Blog

Más allá de las contraseñas: atacar tokens y sesiones

Kali365 también admite ataques de intermediario (AiTM) que permiten el secuestro de sesión y el robo de tokens. En estos ataques, un proxy malicioso se interpone entre la víctima y el servicio de autenticación de Microsoft. La víctima vuelve a iniciar sesión y realizar la autenticación multifactor (MFA) de forma legítima, mientras que el atacante captura la sesión de autenticación o los tokens resultantes y los reutiliza para acceder a la cuenta.

Ejemplo de correo electrónico de ataque para un ataque AiTM

Una vez que se obtiene acceso a la sesión autenticada de Microsoft 365, los atacantes pueden acceder al correo electrónico y a los archivos, buscar información financiera, supervisar las comunicaciones, crear reglas de buzón, configurar el reenvío de correo electrónico, llevar a cabo ataques de compromiso de correo electrónico empresarial y moverse lateralmente a través de los servicios en la nube.

Para investigadores técnicos: el código que deben buscar

Cuando la víctima hace clic en el enlace del correo electrónico de phishing, la página envía secretamente una solicitud al servidor del atacante para crear una nueva sesión de inicio de sesión en un dispositivo Microsoft.

La página de phishing muestra a la víctima el código que debe copiar e introducir.

El servidor del atacante se pone en contacto con el servicio de autenticación de código de dispositivo de Microsoft y recibe:

• código_de_usuario: el código corto que la víctima debe ingresar (por ejemplo, ABCD-EFGH)
• device_code: un identificador oculto que Microsoft utiliza internamente.
• verification_url: donde la víctima debe ir para autenticarse, normalmente la página de inicio de sesión del dispositivo real de Microsoft.

Esto parece inofensivo porque la gente está acostumbrada a introducir códigos de verificación cortos al conectar aplicaciones y dispositivos.

La página de phishing abre la página de inicio de sesión real de Microsoft (la URL de verificación).

En la práctica, suele tratarse de microsoft.com/devicelogin u otra página de autenticación de dispositivos de Microsoft legítima.

La víctima ahora ve una página de inicio de sesión real de Microsoft, no una falsa. Introduce el código de usuario (por ejemplo, ABCD-EFGH), inicia sesión y completa la autenticación multifactor (MFA), autenticando así el dispositivo del atacante.

Mientras tanto, la página de phishing continúa contactando con el servidor del atacante.

Y cada cinco segundos pregunta: "¿Ha completado la víctima el inicio de sesión en Microsoft?"

Hasta el momento en que Microsoft responda con: “estado = éxito”.

Esto significa que Microsoft ha emitido los tokens de autenticación vinculados a la solicitud del código del dispositivo. El atacante puede entonces usar esos tokens para acceder a los recursos de Microsoft 365, y la víctima es redirigida a otro sitio.

Un ejemplo de correo electrónico de phishing con código de dispositivo

Qué deben tener en cuenta las organizaciones

Dado que estos ataques se basan en flujos de trabajo de autenticación legítimos, las organizaciones necesitan visibilidad más allá de la seguridad del correo electrónico.

Las principales señales de alerta pueden incluir:

• Actividad inesperada de autenticación del código del dispositivo.
• Se solicita a los usuarios que introduzcan códigos de verificación del dispositivo.
• OAuth concede permisos a aplicaciones desconocidas.
• Patrones de inicio de sesión inusuales en Microsoft 365.
• Registros de nuevos dispositivos tras eventos de autenticación.
• Creación sospechosa de reglas de buzón.
• Actividad de reenvío de correo electrónico inesperada.
• Acceso anómalo a recursos de SharePoint, OneDrive, Teams o Exchange.

Las detecciones más fiables suelen provenir de la correlación de señales entre el correo electrónico, la web, la identidad y la actividad posterior a la autenticación, en lugar de basarse en un único indicador.

Cinco ataques, una misma estrategia

Los ejemplos analizados muestran precisamente esa evolución.

En un caso, los atacantes utilizaron una supuesta factura de PayPal por 299.99 dólares, vinculada a una tarjeta de regalo de Amazon. En otro, el correo prácticamente no contenía texto: la información necesaria para iniciar la estafa estaba incorporada en una imagen que simulaba una renovación de Geek Squad.

También se identificaron mensajes construidos exclusivamente alrededor de imágenes, correos HTML cuidadosamente diseñados para parecer notificaciones legítimas de PayPal y una invitación de Google Calendar asociada con un supuesto cargo automático de 599.99 dólares.

Los formatos cambian, pero el principio permanece.

Crear una situación suficientemente creíble para que la víctima deje de analizar el mensaje y empiece a reaccionar ante él.

Y esa es una distinción crítica. La ingeniería social no necesita que el usuario crea que está frente a un ataque. Le basta con conseguir que crea que está frente a un problema que debe resolver.

La urgencia sigue siendo una de las mejores armas del atacante

El elemento común detrás de estas campañas no es únicamente la suplantación de una marca. Es la emoción.

Un cargo inesperado genera preocupación. Una renovación no reconocida provoca incertidumbre. Una factura elevada puede producir miedo. Y cuando el mensaje añade una instrucción inmediata "llame para cancelar”, “contacte con soporte”, “evite el cargo”, el usuario tiene menos tiempo para cuestionar lo que está viendo.

Ese momento es precisamente el que busca el atacante.

La sofisticación del callback phishing no está necesariamente en desarrollar un malware imposible de detectar. Está en diseñar una situación suficientemente convincente para que la víctima complete por sí misma la siguiente etapa del ataque.

La seguridad del correo tiene que evolucionar con la amenaza

El crecimiento de estas campañas deja una lección clara para las organizaciones: proteger el correo electrónico no puede significar únicamente bloquear enlaces y archivos maliciosos.

Los atacantes están aprovechando cualquier elemento disponible dentro de una comunicación para construir confianza: imágenes, logotipos, formatos HTML, números telefónicos, invitaciones de calendario e incluso la identidad visual de servicios conocidos.

Por eso, una estrategia moderna de protección debe analizar el contexto completo del mensaje, no solamente la existencia de un enlace o un archivo.

El desafío consiste en identificar cuándo una comunicación aparentemente legítima está intentando provocar un comportamiento peligroso. Porque un número telefónico puede ser tan importante como una URL. Una imagen puede contener la parte más peligrosa del mensaje. Y una invitación de calendario puede convertirse en el primer paso de una estafa.

El phishing está cambiando. La defensa también debe hacerlo.

El callback phishing demuestra que la frontera entre el ataque digital y la manipulación humana es cada vez más pequeña. El correo electrónico puede iniciar el engaño, el teléfono puede continuar la conversación y una herramienta de acceso remoto puede terminar de comprometer al usuario.

Por eso, la pregunta ya no debería ser únicamente “¿este correo contiene un enlace malicioso?”

La pregunta correcta es:

“¿Qué intenta conseguir este correo que haga el usuario?”

Cuando la respuesta es “llamar a un número”, “confirmar un cargo”, “contactar con soporte” o realizar cualquier otra acción que parezca razonable dentro de la historia que cuenta el atacante, estamos frente a una nueva generación de phishing que exige una visión mucho más amplia de la seguridad.

Porque algunas de las amenazas más efectivas ya no intentan obligarte a hacer clic.

Intentan convencerte de que eres tú quien necesita llamar.

La ciberseguridad empieza con la prevención

En la era digital, la ciberseguridad no debe ser reactiva. Esperar a que un virus infecte la red para actuar resulta infinitamente más costoso que prevenirlo desde el origen. Un sistema de navegación segura y filtrado de contenido le permite a tu equipo trabajar con total libertad y productividad, sin importar en qué lugar del mundo se conecten.

La confianza también es una capa de seguridad

La historia de Nokian Tyres deja una conclusión importante para cualquier organización que esté revisando su estrategia de ciberseguridad: elegir tecnología no debería consistir únicamente en buscar la lista más larga de funcionalidades. La facilidad de gestión, la visibilidad, la capacidad de respuesta y la posibilidad de ampliar la protección conforme cambian las necesidades del negocio son factores igualmente importantes.

Pero existe un elemento que resulta mucho más difícil de medir y que, sin embargo, puede tener un impacto enorme: la confianza en el socio que está detrás de la tecnología.

Porque cuando ocurre un incidente, cuando una alerta aparece fuera de horario o cuando un usuario comete un error, el valor de una solución de seguridad no se encuentra solamente en lo que dice hacer sobre el papel. Se encuentra en la capacidad real de ayudar a la organización a entender lo que sucede y responder con rapidez.

El error de confundir una señal con una evidencia

Uno de los principios más importantes para aprovechar correctamente los sitios de filtraciones es entender que inteligencia y evidencia no son exactamente lo mismo. Una publicación puede ser una señal relevante que merece investigación, pero la confirmación debe construirse mediante otras fuentes.

Si una organización aparece en uno de estos portales, la respuesta adecuada no debería consistir simplemente en asumir que existe una brecha ni tampoco en ignorar la publicación por considerarla poco fiable. Lo correcto es utilizarla como punto de partida y contrastarla con la realidad observable dentro del entorno. ¿Existen accesos inusuales? ¿Hay cuentas que muestran comportamientos anómalos? ¿Se detectaron dispositivos comprometidos? ¿Aparecen indicadores relacionados con malware de robo de información? ¿Existen conexiones sospechosas o actividad que no corresponde con el comportamiento habitual?

Cuando varias señales independientes comienzan a coincidir, la hipótesis adquiere mayor peso. Una publicación externa combinada con telemetría interna, anomalías de identidad, actividad sospechosa en endpoints y otros indicadores puede transformar una afirmación del atacante en una investigación con fundamentos mucho más sólidos.

Esta es, precisamente, la diferencia entre simplemente observar amenazas y hacer inteligencia de amenazas.

Mirar más allá del número de víctimas

El atractivo de los sitios de filtraciones está, en buena medida, en su capacidad para generar impacto. Los números, los nombres conocidos y las grandes cantidades de datos robados producen titulares y ayudan a los grupos criminales a construir una imagen de poder. Sin embargo, para un responsable de seguridad, el valor real suele estar en otro lugar.

Una tendencia puede ser más importante que una cifra. Un proveedor repetidamente asociado con organizaciones comprometidas puede representar más riesgo que una lista con cientos de víctimas. Una campaña que empieza a afectar al mismo sector en diferentes regiones puede ser una señal para revisar controles específicos. Una organización de la propia cadena de suministro puede justificar una investigación inmediata.

En otras palabras, el número de víctimas genera atención; los patrones generan inteligencia.

Esta perspectiva también permite evitar uno de los problemas más habituales al consumir información sobre ciberseguridad: reaccionar al volumen en lugar de reaccionar al riesgo. No todas las publicaciones representan el mismo nivel de amenaza para todas las organizaciones. Lo importante es determinar si existe una relación entre lo que está ocurriendo fuera y la exposición real de nuestro propio entorno.

Convertir el escaparate del atacante en una ventaja defensiva

Los grupos de ransomware crearon estos sitios para generar presión, intimidar a las víctimas y obtener publicidad. Sin embargo, para los defensores pueden convertirse en una fuente adicional de información sobre el comportamiento del adversario. La clave está en cambiar la perspectiva.

No se trata de creer ciegamente todo lo que publica un grupo criminal. Tampoco de descartar sus publicaciones por principio. Se trata de observarlas, contextualizarlas y utilizarlas para formular mejores preguntas.

Un sitio de filtraciones puede indicar quién está atacando, qué sectores están siendo perseguidos y qué organizaciones parecen estar bajo presión. La tecnología de seguridad y la investigación interna deben ayudar a determinar si esa actividad tiene alguna relación con lo que ocurre dentro de nuestra propia infraestructura.

En última instancia, esa es la verdadera utilidad de estos sitios. El atacante los utiliza para decir: “Mira lo que hicimos”. El defensor debería utilizarlos para preguntarse: “¿Qué podemos aprender de esto y existe alguna señal de que algo similar esté ocurriendo en nuestro entorno?”

De la publicación a la detección

Los grupos de ransomware crearon estos sitios para generar presión, intimidar a las víctimas y obtener publicidad. Sin embargo, para los defensores pueden convertirse en una fuente adicional de información sobre el comportamiento del adversario. La clave está en cambiar la perspectiva.

No se trata de creer ciegamente todo lo que publica un grupo criminal. Tampoco de descartar sus publicaciones por principio. Se trata de observarlas, contextualizarlas y utilizarlas para formular mejores preguntas.

Un sitio de filtraciones puede indicar quién está atacando, qué sectores están siendo perseguidos y qué organizaciones parecen estar bajo presión. La tecnología de seguridad y la investigación interna deben ayudar a determinar si esa actividad tiene alguna relación con lo que ocurre dentro de nuestra propia infraestructura.

En última instancia, esa es la verdadera utilidad de estos sitios. El atacante los utiliza para decir: “Mira lo que hicimos”. El defensor debería utilizarlos para preguntarse: “¿Qué podemos aprender de esto y existe alguna señal de que algo similar esté ocurriendo en nuestro entorno?”

El descubrimiento de miles de millones de registros robados también revela otra realidad incómoda: el robo de información se ha convertido en una economía altamente especializada.

Un grupo puede desarrollar el malware. Otro puede distribuirlo. Alguien más puede recopilar y clasificar los datos obtenidos. Finalmente, esa información puede venderse o utilizarse como punto de partida para nuevos ataques.

Una identidad digital comprometida puede tener múltiples usos.

Puede facilitar el acceso inicial a una organización. Puede utilizarse para cometer fraude. Puede servir para enviar correos desde una cuenta legítima. Puede permitir movimientos posteriores dentro de un entorno corporativo o convertirse en la puerta de entrada para un ataque de ransomware.

Por eso, las credenciales comprometidas y el malware de robo de información continúan apareciendo con frecuencia en investigaciones relacionadas con accesos iniciales a organizaciones.

A veces, basta con robar la llave.

Una cuenta comprometida puede ser más peligrosa que un malware detectado

Cuando pensamos en una intrusión, normalmente imaginamos código malicioso ejecutándose en un equipo o un atacante intentando vulnerar una infraestructura.

Pero una cuenta comprometida plantea un problema diferente.

Si el atacante consigue acceder utilizando una identidad legítima, puede aprovechar la confianza que ya existe alrededor de esa cuenta. Dependiendo de sus privilegios, podría consultar información, acceder a aplicaciones, interactuar con otros usuarios o intentar ampliar su alcance dentro de la organización.

Esto explica por qué el robo de cuentas se ha convertido en una preocupación tan importante para las empresas.

Una identidad comprometida no es únicamente un problema de acceso. Puede convertirse en el punto de partida de un incidente mucho mayor.

El fraude por correo electrónico empresarial, la suplantación de identidad, el acceso no autorizado a servicios en la nube y, en determinados escenarios, los ataques de ransomware pueden comenzar con algo aparentemente sencillo: una identidad que cayó en manos equivocadas.

Entonces, ¿qué deberían hacer las empresas?

La primera conclusión es clara: la seguridad ya no puede centrarse exclusivamente en proteger contraseñas

Las organizaciones deben partir de una realidad incómoda pero necesaria: es posible que algunas credenciales ya hayan sido expuestas sin que la empresa lo sepa.

La estrategia, por tanto, debe consistir en reducir el valor que puede obtener un atacante incluso cuando consigue robar determinada información.

Esto implica fortalecer la autenticación multifactor y, cuando sea posible, adoptar mecanismos de autenticación más resistentes al phishing. También requiere aplicar el principio de mínimo privilegio, limitar el acceso innecesario a información crítica y supervisar comportamientos que puedan indicar una apropiación de cuentas.

Pero hay otro elemento que merece cada vez más atención: el propio navegador.

Durante mucho tiempo, se le ha considerado simplemente una aplicación más dentro del dispositivo. Sin embargo, hoy funciona como una especie de centro de identidad digital. Es el lugar desde el que se mantienen activas las conexiones con numerosos servicios corporativos.

Proteger el endpoint sigue siendo fundamental, pero comprender qué ocurre alrededor de las identidades, las sesiones y los accesos también es esencial.

Esto cobra todavía más relevancia ante las técnicas actuales de distribución de malware. Los programas para robar información pueden llegar mediante actualizaciones falsas, extensiones maliciosas, aplicaciones pirateadas o campañas de ingeniería social cada vez más convincentes.

Incluso la inteligencia artificial se ha convertido en un nuevo gancho para los atacantes, que aprovechan el interés por estas herramientas para crear señuelos, sitios falsos y supuestas aplicaciones capaces de engañar a usuarios desprevenidos.

Un solo equipo comprometido puede ofrecer mucho más que una contraseña.

Puede ofrecer una identidad digital completa. La seguridad debe mirar más allá de la filtración

El verdadero mensaje detrás de una base de datos con 24 mil millones de registros robados no debería ser únicamente: "cambia tu contraseña".

La pregunta más importante es otra:

¿Qué más puede obtener un atacante si compromete la identidad digital de uno de tus usuarios?

Hoy, los ciberdelincuentes no recopilan información solamente para acceder a una cuenta. Buscan identidades, sesiones y relaciones de confianza que puedan aprovechar directamente o convertir en nuevos ataques.

Por eso, la seguridad de las organizaciones necesita evolucionar desde una visión centrada únicamente en las credenciales hacia una protección más amplia del ecosistema de identidad.

La autenticación es importante. La protección contra phishing también. La seguridad del endpoint sigue siendo indispensable. Pero ninguna de estas capas, por sí sola, ofrece una respuesta completa frente a un atacante que puede utilizar información legítima para intentar pasar desapercibido.

La clave está en combinar diferentes capacidades: protección de identidad, seguridad de sesiones, defensa contra phishing, controles de acceso, protección de endpoints y monitoreo continuo.

Detectar la señal antes de que se convierta en una intrusión

Para muchas empresas, especialmente aquellas con equipos de TI y seguridad reducidos, el desafío no consiste únicamente en implementar más herramientas.

El verdadero reto es poder identificar qué está ocurriendo entre todas las señales generadas por usuarios, dispositivos, aplicaciones y servicios en la nube.

Ahí es donde los servicios de detección y respuesta gestionados pueden desempeñar un papel importante.

Una solución como Barracuda Managed XDR Endpoint Security puede ayudar a ampliar la capacidad de detección y respuesta al correlacionar eventos, identificar actividades sospechosas e investigar señales que, de manera aislada, podrían parecer poco relevantes.

El objetivo no es prometer que un incidente nunca ocurrirá.

Es detectar comportamientos anómalos con mayor rapidez y responder antes de que una credencial robada, una sesión comprometida o un dispositivo infectado se transforme en una intrusión de mayor impacto.

Porque la próxima gran filtración de credenciales probablemente volverá a generar titulares.

Pero la lección seguirá siendo la misma:

Las contraseñas ya no son el único objetivo. La identidad digital completa se ha convertido en uno de los activos más valiosos para los ciberdelincuentes.

Y hoy, una parte importante de esa identidad vive, trabaja y permanece conectada dentro del navegador.

Proteger el acceso ya no es suficiente. También debemos proteger todo lo que ocurre después de iniciar sesión

La conversación sobre inteligencia artificial en ciberseguridad suele centrarse en sus beneficios para detectar amenazas. Sin embargo, la misma tecnología también puede reducir la barrera de entrada para quienes buscan atacar.

Crear scripts, modificar herramientas existentes, automatizar procesos y generar contenido capaz de aparentar legitimidad es cada vez más accesible.

En el caso de los entornos industriales, esto es especialmente delicado.

Un atacante no necesita necesariamente desarrollar desde cero una herramienta extremadamente sofisticada. Si encuentra un dispositivo expuesto, una versión vulnerable o una configuración deficiente, la combinación de automatización e inteligencia artificial puede ayudarle a acelerar la identificación y explotación de posibles puntos débiles.

Esto plantea una realidad incómoda: mientras las amenazas evolucionan rápidamente, muchas infraestructuras críticas siguen funcionando sobre equipos y sistemas que no siempre pueden actualizarse con la misma velocidad.

Es fácil decir que todas las organizaciones deberían modernizar su infraestructura, actualizar sus sistemas y adoptar las mejores prácticas de ciberseguridad.

La realidad, especialmente para pequeñas empresas de servicios públicos y administraciones locales, es mucho más complicada.

Existen miles de sistemas de agua gestionados por ciudades, municipios o comunidades con presupuestos limitados. En muchos casos, reemplazar infraestructura antigua requiere inversiones que simplemente no están disponibles.

El resultado es una situación peligrosa: equipos diseñados hace años continúan siendo indispensables para la operación diaria, pero ahora forman parte de un ecosistema mucho más conectado y expuesto.

Aquí surge una de las preguntas más importantes de toda la discusión:

¿Quién debe pagar la seguridad de una infraestructura que, si falla, puede afectar mucho más allá de la comunidad que la administra?

Una vulnerabilidad local puede convertirse en un problema de todos

Un sistema de agua puede pertenecer a una ciudad. Una instalación eléctrica puede ser administrada por una entidad específica. Una planta industrial puede encontrarse en una comunidad determinada.

Pero las consecuencias de un ataque exitoso rara vez permanecen completamente aisladas.

Una interrupción grave puede provocar desplazamientos de población, afectar hospitales, interrumpir cadenas de suministro y requerir la intervención de organismos estatales o federales.

Por eso, la seguridad de la infraestructura crítica no debería entenderse únicamente como un gasto local.

Es una cuestión de resiliencia colectiva.

Las recientes propuestas legislativas en Estados Unidos para otorgar mayores facultades de supervisión y establecer nuevos requisitos de ciberseguridad para los sistemas de agua reflejan precisamente esta preocupación. Sin embargo, las leyes, las regulaciones y las nuevas obligaciones no resolverán por sí solas el problema.

La seguridad necesita recursos: Y, sobre todo, necesita conocimiento.

La ciberseguridad también puede comenzar en la comunidad

Hay otro aspecto de esta conversación que resulta especialmente interesante: la enorme cantidad de profesionales de ciberseguridad que viven y trabajan en las mismas comunidades donde operan estas infraestructuras.

No todos pueden convertirse en responsables de proteger un sistema de agua o una red eléctrica. Pero la experiencia técnica local puede desempeñar un papel importante para aumentar la conciencia sobre los riesgos, identificar problemas y ayudar a que las autoridades comprendan mejor un entorno de amenazas que evoluciona constantemente.

La infraestructura crítica no es un problema exclusivo de ingenieros industriales, organismos gubernamentales o equipos de seguridad.

Es un problema que conecta tecnología, política, inversión y sociedad.

Porque, al final, proteger un sistema que suministra agua a una comunidad no consiste solamente en proteger servidores, dispositivos o redes.

Consiste en proteger la vida cotidiana de las personas que dependen de ellos.

La ciberseguridad también puede comenzar en la comunidad

Hay otro aspecto de esta conversación que resulta especialmente interesante: la enorme cantidad de profesionales de ciberseguridad que viven y trabajan en las mismas comunidades donde operan estas infraestructuras.

No todos pueden convertirse en responsables de proteger un sistema de agua o una red eléctrica. Pero la experiencia técnica local puede desempeñar un papel importante para aumentar la conciencia sobre los riesgos, identificar problemas y ayudar a que las autoridades comprendan mejor un entorno de amenazas que evoluciona constantemente.

La infraestructura crítica no es un problema exclusivo de ingenieros industriales, organismos gubernamentales o equipos de seguridad.

Es un problema que conecta tecnología, política, inversión y sociedad.

Porque, al final, proteger un sistema que suministra agua a una comunidad no consiste solamente en proteger servidores, dispositivos o redes.

Consiste en proteger la vida cotidiana de las personas que dependen de ellos.

El verdadero peligro es esperar a que ocurra algo

La historia de la ciberseguridad ha demostrado una y otra vez que las organizaciones suelen acelerar sus inversiones después de sufrir un incidente importante.

El problema con las infraestructuras críticas es que esperar a que ocurra un ataque exitoso puede ser una estrategia demasiado peligrosa.

No deberíamos necesitar una ciudad sin agua, un sistema industrial paralizado o una emergencia pública para reconocer que determinados activos requieren una protección diferente.

La pregunta ya no es si las infraestructuras críticas representan un objetivo para los ciberdelincuentes.

Ya sabemos que lo son.

La verdadera pregunta es si estamos preparados para proteger sistemas diseñados para mantener funcionando al mundo físico en una época en la que sus amenazas provienen, cada vez más, del mundo digital.

Porque cuando un ataque afecta una infraestructura crítica, ya no estamos hablando solamente de ciberseguridad.

Estamos hablando de lo que ocurre cuando una amenaza digital consigue tocar la vida real.

El verdadero desafío esta en entender el contexto

Aquí es donde la inteligencia artificial puede convertirse, paradójicamente, en una herramienta de defensa y en un nuevo campo de batalla al mismo tiempo.

La IA permite analizar cantidades enormes de información y encontrar relaciones que serían difíciles de detectar mediante reglas tradicionales. Puede ayudar a identificar comportamientos anómalos, analizar comunicaciones, reconocer patrones lingüísticos y relacionar diferentes señales para determinar si un mensaje representa una amenaza.

Pero un modelo es tan bueno como la información que recibe y la forma en que esa información es interpretada.

Por eso, frente a técnicas como el text salting, la pregunta ya no debería limitarse a “¿qué contiene este correo?”. Una solución de seguridad realmente robusta necesita plantearse preguntas adicionales: ¿qué contenido puede ver realmente el usuario?, ¿qué elementos existen únicamente dentro del código?, ¿quién envió el mensaje?, ¿desde dónde se originó?, ¿qué relación tiene con el destinatario?, ¿qué intenta provocar?, ¿el comportamiento del mensaje coincide con el comportamiento habitual de ese remitente?

La diferencia es fundamental. Analizar únicamente el contenido es como juzgar un libro por todas las palabras que aparecen impresas sin preguntarse cuáles forman realmente parte de la historia.

Este fenómeno también revela algo más profundo sobre la evolución de la ciberseguridad. Durante mucho tiempo hablamos de inteligencia artificial como una herramienta que permitiría a los defensores adelantarse a los atacantes. Y, en buena medida, así está ocurriendo. Sin embargo, la misma tecnología que permite automatizar la defensa también puede utilizarse para automatizar el ataque.

La IA puede ayudar a un sistema de seguridad a encontrar patrones, pero también puede ayudar a un atacante a generar variaciones que intenten romper esos patrones. Puede analizar lenguaje para determinar si un mensaje parece legítimo, pero también puede utilizarse para construir mensajes que imiten con mayor precisión la comunicación humana. Puede ayudar a detectar anomalías y, al mismo tiempo, facilitar la creación de contenido diseñado para parecer normal.

Por eso, la evolución del correo seguro no consiste simplemente en “poner más IA”. La verdadera cuestión es cómo utilizar esa inteligencia dentro de una arquitectura capaz de observar múltiples señales y relacionarlas entre sí.

Un correo no debería considerarse seguro únicamente porque su texto parezca normal. Tampoco debería considerarse peligroso por una sola palabra o característica aislada. La seguridad necesita observar el mensaje como un conjunto: identidad, autenticación, reputación, contenido, estructura, enlaces, comportamiento, contexto y cualquier elemento que pueda revelar una intención diferente a la que el usuario percibe.

La próxima batalla no será visible

Quizá lo más preocupante del text salting es precisamente que no necesita llamar la atención.

El phishing tradicional intenta conseguir que una persona haga clic. El atacante construye una historia suficientemente convincente para provocar una reacción: miedo, urgencia, curiosidad o confianza. Las nuevas técnicas de evasión añaden otra capa al problema: mientras el usuario es persuadido por el mensaje, la tecnología que debería protegerlo también puede estar siendo manipulada.

Esto cambia la naturaleza de la defensa.

Ya no basta con preguntarnos si el usuario puede identificar un correo sospechoso. Tampoco basta con saber si una plataforma incorpora inteligencia artificial. La pregunta realmente importante es si esa inteligencia puede comprender el correo de la misma manera en que debería comprenderlo un usuario, distinguiendo entre el contenido visible, el contenido oculto, el contexto y la intención.

Porque el futuro de la seguridad del correo no será una batalla entre humanos y máquinas. Será una batalla entre máquinas que protegen y máquinas que atacan.

Y en esa carrera, la ventaja no necesariamente la tendrá quien tenga más inteligencia artificial, sino quien sea capaz de interpretar mejor lo que realmente está sucediendo detrás de cada mensaje.

La inteligencia artificial está transformando la seguridad del correo. Pero también está obligando a replantear una pregunta fundamental:

Si un atacante consigue engañar a la inteligencia que nos protege, ¿cómo podemos asegurarnos de que la amenaza nunca llegue a la bandeja de entrada?

Ese es el verdadero reto de la nueva generación de seguridad de correo electrónico.

El verdadero desafío esta en entender el contexto

Aquí es donde la inteligencia artificial puede convertirse, paradójicamente, en una herramienta de defensa y en un nuevo campo de batalla al mismo tiempo.

La IA permite analizar cantidades enormes de información y encontrar relaciones que serían difíciles de detectar mediante reglas tradicionales. Puede ayudar a identificar comportamientos anómalos, analizar comunicaciones, reconocer patrones lingüísticos y relacionar diferentes señales para determinar si un mensaje representa una amenaza.

Pero un modelo es tan bueno como la información que recibe y la forma en que esa información es interpretada.

Por eso, frente a técnicas como el text salting, la pregunta ya no debería limitarse a “¿qué contiene este correo?”. Una solución de seguridad realmente robusta necesita plantearse preguntas adicionales: ¿qué contenido puede ver realmente el usuario?, ¿qué elementos existen únicamente dentro del código?, ¿quién envió el mensaje?, ¿desde dónde se originó?, ¿qué relación tiene con el destinatario?, ¿qué intenta provocar?, ¿el comportamiento del mensaje coincide con el comportamiento habitual de ese remitente?

La diferencia es fundamental. Analizar únicamente el contenido es como juzgar un libro por todas las palabras que aparecen impresas sin preguntarse cuáles forman realmente parte de la historia.

Este fenómeno también revela algo más profundo sobre la evolución de la ciberseguridad. Durante mucho tiempo hablamos de inteligencia artificial como una herramienta que permitiría a los defensores adelantarse a los atacantes. Y, en buena medida, así está ocurriendo. Sin embargo, la misma tecnología que permite automatizar la defensa también puede utilizarse para automatizar el ataque.

La IA puede ayudar a un sistema de seguridad a encontrar patrones, pero también puede ayudar a un atacante a generar variaciones que intenten romper esos patrones. Puede analizar lenguaje para determinar si un mensaje parece legítimo, pero también puede utilizarse para construir mensajes que imiten con mayor precisión la comunicación humana. Puede ayudar a detectar anomalías y, al mismo tiempo, facilitar la creación de contenido diseñado para parecer normal.

Por eso, la evolución del correo seguro no consiste simplemente en “poner más IA”. La verdadera cuestión es cómo utilizar esa inteligencia dentro de una arquitectura capaz de observar múltiples señales y relacionarlas entre sí.

Un correo no debería considerarse seguro únicamente porque su texto parezca normal. Tampoco debería considerarse peligroso por una sola palabra o característica aislada. La seguridad necesita observar el mensaje como un conjunto: identidad, autenticación, reputación, contenido, estructura, enlaces, comportamiento, contexto y cualquier elemento que pueda revelar una intención diferente a la que el usuario percibe.

La próxima batalla no será visible

Quizá lo más preocupante del text salting es precisamente que no necesita llamar la atención.

El phishing tradicional intenta conseguir que una persona haga clic. El atacante construye una historia suficientemente convincente para provocar una reacción: miedo, urgencia, curiosidad o confianza. Las nuevas técnicas de evasión añaden otra capa al problema: mientras el usuario es persuadido por el mensaje, la tecnología que debería protegerlo también puede estar siendo manipulada.

Esto cambia la naturaleza de la defensa.

Ya no basta con preguntarnos si el usuario puede identificar un correo sospechoso. Tampoco basta con saber si una plataforma incorpora inteligencia artificial. La pregunta realmente importante es si esa inteligencia puede comprender el correo de la misma manera en que debería comprenderlo un usuario, distinguiendo entre el contenido visible, el contenido oculto, el contexto y la intención.

Porque el futuro de la seguridad del correo no será una batalla entre humanos y máquinas. Será una batalla entre máquinas que protegen y máquinas que atacan.

Y en esa carrera, la ventaja no necesariamente la tendrá quien tenga más inteligencia artificial, sino quien sea capaz de interpretar mejor lo que realmente está sucediendo detrás de cada mensaje.

La inteligencia artificial está transformando la seguridad del correo. Pero también está obligando a replantear una pregunta fundamental:

Si un atacante consigue engañar a la inteligencia que nos protege, ¿cómo podemos asegurarnos de que la amenaza nunca llegue a la bandeja de entrada?

Ese es el verdadero reto de la nueva generación de seguridad de correo electrónico.

El acceso inicial: La puerta de entrada sigue siendo crítica

Aunque el modelo de negocio sea sofisticado, muchas de las técnicas utilizadas para obtener acceso inicial no son nuevas. Barracuda identifica entre los principales vectores asociados con The Gentlemen el compromiso de dispositivos perimetrales, particularmente equipos Fortinet, además del uso de credenciales VPN robadas o adquiridas y otros servicios expuestos a Internet.

También se han identificado campañas relacionadas con phishing, robo de credenciales y stealer logs, lo que demuestra que las identidades continúan siendo uno de los objetivos más importantes para los atacantes.

Esto plantea un desafío para las organizaciones. Una infraestructura puede contar con múltiples controles de seguridad y, aun así, mantener una puerta de entrada si existe un dispositivo vulnerable, una cuenta comprometida o un servicio expuesto de manera innecesaria.

Por esta razón, la protección contra ransomware no comienza cuando aparece el archivo malicioso. Comienza mucho antes, con la reducción de la superficie de ataque y la protección de los puntos que pueden proporcionar acceso a la organización.

Del acceso al movimiento lateral

Obtener acceso inicial es solamente el primer objetivo. Una vez dentro, el atacante necesita comprender el entorno y determinar cómo puede ampliar su control.

En esta etapa aparecen actividades como reconocimiento de la infraestructura, extracción de credenciales, escalamiento de privilegios y movimiento lateral. The Gentlemen ha sido asociado con el uso de herramientas como PowerShell, WMI, PsExec y Group Policy para desplazarse dentro de entornos Windows y Active Directory.

Aquí aparece uno de los problemas más importantes de la seguridad moderna: muchas de estas herramientas son completamente legítimas.

Un administrador puede utilizar PowerShell para automatizar una tarea, WMI para administrar sistemas o PsExec para realizar una operación remota. Por sí mismas, estas herramientas no indican necesariamente la presencia de un atacante.

El verdadero valor está en el contexto

La pregunta ya no debe ser únicamente si una herramienta es legítima o maliciosa, sino quién la está utilizando, desde qué dispositivo, contra qué sistemas, en qué momento y qué otras actividades están ocurriendo alrededor de esa acción.

Una ejecución de PowerShell puede ser normal. Una ejecución de PowerShell desde una cuenta comprometida, seguida por conexiones administrativas a múltiples servidores y una transferencia masiva de archivos, puede representar algo completamente diferente.

Por eso, detectar ransomware moderno requiere analizar comportamientos y relaciones entre eventos, no solamente identificar archivos maliciosos conocidos.

La información también parte del rescate

The Gentlemen utiliza un modelo de doble extorsión, una estrategia que ha cambiado considerablemente el impacto de los ataques de ransomware. En lugar de depender exclusivamente del cifrado, los atacantes pueden extraer información antes de interrumpir los sistemas.

La información financiera, los datos de clientes, documentos corporativos y otros archivos sensibles pueden convertirse en una segunda herramienta de presión. Si la organización se niega a pagar, los atacantes pueden amenazar con publicar o utilizar los datos robados.

Esto significa que contar con respaldos sigue siendo fundamental, pero ya no resuelve por completo el problema.

Una empresa puede recuperar sus servidores y restablecer sus operaciones, pero no puede recuperar información que ya fue extraída de su infraestructura. La recuperación tecnológica y la protección de la información son, por lo tanto, dos desafíos diferentes que deben abordarse dentro de una misma estrategia de seguridad.

El verdadero objetivo: Llegar al impacto

Una vez que los atacantes han conseguido acceso, privilegios e información, comienza la fase en la que buscan maximizar el impacto.

Según la investigación de Barracuda, The Gentlemen puede afectar máquinas virtuales, bases de datos, sistemas de respaldo, contenedores y otros procesos críticos antes de desplegar el ransomware. La capacidad de utilizar mecanismos de administración existentes dentro de la organización permite que el ataque pueda propagarse de manera significativa antes de que el cifrado sea visible.

Este punto es especialmente importante porque demuestra que esperar a detectar el ransomware puede significar esperar demasiado.

Cuando aparece la nota de rescate, es posible que el atacante ya haya conseguido credenciales privilegiadas, haya recorrido diferentes segmentos de la red, haya extraído información y haya preparado la infraestructura para dificultar la recuperación.

La oportunidad de detener el ataque probablemente estuvo mucho antes

¿Qué pueden aprender las organizaciones de The Gentlemen?

El caso The Gentlemen demuestra que la defensa contra ransomware requiere una estrategia que abarque diferentes capas de seguridad. Proteger el perímetro continúa siendo fundamental, especialmente frente a dispositivos y servicios expuestos a Internet, pero debe complementarse con una adecuada protección de identidades, gestión de vulnerabilidades y monitoreo continuo.

También es necesario prestar atención al comportamiento de los usuarios y dispositivos. Una cuenta que comienza a acceder a sistemas que normalmente no utiliza, un equipo que establece conexiones administrativas inusuales o una transferencia masiva de información pueden ser señales importantes cuando se analizan dentro de su contexto.

La correlación de eventos adquiere aquí un papel fundamental. Una alerta aislada puede no representar una amenaza significativa, pero varias señales relacionadas pueden revelar una cadena de ataque.

Por ejemplo, un inicio de sesión anómalo seguido por una elevación de privilegios, ejecución remota, movimiento hacia servidores críticos y extracción de información representa un escenario muy diferente a cada uno de esos eventos analizado por separado.

La capacidad de conectar esas señales permite que los equipos de seguridad pasen de reaccionar ante incidentes individuales a identificar comportamientos que forman parte de una operación coordinada.

El ransomware evolucionó. La defensa tambien debe hacerlo

The Gentlemen no demuestra únicamente que existe un nuevo grupo de ransomware. Demuestra cómo el cibercrimen continúa adoptando modelos que le permiten operar a mayor escala.

Los atacantes pueden combinar credenciales comprometidas, vulnerabilidades conocidas, dispositivos expuestos, herramientas legítimas y servicios especializados para construir una operación capaz de afectar a múltiples organizaciones.

Frente a este escenario, agregar más herramientas de seguridad no necesariamente significa obtener mayor protección. Lo importante es conseguir visibilidad sobre lo que ocurre en el entorno y contar con la capacidad de relacionar los diferentes eventos que se producen durante una intrusión.

La pregunta ya no debería ser solamente:

¿Tenemos protección contra ransomware?

La pregunta más importante es:

¿Podemos identificar que un atacante está construyendo una cadena de ataque dentro de nuestra organización antes de que llegue al punto de impacto?

Detectar un comportamiento anómalo, identificar una cuenta comprometida, reconocer movimiento lateral y responder antes de que se produzca el cifrado puede marcar la diferencia entre un intento de intrusión y una interrupción operativa.

The Gentlemen representa una nueva realidad del ransomware: los atacantes ya no necesitan depender únicamente de malware sofisticado cuando pueden convertir técnicas conocidas en una operación organizada, rentable y escalable.

Por eso, la defensa también debe evolucionar. La visibilidad, la correlación de eventos, la detección basada en comportamiento y la capacidad de respuesta deben formar parte de una estrategia diseñada no solamente para detectar una amenaza, sino para interrumpirla antes de que se convierta en una crisis.