¿EvilTokens?

EvilTokens es un sofisticado kit de phishing que ataca las cuentas de Microsoft 365 abusando de la autenticación OAuth mediante código de dispositivo en lugar de robar credenciales. En vez de redirigir a las víctimas a una página de inicio de sesión falsa, las guía a través del proceso legítimo de inicio de sesión de Microsoft, engañándolas para que otorguen acceso a la cuenta. Esto permite a los atacantes obtener tokens de acceso y permisos sin necesidad de capturar la contraseña.

Este kit es particularmente difícil de usar porque su contenido de phishing está cifrado con AES-GCM y solo se descifra en el navegador de la víctima. Como resultado, muchas herramientas tradicionales de filtrado de correo electrónico, web y URL solo detectan contenido aparentemente inofensivo y pueden pasar por alto por completo el flujo de trabajo de phishing. Una vez completada la autorización, las víctimas son redirigidas a recursos legítimos de Microsoft, mientras que los atacantes mantienen el acceso continuo a la cuenta comprometida.

¿Por qué es digno de mención?

EvilTokens destaca porque abusa de los mecanismos legítimos de autenticación OAuth y de código de dispositivo, lo que permite que la actividad maliciosa se mimetice con el comportamiento normal de inicio de sesión de Microsoft. Su uso del descifrado del lado del navegador también crea un punto ciego para las herramientas de seguridad que no pueden inspeccionar el contenido web renderizado.

Este kit ha sido destacado en informes recientes de inteligencia sobre amenazas y refleja una tendencia creciente hacia los ataques de phishing centrados en la suplantación de identidad. En conjunto, estas capacidades convierten a EvilTokens en una herramienta eficaz para eludir las defensas tradicionales y atacar directamente las cuentas de Microsoft 365.

¿Cuál es la exposición o el riesgo?

Las organizaciones que dependen de Microsoft 365 se enfrentan a un mayor riesgo si los usuarios son engañados para que completen un inicio de sesión con un código de dispositivo malicioso. Dado que los atacantes obtienen tokens de acceso y permisos de OAuth en lugar de contraseñas, restablecer las contraseñas por sí solo puede no solucionar completamente el incidente. Los equipos de seguridad también deben revocar los tokens y eliminar los permisos de aplicación no autorizados.

Las cuentas comprometidas pueden permitir a los atacantes acceder a correos electrónicos, archivos, aplicaciones en la nube y otros recursos confidenciales, lo que podría derivar en robo de datos, fraude o suplantación de identidad por correo electrónico (BEC). Las organizaciones que dependen principalmente de la inspección de URL estáticas o la monitorización básica de la red pueden tener dificultades para detectar estos ataques, lo que da a los ciberdelincuentes más tiempo para operar sin ser detectados.

El futuro de la seguridad comienza antes del malware

• Refuerce los controles de OAuth y de código de dispositivo: restrinja la autenticación mediante código de dispositivo siempre que sea posible, aplique políticas de acceso condicional y revise periódicamente los permisos de las aplicaciones y las concesiones de consentimiento.
• Revoca tokens, no solo contraseñas: restablece contraseñas, revoca tokens de actualización, cierra sesiones activas y elimina consentimientos de aplicaciones sospechosas tras una posible vulneración de seguridad.
• Implementar la autenticación multifactor (MFA) resistente al phishing: Exigir la MFA para todos los usuarios y dar prioridad a las aplicaciones de autenticación o las claves de seguridad sobre los métodos basados en SMS.
• Implemente protección antiphishing que tenga en cuenta el navegador: utilice herramientas de seguridad que puedan inspeccionar las páginas web renderizadas y detectar contenido de phishing oculto mediante el descifrado del lado del navegador.
• Supervise la actividad de identidad: esté atento a inicios de sesión inusuales, inicios de sesión mediante código de dispositivo, nuevas aplicaciones con privilegios y concesiones de consentimiento inesperadas.
• Refuerce la seguridad del correo electrónico y la web: bloquee los indicadores conocidos de EvilTokens utilizando tecnologías de detección basadas tanto en la reputación como en el comportamiento.
  
• Capacite a los usuarios: Enseñe a los empleados a tener cuidado con las solicitudes de autenticación que no hayan iniciado, incluso cuando aparezcan en páginas legítimas de Microsoft.
  
• Realizar una búsqueda de amenazas: Investigar los registros en busca de evidencia de abuso de código de dispositivo, actividad OAuth sospechosa y otros indicadores relacionados de compromiso.
• Revisa las aplicaciones de terceros: elimina las integraciones que no uses y limita los permisos excesivos otorgados a las aplicaciones de Microsoft 365 conectadas.

¿Cuál es la amenaza?

La vulnerabilidad CVE-2026-0257 es un fallo de seguridad en la función VPN GlobalProtect de los firewalls de Palo Alto Networks y Prisma Access. Afecta a los sistemas donde están habilitadas las cookies de anulación de autenticación y dichas cookies utilizan el mismo certificado que la interfaz web principal (HTTPS) de GlobalProtect.

Estas cookies son pequeños fragmentos de datos que se generan tras un inicio de sesión exitoso. Permiten a los usuarios volver a conectarse sin tener que introducir de nuevo su contraseña ni sus credenciales de autenticación multifactor. Debido a un fallo de diseño, el cortafuegos confía en cualquier cookie que pueda descifrar correctamente. No verifica que haya sido él quien la generó originalmente.

Un atacante puede conectarse al sitio web de GlobalProtect y obtener el certificado público que utiliza el servicio. A continuación, puede usar esa información para generar una cookie falsificada que parezca pertenecer a un usuario legítimo. Cuando el atacante envía la cookie falsificada al portal o puerta de enlace de GlobalProtect, el firewall podría autenticarlo erróneamente como un usuario legítimo. En algunos casos, podría tratarse de una cuenta de administrador local. No se requieren credenciales válidas.

Si el ataque tiene éxito, puede establecer una sesión VPN completa en la red de la organización y acceder a los sistemas internos como si fuera un usuario remoto legítimo. Proveedores de seguridad como Rapid7 y Palo Alto Networks han detectado esta técnica en ataques reales. Los informes indican que los atacantes utilizan proveedores de alojamiento en la nube de bajo costo para buscar y explotar dispositivos GlobalProtect vulnerables.

¿Por qué es digno de mención?

Esta vulnerabilidad es particularmente importante porque afecta a las puertas de enlace VPN en el perímetro de la red. Estos sistemas suelen ser el método principal que utilizan los usuarios y administradores remotos para acceder a los recursos de la organización.

Si se explota, los atacantes pueden eludir los controles de autenticación habituales y obtener acceso desde internet haciéndose pasar por usuarios de VPN de confianza. Palo Alto Networks, Rapid7 y CISA han confirmado la explotación activa de esta vulnerabilidad en entornos reales.

Inicialmente, la vulnerabilidad recibió una calificación de gravedad media. Posteriormente, se reevaluó debido a que su impacto en el mundo real resultó ser más grave de lo estimado originalmente.

La CISA añadió la vulnerabilidad CVE-2026-0257 al catálogo KEV. Asimismo, exigió a las agencias federales estadounidenses que solucionaran el problema con prontitud. Estas medidas ponen de manifiesto la gravedad de la amenaza.

¿Cuál es la exposición o el riesgo?

La explotación exitosa permite a los atacantes autenticarse a través de GlobalProtect sin un nombre de usuario, contraseña o verificación multifactor (MFA) válidos. Como resultado, pueden obtener acceso remoto a redes internas desde internet haciéndose pasar por usuarios legítimos de VPN.

El nivel de acceso depende de la configuración de la VPN y de la cuenta que se está suplantando. En muchos entornos, esto podría proporcionar acceso a sistemas internos críticos, recursos compartidos de archivos y herramientas administrativas.

Palo Alto Networks y Rapid7 no han informado públicamente sobre evidencia de actividad posterior a la intrusión en los incidentes observados. Sin embargo, los atacantes aún podrían usar el acceso para profundizar en el entorno.

Las posibles actividades posteriores pueden incluir el robo de datos, la obtención de credenciales, la implementación de malware o el establecimiento de persistencia para futuros ataques. Dado que los ciberdelincuentes escanean activamente internet y atacan los sistemas GlobalProtect vulnerables, cualquier implementación sin parchear o mal configurada se enfrenta a un mayor riesgo de vulneración. Las organizaciones que dependen en gran medida de GlobalProtect para la conectividad remota deben extremar las precauciones. Una puerta de enlace VPN comprometida puede eludir múltiples capas de controles de seguridad internos.

El futuro de la seguridad comienza antes del malware

• Actualice los dispositivos afectados: Actualice todos los sistemas PAN-OS y Prisma Access a las últimas versiones con correcciones de seguridad publicadas por Palo Alto Networks.
• Deshabilitar o reconfigurar las cookies de anulación de autenticación: Deshabilitar las cookies de anulación de autenticación de GlobalProtect siempre que sea posible. Si deben permanecer habilitadas, configúrelas para que utilicen un certificado específico en lugar del certificado HTTPS principal o del portal.
• Restringir el acceso a la VPN: Limite el acceso a los portales y puertas de enlace de GlobalProtect mediante listas de direcciones IP permitidas, bloqueo geográfico o reglas de firewall que permitan conexiones solo desde fuentes confiables.
• Supervise los registros de GlobalProtect: revise periódicamente los registros de la VPN para detectar actividad de autenticación inusual, incluidos inicios de sesión inesperados basados en cookies, nombres de dispositivos desconocidos, ubicaciones sospechosas o direcciones IP maliciosas conocidas.
• Investigue de inmediato cualquier actividad sospechosa: finalice las sesiones VPN sospechosas, restablezca las credenciales o los tokens de autenticación y revise los sistemas internos en busca de evidencia de acceso no autorizado.
• Implementar la autenticación multifactor y la monitorización continua: Exigir la autenticación multifactor a todos los usuarios de VPN y considerar servicios de monitorización de seguridad 24/7 para identificar y responder rápidamente a las amenazas relacionadas con la VPN.

¿Cuál es la amenaza?

La campaña utiliza páginas de phishing personalizadas para las empresas a las que se dirige. Para parecer auténtica, emplea nombres de marcas locales de confianza y referencias a servicios gubernamentales.

Según los analistas, la campaña comienza con un correo electrónico de phishing que parece legítimo. El enlace redirige a los usuarios a través de un servidor de retransmisión de Google antes de enviarlos a un portal comercial falso.

El sitio web imita los flujos de trabajo de acceso a documentos que suelen usar los empleados de finanzas y administración. Esto facilita que las víctimas bajen la guardia.

¿Por qué es digno de mención?

Este ataque es particularmente peligroso porque, después de que el usuario hace clic en el enlace de descarga, la víctima instala sin saberlo un agente legítimo de NinjaOne Remote Monitoring and Management (RMM) configurado para conectarse a la infraestructura controlada por el atacante en lugar de recibir un documento comercial.

La infraestructura de phishing es más sofisticada de lo que parece a primera vista. Las páginas utilizan la identificación del navegador, la detección en entornos aislados (sandbox) y la geolocalización para filtrar a los investigadores antes de entregar el código malicioso.

¿Cuál es la exposición o el riesgo?

Hasta el momento, la campaña se ha dirigido al menos a una organización brasileña especializada en productos químicos y materiales avanzados. Sin embargo, las tácticas de ingeniería social empleadas, como la falsificación de registros fiscales, documentos de proveedores y portales de gestión de quejas, son aplicables a diversos sectores.

Una vez que la víctima instala el agente NinjaOne, el atacante obtiene los mismos privilegios que tendría un administrador de TI legítimo sobre ese dispositivo, incluyendo la capacidad de monitorear la actividad del dispositivo, ejecutar comandos remotos, transferir archivos y más.

El futuro de la seguridad comienza antes del malware

• Supervise las instalaciones no autorizadas de software de administración remota, especialmente cuando se les pida a los usuarios que instalen software simplemente para ver un documento.
• Trate con precaución las solicitudes inusuales relacionadas con registros fiscales, comunicaciones con proveedores o flujos de trabajo de quejas.
• Alertar a los empleados de finanzas, compras y administración sobre esta campaña de phishing y sus tácticas.
• Antes de tomar medidas, verifique los correos electrónicos inusuales a través de un canal de comunicación confiable.
• Actualiza el software de seguridad de tu ordenador, realiza un análisis y elimina cualquier amenaza detectada.

¿Cuál es la amenaza?

BitUnlocker explota la vulnerabilidad CVE‑2025‑48804 en Windows BitLocker, que permite a los atacantes combinar datos no confiables con componentes de arranque confiables y eludir las protecciones de seguridad mediante acceso físico. La técnica combina una degradación del gestor de arranque con un Entorno de Recuperación de Windows (WinRE) modificado para descifrar silenciosamente las unidades protegidas por BitLocker. Aprovechando la confianza en la cadena de arranque heredada, los atacantes pueden obtener acceso completo a los datos cifrados en menos de cinco minutos sin activar las solicitudes de recuperación.

¿Por qué es digno de mención?

Esta amenaza es relevante porque BitLocker se basa en la validación del TPM para detectar cambios de arranque no autorizados. Sin embargo, en este caso, el gestor de arranque malicioso sigue pareciendo legítimo porque posee una firma de Microsoft de confianza. Esto crea una peligrosa vulnerabilidad, ya que los componentes de arranque antiguos y vulnerables siguen siendo de confianza incluso después de aplicar parches de seguridad.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora

¿Cuál es la amenaza?

RedSun es una vulnerabilidad de escalada de privilegios local (LPE) en la lógica de remediación de Microsoft Defender para archivos marcados con una etiqueta de nube a través de la API de Archivos en la Nube de Windows. En lugar de poner en cuarentena o eliminar de forma segura el contenido malicioso, los atacantes pueden manipular Defender para restaurar el archivo a su ruta protegida original utilizando privilegios elevados. Al combinar este comportamiento con uniones de directorios NTFS, puntos de reanálisis y bloqueos oportunistas (oplocks), los atacantes pueden redirigir la operación de escritura privilegiada de Defender para sobrescribir binarios del sistema protegidos, como C:\Windows\System32\TieringEngineService.exe. Como resultado, el servicio de Infraestructura de Archivos en la Nube ejecuta código controlado por el atacante con privilegios de SYSTEM. Esto permite a los usuarios con pocos privilegios obtener el control total del host, lo que posibilita la persistencia, el volcado de credenciales, la implementación de ransomware y el movimiento lateral sin necesidad de exploits del kernel ni derechos administrativos.

¿Por qué es digno de mención?

Esta amenaza es relevante porque representa una segunda prueba de concepto (PoC) de LPE relacionada con Defender, publicada por el mismo investigador, y ya se ha confirmado su explotación en entornos reales. La cadena de ataque es particularmente peligrosa porque convierte el comportamiento de gestión de archivos en la nube de un producto de seguridad en un mecanismo fiable para la ejecución a nivel de sistema, lo que amplía significativamente el riesgo en entornos Windows que utilizan la protección en tiempo real de Defender y Cloud Files o el etiquetado en la nube.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora

El problema de los registros de seguridad modernos

La mayoría de los equipos de seguridad cuentan con acceso a grandes cantidades de datos. Sin embargo, obtener información útil a partir de esos registros suele implicar:

• Conocer SQL y lenguales de consulta especializados.
• Entender múltiples esquemas de datos.
• Ajustar consultas manualmente.
• Correlacionar información entre diferentes fuentes.
• Invertir tiempo valioso en tareas repetitivas.

En un escenario donde cada minuto cuenta durante una investigación, estas limitaciones pueden retrasar significativamente la deteccion y la respuesta ante amenazas.

La IA cambia las reglas del juego

La incorporación de inteligencia artificial al análisis de registros permite que los analistas interactúen con los datos utilizando lenguaje natural.

En lugar de escribir consultas complejas, ahora es posible formular preguntas como:

• "Muestrame los intentos de inicio de sesión fallidos de las últimas 24 horas."
• "¿Qué ususarios registraron múltiples fallos de autenticación?"
• "¿Qué dispositivos se comunicaron con dominios maliciosos conocidos?"

La plataforma interpreta la intención de la consulta, genera automáticamente las búsquedas necesarias y presenta los resultados de forma clara y comprensible.

El resultado es simple pero poderoso: los analistas pasan menos tiempo construyendo consultas y más tiempo investigando amenazas.

De la pregunta a la respuesta en minutos

Uno de los mayores beneficios de la búsqueda de registros impulsada por IA es la reducción drástica en los tiempos de investigación.

Tradicionalmente, una consulta compleja podía requerir múltiples iteraciones antes de obtener resultados útiles. Con inteligencia artificial, los investigadores pueden:

• Obtener respuestas inmediatas.
• Refinar busquedas mediante conversaciones naturales.
• Profundizar en los hallazgos sin cambiar de herramienta.
• Visualizar las consultas generadas para validación técnica.

Esta capacidad resulta especialmente valiosa durante investigaciones activas, donde la velocidad puede marcar la diferencia entre contener una amenaza o permitir que se propague.

Democratizando el acceso a la inteligencia de seguridad

No todos los miembros de un equipo de seguridad son expertos en bases de datos o análisis avanzado de registros.

La búsqueda impulsada por IA elimina esa barrera técnica y permite que más profesionales participen activamente en las investigaciones.

• Esto genera beneficios importantes:
• Menor dependencia de especialistas.
• Reducción de cuellos de botella operativos.
• Mayor colaboración entre equipos.
• Incremento de la productividad general del SOC.

La información deja de estar reservada para unos pocos expertos y se vuelve accesible para toda la organización.

Seguridad sin comprometer la privacidad

Uno de los principales desafíos de las plataformas modernas es mantener la separación segura de datos entre diferentes clientes y entornos.

Los modelos más avanzados incorporan mecanismos de seguridad multinivel, incluyendo:

• Seguridad a nivel de fila (Row-Level Security).
• Aislamiento completo entre organizaciones.
• Controles estrictos de acceso.
• Validación continua de consultas.
• Registro completo para auditoría y cumplimiento.

Esto permite aprovechar el poder de la inteligencia artificial sin comprometer la confidencialidad de la información.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora

¿Cuál es la amenaza?

CVE-2026-9089 es una vulnerabilidad en el agente de ConnectWise Automate donde el agente no verifica completamente la autenticidad/integridad de los componentes obtenidos durante la carga de complementos y las operaciones de autoactualización. Esto coincide con CWE-494 (Descarga de código sin verificación de integridad), lo que significa que los componentes pueden ejecutarse sin someterse a una validación completa de integridad. ConnectWise describe esto como una validación de integridad inadecuada durante la adquisición de componentes del agente, lo que crea una oportunidad para que un atacante introduzca componentes manipulados en condiciones relevantes.

¿Por qué es digno de mención?

Esto es relevante porque la vulnerabilidad tiene una calificación CVSS de 8.8 (Alta) y se considera de baja complejidad, sin requerir privilegios ni interacción del usuario, utilizando un contexto de ataque de red adyacente. Además, las métricas publicadas indican un impacto potencial en la confidencialidad, la integridad y la disponibilidad, lo que aumenta la probabilidad de una vulneración grave. Esto resulta especialmente preocupante en entornos de proveedores de servicios gestionados (MSP), donde las organizaciones implementan ampliamente agentes de Automate en los puntos finales gestionados.

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

Contactar ahora

¿Cuál es la amenaza?

La amenaza involucra al grupo de Ransomware DragonForce, que utiliza una puerta trasera personalizada, denominada Backdoor. Se utiliza TURN para enrutar secretamente su tráfico de comando y control (C2) a través de la infraestructura de retransmisión TURN de Microsoft Teams. Los atacantes canalizan el tráfico malicioso a través de los mismos protocolos y repetidores que Teams utiliza cuando no es posible la conexión directa. Esto permite que sus comunicaciones C2 parezcan tráfico de colaboración normal. Esta técnica de evasión les ayuda a eludir los controles de seguridad y monitoreo de red tradicionales. También les permite mantener un acceso sigiloso dentro de los entornos de las víctimas y desplegar y operar el ransomware de manera más efectiva.

¿Por qué es digno de mención?

Este ataque es relevante porque demuestra una táctica real de "operación en la nube". Los operadores de ransomware ocultan el tráfico de comando y control dentro de la infraestructura de confianza de Microsoft Teams. Al abusar de los relés TURN de Teams y los servicios de identidad legítimos, Backdoor.Turn hace que el tráfico malicioso parezca indistinguible de la actividad de colaboración normal. Esto socava significativamente la monitorización de red tradicional y las listas de permisos que confían en los dominios de Microsoft.

También representa el primer caso documentado de atacantes que ponen en práctica una técnica previamente observada solo en investigaciones (las llamadas fantasma de Praetorian). Este cambio indica que los grupos criminales están adoptando métodos avanzados de abuso en la nube, a modo de prueba de concepto. Asimismo, sugiere que estas técnicas probablemente se extenderán a otras plataformas de colaboración y SaaS.

¿Cuál es la exposición o el riesgo?

El principal riesgo reside en que los atacantes pueden ocultar el tráfico de comando y control, así como la exfiltración de datos, dentro de lo que parece ser una actividad normal de Microsoft Teams. Esto dificulta enormemente que los defensores detecten o bloqueen la amenaza. Muchas organizaciones confían plenamente en el tráfico en la nube de Microsoft. Por ello, esta técnica puede eludir los firewalls, los controles de proxy y las listas de dominio permitidas que normalmente impedirían las conexiones sospechosas.

Una vez dentro, los atacantes pueden moverse lateralmente, robar datos e implementar ransomware. Sus comunicaciones de red siguen pareciendo legítimas durante todo el ataque. Esto aumenta tanto la probabilidad de una intrusión exitosa como el impacto potencial. Las intrusiones pueden persistir sin ser detectadas durante períodos más prolongados y volverse más difíciles de investigar o contener.

El navegador se ha convertido en una mina de información

Los navegadores modernos recopilan constantemente señales sobre nuestra actividad digital.

Entre ellas:

• Consultas de búsqueda.
• Aplicaciones utilizadas.
• Horarios de conexión.
• Ubicación geográfica.
• Dispositivos utilizados.
• Patrones de navegación.
• Accesos a plataformas empresariales.
• Uso de herramientas de inteligencia artificial.

Cada una de estas señales ayuda a construir perfiles extremadamente precisos sobre los usuarios. Lo que para una plataforma publicitaria representa una oportunidad de segmentación, para un atacante puede convertirse en una lista de objetivos prioritarios.

¿Cómo identifican los atacantes a las personas más valiosas?

No todos los usuarios tienen el mismo valor dentro de una organización. Algunos perfiles poseen acceso privilegiado a información crítica, procesos financieros o infraestructura tecnológica.

Por ejemplo:

• Directores y ejecutivos.
• Equipos financieros.
• Administradores de TI.
• Responsables de recursos humanos.
• Líderes comerciales.

Estos usuarios suelen interactuar diariamente con aplicaciones especificas y siguen patrones de comportamiento predecibles. Con suficiente información, los atacantes pueden identificar quiénes son, qué sistemas utilizan y cuáles representan el mayor impacto para una organización.

El cambio de paradigma: ya no buscan malware, busca sesiones

Durante años, la mayoría de los ataques buscaban instalar malware.

Hoy la situación es diferente.

Los atacantes han descubierto que resulta mucho más eficiente aprovechar accesos legítimos.

Algunas de las técnicas más utilizadas incluyen:

Robo de cookies.

Secuestro de sesiones.

Robo de tokens de autenticación.

Phishing avanzado.

Compromiso de extensiones del navegador.

Una vez que obtienen acceso a una sesión válida, muchas herramientas de seguridad tradicionales tienen dificultades para distinguir entre actividad legítima y actividad maliciosa. El atacante ya parece ser el usuario.

¿Por qué los controles tradicionales ya no son suficientes?

La mayoría de las organizaciones cuentan con controles importantes como:

• Antivirus.
• EDR.
• Firewalls.
• VPN.
• Filtrado web.

Sin embargo, estas tecnologías fueron diseñadas para resolver problemas distintos.

Actualmente los ataques se centran cada vez más en:

• Identidades.
• Comportamientos.
• Sesiones activas.
• Contexto de acceso.

Un usuario autenticado puede representar tanto riesgo como una amenaza externa si su identidad ha sido comprometida, por ello proteger únicamente la red o el dispositivo ya no resulta suficiente.

El acceso seguro a internet debe evolucionar

La seguridad moderna necesita comprender quién accede, desde dónde lo hace y en qué contexto ocurre cada interacción, esto implica adoptar un enfoque basado en identidad y validación continua.

Las decisiones de acceso deben considerar factores como:

• Identidad del usuario.
• Estado del dispostivo.
• Ubicación.
• Nivel del riesgo.
• Comportamiento habitual.
• Sensibilidad de los recursos consultados.

La confianza ya no puede otorgarse una sola vez, debe verificarse continuamente.

La importancia de la visibilidad

Uno de los mayores desafíos para las organizaciones es la falta de visibilidad sobre lo que ocurre dentro del navegador. El navegador se ha convertido en el principal espacio de trabajo digital. Sin embargo, también es uno de los entornos menos monitoreados.

Las organizaciones necesitan identificar:

• Navegación hacia sitios riesgosos.
• Uso de aplicaciones no autorizadas.
• Herramientas de IA no aprobadas.
• Comportamientos anómalos.
• Posibles intentos de robo de sesiones.

Sin visibilidad, los riesgos permanecen ocultos hasta que se convierten en incidentes.

¿Por qué esto es especialmente importante para las pymes?

Las pequeñas y medianas empresas enfrentan un reto particular.

Con equipos de TI reducidos y recursos limitados, la gestión de riesgos asociados al navegador suele quedar relegada frente a otras prioridades.

Al mismo tiempo:

• Los usuarios trabajan desde cualquier lugar.
• Utilizan aplicaciones SaaS constantemente. 
• Adoptan herramientas de IA rápidamente.
• Manejan información crítica desde navegadores web.

Esto amplía significativamente la superficie de ataque.

La acción humana

• Un clic en un enlace malicioso.
• Una descarga aparentemente legítima.
• Una aplicación de inteligencia artificial no autorizada.
• Una navegación hacia un sitio comprometido.

Cuando el endpoint detecta la amenaza, en muchos casos el riesgo ya ha ingresado a la organización.

Por eso, la conversación en ciberseguridad está evolucionando desde la simple protección de dispositivos hacia un concepto más amplio: la resiliencia de las estaciones de trabajo.

El problema de confiar únicamente en la seguridad del endpoint

Las soluciones EDR, XDR y antivirus modernos son capaces de detectar actividades sospechosas, bloquear ransomware y contener dispositivos comprometidos.

• Sin embargo, estas herramientas generalmente actúan después de que la amenaza alcanza el dispositivo.

• El desafío es que los atacantes actuales están explotando la brecha existente entre el comportamiento del usuario y la respuesta del endpoint.
• Hoy, gran parte del trabajo empresarial ocurre dentro del navegador.

Los usuarios interactúan constantemente con:

• Aplicaciones SaaS
• Servicios en la nube
• Herramientas de colaboración
• Plataformas de inteligencia artificial
• Correos electrónicos
• Sitios web corporativos

Cada una de estas interacciones representa una posible superficie de ataque.

El navegador se ha convertido en el nuevo perímetro

Hace algunos años la seguridad se centraba en proteger servidores y redes internas.

Hoy la realidad es diferente.

Los usuarios trabajan desde cualquier lugar, acceden a aplicaciones en la nube y utilizan herramientas impulsadas por IA como parte de sus actividades diarias.

Esto significa que muchas amenazas aparecen antes de que exista un archivo malicioso que analizar.

Por ejemplo:

• Acceso a sitios fraudulentos.
• Descargas desde fuentes no autorizadas.
• Exposición involuntaria de datos sensibles.
• Uso de aplicaciones de IA no aprobadas.
• Conexiones hacia dominios maliciosos.

En todos estos escenarios, el riesgo comienza antes de que cualquier solución de endpoint tenga oportunidad de intervenir.

¿Qué es realmente la resiliencia de las estaciones de trabajo?

La resiliencia de las estaciones de trabajo consiste en reducir el riesgo antes de la ejecución y contener rápidamente las amenazas cuando logran infiltrarse.

No se trata únicamente de bloquear malware, se trata de proteger todo el recorrido del usuario. Desde el momento en que realiza una búsqueda en internet hasta la respuesta automatizada frente a una amenaza activa.

Una estrategia moderna debe incluir dos capacidades fundamentales:

• Prevención antes de la ejecución
• El objetivo es reducir el riesgo antes de que llegue al dispositivo.

Esto incluye:

• Filtrado DNS.
• Control de navegación.
• Bloqueo de dominios maliciosos.
• Supervisión de aplicaciones de IA.
• Aplicación de políticas de uso seguro.

La meta es detener comportamientos de riesgo antes de que se conviertan en incidentes.

Contención después de la ejecución

Ninguna estrategia de seguridad es perfecta.

Por ello, cuando una amenaza logra ejecutarse, es necesario contar con mecanismos capaces de:

• Detectar actividad maliciosa.
• Investigar automáticamente los eventos.
• Aislar dispositivos comprometidos.
• Detener movimientos laterales.
• Reducir el tiempo de permanencia del atacante.

Aquí es donde tecnologías como EDR, XDR y los servicios gestionados de detección y respuesta juegan un papel fundamental.

El riesgo de las herramientas de IA

Uno de los desafíos más recientes es el crecimiento acelerado de las aplicaciones de inteligencia artificial.

Muchas organizaciones enfrentan actualmente el fenómeno conocido como Shadow AI.

Los usuarios adoptan herramientas de IA para aumentar su productividad sin que los equipos de TI tengan visibilidad completa sobre:

• Qué plataformas utilizan.
• Qué información comparten.
• Dónde se almacenan los datos.
• Qué riesgos regulatorios podrían generarse.

La gobernanza de IA se está convirtiendo rápidamente en una pieza clave dentro de las estrategias modernas de resiliencia.

Menos herramientas aisladas, más visibilidad

Uno de los errores más comunes en ciberseguridad es implementar soluciones independientes que operan sin contexto compartido.

La verdadera resiliencia surge cuando la protección previa y posterior a la ejecución trabajan de forma coordinada.

Cuando los equipos pueden visualizar:

• Comportamiento del usuario.
• Actividad del navegador.
• Uso de aplicaciones de IA.
• Eventos del endpoint.
• Alertas de seguridad.
• Acciones de contención.

La capacidad de identificar riesgos y responder eficazmente mejora significativamente.