Entradas de blog etiquetadas con ' #cybersecurity ' Rss

Los ciberdelincuentes están cambiando esa dinámica

Hoy pueden aprovechar funciones legítimas de aplicaciones conocidas para distribuir amenazas, utilizar inteligencia artificial generativa para controlar dispositivos infectados e incorporar tecnologías criptográficas avanzadas para proteger sus operaciones de ransomware.

No se trata de escenarios futuristas ni de posibilidades que todavía estén sobre la mesa. DarkVigil, PromptSpy y Kyber son ejemplos de cómo estas técnicas ya están llegando al malware funcional.

Aunque operan de maneras muy diferentes, las tres amenazas comparten una característica: aprovechan tecnologías creadas para fines legítimos y las convierten en herramientas para comprometer sistemas, obtener información o interrumpir operaciones.

Y eso plantea un desafío importante para las organizaciones: ¿cómo detectar una amenaza cuando parte de su actividad parece completamente normal?

DarkVigil: cuando una aplicación de confianza se convierte en la puerta de entrada

Uno de los mayores problemas para los equipos de seguridad es que no todo el software malicioso llega disfrazado de un archivo desconocido.

En ocasiones, los atacantes encuentran la manera de aprovechar funciones legítimas de aplicaciones que los usuarios ya conocen y utilizan.

Ese es el caso de DarkVigil, una puerta trasera modular para Windows asociada con operaciones de ciberespionaje.

Su mecanismo de distribución resulta especialmente interesante: los atacantes manipulan funciones de aplicaciones de confianza para facilitar la descarga o ejecución de componentes maliciosos. Entre los casos documentados se encuentra el aprovechamiento de un mecanismo de promoción en segundo plano del método de entrada Sogou.

Una vez que consigue instalarse, DarkVigil analiza el sistema comprometido y establece comunicación con un servidor de comando y control (C&C).

Pero su capacidad no termina ahí.

Su arquitectura modular permite que los operadores distribuyan complementos adicionales y los carguen dentro del entorno .NET cuando lo necesitan. Esto les proporciona flexibilidad para perfilar los equipos infectados y ampliar sus capacidades de vigilancia según los objetivos de cada operación.

En otras palabras, no necesitan desplegar todas sus herramientas desde el principio. Pueden comenzar con una presencia discreta y añadir nuevas funciones conforme avanza la intrusión.

¿Qué señales deberían llamar la atención?

• Aplicaciones legítimas que realizan cargas laterales de DLL de manera inusual.
• Conexiones DNS o tráfico de red inesperado procedente de software de confianza.
• Módulos .NET codificados o almacenados en el registro de Windows sin una justificación clara.

La lección es importante: confiar en el nombre de una aplicación no significa que todo lo que hace sea seguro. También hay que observar cómo se ejecuta, qué componentes carga y con qué sistemas se comunica.

PromptSpy: cuando la inteligencia artificial comienza a dirigir al malware

La inteligencia artificial generativa está transformando la manera en que interactuamos con la tecnología. Sin embargo, también puede convertirse en un recurso para los atacantes.

PromptSpy es un ejemplo especialmente llamativo porque fue identificado como el primer malware conocido para Android que incorpora inteligencia artificial generativa directamente en su ejecución.

A diferencia de las amenazas que dependen exclusivamente de instrucciones programadas de antemano, PromptSpy utiliza Google Gemini para interpretar el contenido de la pantalla del dispositivo y obtener indicaciones sobre qué acciones realizar.

¿Cómo funciona?

El malware captura información de la pantalla y la envía al modelo de IA. A partir de ese contexto, recibe instrucciones que pueden traducirse en acciones como pulsaciones o deslizamientos.

Esto le permite interactuar con el dispositivo de una manera más flexible, utilizando elementos visibles de la interfaz en lugar de depender únicamente de una secuencia rígida de movimientos.

Su objetivo no es simplemente espiar. PromptSpy incorpora capacidades de acceso remoto, control mediante VNC, captura de información relacionada con la pantalla de bloqueo y resistencia a los intentos de desinstalación.

Las campañas identificadas utilizaron aplicaciones con temática bancaria distribuidas mediante sitios de descarga y señuelos de phishing. En determinados casos, las víctimas eran inducidas a instalar manualmente una carga maliciosa presentada como una actualización.

El detalle más inquietante es que la IA deja de ser únicamente una herramienta utilizada por el desarrollador para crear malware: pasa a formar parte del funcionamiento de la amenaza mientras está activa.

Eso no significa que el malware tenga autonomía ilimitada ni que pueda realizar cualquier acción por sí solo. Sin embargo, demuestra que los modelos generativos pueden ayudar a adaptar las interacciones maliciosas a diferentes situaciones.

¿Qué señales deberían llamar la atención?

• Aplicaciones APK con apariencia bancaria instaladas desde fuentes no oficiales.
• Solicitudes inesperadas de permisos de accesibilidad.
• Actividad automatizada de interacción con la pantalla que el usuario no reconoce.
• Superposiciones invisibles o comportamientos que dificultan la desinstalación de una aplicación.

También es importante mantener una perspectiva equilibrada: el análisis de Google identificó el uso de IA en esta amenaza, pero los recursos asociados con la actividad fueron desactivados y no se ha demostrado un despliegue generalizado de este mecanismo.

Kyber: el ransomware también está explorando la era postcuántica

La inteligencia artificial no es la única tecnología emergente que comienza a aparecer en el panorama de las amenazas.

La criptografía postcuántica también está llegando a escenarios que hasta hace poco parecían exclusivos de la investigación y la protección de datos.

Kyber es una familia de ransomware multiplataforma que ha llamado la atención por incorporar criptografía diseñada para resistir posibles ataques de computadoras cuánticas.

Su variante para Windows ofrece un ejemplo poco común de ransomware funcional que utiliza Kyber1024 junto con X25519 para proteger las claves AES empleadas en el cifrado de archivos.

¿Por qué es relevante?

El ransomware necesita impedir que las víctimas recuperen fácilmente sus archivos sin la clave de descifrado. Para ello, los operadores utilizan mecanismos criptográficos que protegen las claves necesarias para revertir el cifrado.

Al incorporar Kyber1024, esta variante introduce un algoritmo de encapsulación de claves postcuántico dentro de su esquema de protección criptográfica.

Sin embargo, hay un detalle técnico que conviene no pasar por alto: la variante de Kyber dirigida a entornos ESXi anuncia el uso de Kyber1024, pero utiliza criptografía convencional.

Esto demuestra que no basta con leer una nota de rescate o una descripción general de una familia de ransomware para conocer sus capacidades reales. Cada variante debe analizarse por separado.

Kyber también representa un riesgo para la infraestructura empresarial porque puede afectar servidores de archivos Windows y almacenes de datos de máquinas virtuales VMware ESXi. Además, se han observado capacidades experimentales relacionadas con Hyper-V.

¿Qué señales deberían llamar la atención?

• Actividad administrativa inusual o apagado inesperado de máquinas virtuales ESXi.
• Eliminación o alteración de copias de seguridad, instantáneas y mecanismos de recuperación.
• Notas de rescate de Kyber y extensiones de archivos asociadas con el cifrado.
• Comportamientos anómalos en servidores de archivos y plataformas de virtualización.

El mensaje es claro: la evolución criptográfica también puede ser aprovechada por los atacantes. La tecnología no es peligrosa por sí misma; el riesgo aparece cuando se utiliza para fortalecer operaciones maliciosas.

La amenaza presente...

La principal amenaza es la vulnerabilidad CVE-2026-76418, un fallo en la función VPN SSL de acceso remoto de Cisco Secure Firewall ASA y FTD. Cuando se habilita la autenticación secundaria, como RADIUS, LDAP o Duo, en un grupo de túneles VPN, un atacante remoto puede enviar una solicitud de conexión especialmente diseñada a la página de inicio de sesión VPN pública sin un nombre de usuario o contraseña válidos.

El procesamiento de la solicitud provoca que el Firewall se recargue, interrumpiendo el acceso VPN y otro tráfico que depende del dispositivo. Los atacantes pueden repetir el proceso para crear una condición de denegación de servicio (DoS) continua.

Los dispositivos son vulnerables si ejecutan una versión afectada de ASA o FTD, exponen el servicio VPN de acceso remoto SSL y tienen configurada la autenticación secundaria en cualquier grupo de túneles, incluido el predeterminado DefaultWEBVPNGroup. No se requiere un inicio de sesión VPN exitoso. Cisco ha confirmado la explotación activa, lo que significa que los firewalls con acceso a internet ya están siendo atacados.

¿Por qué es digno de mención?

Esta vulnerabilidad afecta directamente a los firewalls perimetrales y a las pasarelas VPN, elementos cruciales para el acceso remoto y la disponibilidad de la red. Dado que la explotación no requiere autenticación, cualquiera que logre acceder a una página de inicio de sesión VPN SSL vulnerable podría provocar fallos repetidos en el dispositivo.

Dado que ya se han detectado casos de explotación en entornos reales, esto representa una amenaza real para las organizaciones que no han implementado parches de seguridad. Además, junto con otras actividades de elusión de la autenticación SD-WAN, pone de manifiesto el creciente interés de los atacantes en la infraestructura de seguridad y redes de Cisco.

¿Cuál es la exposición o el riesgo?

Las organizaciones quedan expuestas si utilizan versiones vulnerables de ASA o FTD, permiten el acceso remoto a servicios VPN mediante SSL desde redes no confiables y emplean autenticación secundaria en un grupo de túneles. Un atacante podría forzar de forma remota la recarga del firewall, interrumpiendo el acceso VPN y, potencialmente, otro tráfico gestionado por el dispositivo.

Para las organizaciones que dependen de un único firewall o de configuraciones de alta disponibilidad (HA) deficientes, la explotación de vulnerabilidades podría provocar una pérdida generalizada de conectividad para trabajadores remotos, sucursales y aplicaciones con acceso a internet. Incluso con alta disponibilidad implementada, las fallas repetidas podrían desencadenar conmutaciones por error, inestabilidad y un rendimiento degradado.

Los atacantes también podrían usar el ataque de denegación de servicio (DoS) como parte de una campaña más amplia para distraer a los defensores o interrumpir la monitorización mientras atacan otros sistemas. Las organizaciones con numerosos dispositivos expuestos, incluidos los proveedores de servicios gestionados (MSP) y los entornos multiusuario que dan soporte a múltiples clientes, pueden enfrentarse a un mayor riesgo operativo.

En combinación con la explotación de la vulnerabilidad de omisión de autenticación de Cisco SD-WAN, esta actividad pone de relieve el riesgo más amplio de que la infraestructura de enrutamiento, VPN y plano de control se convierta en objetivo de actores maliciosos sofisticados.

¿Cuáles son las recomendaciones?

Las recomendaciones siguientes buscan reducir el riesgo de explotación y proteger la infraestructura crítica:

• Actualizar los dispositivos ASA y FTD a versiones corregidas: Actualice los dispositivos Cisco Secure Firewall ASA y FTD a las versiones corregidas recomendadas por Cisco. Priorice las puertas de enlace VPN y los firewalls que manejan tráfico de producción y programe las actualizaciones lo antes posible.
• Verifique las configuraciones de VPN SSL y autenticación secundaria: Identifique dónde está habilitada la VPN de acceso remoto SSL y qué grupos de túneles la utilizan secondary-authentication-server-group. Verifique DefaultWEBVPNGrouptambién, incluso si las listas de grupos de túneles están deshabilitadas. Elimine la autenticación secundaria donde no sea necesaria.
• Aplique medidas provisionales si no es posible aplicar parches de inmediato: Si DefaultWEBVPNGroupno utiliza autenticación secundaria, desactive la lista de grupos de túneles. De lo contrario, elimine la autenticación secundaria de los grupos que no la requieran. Siempre que sea posible, restrinja el acceso al inicio de sesión de la VPN SSL a las redes de origen previstas. Considere estas medidas como temporales hasta que se pueda actualizar el software.
• Refuerce la protección de VPN y SD-WAN: Limite la exposición de las interfaces de administración y VPN a lo estrictamente necesario. Restrinja el acceso administrativo, utilice políticas sólidas de autenticación multifactor (MFA) y acceso condicional, y aplique el parche CVE-2026-20127 en los controladores Cisco SD-WAN Catalyst cuando corresponda.
• Supervise los fallos y la actividad anómala de la VPN: Reciba alertas sobre reinicios inesperados del dispositivo, intentos repetidos de inicio de sesión en la VPN desde direcciones IP inusuales y caídas repentinas de la conectividad. Correlacione los eventos de reinicio con picos en el tráfico SSL de la VPN para identificar posibles intentos de explotación.
• Revise el diseño de alta disponibilidad y conmutación por error: confirme que los pares de alta disponibilidad estén configurados correctamente y pruebe el comportamiento de la conmutación por error bajo carga. Aplique parches a ambos dispositivos de alta disponibilidad, ya que un código vulnerable en ambos podría permitir a un atacante interrumpir el funcionamiento de las unidades activa y de reserva.
• Refuerce la gestión de vulnerabilidades y parches: priorice los avisos de seguridad que afecten a firewalls, SD-WAN, VPN e infraestructura de identidad. Incorpore los avisos de Cisco en los procesos de gestión de vulnerabilidades y establezca responsabilidades claras para la revisión y aplicación de actualizaciones críticas.

Un inicio de sesión legítimo: una intención maliciosa

La autenticación mediante código de dispositivo tiene una finalidad completamente legítima. Se utiliza cuando una aplicación necesita que el usuario complete el inicio de sesión desde otro equipo, por ejemplo, cuando un dispositivo muestra un código que debe introducirse en el navegador de una computadora o un teléfono.

El problema aparece cuando un atacante manipula este procedimiento.

El proceso suele comenzar con un correo electrónico que parece habitual: una invitación para consultar un documento compartido, revisar una factura, escuchar un mensaje de voz o responder a una solicitud de propuesta.

El empleado sigue las instrucciones y recibe un código de verificación. Después, es dirigido a una página auténtica de inicio de sesión, donde introduce el código y completa la autenticación multifactor.

Todo parece correcto. Sin embargo, hay un detalle que cambia por completo la situación: la solicitud de autenticación no fue iniciada por el empleado, sino por el atacante.

Al introducir el código y aprobar el proceso, el usuario termina autorizando la sesión del ciberdelincuente.

De esta manera, el atacante puede obtener tokens de acceso y actualización que le permiten utilizar los servicios disponibles para la cuenta comprometida, como el correo electrónico, el almacenamiento en la nube y otras aplicaciones empresariales, mientras los tokens continúen siendo válidos.

¿Por qué la autenticación multifactor no siempre es suficiente?

La autenticación multifactor (MFA) representa una capa importante de protección, pero este ataque demuestra que no todos los procesos de autenticación son igualmente resistentes al phishing.

En un ataque tradicional, el usuario suele ser redirigido a una página falsa que intenta imitar un servicio legítimo. La dirección web, el diseño o ciertos detalles del sitio pueden revelar el engaño.

El phishing mediante código de dispositivo elimina buena parte de esas señales de alerta.

La víctima puede:

• Acceder a un dominio legítimo.
• Introducir el código de verificación siguiendo las instrucciones.
• Completar correctamente la autenticación multifactor.
• No proporcionar su contraseña a una página controlada por el atacante.
• Recibir una aprobación normal del sistema de autenticación.

El engaño no está necesariamente en la página que el usuario visita, sino en la solicitud que está autorizando.

Por eso, revisar la URL y completar la MFA no garantizan, por sí solos, que el inicio de sesión sea legítimo. También es necesario comprobar qué aplicación o dispositivo solicita la autorización y por qué se está realizando ese proceso.

De una técnica específica a campañas cada vez más sofisticadas

El phishing mediante código de dispositivo dejó de ser únicamente una técnica experimental.

En febrero de 2025, Microsoft reveló una campaña que utilizaba este mecanismo para capturar tokens de autenticación y obtener acceso a cuentas comprometidas.

A principios de 2026, los atacantes comenzaron a combinar esta técnica con automatización, señuelos generados mediante inteligencia artificial y códigos de dispositivo generados dinámicamente.

Este último elemento representa un avance importante.

Los códigos de dispositivo tienen un periodo de validez limitado. Anteriormente, esto obligaba a los atacantes a convencer a sus víctimas de actuar dentro de una ventana de tiempo relativamente corta.

Con la generación dinámica de códigos, los ciberdelincuentes pueden crear uno nuevo cuando la víctima llega a la etapa final del engaño. Así reducen los obstáculos operativos y facilitan la ejecución de campañas a mayor escala.

La automatización también permite coordinar mejor los diferentes pasos del ataque, desde el primer mensaje hasta la obtención de acceso.

El correo electrónico es el punto de partida, pero no el final del ataque

Para que esta técnica funcione, el atacante necesita una razón convincente para que el empleado complete el proceso de autenticación.

Ahí es donde entra el correo electrónico.

Un mensaje sobre un archivo compartido, una factura pendiente, una solicitud de propuesta o un mensaje de voz puede generar suficiente confianza para que el usuario siga las instrucciones sin cuestionar su origen.

Algunas campañas utilizan enlaces directos. Otras recurren a archivos PDF o HTML y a múltiples redirecciones mediante servicios en la nube legítimos o de buena reputación.

Esto dificulta la detección, porque analizar únicamente el dominio de destino puede dejar fuera información importante sobre el recorrido que llevó al usuario hasta la página de inicio de sesión.

Pero el riesgo no termina cuando el atacante consigue autenticarse.

Una cuenta comprometida puede convertirse en un punto de entrada para explorar aplicaciones conectadas, consultar información confidencial, suplantar la identidad del empleado o intentar avanzar hacia otros recursos de la organización.

Por eso, los equipos de seguridad necesitan observar lo que ocurre antes, durante y después de la autenticación.

Entre las señales que conviene investigar se encuentran:

• ¿Quién envió el mensaje original y qué contexto utilizó para generar confianza?
• ¿Qué enlaces, archivos adjuntos y redirecciones llevaron al empleado hasta la página de inicio de sesión?
• ¿Qué aplicación o dispositivo se estaba solicitando autorizar?
• ¿La actividad posterior corresponde al comportamiento habitual del usuario?
• ¿A qué aplicaciones, recursos o información accedió la cuenta?
• ¿Aparecieron nuevas reglas en el correo, permisos de aplicaciones o registros de dispositivos inesperados?

Conectar las señales del correo electrónico, la identidad, las aplicaciones en la nube y los dispositivos permite comprender mejor el alcance de una posible vulneración y responder antes de que una cuenta comprometida se convierta en un incidente de mayor impacto.

¿Cómo puede una organización reducir este riesgo?

La protección frente al phishing mediante código de dispositivo requiere una estrategia que vaya más allá del filtrado de correos o de la implementación de MFA.

Las organizaciones deben considerar medidas específicas en sus sistemas de identidad, políticas de acceso y herramientas de detección.

• Bloquear la autenticación mediante código de dispositivo cuando no sea necesaria.

Si la organización no tiene una necesidad empresarial legítima para utilizar este mecanismo, deshabilitarlo ayuda a reducir la superficie de ataque.

• Restringir su utilización cuando sea indispensable.

Las políticas de acceso condicional permiten establecer controles sobre cuándo y bajo qué circunstancias puede utilizarse este flujo de autenticación.

• Implementar autenticación resistente al phishing.

Las claves de seguridad y las credenciales FIDO2 ofrecen una protección más sólida frente a técnicas de phishing y robo de credenciales.

• Capacitar a los empleados para verificar lo que autorizan.

No basta con revisar la dirección del sitio web. Los usuarios deben aprender a identificar qué aplicación y dispositivo están solicitando la autorización, y cuestionar cualquier proceso que no hayan iniciado.

• Supervisar los eventos de autenticación y la actividad posterior.

Es importante detectar inicios de sesión inusuales mediante códigos de dispositivo, actividad sospechosa de tokens, registros inesperados de dispositivos, accesos anómalos a Microsoft Graph y nuevas reglas de bandeja de entrada.

• Actuar rápidamente ante una posible intrusión.

Cuando se identifica actividad maliciosa, los equipos de seguridad deben revocar los tokens de actualización y aplicar las medidas de contención correspondientes para impedir que el atacante conserve el acceso.

• Analizar el recorrido completo del correo electrónico.

Evaluar al remitente, el contexto del mensaje, los archivos adjuntos, las redirecciones y la solicitud de autenticación permite identificar señales que podrían pasar desapercibidas al revisar únicamente la página de destino.

Una página legítima no garantiza un acceso seguro

Ciberseguridad e inteligencia artificial: las amenazas avanzan más rápido que las defensas

La inteligencia artificial está transformando la manera en que las empresas trabajan, automatizan procesos y gestionan su información. Sin embargo, esta evolución también está modificando el panorama de la ciberseguridad: aparecen nuevas superficies de ataque, aumentan los riesgos asociados con los agentes de IA y los equipos de seguridad deben responder a amenazas que evolucionan a una velocidad cada vez mayor.

El problema no se limita al uso de herramientas de inteligencia artificial por parte de los ciberdelincuentes. También incluye la velocidad con la que se descubren y explotan vulnerabilidades, la sofisticación de los ataques de phishing y el riesgo de que una cuenta comprometida permita acceder a información o sistemas críticos.

El Informe de Defensa Digital de Microsoft ofrece una perspectiva sobre estos desafíos a partir de las señales de seguridad que la compañía analiza diariamente.

Sus hallazgos ponen sobre la mesa una preocupación fundamental: la capacidad de los atacantes para aprovechar las debilidades de una organización puede avanzar más rápido que los procesos tradicionales de prevención, detección y corrección.

En un escenario donde la IA comienza a integrarse en aplicaciones, servicios y flujos de trabajo empresariales, mantenerse protegido exige mucho más que instalar herramientas de seguridad. Las organizaciones necesitan reducir sus tiempos de respuesta, identificar los riesgos prioritarios y evitar que un incidente aislado se convierta en una brecha de gran alcance.

Conclusiones Clave

• La velocidad de explotación reduce el margen de respuesta: las vulnerabilidades pueden convertirse en oportunidades de ataque antes de que las organizaciones completen sus procesos de corrección.
• La IA amplía la superficie de ataque: los agentes y las cargas de trabajo de inteligencia artificial introducen nuevos riesgos relacionados con instrucciones maliciosas, exposición de datos y robo de credenciales.
• El phishing sigue siendo una amenaza crítica: la suplantación de identidad y las técnicas diseñadas para engañar a los usuarios continúan poniendo en riesgo las cuentas empresariales.
• El ransomware mantiene la presión: las organizaciones necesitan combinar prevención, detección y capacidad de respuesta para reducir el impacto de los incidentes.

La defensa debe evolucionar: priorizar vulnerabilidades, proteger identidades y supervisar la actividad de los sistemas son medidas esenciales para responder a amenazas cada vez más dinámicas.

1. Vulnerabilidades: cuando los atacantes ganan tiempo frente a los defensores

En ciberseguridad, el tiempo puede determinar la diferencia entre una vulnerabilidad controlada y un incidente que afecta a toda una organización.

Cuando se descubre una debilidad en un sistema, los responsables de TI necesitan evaluar su gravedad, identificar los equipos afectados, probar las actualizaciones correspondientes y aplicar las correcciones necesarias.

Este proceso requiere coordinación y, en ocasiones, debe realizarse con precaución para evitar interrupciones en los servicios críticos.

Los atacantes, por el contrario, solo necesitan encontrar una oportunidad que puedan aprovechar.

De acuerdo con las cifras citadas en el texto original del informe de Microsoft, el tiempo medio de remediación empresarial para vulnerabilidades críticas externas se sitúa entre 30 y 60 días, mientras que el tiempo medio hasta la explotación puede ser de apenas cinco días.

La diferencia es significativa: una vulnerabilidad podría ser explotada mucho antes de que una organización complete su proceso habitual de corrección.

El riesgo también se manifiesta en los entornos de contenedores. El texto señala que el tiempo medio entre el inicio de un contenedor y el primer intento de explotación es de aproximadamente 5,3 horas, y que más de la mitad de los contenedores comprometidos son objeto de explotación en menos de 24 horas.

Estas cifras ilustran la importancia de proteger no solo los equipos tradicionales, sino también las aplicaciones, los servicios en la nube y las cargas de trabajo que forman parte de la infraestructura empresarial.

¿Qué cambia con la inteligencia artificial?

La IA puede facilitar tareas como el análisis de código, la identificación de patrones y la investigación de posibles vulnerabilidades. Estas capacidades pueden beneficiar tanto a los equipos defensivos como a los actores maliciosos.

Aunque no es posible atribuir automáticamente la reducción de los tiempos de explotación a la inteligencia artificial, su evolución plantea un escenario que merece atención.

Si las herramientas avanzadas permiten automatizar más etapas del análisis de vulnerabilidades y del desarrollo de exploits, los atacantes podrían reducir todavía más el tiempo necesario para convertir una debilidad técnica en un ataque efectivo.

Para las empresas, esto significa que los procesos de actualización basados exclusivamente en revisiones periódicas podrían resultar insuficientes frente a determinadas amenazas.

La respuesta consiste en adoptar una gestión de vulnerabilidades basada en el riesgo, priorizando las debilidades críticas, los sistemas expuestos y aquellas vulnerabilidades que presentan indicios de explotación activa.

No todas las vulnerabilidades requieren la misma urgencia. Sin embargo, las que afectan a sistemas accesibles desde internet o a servicios esenciales deben recibir una atención prioritaria.

2. Los agentes de IA abren nuevas puertas para los ciberdelincuentes

La inteligencia artificial ya no se limita a responder preguntas o generar contenido. Cada vez más organizaciones exploran agentes capaces de consultar información, utilizar herramientas, interactuar con aplicaciones y ejecutar tareas dentro de sus flujos de trabajo.

Esta evolución ofrece oportunidades importantes para mejorar la productividad, pero también introduce riesgos que deben considerarse desde el diseño y la implementación de cada solución.

Un agente de IA puede tener acceso a documentos, servicios empresariales, bases de datos o herramientas internas. Si sus permisos son excesivos o sus mecanismos de protección resultan insuficientes, una interacción maliciosa podría provocar consecuencias que van mucho más allá de una respuesta incorrecta.

Entre los riesgos más relevantes destacan los siguientes.

Inyección de instrucciones maliciosas

Los atacantes pueden intentar introducir instrucciones manipuladas en documentos, páginas web, correos electrónicos u otras fuentes que un sistema de IA utiliza para procesar información.

Si el agente no distingue adecuadamente entre contenido que debe analizar e instrucciones que puede ejecutar, podría ser inducido a realizar acciones no deseadas.

Este tipo de amenaza se relaciona con la inyección de instrucciones, conocida como prompt injection.

El problema no es únicamente que el sistema genere una respuesta equivocada. Si dispone de herramientas o permisos para interactuar con otros sistemas, una instrucción maliciosa podría intentar aprovechar esas capacidades.

Exposición y extracción de información

Un agente que accede a información empresarial puede convertirse en un objetivo atractivo para los atacantes.

Si sus controles de acceso, políticas de uso o mecanismos de protección son insuficientes, existe el riesgo de que información confidencial termine expuesta a usuarios no autorizados o se transmita a destinos externos.

Por ello, es fundamental limitar los datos a los que puede acceder cada agente y controlar qué acciones tiene permitido realizar.

Robo de credenciales y abuso de permisos

Los agentes de IA pueden depender de credenciales, tokens y otros mecanismos de autenticación para acceder a los servicios que necesitan.

Si un atacante consigue comprometer esas credenciales, podría intentar utilizarlas para acceder a recursos empresariales o ejecutar acciones con los privilegios asociados a la identidad comprometida.

Este escenario refuerza una lección esencial: proteger los modelos de IA no es suficiente si las identidades, las credenciales y los sistemas con los que interactúan permanecen expuestos.

Una superficie de ataque en expansión

Según las cifras recogidas en el texto original, el 82 % de las organizaciones planea ampliar la implementación de agentes de IA durante los siguientes 12 a 18 meses. El mismo texto proyecta que para 2028 podrían existir aproximadamente 1.300 millones de agentes en producción.

Estas cifras deben interpretarse como indicadores de adopción prevista, no como una garantía de que todas esas implementaciones se materializarán.

Aun así, la dirección es clara: conforme aumenta el uso de agentes de IA, también crece la necesidad de controlar sus accesos, supervisar sus acciones y establecer límites sobre las tareas que pueden ejecutar.

Cada nuevo agente debe tratarse como parte de la infraestructura tecnológica de la organización, con sus propios requisitos de identidad, permisos, supervisión y protección.

3. Phishing y suplantación de identidad: el factor humano sigue bajo presión

Mientras las organizaciones se preparan para nuevas amenazas impulsadas por IA, los ciberdelincuentes continúan aprovechando uno de los puntos más vulnerables de cualquier estrategia de seguridad: la confianza.

Los ataques de phishing buscan engañar a los usuarios para que revelen información, entreguen sus credenciales, descarguen archivos maliciosos o autoricen acciones que favorecen al atacante.

Estas campañas pueden recurrir a correos electrónicos, llamadas, mensajes y páginas web diseñadas para parecer legítimas.

La inteligencia artificial añade nuevas posibilidades a este panorama. Puede ayudar a producir mensajes más convincentes, adaptar el contenido a diferentes destinatarios y automatizar determinadas tareas de preparación de campañas maliciosas.

Sin embargo, el phishing no necesita recurrir a tecnologías avanzadas para resultar efectivo. Un mensaje que suplanta a un proveedor, una solicitud de pago aparentemente legítima o una alerta falsa de acceso pueden ser suficientes para provocar un incidente.

Las cifras que reflejan la magnitud del problema

El texto original atribuye al informe de Microsoft varios indicadores relevantes:

• Los ataques de phishing que utilizan CAPTCHA superaron los 100 millones durante el periodo reportado.
• Se identificaron señales de suplantación de identidad en casi el 85 % de los correos electrónicos de phishing reportados.
• La suplantación de contactos comerciales superó los 46 millones de ataques durante los últimos 12 meses.
• El volumen de llamadas maliciosas confirmadas en Microsoft Teams aumentó un 502 % interanual.

Es importante verificar el periodo de medición y la definición de cada categoría en la publicación original de Microsoft antes de utilizar estas cifras como datos definitivos.

Más allá de los números, los ejemplos ilustran cómo los atacantes pueden combinar diferentes canales para engañar a sus víctimas y aumentar las posibilidades de éxito.

Un correo electrónico puede iniciar el contacto, una llamada puede aportar una falsa sensación de legitimidad y una solicitud urgente puede presionar al usuario para que actúe sin comprobar la identidad del remitente.

Por eso, la protección contra el phishing debe ir más allá de la capacitación de los empleados.

Las organizaciones necesitan combinar formación, autenticación multifactor, controles de correo electrónico, protección de identidades y mecanismos para detectar actividades sospechosas.

También conviene establecer procedimientos para verificar solicitudes sensibles, especialmente aquellas relacionadas con pagos, cambios de cuentas bancarias, restablecimiento de contraseñas o acceso a información confidencial.

4. Ransomware: una amenaza que sigue poniendo en riesgo la continuidad del negocio

El ransomware continúa siendo uno de los riesgos más relevantes para las organizaciones debido a su capacidad para interrumpir operaciones, afectar la disponibilidad de la información y generar elevados costes de recuperación.

Estos ataques pueden comenzar mediante credenciales comprometidas, vulnerabilidades sin corregir, correos electrónicos maliciosos o accesos remotos insuficientemente protegidos.

Una vez dentro de la infraestructura, los atacantes pueden intentar ampliar sus privilegios, acceder a sistemas adicionales y localizar información de alto valor antes de desplegar el ransomware.

En determinados incidentes, también sustraen información para presionar a la víctima mediante amenazas de publicación o divulgación.

El problema es que una infección no siempre permanece limitada al equipo donde comenzó. Si existen permisos excesivos, conexiones internas sin restricciones o controles de seguridad insuficientes, el incidente puede extenderse a otros sistemas.

De acuerdo con el texto original, Microsoft Defender registró un aumento interanual del 15,8 % en los ataques de ransomware contra empresas.

Esta cifra debe verificarse en el informe original y entenderse dentro de la metodología utilizada para contabilizar los ataques. No obstante, el ransomware sigue siendo una amenaza que exige preparación constante.

¿Cómo funciona un gusano informático tradicional?

Para entender qué cambia con la inteligencia artificial, primero debemos conocer cómo se propagan los gusanos informáticos convencionales.

Un gusano es un tipo de malware diseñado para replicarse y propagarse entre sistemas sin que sea necesaria la intervención directa del usuario en cada infección. Para conseguirlo, puede aprovechar vulnerabilidades de software, contraseñas débiles, servicios expuestos o configuraciones inseguras.

Uno de los ejemplos históricos más conocidos es el gusano Morris, que apareció en 1988. Creado por Robert Tappan Morris, este programa aprovechaba debilidades de los sistemas Unix de la época para propagarse entre equipos conectados a internet.

El incidente puso de manifiesto un problema que sigue vigente: una amenaza capaz de propagarse automáticamente puede afectar a una gran cantidad de sistemas cuando encuentra las condiciones adecuadas.

El gusano también contenía mecanismos para volver a infectar determinados equipos. Esta característica contribuyó a que algunas máquinas ejecutaran múltiples copias del programa, consumieran recursos excesivos y dejaran de funcionar correctamente.

La lección es clara: un malware no necesita tomar decisiones complejas para causar daños a gran escala. En ocasiones, basta con que encuentre una vulnerabilidad común y tenga la capacidad de replicarse.

Sin embargo, los gusanos tradicionales suelen depender de instrucciones y técnicas de propagación definidas previamente. Cuando se encuentran con un entorno diferente al esperado, sus posibilidades de adaptación pueden ser limitadas.

Es precisamente en este punto donde la inteligencia artificial podría cambiar el panorama.

¿Qué diferencia a los gusanos de la IA a los gusanos tradicionales?

La principal diferencia está en su capacidad potencial para adaptar sus acciones a las condiciones que encuentran durante un ataque.

Un gusano tradicional puede estar programado para explotar una vulnerabilidad concreta y buscar otros dispositivos que presenten esa misma debilidad. Si los sistemas están actualizados o no utilizan el componente vulnerable, sus oportunidades de propagación disminuyen.

Un gusano impulsado por IA podría ir un paso más allá.

En lugar de depender exclusivamente de una estrategia fija, podría analizar las características de un sistema, interpretar información sobre su entorno y seleccionar diferentes acciones según las condiciones detectadas.

Por ejemplo, imaginemos una red empresarial con servidores, estaciones de trabajo y dispositivos conectados que utilizan distintos sistemas operativos y aplicaciones.

Un malware convencional podría tener dificultades para propagarse si su mecanismo de explotación no funciona en todos esos equipos. En cambio, una amenaza que incorpore capacidades de IA podría, potencialmente, adaptar su estrategia para identificar nuevas oportunidades de ataque en cada entorno.

Esto no significa que la inteligencia artificial pueda vulnerar cualquier sistema ni que un gusano sea capaz de descubrir automáticamente todas las debilidades que encuentra. Su eficacia seguiría dependiendo de factores como las vulnerabilidades disponibles, los permisos obtenidos, las herramientas a su alcance y los controles de seguridad existentes.

La diferencia fundamental es que la IA podría reducir la dependencia de un único método de ataque y facilitar que el malware se adapte a escenarios diferentes.

¿Cómo podría funcionar un gusano de inteligencia artificial?

Para comprender el riesgo, conviene observar las principales etapas que podría seguir una amenaza de este tipo.

1. Reconocimiento del entorno

El malware recopila información sobre el dispositivo comprometido, los servicios disponibles, las aplicaciones instaladas y otros elementos relevantes para identificar posibles vías de propagación.

La IA podría ayudar a interpretar esa información y priorizar los siguientes pasos.

2. Identificación de posibles vulnerabilidades

A partir de los datos recopilados, el sistema podría identificar debilidades potenciales y determinar cuáles representan oportunidades de ataque.

Esta capacidad dependería de la calidad de la información disponible y de las herramientas que el malware pudiera utilizar. La IA no garantiza que las vulnerabilidades identificadas sean reales ni que puedan explotarse con éxito.

3. Adaptación de la estrategia

En lugar de seguir siempre una secuencia idéntica, el malware podría ajustar sus acciones según las características del dispositivo y los resultados obtenidos durante sus intentos anteriores.

Esta adaptabilidad podría permitirle enfrentarse a entornos más heterogéneos, en los que distintos sistemas requieren métodos de ataque diferentes.

4. Compromiso de otros dispositivos

Si encuentra una vulnerabilidad explotable y consigue superar los controles de seguridad, el malware podría comprometer otro dispositivo y continuar el proceso de propagación.

En una red con controles deficientes, esta actividad podría facilitar el movimiento lateral y ampliar el alcance del incidente.

5. Aprovechamiento de los recursos comprometidos

Los equipos infectados podrían proporcionar capacidad de procesamiento y acceso a recursos que el malware utilizara para ejecutar determinadas tareas.

Esto plantea un desafío adicional: una amenaza podría aprovechar la infraestructura de la propia organización para mantener sus actividades, sin depender necesariamente de una conexión permanente con un servidor controlado por el atacante.

Es importante precisar que estas etapas describen capacidades potenciales. No todos los componentes de un gusano de IA tienen que estar presentes en una misma amenaza, y la incorporación de inteligencia artificial no convierte automáticamente al malware en un sistema completamente autónomo.

¿Son los gusanos de IA más peligrosos que el malware tradicional?

La respuesta requiere matices.

Actualmente, no sería correcto afirmar que todos los gusanos impulsados por IA son más peligrosos que el malware convencional. Su impacto dependerá de cómo estén diseñados, de las capacidades que incorporen y de las condiciones de los sistemas a los que intenten acceder.

Además, las demostraciones de laboratorio no equivalen a una amenaza que ya se esté propagando de forma generalizada en redes empresariales.

Sin embargo, existen varias características que hacen necesario seguir de cerca esta evolución.

1. Menor dependencia de una estrategia fija

El malware tradicional puede perder eficacia cuando las condiciones del entorno no coinciden con las previstas por sus desarrolladores.

Un gusano con capacidades de IA podría analizar los resultados de sus acciones y modificar su estrategia. Esto podría dificultar la predicción de su comportamiento y aumentar las posibilidades de que encuentre rutas alternativas de propagación.

2. Posible funcionamiento sin comunicación constante con el atacante

Muchos tipos de malware utilizan una infraestructura de comando y control, conocida como C2, para recibir instrucciones, enviar información o coordinar sus actividades.

No obstante, no todo el malware tradicional depende de una conexión C2 permanente.

Un gusano diseñado para operar de forma autónoma podría ejecutar determinadas tareas sin comunicarse continuamente con su operador. En ese escenario, bloquear las comunicaciones externas no sería suficiente para detenerlo si ya puede actuar dentro de la red comprometida.

Por eso, la detección debe contemplar también el comportamiento de los equipos, las conexiones internas, los procesos sospechosos y los intentos de acceso a otros sistemas.

3. Comportamientos difíciles de anticipar

Los sistemas basados en IA pueden producir resultados que no siempre son fáciles de predecir a partir de sus instrucciones iniciales.

En el contexto del malware, esto podría traducirse en cambios de estrategia o en la selección de acciones que sus desarrolladores no habían previsto explícitamente.

Sin embargo, es importante diferenciar un comportamiento inesperado de una capacidad verdaderamente autónoma. Que un modelo genere una acción imprevista no significa que tenga voluntad propia ni que pueda superar cualquier mecanismo de protección.

El riesgo real está en la combinación de automatización, acceso a herramientas y permisos suficientes para ejecutar acciones que afecten a los sistemas.

4. Reducción de las barreras para desarrollar ataques sofisticados

La IA puede facilitar determinadas tareas que anteriormente exigían más tiempo, conocimientos técnicos o intervención humana.

Por ejemplo, podría ayudar a analizar información sobre sistemas, generar código o adaptar herramientas existentes. Esto puede reducir los costes de algunas actividades maliciosas y permitir que más actores intenten desarrollar ataques complejos.

No obstante, crear un gusano eficaz y desplegarlo a gran escala sigue requiriendo superar importantes obstáculos técnicos. La disponibilidad de modelos de IA no elimina por sí sola esos desafíos.

La preocupación no es que la IA vuelva invencible al malware, sino que pueda acelerar y ampliar algunas de las capacidades que los ciberdelincuentes ya utilizan.

¿Qué nos dicen las investigaciones sobre los gusanos de IA?

Las investigaciones experimentales permiten explorar cómo podrían combinarse los modelos de inteligencia artificial con mecanismos de autorreplicación y propagación.

Un ejemplo relacionado es el trabajo académico sobre gusanos de IA conocido como Morris II, desarrollado por investigadores de universidades estadounidenses e israelíes y presentado en 2024.

Esta investigación examinó cómo un gusano podía propagarse entre aplicaciones de inteligencia artificial generativa mediante entradas maliciosas capaces de inducir a los sistemas a divulgar información o ejecutar acciones no deseadas.

El trabajo es relevante porque demuestra que los sistemas de IA pueden introducir nuevas superficies de ataque y que determinadas capacidades de propagación pueden estudiarse en entornos controlados.

Sin embargo, Morris II no debe confundirse con un gusano convencional que se propaga automáticamente por toda una red corporativa explotando vulnerabilidades de Windows o Linux. Su enfoque estaba relacionado con aplicaciones de IA generativa, y sus resultados no demuestran que exista una amenaza universal con todas las capacidades descritas en los escenarios hipotéticos de los gusanos de IA.

La distinción importa: las investigaciones muestran qué riesgos pueden ser técnicamente posibles, pero no deben interpretarse automáticamente como evidencia de ataques generalizados en el mundo real.

Para las organizaciones, la conclusión práctica es que no necesitan esperar a que aparezca un gusano de IA con capacidades avanzadas para mejorar sus defensas. Muchas de las medidas que reducen el riesgo de este tipo de amenaza también protegen frente al ransomware, los gusanos tradicionales y otras formas de malware.

¿Cómo pueden las organizaciones defenderse de los gusanos de IA?

Aunque la evolución del malware plantea nuevos desafíos, los principios fundamentales de la ciberseguridad siguen siendo esenciales.

Un gusano necesita encontrar oportunidades para entrar, ejecutar acciones y alcanzar otros sistemas. Reducir esas oportunidades y limitar los permisos disponibles puede marcar la diferencia entre un intento de ataque y un incidente de gran alcance.

Estas son algunas de las medidas prioritarias.

1. Priorizar la aplicación de parches y la gestión de vulnerabilidades

Las actualizaciones de seguridad permiten corregir vulnerabilidades que los atacantes podrían utilizar para comprometer sistemas.

Por eso, las organizaciones necesitan mantener un inventario actualizado de sus activos, identificar los componentes vulnerables y priorizar las correcciones según factores como la criticidad del sistema, la exposición a internet y la existencia de explotación activa.

No basta con aplicar parches ocasionalmente o esperar a que una actualización se convierta en una tarea rutinaria. Es necesario establecer procesos que permitan evaluar las vulnerabilidades, probar las correcciones y desplegarlas con la mayor rapidez razonable.

Cuando una vulnerabilidad crítica está siendo explotada activamente, los tiempos de respuesta adquieren especial importancia.

La aplicación de parches no elimina todos los riesgos, pero reduce las oportunidades de explotación y dificulta que el malware encuentre puntos de entrada conocidos.

2. Implementar una arquitectura de confianza cero

El modelo de confianza cero, o Zero Trust, parte de un principio fundamental: ningún usuario, dispositivo o conexión debe considerarse confiable de manera automática.

Cada solicitud de acceso debe evaluarse según la identidad, el contexto y las políticas de seguridad correspondientes.

Esta estrategia resulta especialmente importante frente al movimiento lateral. Si un dispositivo se ve comprometido, su presencia dentro de la red no debería permitirle acceder libremente a servidores, aplicaciones o recursos sensibles.

La autenticación robusta, la verificación continua de las condiciones de acceso y la asignación de permisos mínimos ayudan a reducir las posibilidades de que una infección inicial se convierta en un incidente mayor.

3. Aplicar microsegmentación para limitar la propagación

La segmentación de red permite dividir la infraestructura en zonas con diferentes niveles de acceso. La microsegmentación lleva este enfoque a un nivel más granular, estableciendo controles entre cargas de trabajo, aplicaciones y recursos específicos.

¿Por qué es importante?

Imaginemos que un equipo de una organización resulta comprometido. Si todos los dispositivos pueden comunicarse libremente entre sí, el atacante podría encontrar numerosas oportunidades para extender la infección.

En cambio, si existen políticas que limitan las conexiones entre sistemas, el malware tendrá menos posibilidades de avanzar desde el equipo inicial hacia otros recursos.

La microsegmentación no garantiza que un gusano no pueda propagarse, pero ayuda a contener el incidente y reduce el alcance potencial de un compromiso.

4. Supervisar el comportamiento de los dispositivos y las conexiones internas

Las defensas no deben centrarse únicamente en identificar archivos maliciosos conocidos.

También es importante detectar comportamientos que puedan indicar una infección, como procesos inusuales, intentos repetidos de acceso, conexiones inesperadas entre dispositivos o actividades que no correspondan al funcionamiento habitual de una aplicación.

Las soluciones de detección y respuesta en endpoints (EDR) pueden ayudar a identificar y analizar actividades sospechosas en los equipos. Por su parte, las capacidades de detección y respuesta extendidas (XDR) permiten correlacionar señales de diferentes fuentes de seguridad para investigar posibles incidentes con mayor contexto.

Estas tecnologías pueden facilitar la detección de patrones asociados con la propagación de malware y ayudar a los equipos de seguridad a investigar y contener los dispositivos afectados.

Su eficacia dependerá de la cobertura de los sistemas, la calidad de las detecciones y la rapidez con la que se investiguen las alertas.

5. Preparar una respuesta rápida ante incidentes

Incluso con medidas preventivas sólidas, ninguna organización puede asumir que está completamente protegida frente a todas las amenazas.

Por ello, es fundamental contar con procedimientos para aislar dispositivos comprometidos, investigar el alcance del incidente, bloquear accesos sospechosos y recuperar los sistemas afectados.

Las copias de seguridad verificadas, los planes de recuperación y los ejercicios de respuesta ayudan a reducir el impacto operativo de un ataque.

También es importante definir quién toma las decisiones durante un incidente y cómo se coordinan los equipos responsables de TI y seguridad.

Cuando el malware puede propagarse automáticamente, cada minuto puede influir en el alcance del compromiso. Tener un procedimiento definido antes de que ocurra el incidente permite actuar con mayor rapidez y reducir la improvisación.

Prepararse hoy para el malware del mañana

Los gusanos de inteligencia artificial representan una posible evolución de las amenazas autorreplicantes. Su capacidad potencial para adaptar estrategias, automatizar determinadas tareas y aprovechar recursos comprometidos podría complicar la prevención y la respuesta ante incidentes.

Sin embargo, conviene mantener una perspectiva realista: la IA no elimina las limitaciones técnicas del malware ni garantiza que pueda vulnerar cualquier sistema. Su impacto dependerá de las capacidades concretas de cada amenaza y de las condiciones de seguridad de la infraestructura que encuentre.

Para las organizaciones, el desafío consiste en anticiparse sin caer en el alarmismo.

Mantener los sistemas actualizados, limitar los privilegios, segmentar las redes y detectar comportamientos sospechosos son medidas esenciales para reducir las oportunidades de propagación y contener posibles compromisos.

A estas acciones se suma la necesidad de contar con capacidades de detección, investigación y respuesta que permitan correlacionar señales de seguridad y actuar antes de que un incidente se extienda.

En un escenario donde los atacantes pueden aprovechar la inteligencia artificial para automatizar y adaptar sus técnicas, la defensa debe evolucionar en la misma dirección: mejorar la visibilidad, reducir los tiempos de respuesta y evitar que un único equipo comprometido se convierta en la puerta de entrada a toda la organización.

La mejor estrategia no es esperar a que aparezca el próximo gusano de IA, sino fortalecer desde ahora los controles que pueden impedir su entrada y limitar su propagación.

Las mayores amenazas a la seguridad del correo electrónico que afectan a las empresas hoy en día.

1. Phishing y spear phishing

El phishing sigue siendo una de las amenazas más comunes a la seguridad del correo electrónico. Los atacantes envían mensajes engañosos que parecen legítimos, imitando marcas de confianza como Microsoft o alertas internas de TI, para robar credenciales de inicio de sesión, datos financieros o documentos internos.

Los mensajes de phishing son uno de los puntos de entrada más comunes para los ataques de ransomware, especialmente cuando capturan credenciales o proporcionan herramientas de acceso remoto que facilitan una posterior intrusión. Una vez dentro, los ciberdelincuentes escalan privilegios, obtienen credenciales de dominio y programan el cifrado simultáneo en múltiples sistemas para dificultar los esfuerzos de recuperación.  

Pero el spear phishing es lo que quita el sueño a los responsables de seguridad. Los atacantes investigan a tu equipo en LinkedIn, crean asuntos personalizados para los correos e incluso imitan los estilos de comunicación interna para generar credibilidad. Cada vez más, los kits de phishing utilizan texto generado por IA y clonación de voz para que las estafas sean prácticamente indistinguibles de la realidad. 

2. Compromiso de correo electrónico empresarial (BEC)

El fraude por correo electrónico empresarial (BEC) es donde se produce el verdadero daño financiero. Olvídese del malware; estos atacantes utilizan su propio organigrama en su contra. Suplantan la identidad de su director ejecutivo, un proveedor de confianza o un socio de recursos humanos y redactan correos electrónicos persuasivos y agresivos diseñados para engañar a los empleados y lograr que transfieran cientos de miles de dólares o envíen toda la base de datos de formularios W-2 de los empleados.

En 2025, el fraude por correo electrónico empresarial generó 24.768 denuncias y más de 3.000 millones de dólares en pérdidas reportadas, lo que equivale a unos 123.000 dólares por denuncia, según el Informe sobre Delitos en Internet del FBI.

3. Toma de control de cuentas (ATO)

El robo de cuentas (ATO, por sus siglas en inglés) es especialmente peligroso porque los atacantes operan desde una cuenta corporativa legítima. Tras robar credenciales válidas "a menudo expuestas en una brecha de seguridad de terceros" pueden enviar correos electrónicos de phishing internos convincentes, interceptar facturas y robar datos haciéndose pasar por un usuario de confianza. Dado que la actividad proviene de una cuenta real, puede eludir los filtros de correo electrónico tradicionales.

4. Pérdida de datos y amenazas internas 

La pérdida de datos puede ocurrir de forma accidental o deliberada. Los empleados pueden enviar hojas de cálculo confidenciales a cuentas personales, adjuntar archivos incorrectos o reenviar datos de clientes sin cifrar, mientras que el personal descontento o que está a punto de marcharse puede robar información sensible intencionadamente. En cualquier caso, el resultado puede ser un grave daño financiero, legal y a la reputación.

5. Inundación de spam y malware

El spam sigue siendo un grave problema de seguridad, ya que su magnitud provoca fatiga por exceso de alertas y facilita que los mensajes maliciosos pasen desapercibidos, uno de cada tres correos electrónicos es spam malicioso o no deseado. Los atacantes utilizan bots de envío masivo para distribuir troyanos, adware y enlaces de phishing, con la esperanza de que alguno pase desapercibido. Cuando los equipos se ven inundados de correo basura, es más probable que pasen por alto un correo electrónico realmente peligroso.

6. Políticas de seguridad mal configuradas 

Las políticas de seguridad mal configuradas son una de las principales causas de las brechas de seguridad del correo electrónico. Los errores más comunes incluyen la falta de registros de autenticación, listas de permitidos demasiado permisivas y filtros antiphishing desactivados. Las configuraciones incorrectas suelen producirse durante las migraciones a la nube, cuando la configuración predeterminada anula las políticas reforzadas.

Los dominios que no cuentan con una política de autenticación, informes y conformidad de mensajes basada en dominio (DMARC) implementada siguen siendo vulnerables a la suplantación de identidad. Es fundamental revisar periódicamente la configuración, especialmente después de migraciones y actualizaciones del sistema, ya que la configuración predeterminada en la nube podría no ajustarse a los requisitos de seguridad de su organización.

7. Falta de conocimiento y capacitación del usuario.

Incluso el sistema de seguridad más robusto puede verse comprometido por un solo mensaje de phishing convincente. Los atacantes se aprovechan de la rutina y la urgencia para persuadir a los empleados de que introduzcan sus credenciales en páginas de inicio de sesión falsas, aprueben solicitudes fraudulentas o abran contenido malicioso. La formación continua ayuda a los usuarios a reconocer estas señales y a responder de forma segura.

Mejores prácticas para prevenir problemas de seguridad del correo electrónico

Las organizaciones pueden prevenir muchos incidentes de seguridad del correo electrónico con una defensa por capas que combine autenticación de correo electrónico, autenticación multifactor (MFA), detección basada en IA, capacitación en concientización para empleados, copias de seguridad confiables y respuesta automatizada a incidentes. Las siguientes prácticas constituyen la base de este enfoque:

• Adopte una defensa en profundidad: ningún control de seguridad por sí solo puede detener todas las amenazas. Utilice una puerta de enlace de correo electrónico segura para filtrar ataques de alto volumen, inteligencia artificial a nivel de bandeja de entrada para detectar phishing sofisticado y capacitación continua para ayudar a los empleados a reconocer las deficiencias de estas medidas de seguridad de correo electrónico. Cuando una capa falla, las demás brindan respaldo.
• Implementa la autenticación de correo electrónico (SPF, DKIM y DMARC) para tu dominio: estos tres estándares trabajan juntos para verificar remitentes legítimos y detener mensajes falsificados. SPF identifica qué servidores pueden enviar correo para tu dominio, DKIM agrega una firma digital y DMARC indica a los sistemas receptores qué hacer cuando un mensaje no supera estas verificaciones. Comienza en modo de monitoreo y luego implementa la política ap=reject para que los mensajes fraudulentos se bloqueen en lugar de simplemente reportarse.
• Implemente la autenticación multifactor (MFA): La MFA es la forma más sencilla de evitar el robo de cuentas. Deje de usar códigos SMS, que pueden ser vulnerables al intercambio de tarjetas SIM, y priorice las aplicaciones de autenticación o las claves de hardware para los administradores.
• Realice capacitaciones de concientización continuas: una simple casilla de verificación de cumplimiento no crea hábitos. Simule ataques de phishing reales, pruebe la respuesta de los usuarios y capacite a los empleados de alto riesgo con breves recordatorios contextuales. Integre avisos en tiempo real antes de que los usuarios hagan clic.
• Realice copias de seguridad y segmente los datos críticos: Prepárese para la posibilidad de una brecha de seguridad. Siga la regla de copia de seguridad 3-2-1: mantenga tres copias de sus datos en dos tipos de soportes, con una copia almacenada fuera de las instalaciones y protegida contra modificaciones. Pruebe las restauraciones al menos trimestralmente y segmente su red para evitar que un atacante acceda a todos los datos y los cifre simultáneamente.
• Automatice la respuesta ante incidentes: cuanto más rápido solucione una amenaza a la seguridad del correo electrónico, menor será el impacto. La automatización permite poner en cuarentena los mensajes maliciosos en toda la empresa y revocar los tokens de sesión al instante, reduciendo el tiempo medio de respuesta (MTTR) de horas a segundos.
• Revise y aplique parches periódicamente: los atacantes explotan los sistemas sin parchear. Establezca ciclos mensuales de aplicación de parches y confirme su implementación en servidores de correo y clientes.
• Supervise las amenazas emergentes: Manténgase conectado con la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA), los Centros de Intercambio y Análisis de Información (ISAC) y los servicios de información sobre amenazas de los proveedores para rastrear las nuevas amenazas comunes a la seguridad del correo electrónico. La información temprana le permite anticiparse a las campañas dirigidas a ejecutivos o sectores específicos.

Proteja su negocio con una única solución de seguridad de correo electrónico basada

Gestionar estos controles mediante herramientas independientes puede generar lagunas en las políticas, ralentizar las investigaciones y aumentar la carga administrativa.

Entre sus principales capacidades se incluyen: 

• Protección contra spam, malware y amenazas avanzadas: Detiene el spam, el malware y las amenazas avanzadas mediante heurística por capas y el uso de entornos aislados antes de que lleguen a su bandeja de entrada.
• Protección contra el robo de cuentas: Supervisa patrones de inicio de sesión inusuales, viajes imposibles o actividad IP sospechosa, y aísla automáticamente las cuentas comprometidas para evitar movimientos laterales.
• Respuesta ante incidentes: Optimiza los flujos de trabajo desde la detección hasta la remediación mediante la cuarentena de correos electrónicos maliciosos, el bloqueo de remitentes y la posibilidad de revertir rápidamente los cambios no autorizados.

• Capacitación en concientización sobre seguridad: Desarrolla la resiliencia de los empleados a través de simulaciones y educación continuas y adaptativas.

¿Cuál es la amenaza?

ConnectWise Cloud Backup utiliza una identidad de aplicación de Microsoft 365 para acceder a los datos de los clientes y realizar copias de seguridad. Según investigadores de seguridad y ConnectWise, los atacantes comprometieron las credenciales vinculadas a esta aplicación y las utilizaron para obtener tokens de autenticación en los entornos de Microsoft 365 de clientes y socios.

Los permisos actuales de la aplicación podrían permitir a los atacantes acceder a los datos del buzón, archivos, contenido de Teams e información del directorio. Dado que el acceso está vinculado a la aplicación y no a una cuenta de usuario, cambiar la contraseña por sí solo podría no eliminar el riesgo.

¿Por qué es digno de mención?

Este incidente es relevante porque involucra una aplicación de terceros de confianza con acceso previo a entornos de Microsoft 365. Los atacantes podrían usar esos permisos para obtener tokens de Microsoft Graph y acceder a datos en los inquilinos afectados.

El monitoreo de seguridad ha detectado inicios de sesión no autorizados vinculados a credenciales comprometidas en múltiples entornos de clientes y socios. Este incidente pone de manifiesto los riesgos asociados con identidades de aplicaciones comprometidas e integraciones en la nube de confianza.

¿Cuál es la exposición o riesgo?

Las organizaciones que utilizan ConnectWise Cloud Backup podrían sufrir accesos no autorizados a los datos de Microsoft 365, dependiendo de los permisos otorgados a la aplicación. Los datos expuestos podrían incluir mensajes de correo electrónico, archivos adjuntos, archivos de OneDrive y SharePoint, datos de Teams e información de directorio.

Dado que la vulnerabilidad implica el acceso a través de la aplicación, los atacantes podrían mantener el acceso incluso después de que los administradores cambien las contraseñas de los usuarios. En el peor de los casos, las organizaciones podrían sufrir la filtración de datos, la exposición de comunicaciones confidenciales y otras actividades maliciosas a través de los permisos delegados de la aplicación.

¿Cuáles son las recomendaciones?

1. Deshabilitar el acceso a la aplicación ConnectWise Cloud Backup

En el Centro de administración de Microsoft Entra, localice la aplicación SkyKick / ConnectWise Cloud Backup (ID de aplicación: 506e08f9-6e9a-4da4-942b-a099a03644ae) y deshabilite el acceso de inicio de sesión de usuario. No elimine la aplicación.

2. Revisar la actividad de inicio de sesión del principal de servicio

Revisar los registros de inicio de sesión del principal de servicio para el ID de aplicación afectado e investigar la actividad originada desde las siguientes direcciones IP: "144.172.64.128, 144.172.64[.]99, 144.172.64[.]60", o asociada con agentes de usuario de Python como "Python-urllib/3.12 y python-requests/2.31".

3. Investigue la actividad basada en aplicaciones.

Revise la actividad de las aplicaciones y los servicios de Microsoft 365 en busca de indicios de acceso no autorizado. No se fíe únicamente de los registros de inicio de sesión interactivos de los usuarios.

4. Revocar el acceso no autorizado

Si se detecta actividad sospechosa, revoque las sesiones y tokens activos y elimine los permisos o consentimientos no autorizados asociados con la aplicación afectada.

5. Implemente el bloqueo de red cuando sea apropiado.

Considere bloquear las direcciones IP "144.172.64.128, 144.172.64[.]99 y 144.172.64[.]60" como medida de seguridad adicional. Sin embargo, el bloqueo de red por sí solo podría no impedir la autenticación entre nubes.

Justo ahí se encuentra el problema

Los ciberdelincuentes están aprovechando la familiaridad de los CAPTCHA para construir campañas de phishing más convincentes. En lugar de limitarse a presentar una página falsa para robar contraseñas, ahora pueden utilizar estas supuestas verificaciones como parte de una cadena de ataque diseñada para engañar al usuario, ocultar contenido malicioso y facilitar la instalación de malware.

El peligro no está en el CAPTCHA legítimo, sino en lo que puede esconder una página diseñada para imitarlo.

De acuerdo con un análisis de Barracuda, el abuso de CAPTCHA apareció en el 43 % de los ataques con kits de phishing examinados durante 2025. Este dato refleja cómo una herramienta asociada con la seguridad puede convertirse en un recurso para aumentar la credibilidad de los engaños digitales.

Y hay algo todavía más preocupante: algunas campañas ya no esperan que la víctima introduzca su contraseña. Buscan que ella misma realice las acciones necesarias para poner en marcha la infección.

De una verificación aparentemente inofensiva a una trampa digital

El funcionamiento de un ataque puede comenzar con un correo electrónico que parece formar parte de la rutina laboral. El mensaje solicita revisar una factura, consultar un contrato, abrir un documento compartido o acceder a un archivo supuestamente protegido.

El usuario hace clic en el enlace y llega a una página que presenta una verificación CAPTCHA. Todo parece normal: una casilla, una instrucción breve y la promesa de continuar hacia el documento solicitado.

Sin embargo, esa pantalla puede formar parte de una infraestructura de phishing.

Después de completar la supuesta verificación, la víctima podría ser redirigida a una página de inicio de sesión falsa, diseñada para capturar sus credenciales. En otros casos, el proceso puede conducir a descargas maliciosas o solicitudes para habilitar notificaciones del navegador que después se utilizan para distribuir contenido engañoso.

La trampa funciona porque el atacante no necesita que el usuario confíe ciegamente en un correo sospechoso. Le basta con construir una secuencia de pasos que parezcan razonables y familiares.

Además, algunos CAPTCHA falsos se utilizan para dificultar el análisis automatizado. Los sistemas de seguridad pueden encontrar obstáculos para avanzar por la página, mientras que una persona que completa la prueba sí consigue llegar al siguiente paso del ataque.

Así, una verificación aparentemente sencilla puede servir para filtrar visitantes, ocultar el contenido malicioso y aumentar las probabilidades de que el engaño tenga éxito.

ClickFix: cuando la víctima termina ejecutando el ataque

Entre las variantes más preocupantes se encuentra la combinación de CAPTCHA falsos con una técnica conocida como ClickFix.

En este tipo de ataque, la página no se limita a solicitar que el usuario marque una casilla. En su lugar, le presenta un supuesto problema técnico y le ofrece instrucciones para solucionarlo.

Por ejemplo, podría mostrar un mensaje que simula un error al abrir un documento, un fallo del navegador o un problema con una actualización. A continuación, indica que es necesario seguir determinados pasos para completar la verificación o recuperar el acceso.

El engaño puede incluir instrucciones para abrir una herramienta del sistema, pegar contenido del portapapeles y ejecutarlo. En algunas variantes, una interacción con la página copia un comando malicioso sin que el usuario lo advierta.

Si la víctima sigue las instrucciones, puede terminar ejecutando el código que inicia la infección del dispositivo.

El cambio es importante: el atacante ya no intenta únicamente convencerte de que reveles información; intenta convencerte de que hagas el trabajo por él.

Esta técnica aprovecha la confianza en las instrucciones que aparecen en pantalla y la tendencia a resolver rápidamente los problemas que interrumpen una tarea laboral.

Por eso, la concientización en ciberseguridad debe ir más allá de enseñar a reconocer correos sospechosos. También es necesario explicar por qué nunca se deben ejecutar comandos, pegar instrucciones desconocidas en herramientas del sistema o instalar programas únicamente porque una página web lo solicita.

Los ataques son cada vez más convincentes y personalizados

Los CAPTCHA falsos forman parte de una evolución más amplia del phishing: campañas que combinan diferentes técnicas para que cada etapa parezca legítima.

Las herramientas de inteligencia artificial y las plataformas de desarrollo accesibles facilitan la creación de páginas visualmente convincentes, formularios de inicio de sesión y recorridos de navegación adaptados a distintos usuarios.

En algunos escenarios, los atacantes encadenan referencias a varias marcas conocidas. La víctima puede recibir un mensaje sobre un documento compartido, completar una supuesta verificación, visualizar una pantalla que imita un servicio de documentos y terminar frente a una página falsa de inicio de sesión corporativo.

Cada paso refuerza la credibilidad del siguiente.

El usuario puede interpretar toda la secuencia como un procedimiento habitual de trabajo, especialmente cuando los mensajes utilizan nombres, diseños o referencias relacionados con su organización.

También existen páginas que modifican su comportamiento según el dispositivo, la ubicación, la actividad del visitante o el momento en que se accede. Algunas permanecen disponibles durante poco tiempo, lo que dificulta que los equipos de seguridad puedan examinarlas después.

Esto significa que reconocer una amenaza únicamente por su apariencia resulta cada vez menos fiable. Una página puede parecer profesional y utilizar elementos visuales familiares sin ser segura.

Las señales que no debes ignorar

Aunque estos ataques se perfeccionan, hay comportamientos que deberían despertar sospechas.

Un CAPTCHA legítimo no debería exigirte ejecutar comandos en tu computadora. Tampoco debería pedirte instalar software inesperado, habilitar notificaciones del navegador como condición sospechosa para continuar o introducir contraseñas y códigos de autenticación dentro de la propia verificación.

Presta atención a estas señales:

• Solicitudes inesperadas: un correo te pide abrir urgentemente una factura, contrato o documento que no esperabas recibir.
• Direcciones web sospechosas: el dominio contiene errores ortográficos, subdominios extraños o no guarda relación clara con el servicio que supuestamente estás utilizando.
• Instrucciones fuera de lo normal: una página te pide abrir herramientas del sistema, pegar contenido del portapapeles o ejecutar comandos.
• Descargas inesperadas: la supuesta verificación inicia la descarga de archivos o solicita instalar programas sin una razón clara.
• Presión para actuar de inmediato: aparecen advertencias sobre la suspensión de una cuenta, la pérdida de información o un supuesto fallo que debes resolver cuanto antes.
• Solicitudes de información sensible: la página exige credenciales o códigos de un solo uso como parte de una verificación que debería ser sencilla.

Un punto importante: el hecho de que una página utilice HTTPS o muestre un candado en el navegador no garantiza que sea legítima. El cifrado protege la conexión, pero no demuestra que el sitio pertenezca a la empresa que afirma representar.

Ante cualquier duda, evita continuar desde el enlace recibido y verifica la solicitud mediante un canal independiente y confiable.

¿Cómo pueden protegerse las empresas frente a esta amenaza?

Combatir el phishing basado en CAPTCHA requiere una estrategia que combine tecnología, procedimientos y capacitación. Confiar únicamente en que los empleados identifiquen cada engaño no es suficiente, especialmente cuando las campañas están diseñadas para imitar procesos cotidianos.

Estas son algunas medidas que pueden ayudar a reducir el riesgo:

1.  Reforzar la seguridad del correo electrónico. Las soluciones de protección deben analizar mensajes, enlaces, archivos adjuntos y redirecciones sospechosas para identificar amenazas antes de que lleguen al usuario o provoquen un incidente.
2. Proteger los dispositivos y detectar comportamientos maliciosos. La seguridad de endpoints ayuda a identificar actividades sospechosas, intentos de ejecución de malware y otros indicadores de compromiso. Esto resulta especialmente importante cuando un usuario interactúa con una página maliciosa.
3. Capacitar a los colaboradores con ejemplos reales. Los usuarios deben aprender a reconocer no solo los correos fraudulentos, sino también las instrucciones sospechosas que pueden aparecer después de abrir un enlace.
4. Fortalecer la protección de las identidades. La autenticación multifactor sigue siendo una medida esencial para reducir el impacto del robo de contraseñas. Sin embargo, debe complementarse con controles de acceso, supervisión de sesiones y mecanismos para detectar actividades anómalas.
5. Mantener una estrategia de defensa por capas. La combinación de protección del correo, análisis de URL, inteligencia de amenazas, seguridad de endpoints y supervisión de actividad permite abordar diferentes etapas de un ataque, en lugar de depender de una única barrera.
6. Definir un procedimiento de respuesta. Si un usuario sospecha que ha seguido instrucciones maliciosas, debe informar inmediatamente al equipo de TI o de seguridad. La organización podrá evaluar si es necesario aislar el dispositivo, investigar la actividad, revocar sesiones o credenciales comprometidas y determinar el alcance del incidente.

La velocidad de respuesta importa. Cuanto antes se identifique un comportamiento sospechoso, mayores serán las posibilidades de contener el problema antes de que afecte a otros sistemas o usuarios.

La seguridad comienza antes de hacer clic en “Verificar”

Los CAPTCHA falsos demuestran que las amenazas digitales no siempre llegan con archivos adjuntos sospechosos o mensajes evidentemente fraudulentos. En ocasiones, se presentan como una parte normal de la experiencia de navegación.

El verdadero riesgo aparece cuando esa familiaridad se utiliza para manipular al usuario, robar sus credenciales o inducirlo a ejecutar acciones que comprometen su propio dispositivo.

Para las empresas, el desafío consiste en anticiparse a estas técnicas y proteger cada etapa del proceso: desde la recepción de un correo hasta la navegación, el acceso a las aplicaciones y la actividad que ocurre en los dispositivos.

Porque una estrategia de seguridad efectiva no debe depender únicamente de que un usuario sepa distinguir una página falsa de una verdadera. También necesita herramientas capaces de detectar amenazas, reducir las oportunidades de ataque y facilitar una respuesta oportuna.

La próxima vez que una página te pida demostrar que no eres un robot, recuerda algo: superar una verificación no significa que el sitio sea seguro.

Tu contraseña ya no es el único objetivo: así secuestran los ciberdelincuentes tu identidad digital

Durante mucho tiempo, proteger una cuenta parecía relativamente sencillo: utilizar una contraseña segura, activar la autenticación multifactor (MFA) y evitar compartir información confidencial. Sin embargo, las técnicas de los ciberdelincuentes han evolucionado y hoy existe un problema que va mucho más allá de descubrir una contraseña.

Ahora, los atacantes buscan apropiarse de algo mucho más valioso: la identidad digital completa de una persona.

Para conseguirlo, recurren a programas maliciosos capaces de extraer credenciales almacenadas en el navegador, cookies de sesión, tokens de autenticación y otros datos que permiten acceder a servicios empresariales, plataformas en la nube y cuentas personales.

El riesgo es considerable. Si un atacante consigue reutilizar una sesión autenticada, podría acceder a determinados servicios haciéndose pasar por un usuario legítimo, incluso cuando esa cuenta cuenta con mecanismos adicionales de seguridad.

Y lo más preocupante es que este modelo de ciberdelincuencia no depende de una sola herramienta. El resurgimiento de Lumma Stealer y la aparición de nuevas amenazas como Acreed demuestran que el robo de identidades digitales se ha convertido en un negocio que continúa evolucionando.

Lumma Stealer: una amenaza que demuestra que los ciberdelincuentes saben regresar

En 2025, las autoridades y sus socios tecnológicos interrumpieron parte de la infraestructura utilizada por Lumma Stealer, uno de los programas de robo de información más conocidos del ecosistema criminal. Sin embargo, las interrupciones no significaron necesariamente el final de la amenaza.

Los informes posteriores señalaron la reconstrucción de sus operaciones y la aparición de nuevas campañas de distribución.

Lumma Stealer pertenece a la categoría de los infostealers: programas maliciosos diseñados para recopilar información valiosa de los dispositivos comprometidos. Entre sus objetivos se encuentran las contraseñas guardadas en navegadores, las cookies de sesión, los tokens de autenticación y otros datos que pueden facilitar el acceso a cuentas digitales.

Para llegar a sus víctimas, los atacantes recurren a diferentes técnicas de ingeniería social. Algunas campañas utilizan páginas CAPTCHA falsas que invitan al usuario a seguir instrucciones aparentemente legítimas. Otras recurren a descargas maliciosas o engaños que inducen a las personas a ejecutar comandos en sus propios equipos, una modalidad de ataque conocida como ClickFix.

El engaño funciona porque aprovecha una reacción habitual: cuando una página parece legítima y solicita completar una verificación o corregir un supuesto problema, el usuario puede bajar la guardia.

Una vez que el dispositivo queda comprometido, la información recopilada puede utilizarse para intentar acceder a otros servicios, venderse en mercados clandestinos o facilitar ataques posteriores.

La lección es clara: una amenaza puede cambiar de infraestructura y de estrategia sin perder su objetivo principal. Por eso, las organizaciones necesitan detectar tanto las infecciones como las actividades sospechosas que pueden producirse después.

El verdadero botín: sesiones activas y credenciales empresariales

Imagina que un colaborador inicia sesión en el correo corporativo, accede a sus aplicaciones de trabajo y consulta documentos almacenados en la nube. Durante ese proceso, el navegador y los servicios utilizados gestionan información que permite mantener la sesión autenticada.

Si un atacante consigue robar y reutilizar determinados elementos de esa sesión, podría intentar acceder a los servicios correspondientes sin repetir todo el proceso de autenticación.

Aquí aparece uno de los riesgos más importantes del robo moderno de información: el atacante no siempre necesita conocer la contraseña si logra apropiarse de una sesión válida.

Las cookies de sesión y los tokens de autenticación cumplen funciones legítimas: permiten que los servicios reconozcan a un usuario y mantengan su acceso. El problema surge cuando estos elementos caen en manos equivocadas y pueden reutilizarse fuera del contexto previsto.

En determinadas circunstancias, esto puede reducir la eficacia de la autenticación multifactor. Aunque la MFA sigue siendo una medida de seguridad fundamental, no impide por sí sola todos los escenarios de secuestro de sesión.

El impacto puede extenderse rápidamente dentro de una organización. Una cuenta comprometida podría convertirse en el punto de partida para consultar información confidencial, acceder a aplicaciones empresariales, enviar correos fraudulentos o intentar alcanzar otros recursos corporativos.

Por eso, proteger una identidad digital exige mirar más allá de la contraseña: también es necesario vigilar las sesiones, los dispositivos desde los que se accede y los comportamientos que se producen después de iniciar sesión.

Un mercado clandestino que convierte las identidades en mercancía

El robo de información no termina cuando el malware extrae los datos de un dispositivo. En muchos casos, ese es apenas el comienzo de una cadena de actividades criminales.

Los registros robados pueden reunir contraseñas, información de autocompletado, perfiles de navegación, cookies y otros elementos relacionados con las cuentas de una víctima. Después, estos datos pueden comercializarse, intercambiarse o utilizarse para preparar nuevos ataques.

La existencia de grandes conjuntos de credenciales y datos de navegación robados demuestra la escala que puede alcanzar este ecosistema. Para los delincuentes, disponer de información previamente recopilada puede reducir el esfuerzo necesario para preparar campañas de fraude o intentar tomar el control de cuentas.

En el entorno empresarial, las consecuencias pueden ser especialmente graves. Una cuenta corporativa comprometida puede utilizarse para suplantar a un empleado, engañar a proveedores, distribuir mensajes de phishing o intentar acceder a información protegida.

El riesgo aumenta cuando una misma identidad permite entrar en diferentes aplicaciones conectadas, especialmente si existen permisos excesivos o controles insuficientes sobre los accesos.

En otras palabras, el valor de los datos robados no se limita a lo que contienen, sino también a las puertas que pueden abrir.

Acreed: otra señal de la evolución del robo de información

Lumma Stealer no es el único ejemplo de esta tendencia. Acreed es otra familia de malware diseñada para recopilar información sensible, con especial atención a las credenciales almacenadas en navegadores y otros datos que pueden aprovecharse para comprometer identidades digitales.

Entre la información que puede buscar se encuentran contraseñas, datos de autocompletado, cookies de autenticación y datos relacionados con monederos de criptomonedas.

Su aparición refleja una dinámica habitual del cibercrimen: mientras algunas amenazas pierden presencia o se enfrentan a interrupciones, otras herramientas aparecen para atender la demanda de quienes buscan robar y comercializar información.

Esto dificulta el panorama de seguridad para las organizaciones. No basta con identificar una familia de malware y asumir que el problema desaparecerá cuando deje de ser noticia. Las herramientas cambian, los métodos de distribución se adaptan y los datos obtenidos mediante una infección pueden seguir teniendo valor mucho después del compromiso inicial.

Por ello, la defensa debe centrarse en capacidades que permitan detectar comportamientos maliciosos, contener dispositivos afectados e identificar posibles accesos indebidos, incluso cuando la amenaza utiliza herramientas nuevas o poco conocidas.

¿Cómo pueden protegerse las empresas frente al secuestro de identidades digitales?

La evolución de estas amenazas exige adoptar una estrategia de seguridad que considere la identidad como una parte esencial de la superficie de ataque.

Estas son algunas medidas prioritarias:

1. Reforzar la seguridad de los dispositivos. Mantener los sistemas actualizados, utilizar herramientas de protección de endpoints y vigilar los comportamientos sospechosos ayuda a reducir el riesgo de que un infostealer se ejecute y recopile información.

2. Proteger las sesiones y los accesos. Aplicar políticas de acceso condicional, evaluar el contexto de los inicios de sesión y utilizar mecanismos de revocación de sesiones y tokens cuando exista una sospecha de compromiso puede ayudar a limitar el acceso no autorizado.

3. Mantener la autenticación multifactor. La MFA sigue siendo indispensable. Siempre que sea viable, conviene priorizar métodos resistentes al phishing y complementar su uso con controles que permitan identificar sesiones o accesos anómalos.

4. Supervisar la actividad de las cuentas. Los accesos desde ubicaciones o dispositivos inusuales, los cambios inesperados de comportamiento y las acciones anómalas sobre aplicaciones empresariales pueden revelar un compromiso que no sería evidente al revisar únicamente las contraseñas.

5. Prepararse para responder con rapidez. Cuando se detecta un posible robo de información, es importante aislar el dispositivo afectado, investigar el alcance del incidente, revocar las sesiones comprometidas, cambiar las credenciales cuando corresponda y revisar las cuentas y los servicios potencialmente expuestos.

6. Capacitar a los usuarios contra nuevas técnicas de engaño. Las páginas CAPTCHA falsas, las descargas sospechosas y las instrucciones que solicitan ejecutar comandos deben formar parte de los escenarios de concientización en ciberseguridad.

Ninguna medida aislada elimina todos los riesgos. La protección más sólida surge de combinar prevención, visibilidad, controles de identidad y capacidad de respuesta.

La seguridad ya no termina en el dispositivo: también debe proteger la identidad

El resurgimiento de Lumma Stealer y la aparición de herramientas como Acreed reflejan una transformación importante: los ciberdelincuentes no necesitan limitarse a robar archivos o instalar ransomware. También pueden buscar los elementos que permiten a una persona acceder a sus cuentas y servicios digitales.

Esto cambia la forma de entender la protección empresarial. Los dispositivos siguen siendo fundamentales, pero las organizaciones también deben prestar atención a las credenciales, las sesiones activas, los tokens y el comportamiento de los usuarios dentro de sus aplicaciones.

En este escenario, contar con capacidades de protección de endpoints, detección de amenazas y respuesta ante incidentes puede ayudar a identificar compromisos y reducir su impacto. Soluciones como los servicios de seguridad gestionada y XDR permiten integrar señales de diferentes fuentes para investigar actividades sospechosas.

Qilin: cuando el ransomware se convierte en un negocio organizado

Para comprender la relevancia de esta investigación, primero hay que entender qué representa Qilin.

A diferencia de un atacante que opera de manera aislada, Qilin funciona bajo el modelo de ransomware como servicio. Este esquema permite que los responsables de una plataforma criminal pongan herramientas e infraestructura a disposición de afiliados que ejecutan ataques contra diferentes organizaciones. Las ganancias se distribuyen de acuerdo con los acuerdos establecidos dentro de la operación.

En la práctica, se trata de un ecosistema criminal que busca crecer, atraer colaboradores y multiplicar sus oportunidades de extorsión.

Durante 2025, Qilin consolidó su presencia entre las principales operaciones de ransomware. Su actividad se extendió a organizaciones de distintos sectores y países, mientras que su infraestructura evolucionó para ofrecer más capacidades a sus afiliados.

La operación también habría ampliado sus servicios con herramientas para gestionar negociaciones, facilitar la comunicación con las víctimas y presionar a las organizaciones mediante la amenaza de publicar información robada.

Este último elemento es especialmente importante. El ransomware moderno no consiste únicamente en bloquear archivos. En muchos casos, los atacantes también extraen información confidencial y amenazan con divulgarla si la víctima se niega a pagar.

Así, una misma intrusión puede convertirse en dos mecanismos de presión: interrumpir las operaciones y poner en riesgo la privacidad de los datos.

Pero esta expansión también tiene un costo que los operadores criminales no pueden eliminar fácilmente: cada ataque genera actividad, conexiones y posibles evidencias que, analizadas en conjunto, pueden ayudar a reconstruir lo sucedido.

Un ataque que abrió la puerta a una investigación de 21 meses

En septiembre de 2024, una empresa de logística alemana sufrió un ataque atribuido a la operación Qilin. La información difundida sobre el caso señala que la organización habría pagado una suma cercana a los 100 millones de dólares para recuperarse del incidente y mantener la confidencialidad de sus datos.

La cifra resulta impactante, pero el aspecto más importante de la historia no es únicamente el monto de la extorsión. Es lo que ocurrió después.

Durante la investigación del ataque, las autoridades alemanas encontraron evidencias que describieron como una pequeña pieza de un rompecabezas mucho mayor. A partir de ese punto, la pesquisa se habría extendido más allá del incidente inicial.

La investigación, conocida como Operación ALBUS, buscaba identificar y rastrear a personas vinculadas con el ecosistema de Qilin. Para ello, las autoridades habrían combinado información técnica, análisis financieros y cooperación internacional.

Los detalles completos de la investigación no se han hecho públicos. Por ello, no es posible reconstruir con certeza cada paso ni determinar qué evidencia específica permitió identificar al sospechoso.

No obstante, los informes disponibles apuntan a una conclusión relevante: el trabajo de investigación no se limitó a analizar el ataque contra la empresa alemana. También buscó establecer posibles vínculos entre la actividad criminal, la infraestructura utilizada y las personas que supuestamente participaban en la operación.

El objetivo era pasar de las huellas dejadas por un ataque a la identificación de quienes podrían estar detrás de él.

De un alias digital a un sospechoso bajo custodia

Según los reportes publicados, los investigadores identificaron a un presunto integrante conocido por el alias «Snake», posteriormente identificado como Vladimir K., un ciudadano ruso de 28 años.

Las autoridades alemanas lo vinculan presuntamente con tareas de desarrollo dentro de Qilin y con la obtención de beneficios derivados de las actividades de extorsión. Estos señalamientos forman parte de las acusaciones contra el sospechoso y no deben interpretarse como una declaración de culpabilidad.

La investigación habría permitido seguir sus movimientos hasta conocer un próximo viaje a Japón. La información fue compartida con las autoridades japonesas, que lo detuvieron en un hotel de Osaka el 26 de mayo de 2026.

La detención marcó un momento decisivo: una investigación iniciada a partir de un ataque informático había logrado trasladar sus resultados al terreno físico, donde la cooperación entre países hizo posible localizar al sospechoso.

El caso todavía debía superar otro obstáculo. Una detención internacional no significa que la entrega del sospechoso al país investigador sea automática.

El desafío de llevar el caso de Japón a Alemania

Japón y Alemania no cuentan con un tratado bilateral de extradición. Por ello, las autoridades alemanas tuvieron que recurrir al procedimiento legal aplicable en Japón para solicitar la entrega del detenido.

Entre los aspectos relevantes de este tipo de procedimientos se encuentra el principio de doble incriminación: en términos generales, la conducta por la que se solicita la extradición debe constituir un delito conforme a los marcos legales aplicables de ambos países.

En este caso, las acusaciones descritas incluyen presuntas intrusiones informáticas, cifrado de datos y extorsión relacionada con ransomware.

Tras el procedimiento correspondiente, Vladimir K. fue extraditado a Alemania el 2 de octubre de 2026, de acuerdo con la información publicada sobre el caso.

El resultado representa un avance para la investigación, aunque no implica por sí mismo el desmantelamiento de Qilin. Una operación de ransomware como servicio puede involucrar múltiples afiliados, desarrolladores y operadores distribuidos en diferentes jurisdicciones.

La detención de una persona es una pieza importante, pero no necesariamente el final de la investigación.

La lección que deja el caso Qilin: los ataques no terminan cuando se recuperan los sistemas

La historia de Qilin permite observar dos dimensiones de un incidente de ransomware que a menudo se analizan por separado.

La primera es el impacto inmediato: interrupción de operaciones, pérdida de acceso a información, costos de recuperación y presión económica sobre la organización afectada.

La segunda aparece después del ataque: la investigación técnica, la preservación de evidencias, el análisis de las actividades sospechosas y la posibilidad de que la información recopilada ayude a identificar a los responsables.

Ambas dimensiones están conectadas.

Por eso, la respuesta ante el ransomware no debería centrarse exclusivamente en recuperar los sistemas una vez que ocurre el incidente. También es importante contar con mecanismos que permitan detectar comportamientos sospechosos, relacionar eventos de seguridad y conservar información útil para investigar lo sucedido.

Entre las medidas que pueden contribuir a reducir el impacto de estos ataques se encuentran:

• Detectar antes de que el daño escale. Identificar comportamientos anómalos en los equipos y las cuentas puede ayudar a intervenir antes de que una intrusión se convierta en un incidente de mayor alcance.
• Correlacionar eventos de seguridad. Una alerta aislada puede parecer poco relevante; varias señales relacionadas pueden revelar una actividad maliciosa que requiere atención inmediata.
• Contener la amenaza con rapidez. Aislar los equipos afectados y limitar los accesos comprometidos puede ayudar a frenar la propagación mientras se investiga el incidente.
• Preservar evidencias. Los registros, las alertas y los datos técnicos pueden ser esenciales para comprender cómo comenzó un ataque, qué sistemas afectó y qué acciones se llevaron a cabo.
• Preparar la respuesta antes de una crisis. Disponer de procedimientos definidos, respaldos protegidos y personal capaz de coordinar la investigación reduce la improvisación cuando cada minuto importa.

Ninguna de estas medidas garantiza que una organización nunca será atacada. Sin embargo, pueden mejorar su capacidad para detectar, contener y comprender una amenaza antes de que sus consecuencias sean mucho mayores.

Cuando cada rastro cuenta 

Qilin construyó una operación criminal capaz de aprovechar herramientas especializadas, colaboradores distribuidos y mecanismos de extorsión para ampliar su alcance. Sin embargo, el caso investigado por las autoridades alemanas y japonesas demuestra que la complejidad de estas organizaciones no las vuelve necesariamente imposibles de rastrear.

Un ataque puede parecer rentable para sus responsables en el momento en que reciben un pago. Pero las consecuencias de esa intrusión pueden prolongarse mucho más allá de la recuperación de la víctima.

La investigación de 21 meses recuerda que la ciberseguridad no consiste únicamente en impedir que una amenaza entre en una organización. También implica disponer de la visibilidad, la capacidad de análisis y los mecanismos de respuesta necesarios para actuar cuando algo falla.

Porque, en un entorno donde los atacantes buscan multiplicar sus oportunidades, la capacidad de conectar las señales a tiempo puede marcar la diferencia entre reaccionar ante un incidente y descubrirlo cuando el daño ya está hecho.

En Cobra Networks, la prevención, la detección y la respuesta forman parte de una estrategia integral para ayudar a las organizaciones a enfrentar amenazas cada vez más sofisticadas. Acércate a nuestro equipo para conocer las soluciones de ciberseguridad que pueden ayudarte a fortalecer la protección de tu empresa.