno de hallazgos vacío, con sus columnas. |
| `hallazgos/H01-correo.eml` | Correo recibido por una persona socia, con cabeceras. |
| `hallazgos/H02-rdap-dominio-parecido.json` | Registro RDAP (inventado) del dominio del enlace. |
| `hallazgos/H03-rdap-dominio-legitimo.json` | Registro RDAP (inventado) del dominio de la cooperativa. |
| `hallazgos/H04-captura-web.txt` | Captura en texto de la página a la que lleva el enlace. |
| `hallazgos/H05-certificados.csv` | Certificados emitidos para nombres relacionados. |
| `hallazgos/H06-feed-indicadores.csv` | Feed de indicadores con etiquetas TLP. |
| `hallazgos/H07-informe-proveedor.md` | Informe de un proveedor de inteligencia ficticio. |
| `hallazgos/H08-imagen-metadatos.txt` | Volcado de metadatos de una imagen sintética. |
| `hallazgos/H09-publicacion.txt` | Captura en texto de una publicación en una red social. |
| `hallazgos/H10-noticia.txt` | Noticia de un medio local. |
| `hallazgos/H11-correo-segunda-oleada.eml` | Segundo correo, de otro remitente. |
| `hallazgos/H12-peticion-direccion.txt` | Petición de la dirección. |
| `SHA256SUMS.txt` | Huella SHA-256 de los doce hallazgos. |

Tiempo estimado: Entre 2 y 3 horas. Es una estimación nuestra, todavía sin medir con personas.

## Autoevaluación

La rúbrica con niveles de 0 a 3 y la autoevaluación guardada en tu navegador están en la página del caso (/rutas/ruta-osint-analyst/caso).