¿Cuál es la amenaza?

La amenaza involucra al grupo de Ransomware DragonForce, que utiliza una puerta trasera personalizada, denominada Backdoor. Se utiliza TURN para enrutar secretamente su tráfico de comando y control (C2) a través de la infraestructura de retransmisión TURN de Microsoft Teams. Los atacantes canalizan el tráfico malicioso a través de los mismos protocolos y repetidores que Teams utiliza cuando no es posible la conexión directa. Esto permite que sus comunicaciones C2 parezcan tráfico de colaboración normal. Esta técnica de evasión les ayuda a eludir los controles de seguridad y monitoreo de red tradicionales. También les permite mantener un acceso sigiloso dentro de los entornos de las víctimas y desplegar y operar el ransomware de manera más efectiva.

¿Por qué es digno de mención?

Este ataque es relevante porque demuestra una táctica real de "operación en la nube". Los operadores de ransomware ocultan el tráfico de comando y control dentro de la infraestructura de confianza de Microsoft Teams. Al abusar de los relés TURN de Teams y los servicios de identidad legítimos, Backdoor.Turn hace que el tráfico malicioso parezca indistinguible de la actividad de colaboración normal. Esto socava significativamente la monitorización de red tradicional y las listas de permisos que confían en los dominios de Microsoft.

También representa el primer caso documentado de atacantes que ponen en práctica una técnica previamente observada solo en investigaciones (las llamadas fantasma de Praetorian). Este cambio indica que los grupos criminales están adoptando métodos avanzados de abuso en la nube, a modo de prueba de concepto. Asimismo, sugiere que estas técnicas probablemente se extenderán a otras plataformas de colaboración y SaaS.

¿Cuál es la exposición o el riesgo?

El principal riesgo reside en que los atacantes pueden ocultar el tráfico de comando y control, así como la exfiltración de datos, dentro de lo que parece ser una actividad normal de Microsoft Teams. Esto dificulta enormemente que los defensores detecten o bloqueen la amenaza. Muchas organizaciones confían plenamente en el tráfico en la nube de Microsoft. Por ello, esta técnica puede eludir los firewalls, los controles de proxy y las listas de dominio permitidas que normalmente impedirían las conexiones sospechosas.

Una vez dentro, los atacantes pueden moverse lateralmente, robar datos e implementar ransomware. Sus comunicaciones de red siguen pareciendo legítimas durante todo el ataque. Esto aumenta tanto la probabilidad de una intrusión exitosa como el impacto potencial. Las intrusiones pueden persistir sin ser detectadas durante períodos más prolongados y volverse más difíciles de investigar o contener.

¿Cuál es la amenaza?

CVE-2026-50751 es una vulnerabilidad crítica de omisión de autenticación en los productos de Firewall Check Point Mobile Access VPN, Remote Access VPN y Spark que permite a atacantes remotos no autenticados establecer sesiones VPN. Su origen reside en la forma en que la puerta de enlace VPN procesa la autenticación y la inicialización de la sesión para ciertas rutas de acceso, especialmente cuando se habilitan protocolos heredados o en desuso (en particular IKEv1) o modos de autenticación mixtos. Debido a una validación incorrecta durante la negociación de la sesión, las solicitudes de conexión especialmente diseñadas pueden provocar que la puerta de enlace trate erróneamente a un usuario como autenticado.

La explotación es sencilla y de gran impacto. Un atacante no autenticado puede enviar solicitudes de negociación VPN o SSL VPN manipuladas a una puerta de enlace expuesta, alterando parámetros específicos del protocolo e identificadores de sesión para eludir las comprobaciones de credenciales. Como resultado, la puerta de enlace establece una sesión VPN que otorga a los atacantes acceso directo a recursos internos de capa 3 o capa 7 según la configuración sin necesidad de credenciales robadas ni interacción del usuario.

Tras lograr eludir la autenticación, la conexión VPN comprometida se convierte en una poderosa puerta de entrada. Los atacantes pueden enumerar las redes internas, acceder a recursos compartidos de archivos y aplicaciones, y aprovechar la conectividad VPN de confianza para evadir las defensas perimetrales.

¿Por qué es digno de mención?

Esta vulnerabilidad es particularmente relevante porque es explotada activamente por afiliados del Ransomware Qilin. En los incidentes observados, los atacantes utilizaron este acceso para preparar rápidamente herramientas, obtener credenciales y moverse lateralmente por el entorno antes de desplegar las cargas útiles del Ransomware.

Dado que la actividad se origina en una interfaz VPN de confianza, puede parecer tráfico normal de usuario remoto, lo que retrasa significativamente su detección y respuesta. Como dispositivos de borde que proporcionan un amplio acceso a los sistemas internos, los dispositivos VPN son objetivos especialmente atractivos para los operadores de ransomware. La explotación de protocolos obsoletos subraya aún más el riesgo que representan las configuraciones antiguas que permanecen habilitadas por motivos de compatibilidad. La emisión de una directiva obligatoria de la CISA pone de manifiesto la gravedad de la situación y confirma que la explotación ya se está produciendo a gran escala.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan implementaciones vulnerables de VPN o firewalls de Check Point se enfrentan a un alto riesgo de sufrir una vulneración total de la red. Una explotación exitosa permite a los atacantes eludir los controles de autenticación y obtener acceso interno seguro, a menudo sin activar los mecanismos de detección tradicionales.

Este nivel de acceso permite el robo de datos, la vulneración de credenciales, el movimiento lateral y el despliegue de ransomware con mínimo esfuerzo y alta fiabilidad. Las pasarelas VPN con acceso a Internet son especialmente vulnerables, lo que representa una amenaza crítica para empresas, proveedores de servicios y organismos gubernamentales.

El navegador se ha convertido en una mina de información

Los navegadores modernos recopilan constantemente señales sobre nuestra actividad digital.

Entre ellas:

• Consultas de búsqueda.
• Aplicaciones utilizadas.
• Horarios de conexión.
• Ubicación geográfica.
• Dispositivos utilizados.
• Patrones de navegación.
• Accesos a plataformas empresariales.
• Uso de herramientas de inteligencia artificial.

Cada una de estas señales ayuda a construir perfiles extremadamente precisos sobre los usuarios. Lo que para una plataforma publicitaria representa una oportunidad de segmentación, para un atacante puede convertirse en una lista de objetivos prioritarios.

¿Cómo identifican los atacantes a las personas más valiosas?

No todos los usuarios tienen el mismo valor dentro de una organización. Algunos perfiles poseen acceso privilegiado a información crítica, procesos financieros o infraestructura tecnológica.

Por ejemplo:

• Directores y ejecutivos.
• Equipos financieros.
• Administradores de TI.
• Responsables de recursos humanos.
• Líderes comerciales.

Estos usuarios suelen interactuar diariamente con aplicaciones especificas y siguen patrones de comportamiento predecibles. Con suficiente información, los atacantes pueden identificar quiénes son, qué sistemas utilizan y cuáles representan el mayor impacto para una organización.

El cambio de paradigma: ya no buscan malware, busca sesiones

Durante años, la mayoría de los ataques buscaban instalar malware.

Hoy la situación es diferente.

Los atacantes han descubierto que resulta mucho más eficiente aprovechar accesos legítimos.

Algunas de las técnicas más utilizadas incluyen:

Robo de cookies.

Secuestro de sesiones.

Robo de tokens de autenticación.

Phishing avanzado.

Compromiso de extensiones del navegador.

Una vez que obtienen acceso a una sesión válida, muchas herramientas de seguridad tradicionales tienen dificultades para distinguir entre actividad legítima y actividad maliciosa. El atacante ya parece ser el usuario.

¿Por qué los controles tradicionales ya no son suficientes?

La mayoría de las organizaciones cuentan con controles importantes como:

• Antivirus.
• EDR.
• Firewalls.
• VPN.
• Filtrado web.

Sin embargo, estas tecnologías fueron diseñadas para resolver problemas distintos.

Actualmente los ataques se centran cada vez más en:

• Identidades.
• Comportamientos.
• Sesiones activas.
• Contexto de acceso.

Un usuario autenticado puede representar tanto riesgo como una amenaza externa si su identidad ha sido comprometida, por ello proteger únicamente la red o el dispositivo ya no resulta suficiente.

El acceso seguro a internet debe evolucionar

La seguridad moderna necesita comprender quién accede, desde dónde lo hace y en qué contexto ocurre cada interacción, esto implica adoptar un enfoque basado en identidad y validación continua.

Las decisiones de acceso deben considerar factores como:

• Identidad del usuario.
• Estado del dispostivo.
• Ubicación.
• Nivel del riesgo.
• Comportamiento habitual.
• Sensibilidad de los recursos consultados.

La confianza ya no puede otorgarse una sola vez, debe verificarse continuamente.

La importancia de la visibilidad

Uno de los mayores desafíos para las organizaciones es la falta de visibilidad sobre lo que ocurre dentro del navegador. El navegador se ha convertido en el principal espacio de trabajo digital. Sin embargo, también es uno de los entornos menos monitoreados.

Las organizaciones necesitan identificar:

• Navegación hacia sitios riesgosos.
• Uso de aplicaciones no autorizadas.
• Herramientas de IA no aprobadas.
• Comportamientos anómalos.
• Posibles intentos de robo de sesiones.

Sin visibilidad, los riesgos permanecen ocultos hasta que se convierten en incidentes.

¿Por qué esto es especialmente importante para las pymes?

Las pequeñas y medianas empresas enfrentan un reto particular.

Con equipos de TI reducidos y recursos limitados, la gestión de riesgos asociados al navegador suele quedar relegada frente a otras prioridades.

Al mismo tiempo:

• Los usuarios trabajan desde cualquier lugar.
• Utilizan aplicaciones SaaS constantemente. 
• Adoptan herramientas de IA rápidamente.
• Manejan información crítica desde navegadores web.

Esto amplía significativamente la superficie de ataque.

La acción humana

• Un clic en un enlace malicioso.
• Una descarga aparentemente legítima.
• Una aplicación de inteligencia artificial no autorizada.
• Una navegación hacia un sitio comprometido.

Cuando el endpoint detecta la amenaza, en muchos casos el riesgo ya ha ingresado a la organización.

Por eso, la conversación en ciberseguridad está evolucionando desde la simple protección de dispositivos hacia un concepto más amplio: la resiliencia de las estaciones de trabajo.

El problema de confiar únicamente en la seguridad del endpoint

Las soluciones EDR, XDR y antivirus modernos son capaces de detectar actividades sospechosas, bloquear ransomware y contener dispositivos comprometidos.

• Sin embargo, estas herramientas generalmente actúan después de que la amenaza alcanza el dispositivo.

• El desafío es que los atacantes actuales están explotando la brecha existente entre el comportamiento del usuario y la respuesta del endpoint.
• Hoy, gran parte del trabajo empresarial ocurre dentro del navegador.

Los usuarios interactúan constantemente con:

• Aplicaciones SaaS
• Servicios en la nube
• Herramientas de colaboración
• Plataformas de inteligencia artificial
• Correos electrónicos
• Sitios web corporativos

Cada una de estas interacciones representa una posible superficie de ataque.

El navegador se ha convertido en el nuevo perímetro

Hace algunos años la seguridad se centraba en proteger servidores y redes internas.

Hoy la realidad es diferente.

Los usuarios trabajan desde cualquier lugar, acceden a aplicaciones en la nube y utilizan herramientas impulsadas por IA como parte de sus actividades diarias.

Esto significa que muchas amenazas aparecen antes de que exista un archivo malicioso que analizar.

Por ejemplo:

• Acceso a sitios fraudulentos.
• Descargas desde fuentes no autorizadas.
• Exposición involuntaria de datos sensibles.
• Uso de aplicaciones de IA no aprobadas.
• Conexiones hacia dominios maliciosos.

En todos estos escenarios, el riesgo comienza antes de que cualquier solución de endpoint tenga oportunidad de intervenir.

¿Qué es realmente la resiliencia de las estaciones de trabajo?

La resiliencia de las estaciones de trabajo consiste en reducir el riesgo antes de la ejecución y contener rápidamente las amenazas cuando logran infiltrarse.

No se trata únicamente de bloquear malware, se trata de proteger todo el recorrido del usuario. Desde el momento en que realiza una búsqueda en internet hasta la respuesta automatizada frente a una amenaza activa.

Una estrategia moderna debe incluir dos capacidades fundamentales:

• Prevención antes de la ejecución
• El objetivo es reducir el riesgo antes de que llegue al dispositivo.

Esto incluye:

• Filtrado DNS.
• Control de navegación.
• Bloqueo de dominios maliciosos.
• Supervisión de aplicaciones de IA.
• Aplicación de políticas de uso seguro.

La meta es detener comportamientos de riesgo antes de que se conviertan en incidentes.

Contención después de la ejecución

Ninguna estrategia de seguridad es perfecta.

Por ello, cuando una amenaza logra ejecutarse, es necesario contar con mecanismos capaces de:

• Detectar actividad maliciosa.
• Investigar automáticamente los eventos.
• Aislar dispositivos comprometidos.
• Detener movimientos laterales.
• Reducir el tiempo de permanencia del atacante.

Aquí es donde tecnologías como EDR, XDR y los servicios gestionados de detección y respuesta juegan un papel fundamental.

El riesgo de las herramientas de IA

Uno de los desafíos más recientes es el crecimiento acelerado de las aplicaciones de inteligencia artificial.

Muchas organizaciones enfrentan actualmente el fenómeno conocido como Shadow AI.

Los usuarios adoptan herramientas de IA para aumentar su productividad sin que los equipos de TI tengan visibilidad completa sobre:

• Qué plataformas utilizan.
• Qué información comparten.
• Dónde se almacenan los datos.
• Qué riesgos regulatorios podrían generarse.

La gobernanza de IA se está convirtiendo rápidamente en una pieza clave dentro de las estrategias modernas de resiliencia.

Menos herramientas aisladas, más visibilidad

Uno de los errores más comunes en ciberseguridad es implementar soluciones independientes que operan sin contexto compartido.

La verdadera resiliencia surge cuando la protección previa y posterior a la ejecución trabajan de forma coordinada.

Cuando los equipos pueden visualizar:

• Comportamiento del usuario.
• Actividad del navegador.
• Uso de aplicaciones de IA.
• Eventos del endpoint.
• Alertas de seguridad.
• Acciones de contención.

La capacidad de identificar riesgos y responder eficazmente mejora significativamente.

¿Qué es la IA en la sombra?

La IA en la sombra ocurre cuando los colaboradores utilizan herramientas de inteligencia artificial que no han sido aprobadas, evaluadas ni supervisadas por el área de TI o seguridad.

No necesariamente existe una intención maliciosa.

De hecho, en la mayoría de los casos, los usuarios simplemente buscan ser más productivos, automatizar tareas o mejorar sus resultados.

El problema es que estas herramientas operan fuera de los controles corporativos tradicionales.

El riesgo es más grande de lo que parece

Cuando una organización pierde visibilidad sobre las herramientas de IA que utilizan sus empleados, comienzan a surgir preguntas preocupantes:

• ¿Qué plataformas están utilizando?
• ¿Quién tiene acceso a ellas?
• ¿Qué información están compartiendo?
• ¿Dónde se almacenan esos datos?
• ¿Se utilizan para entrenar modelos externos?
• ¿Existe algún incumplimiento normativo?

La falta de respuestas es precisamente el problema.

La IA en la sombra ya es una realidad

Las cifras muestran que este fenómeno está mucho más extendido de lo que muchas organizaciones creen:

• El 50% de los empleados reconoce utilizar herramientas de IA no autorizadas por su empresa.
• El 57% afirma ocultar su uso de IA a sus supervisores.
• El 66% utiliza IA sin saber si realmente está permitido.
• El 48% admite haber introducido información corporativa o de clientes en plataformas públicas de IA.
• Una de cada cinco organizaciones reporta incidentes relacionados con herramientas de IA no autorizadas.

Estos números dejan claro que la adopción de la IA ya está ocurriendo, independientemente de que exista una política formal o no.

¿Por qué prohibir la IA no funciona?

Muchas organizaciones reaccionan inicialmente intentando bloquear o prohibir el uso de herramientas de IA. El problema es que esta estrategia rara vez funciona. Los usuarios continúan buscando soluciones que les permitan trabajar más rápido y obtener mejores resultados. Cuando las restricciones son excesivas, el uso simplemente se vuelve menos visible. La consecuencia es que la organización pierde aún más control sobre el problema.

Los principales riesgos para las empresas

Exposición de información sensible

Los usuarios pueden compartir accidentalmente:

• Datos de clientes
• Información financiera
• Contratos
• Datos de recursos humanos
• Propiedad intelectual
• Información estratégica

Sin comprender completamente cómo serán almacenados o utilizados esos datos.

Problemas de cumplimiento normativo

El uso no controlado de IA puede generar conflictos con regulaciones como:

• GDPR
• HIPAA
• Normativas financieras
• Requisitos de privacidad sectoriales

Especialmente cuando la información abandona los entornos autorizados.

Falta de gobernanza

Muchas organizaciones todavía carecen de políticas claras sobre el uso de IA generativa. Como resultado, cada empleado toma decisiones por cuenta propia, cómo reducir el riesgo sin afectar la productividad y la solución no consiste en bloquear toda la IA.Consiste en gestionar su uso de forma inteligente.

Problemas de cumplimiento normativo

1. Obtener visibilidad

• No se puede proteger aquello que no se puede ver. (el primer paso consiste en identificar qué herramientas están tulizando realmente los colaboradores.

2. Crear políticas simples

• Las mejores políticas son las que las personas entienden y siguen.

Algunas preguntas básicas pueden marcar una gran diferencia:

• ¿Qué datos nunca deben introducirse en herramientas de IA?
• ¿Qué plataformas están autorizadas?
• ¿Cómo solicitar excepciones?

3. Clasificar riesgos

No todas las herramientas de IA presentan el mismo nivel de riesgo.

Es importante evaluar aspectos como:

• Privacidad
• Retención de datos
• Cumplimiento
• Transparencia
• Capacidades empresariales

4. Implementar controles prácticos

Las organizaciones deben facilitar el uso seguro de la IA en lugar de obstaculizarlo.

Aprobar herramientas de bajo riesgo y restringir aquellas que representan una amenaza mayor suele ofrecer mejores resultados que las prohibiciones absolutas.