Rss

Entradas de blog de ' 2026 ' ' agosto '

La decisión de ciberseguridad que empieza antes de comparar funcionalidades

  • EL CAMINO DE LA CIBERSEGURIDAD

    No solo es la tecnología:

    La respuesta no solo es la seguridad, es con quien la obtienes

En ciberseguridad, la confianza suele ser tan importante como la tecnología. Cuando una organización tiene operaciones globales y necesita proteger información, identidades, comunicaciones y sistemas críticos, elegir una solución no consiste únicamente en comparar funcionalidades. También implica preguntarse si esa tecnología responderá cuando aparezca una amenaza, si será sencilla de gestionar cuando el equipo tenga recursos limitados y, sobre todo, si el proveedor podrá convertirse en un aliado de seguridad a largo plazo. Para Nokian Tyres, fabricante internacional de neumáticos, esas preguntas fueron fundamentales al momento de revisar su estrategia de ciberseguridad.

La compañía necesitaba mejorar la visibilidad sobre las amenazas y fortalecer su capacidad de respuesta sin convertir la seguridad en una carga adicional para sus equipos de TI.

Una amenaza que sigue llegando a la bandeja de entrada

El correo electrónico continúa siendo uno de los principales caminos utilizados por los atacantes para entrar en una organización. Phishing, suplantación de identidad, fraude BEC y robo de cuentas han evolucionado hasta convertirse en ataques cada vez más convincentes, capaces de engañar incluso a usuarios experimentados. Para una empresa como Nokian Tyres, proteger este canal era una prioridad, especialmente mientras ajustaba su estrategia de licenciamiento de Microsoft y buscaba mantener una protección sólida sin sacrificar flexibilidad ni eficiencia operativa.

La solución proporciona diferentes capas de defensa para identificar y bloquear mensajes sospechosos antes de que lleguen a las bandejas de entrada, además de ofrecer mayor visibilidad para que los equipos de seguridad puedan investigar posibles amenazas. Pero su valor no está únicamente en detener un correo malicioso. También existe una realidad mucho más humana detrás de cualquier estrategia de protección: los usuarios pueden equivocarse.

La capacitación y la concientización son indispensables, pero ninguna organización puede asumir que un empleado detectará correctamente cada intento de fraude. Un clic accidental, una credencial entregada a un atacante o una respuesta a un mensaje cuidadosamente diseñado pueden ser suficientes para iniciar un incidente. Por eso, contar con una capa adicional de protección puede marcar una diferencia.

Cuando el proveedor se convierte en parte de la estrategia 

Nokian Tyres demuestró que proteger el correo electrónico era solamente una parte de una necesidad mucho más amplia. Las organizaciones actuales tienen que enfrentarse a un volumen creciente de alertas, múltiples plataformas de seguridad y equipos que, en muchos casos, deben administrar infraestructuras cada vez más complejas con recursos limitados. En ese contexto, agregar herramientas no siempre significa mejorar la seguridad. Si cada solución genera información aislada, el equipo puede terminar teniendo más datos, pero menos capacidad para comprender lo que realmente está sucediendo.

La diferencia está en la visibilidad y en la capacidad de conectar esas señales. Saber que existe un intento de phishing es útil; comprender qué cuenta fue afectada, qué dispositivo pudo verse comprometido y qué acciones ocurrieron después es mucho más valioso. Por eso, la relación entre Nokian Tyres y Barracuda comenzó a evolucionar más allá de una solución específica. La facilidad de administración, la experiencia previa y la confianza en la tecnología permitieron construir una relación orientada a resolver diferentes necesidades de seguridad conforme estas aparecían.

Este punto resulta especialmente relevante para los equipos de TI que no cuentan con grandes cantidades de personal especializado. Un proveedor de ciberseguridad no debería limitarse a entregar una plataforma y esperar que el cliente resuelva por sí mismo el resto del problema. La tecnología debe ayudar a simplificar las operaciones, proporcionar información útil y permitir que los responsables de seguridad tomen decisiones con mayor confianza. En el caso de Nokian Tyres, esa colaboración fue adquiriendo un papel cada vez más importante dentro de su estrategia.

Del correo electrónico a una defensa más amplia 

La protección del correo electrónico fue el punto de partida, pero la estrategia de Nokian Tyres continuó creciendo. La compañía amplió su colaboración con Barracuda para abordar otras áreas relevantes, incorporando Barracuda Managed XDR para fortalecer las capacidades de detección y respuesta gestionadas, así como Entra ID Backup para proteger otro componente fundamental de los entornos empresariales modernos: la identidad.

La evolución tiene sentido porque los ataques actuales rara vez permanecen dentro de un único sistema. Una campaña puede comenzar con un correo electrónico, continuar con el robo de una cuenta y terminar afectando dispositivos, aplicaciones o información crítica. Una estrategia efectiva necesita considerar esa cadena completa y no únicamente el primer punto de entrada. El objetivo deja de ser simplemente bloquear una amenaza para convertirse en la capacidad de identificar qué está ocurriendo, comprender su alcance y responder antes de que el impacto aumente.

Para Nokian Tyres, ampliar la colaboración con Barracuda significó precisamente avanzar hacia ese modelo. La seguridad comenzó con una necesidad concreta, pero terminó formando parte de una estrategia más amplia en la que diferentes capas trabajan para proporcionar protección, visibilidad y capacidad de respuesta.

La confianza también es una capa de seguridad

La historia de Nokian Tyres deja una conclusión importante para cualquier organización que esté revisando su estrategia de ciberseguridad: elegir tecnología no debería consistir únicamente en buscar la lista más larga de funcionalidades. La facilidad de gestión, la visibilidad, la capacidad de respuesta y la posibilidad de ampliar la protección conforme cambian las necesidades del negocio son factores igualmente importantes.

Pero existe un elemento que resulta mucho más difícil de medir y que, sin embargo, puede tener un impacto enorme: la confianza en el socio que está detrás de la tecnología.

Porque cuando ocurre un incidente, cuando una alerta aparece fuera de horario o cuando un usuario comete un error, el valor de una solución de seguridad no se encuentra solamente en lo que dice hacer sobre el papel. Se encuentra en la capacidad real de ayudar a la organización a entender lo que sucede y responder con rapidez.

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

¿Tu empresa apareció en un sitio de ransomware? No significa necesariamente que hayas sido hackeado

  • BLOG DE CIBERSEGURIDAD

    Ransomware:

    No necesariamente puedes estar en riesgo

Hay pocas cosas capaces de elevar tan rápido la tensión dentro de un equipo de seguridad como encontrar el nombre de su propia empresa en un sitio de filtraciones de ransomware. En cuestión de minutos aparecen las preguntas inevitables: ¿fuimos comprometidos?, ¿qué información tienen?, ¿desde cuándo están dentro?, ¿qué cuentas pudieron haber sido afectadas? La preocupación es completamente legítima, pero existe un detalle que suele perderse entre la urgencia y el ruido: la aparición de una organización en un sitio de filtraciones es una afirmación realizada por un atacante, no una confirmación independiente de que haya ocurrido una brecha.

Esta diferencia puede parecer semántica, pero desde el punto de vista de la respuesta a incidentes es fundamental. Los grupos de ransomware utilizan estos sitios como parte de su estrategia de extorsión. Son escaparates diseñados para ejercer presión sobre las víctimas, generar publicidad y demostrar ante otras posibles víctimas que el grupo tiene capacidad para robar información. Por esa razón, una publicación debe tomarse con seriedad, pero también con contexto. Puede convertirse en una señal temprana de un incidente real, pero también puede contener información exagerada, incompleta, reciclada o difícil de verificar. La prioridad del defensor no debería ser aceptar o descartar inmediatamente la afirmación, sino buscar evidencia que permita determinar qué ocurrió realmente.

El escaparate del cibercrimen

Los llamados sitios de filtraciones o dedicated leak sites son una pieza habitual dentro del ecosistema de extorsión de datos. Normalmente funcionan como portales donde un grupo criminal publica los nombres de organizaciones que afirma haber comprometido y acompaña esas publicaciones con información destinada a aumentar la presión: una fecha límite, una cuenta regresiva, capturas de pantalla, muestras de archivos o descripciones de los supuestos datos obtenidos. En algunos casos, el objetivo es convencer a la víctima de que debe pagar antes de que la información sea publicada de manera completa.

Este mecanismo adquirió especial relevancia con el ransomware de doble extorsión. En lugar de limitarse a cifrar los sistemas, los atacantes comenzaron a robar información antes de ejecutar el cifrado y utilizaron esa información como una segunda herramienta de presión. Si la organización no paga, amenazan con publicar los datos. Con el tiempo, algunos grupos llevaron esta estrategia todavía más lejos y comenzaron a operar mediante extorsión basada exclusivamente en el robo de información, sin necesidad de cifrar los sistemas de la víctima. En ambos escenarios, el sitio de filtraciones cumple esencialmente la misma función: convertir la información robada o la amenaza de haberla robado en una herramienta de negociación.

Esto explica por qué una publicación debe interpretarse dentro del contexto de la operación criminal. El atacante tiene un incentivo para presentar su éxito de la manera más favorable posible. Puede mostrar una pequeña muestra de información y afirmar que posee mucho más. Puede utilizar datos antiguos, información disponible públicamente o elementos procedentes de incidentes anteriores. También puede publicar el nombre de una organización antes de que exista una confirmación independiente de la intrusión. Nada de esto significa que las publicaciones sean inútiles. Todo lo contrario: pueden proporcionar información extremadamente valiosa, siempre que se entiendan como una fuente de inteligencia y no como un informe forense.

Cuando el ruido empieza a revelar patrones

La verdadera utilidad de estos sitios aparece cuando dejamos de observarlos únicamente como listas de víctimas y comenzamos a analizarlos como una ventana hacia la actividad del adversario. Una publicación individual puede decir poco; decenas o cientos de publicaciones analizadas a lo largo del tiempo pueden revelar tendencias.

Pueden mostrar qué grupos están activos, qué sectores están recibiendo mayor atención, qué regiones están siendo afectadas y qué proveedores aparecen repetidamente relacionados con incidentes. También pueden ayudar a identificar campañas que comienzan a tomar fuerza antes de que sus efectos sean ampliamente conocidos. Para un equipo de seguridad, esta información puede ser mucho más útil que el número absoluto de víctimas anunciado por un grupo criminal.

Imaginemos, por ejemplo, que durante varias semanas comienzan a aparecer organizaciones de una misma industria. A primera vista, podría parecer simplemente otra estadística dentro del enorme volumen de ataques de ransomware. Pero si esas organizaciones comparten un proveedor, una plataforma tecnológica o algún elemento común de su infraestructura, la información adquiere otra dimensión. Lo mismo ocurre cuando aparece un proveedor crítico dentro de la cadena de suministro de una empresa. La publicación no demuestra que nuestra organización esté comprometida, pero sí puede proporcionar una razón concreta para revisar determinados controles, accesos, identidades o dispositivos.

Por eso, la pregunta más útil no es necesariamente cuántas víctimas aparecen en una lista, sino qué tienen en común esas víctimas y qué significa ese patrón para nuestro propio entorno.

Una fuente especialmente importante para los MSP

Este enfoque adquiere todavía más relevancia para los proveedores de servicios gestionados. Un MSP no protege únicamente una organización: puede administrar servicios, infraestructura, endpoints, identidades o sistemas críticos para numerosos clientes al mismo tiempo. Eso significa que una amenaza que afecta a uno de ellos puede convertirse rápidamente en una preocupación para otros.

En ese escenario, descubrir que el nombre de un cliente aparece en un sitio de filtraciones puede proporcionar una ventaja temporal importante. No porque la publicación confirme automáticamente una brecha, sino porque permite iniciar la investigación antes de que la situación se vuelva evidente por otras vías. El equipo puede revisar actividad de endpoints, accesos, cuentas privilegiadas, conexiones remotas y otros indicadores para determinar si existen señales que respalden la afirmación del atacante.

Esa anticipación puede ser especialmente valiosa cuando se administran decenas de organizaciones con equipos de seguridad limitados. Detectar una señal temprana y comenzar a investigar puede marcar la diferencia entre una respuesta controlada y una situación que termina convirtiéndose en una notificación de seguridad cuando el daño ya está hecho.

El error de confundir una señal con una evidencia

Uno de los principios más importantes para aprovechar correctamente los sitios de filtraciones es entender que inteligencia y evidencia no son exactamente lo mismo. Una publicación puede ser una señal relevante que merece investigación, pero la confirmación debe construirse mediante otras fuentes.

Si una organización aparece en uno de estos portales, la respuesta adecuada no debería consistir simplemente en asumir que existe una brecha ni tampoco en ignorar la publicación por considerarla poco fiable. Lo correcto es utilizarla como punto de partida y contrastarla con la realidad observable dentro del entorno. ¿Existen accesos inusuales? ¿Hay cuentas que muestran comportamientos anómalos? ¿Se detectaron dispositivos comprometidos? ¿Aparecen indicadores relacionados con malware de robo de información? ¿Existen conexiones sospechosas o actividad que no corresponde con el comportamiento habitual?

Cuando varias señales independientes comienzan a coincidir, la hipótesis adquiere mayor peso. Una publicación externa combinada con telemetría interna, anomalías de identidad, actividad sospechosa en endpoints y otros indicadores puede transformar una afirmación del atacante en una investigación con fundamentos mucho más sólidos.

Esta es, precisamente, la diferencia entre simplemente observar amenazas y hacer inteligencia de amenazas.

Mirar más allá del número de víctimas

El atractivo de los sitios de filtraciones está, en buena medida, en su capacidad para generar impacto. Los números, los nombres conocidos y las grandes cantidades de datos robados producen titulares y ayudan a los grupos criminales a construir una imagen de poder. Sin embargo, para un responsable de seguridad, el valor real suele estar en otro lugar.

Una tendencia puede ser más importante que una cifra. Un proveedor repetidamente asociado con organizaciones comprometidas puede representar más riesgo que una lista con cientos de víctimas. Una campaña que empieza a afectar al mismo sector en diferentes regiones puede ser una señal para revisar controles específicos. Una organización de la propia cadena de suministro puede justificar una investigación inmediata.

En otras palabras, el número de víctimas genera atención; los patrones generan inteligencia.

Esta perspectiva también permite evitar uno de los problemas más habituales al consumir información sobre ciberseguridad: reaccionar al volumen en lugar de reaccionar al riesgo. No todas las publicaciones representan el mismo nivel de amenaza para todas las organizaciones. Lo importante es determinar si existe una relación entre lo que está ocurriendo fuera y la exposición real de nuestro propio entorno.

Convertir el escaparate del atacante en una ventaja defensiva

Los grupos de ransomware crearon estos sitios para generar presión, intimidar a las víctimas y obtener publicidad. Sin embargo, para los defensores pueden convertirse en una fuente adicional de información sobre el comportamiento del adversario. La clave está en cambiar la perspectiva.

No se trata de creer ciegamente todo lo que publica un grupo criminal. Tampoco de descartar sus publicaciones por principio. Se trata de observarlas, contextualizarlas y utilizarlas para formular mejores preguntas.

Un sitio de filtraciones puede indicar quién está atacando, qué sectores están siendo perseguidos y qué organizaciones parecen estar bajo presión. La tecnología de seguridad y la investigación interna deben ayudar a determinar si esa actividad tiene alguna relación con lo que ocurre dentro de nuestra propia infraestructura.

En última instancia, esa es la verdadera utilidad de estos sitios. El atacante los utiliza para decir: “Mira lo que hicimos”. El defensor debería utilizarlos para preguntarse: “¿Qué podemos aprender de esto y existe alguna señal de que algo similar esté ocurriendo en nuestro entorno?”

De la publicación a la detección

Los grupos de ransomware crearon estos sitios para generar presión, intimidar a las víctimas y obtener publicidad. Sin embargo, para los defensores pueden convertirse en una fuente adicional de información sobre el comportamiento del adversario. La clave está en cambiar la perspectiva.

No se trata de creer ciegamente todo lo que publica un grupo criminal. Tampoco de descartar sus publicaciones por principio. Se trata de observarlas, contextualizarlas y utilizarlas para formular mejores preguntas.

Un sitio de filtraciones puede indicar quién está atacando, qué sectores están siendo perseguidos y qué organizaciones parecen estar bajo presión. La tecnología de seguridad y la investigación interna deben ayudar a determinar si esa actividad tiene alguna relación con lo que ocurre dentro de nuestra propia infraestructura.

En última instancia, esa es la verdadera utilidad de estos sitios. El atacante los utiliza para decir: “Mira lo que hicimos”. El defensor debería utilizarlos para preguntarse: “¿Qué podemos aprender de esto y existe alguna señal de que algo similar esté ocurriendo en nuestro entorno?”

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

24 mil millones de credenciales robadas: el verdadero objetivo está en tu navegador

  • BLOG DE CIBERSEGURIDAD

    Más alla de las contraseñas:

    Porque los atacantes apuntan a tu navegador

Cuando se dio a conocer el descubrimiento de una gigantesca base de datos con 24 mil millones de registros robados, la reacción fue, en cierto modo, predecible. Titulares alarmantes, cifras difíciles de dimensionar y la recomendación habitual: cambiar las contraseñas.

Pero quedarse únicamente con esa conclusión sería perder de vista el verdadero problema.

La importancia de este hallazgo no está solamente en la cantidad de datos comprometidos, sino en lo que representa la información recopilada y en la forma en que fue obtenida. Gran parte de estos datos parece estar relacionada con el uso de malware diseñado para robar información, una tendencia que refleja una transformación mucho más profunda en la economía del cibercrimen.

Los atacantes buscan una identidad digital completa

El navegador dejó de ser una simple aplicación

Durante años, muchas estrategias de seguridad se construyeron alrededor de un escenario relativamente conocido. El atacante enviaba malware, explotaba una vulnerabilidad o recurría al phishing para engañar a un usuario y obtener sus credenciales.

Ese modelo sigue existiendo, pero el punto de partida de muchos ataques ha cambiado.

Hoy, el navegador es mucho más que una herramienta para visitar sitios web. Se ha convertido en el centro de la actividad digital de millones de personas dentro de las empresas. Desde ahí accedemos al correo electrónico, plataformas de colaboración, aplicaciones SaaS, servicios financieros, herramientas de productividad, paneles administrativos y entornos en la nube.

El navegador recuerda contraseñas. Mantiene sesiones abiertas. Almacena cookies. Conserva tokens de autenticación y facilita el acceso continuo a múltiples servicios.

En otras palabras, concentra una enorme cantidad de información que permite demostrar quién es el usuario ante los sistemas digitales.

Para un ciberdelincuente, eso tiene un valor enorme.

Porque robar una contraseña puede obligarlo a superar controles adicionales. Pero robar una sesión activa o un token válido puede acercarlo mucho más a la posibilidad de hacerse pasar por un usuario legítimo.

Ahí está una de las razones por las que el malware conocido como *infostealer* se ha convertido en una herramienta tan valiosa dentro del ecosistema criminal. Ya no quieren tu contraseña; quieren entrar como tú

El robo tradicional de credenciales tenía un objetivo sencillo: conseguir un nombre de usuario y una contraseña que pudieran utilizarse posteriormente.

El problema es que la identidad digital moderna es mucho más compleja

Una sesión autenticada puede incluir información sobre el acceso del usuario a determinadas plataformas. Las cookies y los tokens pueden mantener una conexión activa. Las credenciales almacenadas pueden abrir la puerta a otros servicios. Las conexiones corporativas y aplicaciones en la nube pueden formar parte del mismo ecosistema digital.

Por eso, para los atacantes, una contraseña aislada ya no es necesariamente el premio más valioso.

El objetivo es obtener un paquete mucho más completo: credenciales, sesiones, cookies, tokens y accesos de confianza.

En algunos casos, el atacante ni siquiera necesita vulnerar una cuenta en el sentido tradicional. Si consigue apropiarse de una sesión válida, puede intentar operar utilizando una identidad que ya fue autenticada previamente. Esa diferencia cambia por completo la forma en que debemos entender el riesgo.

Los controles tradicionales suelen buscar señales claramente sospechosas: malware conocido, intentos de acceso fallidos o comportamientos evidentemente anómalos. Sin embargo, cuando un atacante consigue actuar utilizando credenciales válidas o una sesión aparentemente legítima, la detección puede volverse mucho más complicada.

Desde la perspectiva de muchos sistemas, no parece un intruso. Parece el usuario.

La nueva economía del cibercrimen gira al rededor de las identidades

El descubrimiento de miles de millones de registros robados también revela otra realidad incómoda: el robo de información se ha convertido en una economía altamente especializada.

Un grupo puede desarrollar el malware. Otro puede distribuirlo. Alguien más puede recopilar y clasificar los datos obtenidos. Finalmente, esa información puede venderse o utilizarse como punto de partida para nuevos ataques.

Una identidad digital comprometida puede tener múltiples usos.

Puede facilitar el acceso inicial a una organización. Puede utilizarse para cometer fraude. Puede servir para enviar correos desde una cuenta legítima. Puede permitir movimientos posteriores dentro de un entorno corporativo o convertirse en la puerta de entrada para un ataque de ransomware.

Por eso, las credenciales comprometidas y el malware de robo de información continúan apareciendo con frecuencia en investigaciones relacionadas con accesos iniciales a organizaciones.

El atacante moderno no siempre necesita derribar la puerta.

A veces, basta con robar la llave.

Una cuenta comprometida puede ser más peligrosa que un malware detectado

Cuando pensamos en una intrusión, normalmente imaginamos código malicioso ejecutándose en un equipo o un atacante intentando vulnerar una infraestructura.

Pero una cuenta comprometida plantea un problema diferente.

Si el atacante consigue acceder utilizando una identidad legítima, puede aprovechar la confianza que ya existe alrededor de esa cuenta. Dependiendo de sus privilegios, podría consultar información, acceder a aplicaciones, interactuar con otros usuarios o intentar ampliar su alcance dentro de la organización.

Esto explica por qué el robo de cuentas se ha convertido en una preocupación tan importante para las empresas.

Una identidad comprometida no es únicamente un problema de acceso. Puede convertirse en el punto de partida de un incidente mucho mayor.

El fraude por correo electrónico empresarial, la suplantación de identidad, el acceso no autorizado a servicios en la nube y, en determinados escenarios, los ataques de ransomware pueden comenzar con algo aparentemente sencillo: una identidad que cayó en manos equivocadas.

Entonces, ¿qué deberían hacer las empresas?

La primera conclusión es clara: la seguridad ya no puede centrarse exclusivamente en proteger contraseñas

Las organizaciones deben partir de una realidad incómoda pero necesaria: es posible que algunas credenciales ya hayan sido expuestas sin que la empresa lo sepa.

La estrategia, por tanto, debe consistir en reducir el valor que puede obtener un atacante incluso cuando consigue robar determinada información.

Esto implica fortalecer la autenticación multifactor y, cuando sea posible, adoptar mecanismos de autenticación más resistentes al phishing. También requiere aplicar el principio de mínimo privilegio, limitar el acceso innecesario a información crítica y supervisar comportamientos que puedan indicar una apropiación de cuentas.

Pero hay otro elemento que merece cada vez más atención: el propio navegador.

Durante mucho tiempo, se le ha considerado simplemente una aplicación más dentro del dispositivo. Sin embargo, hoy funciona como una especie de centro de identidad digital. Es el lugar desde el que se mantienen activas las conexiones con numerosos servicios corporativos.

Proteger el endpoint sigue siendo fundamental, pero comprender qué ocurre alrededor de las identidades, las sesiones y los accesos también es esencial.

Esto cobra todavía más relevancia ante las técnicas actuales de distribución de malware. Los programas para robar información pueden llegar mediante actualizaciones falsas, extensiones maliciosas, aplicaciones pirateadas o campañas de ingeniería social cada vez más convincentes.

Incluso la inteligencia artificial se ha convertido en un nuevo gancho para los atacantes, que aprovechan el interés por estas herramientas para crear señuelos, sitios falsos y supuestas aplicaciones capaces de engañar a usuarios desprevenidos.

Un solo equipo comprometido puede ofrecer mucho más que una contraseña.

Puede ofrecer una identidad digital completa. La seguridad debe mirar más allá de la filtración

El verdadero mensaje detrás de una base de datos con 24 mil millones de registros robados no debería ser únicamente: "cambia tu contraseña".

La pregunta más importante es otra:

¿Qué más puede obtener un atacante si compromete la identidad digital de uno de tus usuarios?

Hoy, los ciberdelincuentes no recopilan información solamente para acceder a una cuenta. Buscan identidades, sesiones y relaciones de confianza que puedan aprovechar directamente o convertir en nuevos ataques.

Por eso, la seguridad de las organizaciones necesita evolucionar desde una visión centrada únicamente en las credenciales hacia una protección más amplia del ecosistema de identidad.

La autenticación es importante. La protección contra phishing también. La seguridad del endpoint sigue siendo indispensable. Pero ninguna de estas capas, por sí sola, ofrece una respuesta completa frente a un atacante que puede utilizar información legítima para intentar pasar desapercibido.

La clave está en combinar diferentes capacidades: protección de identidad, seguridad de sesiones, defensa contra phishing, controles de acceso, protección de endpoints y monitoreo continuo.

Detectar la señal antes de que se convierta en una intrusión

Para muchas empresas, especialmente aquellas con equipos de TI y seguridad reducidos, el desafío no consiste únicamente en implementar más herramientas.

El verdadero reto es poder identificar qué está ocurriendo entre todas las señales generadas por usuarios, dispositivos, aplicaciones y servicios en la nube.

Ahí es donde los servicios de detección y respuesta gestionados pueden desempeñar un papel importante.

Una solución como Barracuda Managed XDR Endpoint Security puede ayudar a ampliar la capacidad de detección y respuesta al correlacionar eventos, identificar actividades sospechosas e investigar señales que, de manera aislada, podrían parecer poco relevantes.

El objetivo no es prometer que un incidente nunca ocurrirá.

Es detectar comportamientos anómalos con mayor rapidez y responder antes de que una credencial robada, una sesión comprometida o un dispositivo infectado se transforme en una intrusión de mayor impacto.

Porque la próxima gran filtración de credenciales probablemente volverá a generar titulares.

Pero la lección seguirá siendo la misma:

Las contraseñas ya no son el único objetivo. La identidad digital completa se ha convertido en uno de los activos más valiosos para los ciberdelincuentes.

Y hoy, una parte importante de esa identidad vive, trabaja y permanece conectada dentro del navegador.

Proteger el acceso ya no es suficiente. También debemos proteger todo lo que ocurre después de iniciar sesión

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

¿Qué pasaría si un ciberataque dejara sin agua a una ciudad?

  • BLOG DE CIBERSEGURIDAD

    Sin luz, sin agua y sin comunicación:

    Un ciberataque puede golpearte de forma fisica

Durante mucho tiempo, hablar de un ciberataque significaba imaginar una empresa frente a una pantalla bloqueada por ransomware, una filtración de información o una interrupción temporal de sus operaciones. El impacto podía ser grave, costoso y difícil de gestionar, pero normalmente permanecía dentro de los límites de la organización afectada.

Hoy ese escenario está cambiando.

Cuando los ciberdelincuentes ponen su atención en una infraestructura crítica, las consecuencias pueden salir rápidamente del mundo digital y convertirse en un problema para toda una comunidad. Un sistema comprometido ya no representa únicamente archivos inaccesibles o pérdidas económicas. Puede afectar el suministro de agua, la generación de energía, los procesos industriales o servicios esenciales de los que dependen miles de personas.

Las recientes amenazas dirigidas contra sistemas de agua y tecnologías de control industrial vuelven a poner este riesgo sobre la mesa. Una presunta campaña cibernética iraní que habría afectado sistemas hídricos en distintos estados de Estados Unidos, junto con nuevas advertencias sobre amenazas dirigidas a controladores lógicos programables “PLC” utilizados en entornos industriales, demuestran que la infraestructura crítica continúa siendo un objetivo atractivo.

Y hay un elemento que vuelve este escenario todavía más preocupante: la tecnología que controla muchos de estos servicios fueron diseñados en una época muy diferente.

Sistemas diseñados para funcionar, no para defenderse

Gran parte de la infraestructura que mantiene en funcionamiento servicios esenciales fue creada con una prioridad muy clara: operar de manera confiable.

Durante años, muchos sistemas industriales funcionaron en redes aisladas. Los equipos de control no estaban conectados directamente a internet y el principal desafío era garantizar la continuidad de las operaciones.

Pero la transformación digital cambió las reglas.

La conectividad remota, la automatización, la supervisión desde internet y la integración con nuevas plataformas han generado enormes ventajas operativas. También han creado nuevos puntos de exposición.

Un controlador industrial que antes estaba protegido simplemente porque nadie podía acceder a él desde el exterior ahora puede convertirse en un objetivo si está conectado, utiliza software obsoleto o carece de controles de seguridad adecuados.

Ese es precisamente el problema que reflejan las recientes advertencias sobre controladores Siemens Serie S7. Según las alertas, los atacantes estarían utilizando herramientas de explotación generadas con ayuda de inteligencia artificial y disfrazadas de software legítimo para intentar comprometer dispositivos expuestos.

La amenaza ya no consiste únicamente en encontrar una vulnerabilidad. También consiste en hacer que el ataque parezca algo normal.

La inteligencia artificial también está acelerando a los atacantes

La conversación sobre inteligencia artificial en ciberseguridad suele centrarse en sus beneficios para detectar amenazas. Sin embargo, la misma tecnología también puede reducir la barrera de entrada para quienes buscan atacar.

Crear scripts, modificar herramientas existentes, automatizar procesos y generar contenido capaz de aparentar legitimidad es cada vez más accesible.

En el caso de los entornos industriales, esto es especialmente delicado.

Un atacante no necesita necesariamente desarrollar desde cero una herramienta extremadamente sofisticada. Si encuentra un dispositivo expuesto, una versión vulnerable o una configuración deficiente, la combinación de automatización e inteligencia artificial puede ayudarle a acelerar la identificación y explotación de posibles puntos débiles.

Esto plantea una realidad incómoda: mientras las amenazas evolucionan rápidamente, muchas infraestructuras críticas siguen funcionando sobre equipos y sistemas que no siempre pueden actualizarse con la misma velocidad.

El problema no siempre es la falta de interés. Muchas veces es la falta de recursos.

Es fácil decir que todas las organizaciones deberían modernizar su infraestructura, actualizar sus sistemas y adoptar las mejores prácticas de ciberseguridad.

La realidad, especialmente para pequeñas empresas de servicios públicos y administraciones locales, es mucho más complicada.

Existen miles de sistemas de agua gestionados por ciudades, municipios o comunidades con presupuestos limitados. En muchos casos, reemplazar infraestructura antigua requiere inversiones que simplemente no están disponibles.

El resultado es una situación peligrosa: equipos diseñados hace años continúan siendo indispensables para la operación diaria, pero ahora forman parte de un ecosistema mucho más conectado y expuesto.

Aquí surge una de las preguntas más importantes de toda la discusión:

¿Quién debe pagar la seguridad de una infraestructura que, si falla, puede afectar mucho más allá de la comunidad que la administra?

Una vulnerabilidad local puede convertirse en un problema de todos

Un sistema de agua puede pertenecer a una ciudad. Una instalación eléctrica puede ser administrada por una entidad específica. Una planta industrial puede encontrarse en una comunidad determinada.

Pero las consecuencias de un ataque exitoso rara vez permanecen completamente aisladas.

Una interrupción grave puede provocar desplazamientos de población, afectar hospitales, interrumpir cadenas de suministro y requerir la intervención de organismos estatales o federales.

Por eso, la seguridad de la infraestructura crítica no debería entenderse únicamente como un gasto local.

Es una cuestión de resiliencia colectiva.

Las recientes propuestas legislativas en Estados Unidos para otorgar mayores facultades de supervisión y establecer nuevos requisitos de ciberseguridad para los sistemas de agua reflejan precisamente esta preocupación. Sin embargo, las leyes, las regulaciones y las nuevas obligaciones no resolverán por sí solas el problema.

La seguridad necesita recursos: Y, sobre todo, necesita conocimiento.

La ciberseguridad también puede comenzar en la comunidad

Hay otro aspecto de esta conversación que resulta especialmente interesante: la enorme cantidad de profesionales de ciberseguridad que viven y trabajan en las mismas comunidades donde operan estas infraestructuras.

No todos pueden convertirse en responsables de proteger un sistema de agua o una red eléctrica. Pero la experiencia técnica local puede desempeñar un papel importante para aumentar la conciencia sobre los riesgos, identificar problemas y ayudar a que las autoridades comprendan mejor un entorno de amenazas que evoluciona constantemente.

La infraestructura crítica no es un problema exclusivo de ingenieros industriales, organismos gubernamentales o equipos de seguridad.

Es un problema que conecta tecnología, política, inversión y sociedad.

Porque, al final, proteger un sistema que suministra agua a una comunidad no consiste solamente en proteger servidores, dispositivos o redes.

Consiste en proteger la vida cotidiana de las personas que dependen de ellos.

La ciberseguridad también puede comenzar en la comunidad

Hay otro aspecto de esta conversación que resulta especialmente interesante: la enorme cantidad de profesionales de ciberseguridad que viven y trabajan en las mismas comunidades donde operan estas infraestructuras.

No todos pueden convertirse en responsables de proteger un sistema de agua o una red eléctrica. Pero la experiencia técnica local puede desempeñar un papel importante para aumentar la conciencia sobre los riesgos, identificar problemas y ayudar a que las autoridades comprendan mejor un entorno de amenazas que evoluciona constantemente.

La infraestructura crítica no es un problema exclusivo de ingenieros industriales, organismos gubernamentales o equipos de seguridad.

Es un problema que conecta tecnología, política, inversión y sociedad.

Porque, al final, proteger un sistema que suministra agua a una comunidad no consiste solamente en proteger servidores, dispositivos o redes.

Consiste en proteger la vida cotidiana de las personas que dependen de ellos.

El verdadero peligro es esperar a que ocurra algo

La historia de la ciberseguridad ha demostrado una y otra vez que las organizaciones suelen acelerar sus inversiones después de sufrir un incidente importante.

El problema con las infraestructuras críticas es que esperar a que ocurra un ataque exitoso puede ser una estrategia demasiado peligrosa.

No deberíamos necesitar una ciudad sin agua, un sistema industrial paralizado o una emergencia pública para reconocer que determinados activos requieren una protección diferente.

La pregunta ya no es si las infraestructuras críticas representan un objetivo para los ciberdelincuentes.

Ya sabemos que lo son.

La verdadera pregunta es si estamos preparados para proteger sistemas diseñados para mantener funcionando al mundo físico en una época en la que sus amenazas provienen, cada vez más, del mundo digital.

Porque cuando un ataque afecta una infraestructura crítica, ya no estamos hablando solamente de ciberseguridad.

Estamos hablando de lo que ocurre cuando una amenaza digital consigue tocar la vida real.

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

El Phishing ya no quiere parecer malicioso. Quiere parecer invisible

  • BLOG DE CIBERSEGURIDAD

    La carrera del Phishing:

    Humanos VS Maquinas

Durante años, la seguridad del correo electrónico ha vivido una carrera constante entre atacantes y defensores. Cada vez que una organización desarrolla una nueva forma de identificar mensajes maliciosos, los ciberdelincuentes encuentran una manera de modificar sus técnicas para intentar pasar desapercibidos. Primero fueron los correos masivos llenos de errores evidentes; después llegaron campañas mucho más cuidadas, capaces de imitar la identidad visual de bancos, plataformas digitales, proveedores e incluso compañeros de trabajo. Hoy, con la inteligencia artificial integrada en las herramientas de seguridad, esa carrera está entrando en una nueva etapa: los atacantes ya no solamente buscan engañar a las personas, también están buscando la manera de engañar a las máquinas que intentan protegerlas.

Esta evolución resulta especialmente interesante porque la inteligencia artificial ha cambiado de manera importante la forma en que se analiza un correo electrónico. Los sistemas modernos ya no dependen exclusivamente de una lista de palabras prohibidas, una firma conocida o una regla que indique que determinado dominio es sospechoso. Pueden analizar lenguaje, contexto, patrones de comportamiento, reputación, estructura del mensaje y múltiples señales que, combinadas, permiten determinar si un correo representa un riesgo. El problema es que, cuando una tecnología se convierte en una parte importante de la defensa, también se convierte en un objetivo para quien intenta evadirla.

El correo que ves no siempre es todo lo que contiene

Aquí es donde aparece una técnica conocida como text salting, una estrategia que aprovecha una característica fundamental de los correos electrónicos: lo que el usuario observa en pantalla no necesariamente representa todo lo que existe dentro del mensaje.

Un atacante puede construir un correo que, para una persona, parece completamente normal. Puede mostrar una promoción, una notificación de una cuenta, una supuesta recompensa o cualquier otro mensaje diseñado para provocar una acción. Sin embargo, dentro del código HTML puede incorporar grandes cantidades de texto adicional que permanecen ocultas para el destinatario. Ese contenido puede utilizar palabras y frases aparentemente inocentes con el objetivo de modificar la interpretación que realizan los sistemas automatizados.

La diferencia puede parecer pequeña, pero tiene implicaciones importantes. El usuario ve un mensaje; el sistema de seguridad analiza una estructura mucho más compleja. Si esa estructura está deliberadamente manipulada, el atacante puede intentar alterar las señales que utiliza una herramienta para determinar si el correo es legítimo o malicioso.

El concepto no es completamente nuevo. Durante años, los atacantes han utilizado diferentes técnicas de ofuscación para esconder contenido, modificar patrones o dificultar el trabajo de los filtros. Lo que cambia ahora es el escenario en el que se utilizan. Cuando los sistemas de defensa incorporan inteligencia artificial y modelos capaces de interpretar lenguaje, los atacantes tienen un nuevo objetivo: influir en la información que recibe el modelo para intentar influir en su decisión.

De esconder Malware a esconder la intención

El text salting es particularmente interesante porque no necesariamente busca ocultar un archivo malicioso o un enlace de manera tradicional. Su objetivo puede ser mucho más sutil: alterar el contexto que utiliza el sistema de seguridad para interpretar el mensaje.

Imaginemos un correo cuyo contenido visible habla de una recompensa o de una supuesta promoción. Detrás de ese mensaje puede existir una cantidad considerable de texto irrelevante introducido mediante diferentes técnicas de HTML y CSS. El texto puede utilizar tamaños de fuente prácticamente invisibles, desplazarse fuera del área visible o permanecer dentro de elementos que el usuario no percibe. Desde la perspectiva del destinatario, nada parece fuera de lo común; desde la perspectiva de un sistema automatizado, en cambio, existe mucho más contenido que analizar.

Y cuanto más sofisticados se vuelven estos sistemas, más sofisticados pueden intentar ser los atacantes.

La inteligencia artificial generativa permite producir grandes cantidades de contenido de forma rápida y crear variaciones de un mismo ataque. Esto significa que un atacante puede modificar estructuras, palabras y contenidos para evitar depender de un único patrón que pueda ser identificado. En lugar de enviar miles de copias idénticas de un correo, puede generar múltiples versiones que mantengan el mismo objetivo mientras cambian su apariencia y composición.

La consecuencia es importante: la seguridad del correo ya no puede depender únicamente de encontrar una palabra sospechosa o reconocer una estructura previamente identificada.

El verdadero desafío esta en entender el contexto

Aquí es donde la inteligencia artificial puede convertirse, paradójicamente, en una herramienta de defensa y en un nuevo campo de batalla al mismo tiempo.

La IA permite analizar cantidades enormes de información y encontrar relaciones que serían difíciles de detectar mediante reglas tradicionales. Puede ayudar a identificar comportamientos anómalos, analizar comunicaciones, reconocer patrones lingüísticos y relacionar diferentes señales para determinar si un mensaje representa una amenaza.

Pero un modelo es tan bueno como la información que recibe y la forma en que esa información es interpretada.

Por eso, frente a técnicas como el text salting, la pregunta ya no debería limitarse a “¿qué contiene este correo?”. Una solución de seguridad realmente robusta necesita plantearse preguntas adicionales: ¿qué contenido puede ver realmente el usuario?, ¿qué elementos existen únicamente dentro del código?, ¿quién envió el mensaje?, ¿desde dónde se originó?, ¿qué relación tiene con el destinatario?, ¿qué intenta provocar?, ¿el comportamiento del mensaje coincide con el comportamiento habitual de ese remitente?

La diferencia es fundamental. Analizar únicamente el contenido es como juzgar un libro por todas las palabras que aparecen impresas sin preguntarse cuáles forman realmente parte de la historia.

Cuando la IA se convierte en objetivo

Este fenómeno también revela algo más profundo sobre la evolución de la ciberseguridad. Durante mucho tiempo hablamos de inteligencia artificial como una herramienta que permitiría a los defensores adelantarse a los atacantes. Y, en buena medida, así está ocurriendo. Sin embargo, la misma tecnología que permite automatizar la defensa también puede utilizarse para automatizar el ataque.

La IA puede ayudar a un sistema de seguridad a encontrar patrones, pero también puede ayudar a un atacante a generar variaciones que intenten romper esos patrones. Puede analizar lenguaje para determinar si un mensaje parece legítimo, pero también puede utilizarse para construir mensajes que imiten con mayor precisión la comunicación humana. Puede ayudar a detectar anomalías y, al mismo tiempo, facilitar la creación de contenido diseñado para parecer normal.

Por eso, la evolución del correo seguro no consiste simplemente en “poner más IA”. La verdadera cuestión es cómo utilizar esa inteligencia dentro de una arquitectura capaz de observar múltiples señales y relacionarlas entre sí.

Un correo no debería considerarse seguro únicamente porque su texto parezca normal. Tampoco debería considerarse peligroso por una sola palabra o característica aislada. La seguridad necesita observar el mensaje como un conjunto: identidad, autenticación, reputación, contenido, estructura, enlaces, comportamiento, contexto y cualquier elemento que pueda revelar una intención diferente a la que el usuario percibe.

La próxima batalla no será visible

Quizá lo más preocupante del text salting es precisamente que no necesita llamar la atención.

El phishing tradicional intenta conseguir que una persona haga clic. El atacante construye una historia suficientemente convincente para provocar una reacción: miedo, urgencia, curiosidad o confianza. Las nuevas técnicas de evasión añaden otra capa al problema: mientras el usuario es persuadido por el mensaje, la tecnología que debería protegerlo también puede estar siendo manipulada.

Esto cambia la naturaleza de la defensa.

Ya no basta con preguntarnos si el usuario puede identificar un correo sospechoso. Tampoco basta con saber si una plataforma incorpora inteligencia artificial. La pregunta realmente importante es si esa inteligencia puede comprender el correo de la misma manera en que debería comprenderlo un usuario, distinguiendo entre el contenido visible, el contenido oculto, el contexto y la intención.

Porque el futuro de la seguridad del correo no será una batalla entre humanos y máquinas. Será una batalla entre máquinas que protegen y máquinas que atacan.

Y en esa carrera, la ventaja no necesariamente la tendrá quien tenga más inteligencia artificial, sino quien sea capaz de interpretar mejor lo que realmente está sucediendo detrás de cada mensaje.

La inteligencia artificial está transformando la seguridad del correo. Pero también está obligando a replantear una pregunta fundamental:

Si un atacante consigue engañar a la inteligencia que nos protege, ¿cómo podemos asegurarnos de que la amenaza nunca llegue a la bandeja de entrada?

Ese es el verdadero reto de la nueva generación de seguridad de correo electrónico.

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

PCCOM Mayorista

Lleva tu ciberseguridad al siguiente nivel

www.pccommayorista.com

El phishing está cambiando. Y esta vez, el objetivo no somos solamente nosotros.

  • EL CAMINO DE CIBERSEGURIDAD

    PhishingIA:

    La inteligencia artificial está cambiando el Phishing

Durante años, la seguridad del correo electrónico ha vivido una carrera constante entre atacantes y defensores. Cada vez que una organización desarrolla una nueva forma de identificar mensajes maliciosos, los ciberdelincuentes encuentran una manera de modificar sus técnicas para intentar pasar desapercibidos. Primero fueron los correos masivos llenos de errores evidentes; después llegaron campañas mucho más cuidadas, capaces de imitar la identidad visual de bancos, plataformas digitales, proveedores e incluso compañeros de trabajo. Hoy, con la inteligencia artificial integrada en las herramientas de seguridad, esa carrera está entrando en una nueva etapa: los atacantes ya no solamente buscan engañar a las personas, también están buscando la manera de engañar a las máquinas que intentan protegerlas.

Esta evolución resulta especialmente interesante porque la inteligencia artificial ha cambiado de manera importante la forma en que se analiza un correo electrónico. Los sistemas modernos ya no dependen exclusivamente de una lista de palabras prohibidas, una firma conocida o una regla que indique que determinado dominio es sospechoso. Pueden analizar lenguaje, contexto, patrones de comportamiento, reputación, estructura del mensaje y múltiples señales que, combinadas, permiten determinar si un correo representa un riesgo. El problema es que, cuando una tecnología se convierte en una parte importante de la defensa, también se convierte en un objetivo para quien intenta evadirla.

El correo que ves no siempre es todo lo que contiene

Aquí es donde aparece una técnica conocida como text salting, una estrategia que aprovecha una característica fundamental de los correos electrónicos: lo que el usuario observa en pantalla no necesariamente representa todo lo que existe dentro del mensaje.

Un atacante puede construir un correo que, para una persona, parece completamente normal. Puede mostrar una promoción, una notificación de una cuenta, una supuesta recompensa o cualquier otro mensaje diseñado para provocar una acción. Sin embargo, dentro del código HTML puede incorporar grandes cantidades de texto adicional que permanecen ocultas para el destinatario. Ese contenido puede utilizar palabras y frases aparentemente inocentes con el objetivo de modificar la interpretación que realizan los sistemas automatizados.

La diferencia puede parecer pequeña, pero tiene implicaciones importantes. El usuario ve un mensaje; el sistema de seguridad analiza una estructura mucho más compleja. Si esa estructura está deliberadamente manipulada, el atacante puede intentar alterar las señales que utiliza una herramienta para determinar si el correo es legítimo o malicioso.

El concepto no es completamente nuevo. Durante años, los atacantes han utilizado diferentes técnicas de ofuscación para esconder contenido, modificar patrones o dificultar el trabajo de los filtros. Lo que cambia ahora es el escenario en el que se utilizan. Cuando los sistemas de defensa incorporan inteligencia artificial y modelos capaces de interpretar lenguaje, los atacantes tienen un nuevo objetivo: influir en la información que recibe el modelo para intentar influir en su decisión.

De esconder Malware a esconder la intención

El text salting es particularmente interesante porque no necesariamente busca ocultar un archivo malicioso o un enlace de manera tradicional. Su objetivo puede ser mucho más sutil: alterar el contexto que utiliza el sistema de seguridad para interpretar el mensaje.

Imaginemos un correo cuyo contenido visible habla de una recompensa o de una supuesta promoción. Detrás de ese mensaje puede existir una cantidad considerable de texto irrelevante introducido mediante diferentes técnicas de HTML y CSS. El texto puede utilizar tamaños de fuente prácticamente invisibles, desplazarse fuera del área visible o permanecer dentro de elementos que el usuario no percibe. Desde la perspectiva del destinatario, nada parece fuera de lo común; desde la perspectiva de un sistema automatizado, en cambio, existe mucho más contenido que analizar.

Y cuanto más sofisticados se vuelven estos sistemas, más sofisticados pueden intentar ser los atacantes.

La inteligencia artificial generativa permite producir grandes cantidades de contenido de forma rápida y crear variaciones de un mismo ataque. Esto significa que un atacante puede modificar estructuras, palabras y contenidos para evitar depender de un único patrón que pueda ser identificado. En lugar de enviar miles de copias idénticas de un correo, puede generar múltiples versiones que mantengan el mismo objetivo mientras cambian su apariencia y composición.

La consecuencia es importante: la seguridad del correo ya no puede depender únicamente de encontrar una palabra sospechosa o reconocer una estructura previamente identificada.

El verdadero desafío esta en entender el contexto

Aquí es donde la inteligencia artificial puede convertirse, paradójicamente, en una herramienta de defensa y en un nuevo campo de batalla al mismo tiempo.

La IA permite analizar cantidades enormes de información y encontrar relaciones que serían difíciles de detectar mediante reglas tradicionales. Puede ayudar a identificar comportamientos anómalos, analizar comunicaciones, reconocer patrones lingüísticos y relacionar diferentes señales para determinar si un mensaje representa una amenaza.

Pero un modelo es tan bueno como la información que recibe y la forma en que esa información es interpretada.

Por eso, frente a técnicas como el text salting, la pregunta ya no debería limitarse a “¿qué contiene este correo?”. Una solución de seguridad realmente robusta necesita plantearse preguntas adicionales: ¿qué contenido puede ver realmente el usuario?, ¿qué elementos existen únicamente dentro del código?, ¿quién envió el mensaje?, ¿desde dónde se originó?, ¿qué relación tiene con el destinatario?, ¿qué intenta provocar?, ¿el comportamiento del mensaje coincide con el comportamiento habitual de ese remitente?

La diferencia es fundamental. Analizar únicamente el contenido es como juzgar un libro por todas las palabras que aparecen impresas sin preguntarse cuáles forman realmente parte de la historia.

Cuando la IA se convierte en objetivo

Este fenómeno también revela algo más profundo sobre la evolución de la ciberseguridad. Durante mucho tiempo hablamos de inteligencia artificial como una herramienta que permitiría a los defensores adelantarse a los atacantes. Y, en buena medida, así está ocurriendo. Sin embargo, la misma tecnología que permite automatizar la defensa también puede utilizarse para automatizar el ataque.

La IA puede ayudar a un sistema de seguridad a encontrar patrones, pero también puede ayudar a un atacante a generar variaciones que intenten romper esos patrones. Puede analizar lenguaje para determinar si un mensaje parece legítimo, pero también puede utilizarse para construir mensajes que imiten con mayor precisión la comunicación humana. Puede ayudar a detectar anomalías y, al mismo tiempo, facilitar la creación de contenido diseñado para parecer normal.

Por eso, la evolución del correo seguro no consiste simplemente en “poner más IA”. La verdadera cuestión es cómo utilizar esa inteligencia dentro de una arquitectura capaz de observar múltiples señales y relacionarlas entre sí.

Un correo no debería considerarse seguro únicamente porque su texto parezca normal. Tampoco debería considerarse peligroso por una sola palabra o característica aislada. La seguridad necesita observar el mensaje como un conjunto: identidad, autenticación, reputación, contenido, estructura, enlaces, comportamiento, contexto y cualquier elemento que pueda revelar una intención diferente a la que el usuario percibe.

La próxima batalla no será visible

Quizá lo más preocupante del text salting es precisamente que no necesita llamar la atención.

El phishing tradicional intenta conseguir que una persona haga clic. El atacante construye una historia suficientemente convincente para provocar una reacción: miedo, urgencia, curiosidad o confianza. Las nuevas técnicas de evasión añaden otra capa al problema: mientras el usuario es persuadido por el mensaje, la tecnología que debería protegerlo también puede estar siendo manipulada.

Esto cambia la naturaleza de la defensa.

Ya no basta con preguntarnos si el usuario puede identificar un correo sospechoso. Tampoco basta con saber si una plataforma incorpora inteligencia artificial. La pregunta realmente importante es si esa inteligencia puede comprender el correo de la misma manera en que debería comprenderlo un usuario, distinguiendo entre el contenido visible, el contenido oculto, el contexto y la intención.

Porque el futuro de la seguridad del correo no será una batalla entre humanos y máquinas. Será una batalla entre máquinas que protegen y máquinas que atacan.

Y en esa carrera, la ventaja no necesariamente la tendrá quien tenga más inteligencia artificial, sino quien sea capaz de interpretar mejor lo que realmente está sucediendo detrás de cada mensaje.

La inteligencia artificial está transformando la seguridad del correo. Pero también está obligando a replantear una pregunta fundamental:

Si un atacante consigue engañar a la inteligencia que nos protege, ¿cómo podemos asegurarnos de que la amenaza nunca llegue a la bandeja de entrada?

Ese es el verdadero reto de la nueva generación de seguridad de correo electrónico.

Conoce más en el siguiente video

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Del código al modelo corporativo: Cómo The Gentlemen convirtió el Ransomware en un negocio de escala global.

  • EL CAMINO DE CIBERSEGURIDAD

    The Gentlemen:

    El ransomware que ataco de forma global a los negocios.

El ransomware ha dejado de ser únicamente un problema de malware. En los últimos años, los grupos de ciberdelincuentes han transformado este tipo de amenaza en operaciones organizadas que combinan acceso inicial, robo de credenciales, explotación de vulnerabilidades, movimiento lateral, extracción de información y extorsión. El objetivo ya no consiste simplemente en cifrar archivos, sino en construir una operación capaz de generar el mayor impacto económico posible.


The Gentlemen es un ejemplo reciente de esta evolución. La investigación publicada por Barracuda muestra cómo este grupo ha conseguido crecer rápidamente mediante un modelo de Ransomware-as-a-Service (RaaS), apoyándose en afiliados, accesos comprometidos y técnicas que, en muchos casos, utilizan herramientas legítimas presentes dentro de las propias organizaciones. Para agosto de 2026, The Gentlemen había reclamado más de 750 víctimas a nivel mundial, convirtiéndose en una operación que merece especial atención. Investigación de Barracuda sobre The Gentlemen ransomware

El ransomware ya no funciona como antes

Durante mucho tiempo, la imagen más común de un ataque de ransomware era relativamente sencilla: un archivo malicioso ingresaba a un equipo, cifraba la información y posteriormente aparecía una nota solicitando un pago para recuperar los archivos. Sin embargo, las campañas actuales son mucho más complejas. El cifrado suele representar solamente la etapa final de una intrusión que puede haber comenzado mucho antes.

Antes de llegar a ese punto, los atacantes necesitan encontrar una vía de entrada, identificar recursos importantes, comprometer cuentas, escalar privilegios, desplazarse por la red y localizar información que pueda utilizarse para incrementar la presión sobre la víctima. Por ello, una intrusión de ransomware puede entenderse como una cadena de acontecimientos en la que cada etapa genera señales que, correctamente analizadas, pueden permitir detectar el ataque antes de que alcance su objetivo.

The Gentlemen demuestra precisamente esta evolución. El grupo no depende únicamente de un código malicioso sofisticado; su capacidad está en combinar diferentes técnicas y recursos dentro de una operación organizada y escalable.

The Gentlemen y el modelo Ransomware-as-a-Service

Uno de los elementos que ayuda a explicar el crecimiento de The Gentlemen es su modelo de operación. De acuerdo con Barracuda, sus principales operadores cuentan con antecedentes dentro del ecosistema de ransomware y anteriormente estuvieron relacionados con una operación de afiliados conocida como ArmCorp, asociada principalmente con Qilin.

Posteriormente, The Gentlemen comenzó a operar como una marca independiente de Ransomware-as-a-Service. Este modelo permite que un grupo central proporcione infraestructura, herramientas y servicios mientras diferentes afiliados se encargan de realizar los ataques contra las organizaciones objetivo.

La ventaja para los atacantes es evidente: ya no necesitan que un mismo equipo realice cada etapa de la operación. Pueden distribuir responsabilidades y aumentar el número de ataques sin incrementar proporcionalmente su propia estructura. En el caso de The Gentlemen, Barracuda señala que los afiliados pueden conservar hasta el 90 % de los ingresos obtenidos mediante los rescates, creando un fuerte incentivo económico para atraer nuevos operadores.

Esto convierte al ransomware en algo más parecido a un modelo empresarial. Existe una plataforma, existen participantes con diferentes funciones y existe un mecanismo económico que permite mantener y ampliar la operación.

El acceso inicial: La puerta de entrada sigue siendo crítica

Aunque el modelo de negocio sea sofisticado, muchas de las técnicas utilizadas para obtener acceso inicial no son nuevas. Barracuda identifica entre los principales vectores asociados con The Gentlemen el compromiso de dispositivos perimetrales, particularmente equipos Fortinet, además del uso de credenciales VPN robadas o adquiridas y otros servicios expuestos a Internet.

También se han identificado campañas relacionadas con phishing, robo de credenciales y stealer logs, lo que demuestra que las identidades continúan siendo uno de los objetivos más importantes para los atacantes.

Esto plantea un desafío para las organizaciones. Una infraestructura puede contar con múltiples controles de seguridad y, aun así, mantener una puerta de entrada si existe un dispositivo vulnerable, una cuenta comprometida o un servicio expuesto de manera innecesaria.

Por esta razón, la protección contra ransomware no comienza cuando aparece el archivo malicioso. Comienza mucho antes, con la reducción de la superficie de ataque y la protección de los puntos que pueden proporcionar acceso a la organización.

Del acceso al movimiento lateral

Obtener acceso inicial es solamente el primer objetivo. Una vez dentro, el atacante necesita comprender el entorno y determinar cómo puede ampliar su control.

En esta etapa aparecen actividades como reconocimiento de la infraestructura, extracción de credenciales, escalamiento de privilegios y movimiento lateral. The Gentlemen ha sido asociado con el uso de herramientas como PowerShell, WMI, PsExec y Group Policy para desplazarse dentro de entornos Windows y Active Directory.

Aquí aparece uno de los problemas más importantes de la seguridad moderna: muchas de estas herramientas son completamente legítimas.

Un administrador puede utilizar PowerShell para automatizar una tarea, WMI para administrar sistemas o PsExec para realizar una operación remota. Por sí mismas, estas herramientas no indican necesariamente la presencia de un atacante.

El verdadero valor está en el contexto

La pregunta ya no debe ser únicamente si una herramienta es legítima o maliciosa, sino quién la está utilizando, desde qué dispositivo, contra qué sistemas, en qué momento y qué otras actividades están ocurriendo alrededor de esa acción.

Una ejecución de PowerShell puede ser normal. Una ejecución de PowerShell desde una cuenta comprometida, seguida por conexiones administrativas a múltiples servidores y una transferencia masiva de archivos, puede representar algo completamente diferente.

Por eso, detectar ransomware moderno requiere analizar comportamientos y relaciones entre eventos, no solamente identificar archivos maliciosos conocidos.

La información también parte del rescate

The Gentlemen utiliza un modelo de doble extorsión, una estrategia que ha cambiado considerablemente el impacto de los ataques de ransomware. En lugar de depender exclusivamente del cifrado, los atacantes pueden extraer información antes de interrumpir los sistemas.

La información financiera, los datos de clientes, documentos corporativos y otros archivos sensibles pueden convertirse en una segunda herramienta de presión. Si la organización se niega a pagar, los atacantes pueden amenazar con publicar o utilizar los datos robados.

Esto significa que contar con respaldos sigue siendo fundamental, pero ya no resuelve por completo el problema.

Una empresa puede recuperar sus servidores y restablecer sus operaciones, pero no puede recuperar información que ya fue extraída de su infraestructura. La recuperación tecnológica y la protección de la información son, por lo tanto, dos desafíos diferentes que deben abordarse dentro de una misma estrategia de seguridad.

El verdadero objetivo: Llegar al impacto

Una vez que los atacantes han conseguido acceso, privilegios e información, comienza la fase en la que buscan maximizar el impacto.

Según la investigación de Barracuda, The Gentlemen puede afectar máquinas virtuales, bases de datos, sistemas de respaldo, contenedores y otros procesos críticos antes de desplegar el ransomware. La capacidad de utilizar mecanismos de administración existentes dentro de la organización permite que el ataque pueda propagarse de manera significativa antes de que el cifrado sea visible.

Este punto es especialmente importante porque demuestra que esperar a detectar el ransomware puede significar esperar demasiado.

Cuando aparece la nota de rescate, es posible que el atacante ya haya conseguido credenciales privilegiadas, haya recorrido diferentes segmentos de la red, haya extraído información y haya preparado la infraestructura para dificultar la recuperación.

La oportunidad de detener el ataque probablemente estuvo mucho antes

¿Qué pueden aprender las organizaciones de The Gentlemen?

El caso The Gentlemen demuestra que la defensa contra ransomware requiere una estrategia que abarque diferentes capas de seguridad. Proteger el perímetro continúa siendo fundamental, especialmente frente a dispositivos y servicios expuestos a Internet, pero debe complementarse con una adecuada protección de identidades, gestión de vulnerabilidades y monitoreo continuo.

También es necesario prestar atención al comportamiento de los usuarios y dispositivos. Una cuenta que comienza a acceder a sistemas que normalmente no utiliza, un equipo que establece conexiones administrativas inusuales o una transferencia masiva de información pueden ser señales importantes cuando se analizan dentro de su contexto.

La correlación de eventos adquiere aquí un papel fundamental. Una alerta aislada puede no representar una amenaza significativa, pero varias señales relacionadas pueden revelar una cadena de ataque.

Por ejemplo, un inicio de sesión anómalo seguido por una elevación de privilegios, ejecución remota, movimiento hacia servidores críticos y extracción de información representa un escenario muy diferente a cada uno de esos eventos analizado por separado.

La capacidad de conectar esas señales permite que los equipos de seguridad pasen de reaccionar ante incidentes individuales a identificar comportamientos que forman parte de una operación coordinada.

El ransomware evolucionó. La defensa tambien debe hacerlo

The Gentlemen no demuestra únicamente que existe un nuevo grupo de ransomware. Demuestra cómo el cibercrimen continúa adoptando modelos que le permiten operar a mayor escala.

Los atacantes pueden combinar credenciales comprometidas, vulnerabilidades conocidas, dispositivos expuestos, herramientas legítimas y servicios especializados para construir una operación capaz de afectar a múltiples organizaciones.

Frente a este escenario, agregar más herramientas de seguridad no necesariamente significa obtener mayor protección. Lo importante es conseguir visibilidad sobre lo que ocurre en el entorno y contar con la capacidad de relacionar los diferentes eventos que se producen durante una intrusión.

La pregunta ya no debería ser solamente:

¿Tenemos protección contra ransomware?

La pregunta más importante es:

¿Podemos identificar que un atacante está construyendo una cadena de ataque dentro de nuestra organización antes de que llegue al punto de impacto?

Detectar un comportamiento anómalo, identificar una cuenta comprometida, reconocer movimiento lateral y responder antes de que se produzca el cifrado puede marcar la diferencia entre un intento de intrusión y una interrupción operativa.

The Gentlemen representa una nueva realidad del ransomware: los atacantes ya no necesitan depender únicamente de malware sofisticado cuando pueden convertir técnicas conocidas en una operación organizada, rentable y escalable.

Por eso, la defensa también debe evolucionar. La visibilidad, la correlación de eventos, la detección basada en comportamiento y la capacidad de respuesta deben formar parte de una estrategia diseñada no solamente para detectar una amenaza, sino para interrumpirla antes de que se convierta en una crisis.

Conoce más en el siguiente video

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

La IA también puede ser atacada: el nuevo frente de la ciberseguridad

  • ALERTA DE CIBERSEGURIDAD

    La IA también es atacada:

    El nuevo frente de la ciberseguridad.

La nueva superficie de ataque: cuando la IA también se convierte en un riesgo de ciberseguridad.

La inteligencia artificial está avanzando a una velocidad que pocas tecnologías han conseguido igualar. Empresas de todos los sectores ya utilizan modelos de IA para automatizar procesos, analizar información, generar contenido y tomar decisiones.

Pero mientras la adopción crece, también aparece una pregunta que no siempre recibe la misma atención:

¿Qué ocurre cuando la tecnología que utilizamos para ser más eficientes también se convierte en una nueva superficie de ataque?

Nueva superficie de ataque

Los datos recientes sobre vulnerabilidades relacionadas con software de inteligencia artificial muestran que este riesgo ya no es una posibilidad futura. Es un desafío que las organizaciones necesitan comenzar a gestionar desde ahora.

Más IA también significa más vulnerabilidades

Durante 2025 se identificaron cientos de vulnerabilidades asociadas con software relacionado con inteligencia artificial. Y durante los primeros meses de 2026, la cantidad registrada ya había superado ampliamente la cifra del año anterior.

Pero el número por sí solo no es lo más preocupante.

Una parte importante de estas vulnerabilidades alcanza niveles de severidad High o Critical, lo que significa que algunas pueden representar un impacto considerable cuando son explotadas.

Esto cambia la conversación.

El problema ya no consiste únicamente en preguntarnos qué tan poderosa es una IA, sino también qué tan segura es la infraestructura que permite que esa IA funcione.

El riesgo no solamente se encuentra en el modelo

Cuando pensamos en seguridad de IA, es común imaginar que el principal objetivo sería atacar directamente al modelo.

Sin embargo, la superficie de ataque es mucho más grande.

Alrededor de un sistema de IA existen:

  • APIs.
  • Frameworks.
  • Plugins.
  • Aplicaciones.
  • Bibliotecas de código abierto.
  • Integraciones con servicios externos.
  • Sistemas de autenticación.
  • Bases de datos.
  • Herramientas empresariales.

Cada uno de estos componentes puede convertirse en un punto de entrada.

Y aquí aparece uno de los cambios más importantes de la inteligencia artificial moderna: la IA está dejando de limitarse a responder preguntas y comienza a ejecutar acciones.

Cuando la IA puede actuar, el riesgo cambia

Los sistemas basados en agentes representan una evolución importante.

Un agente puede recibir instrucciones, consultar información, utilizar herramientas, interactuar con aplicaciones y ejecutar determinadas acciones.

Esto aumenta considerablemente su utilidad.

Pero también aumenta el impacto potencial de una vulnerabilidad.

Si un atacante consigue comprometer una aplicación conectada a un agente, explotar una API o manipular una integración, el problema podría ir mucho más allá de obtener una respuesta incorrecta.

Podría significar acceso, movimiento dentro de sistemas o ejecución de acciones que originalmente estaban autorizadas para la IA.

Por eso, mientras más capacidades tenga un sistema de IA para interactuar con el entorno, mayor debe ser el nivel de seguridad que lo acompaña.

El código abierto también forma parte del problema

Otro punto que merece atención es la dependencia del ecosistema open source.

Gran parte de las aplicaciones modernas de IA se construyen utilizando frameworks, bibliotecas y componentes desarrollados por terceros.

Esto permite innovar más rápido.

Pero también significa que una vulnerabilidad en uno de esos componentes puede terminar afectando múltiples aplicaciones y organizaciones que dependen de él.

Por eso, proteger la IA no consiste únicamente en revisar el código que desarrolla una empresa.

También implica conocer qué componentes utiliza, de dónde provienen y qué vulnerabilidades existen en ellos.

¿Qué deberían hacer las empresas?

La respuesta no es dejar de utilizar inteligencia artificial.

La solución es adoptar la IA acompañada de una estrategia de seguridad.

Algunos puntos deberían convertirse en prioridades:

  1. Conocer la superficie de ataque. Identificar qué herramientas de IA existen dentro de la organización y con qué sistemas están conectadas.
  2. Gestionar vulnerabilidades constantemente. No basta con instalar una solución y asumir que permanecerá segura. Los componentes utilizados por la IA también necesitan monitoreo, actualización y gestión de vulnerabilidades.
  3. Controlar los permisos. Un agente no debería tener más acceso del estrictamente necesario para realizar su función.
  4. Vigilar las integraciones. APIs, plugins, aplicaciones externas y conexiones entre sistemas deben considerarse parte de la superficie de ataque.
  5. Monitorear el comportamiento. La seguridad no termina con prevenir una vulnerabilidad. También es necesario detectar comportamientos anómalos y responder rápidamente cuando algo se sale de lo esperado.

La IA no es el problema. La falta de seguridad sí.

La inteligencia artificial representa una de las mayores oportunidades tecnológicas de los últimos años. Precisamente por eso, su seguridad no puede convertirse en una preocupación secundaria.

A medida que las organizaciones incorporan IA en más procesos, también incorporan nuevos componentes, conexiones y permisos que necesitan ser protegidos.

La pregunta ya no debería ser solamente "¿qué puede hacer nuestra IA?"

"¿Qué podría hacer un atacante si consigue comprometerla?"

La respuesta a esa pregunta debería formar parte de cualquier estrategia de adopción de inteligencia artificial.

Porque la próxima generación de ciberseguridad no tendrá que proteger únicamente a las personas, los dispositivos y las aplicaciones.

También tendrá que proteger a las inteligencias artificiales que comienzan a interactuar con ellos.

XDR Endpoint Security

Servicio XDR Endpoint Security

Servicio XDR para una computadora o servidor por 12 meses. Recopila telemetría de seguridad en tiempo real para identificar, correlacionar e investigar amenazas avanzadas que evaden soluciones tradicionales.

Comprar ahora

* Suscripción anual

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

El verdadero valor de un backup aparece cuando todo sale mal

  • El camino de la ciberseguridad

    El verdadero valor de un Backup aparece cuando todo sale mal

Los costos ocultos de tener demasiadas copias de seguridad

Cuando una empresa piensa en proteger su información, contar con copias de seguridad parece una de las decisiones más importantes y, al mismo tiempo, más sencillas. Después de todo, si un archivo se elimina, un servidor falla o un ataque de ransomware compromete los sistemas, tener una copia disponible puede ser la diferencia entre una interrupción temporal y una crisis que afecte seriamente la operación.

El problema aparece cuando esa estrategia comienza a crecer sin una planificación clara.

Con el tiempo, una empresa puede terminar utilizando diferentes soluciones para proteger sus servidores, equipos de trabajo, aplicaciones en la nube y plataformas empresariales. Algunas fueron implementadas por el área de TI, otras llegaron junto con un nuevo proveedor y algunas más se incorporaron después de un incidente o como parte de una necesidad específica de algún departamento. Cada decisión pudo haber sido correcta en su momento, pero el resultado final puede ser un entorno fragmentado en el que nadie tiene una visión completa de qué información está protegida, dónde se encuentra cada copia y, sobre todo, qué tan fácil sería recuperarla cuando realmente fuera necesario.

A primera vista, tener varias soluciones de respaldo podría parecer una ventaja. Más herramientas, más copias y más opciones para recuperar información deberían significar una mayor protección. Sin embargo, en ciberseguridad la cantidad no siempre equivale a seguridad. Cuando las herramientas crecen sin una estrategia que las integre, también aumentan las configuraciones que deben administrarse, las credenciales que deben protegerse, las políticas que deben revisarse y los procesos que deben mantenerse actualizados.

Y ahí aparece uno de los costos menos visibles de la proliferación de copias de seguridad: la pérdida de control sobre la propia estrategia de protección.

Cuando tener más copias no significa estar mejor protegido

Imaginemos una situación cotidiana. Una empresa cuenta con una solución para respaldar sus servidores, otra para los equipos de los usuarios y una tercera para determinados servicios en la nube. Además, conserva una plataforma antigua porque todavía contiene información histórica y algunos sistemas cuentan con sus propios mecanismos de respaldo.

En los informes, todo parece estar funcionando correctamente. Las tareas de respaldo aparecen como exitosas y los datos parecen estar almacenados.

Pero llega un incidente.

Un ataque compromete las cuentas de algunos usuarios, varios sistemas dejan de estar disponibles y parte de la información necesita ser recuperada con urgencia. Es entonces cuando la organización descubre que conocer la existencia de una copia no es lo mismo que conocer su verdadera capacidad de recuperación.

¿Dónde está la información crítica? ¿Cuál es la copia más reciente? ¿Qué solución tiene los datos que realmente se necesitan? ¿Cuánto tiempo se conservarán? ¿Quién puede acceder a ellos? ¿Las credenciales utilizadas para administrar los respaldos están protegidas? ¿La copia también podría haber sido afectada por el mismo incidente? Y quizá la pregunta más importante de todas: ¿se ha probado realmente la restauración?

Estas preguntas son importantes porque una estrategia de respaldo no debería evaluarse únicamente por su capacidad para crear copias. Su verdadero valor aparece cuando la empresa necesita utilizarlas.

Una copia que nunca ha sido restaurada, una política que nadie ha revisado o un sistema que permanece activo sin que nadie conozca exactamente qué protege pueden generar una sensación de seguridad mucho mayor que la protección real que ofrecen.

El problema no son las copias, sino la falta de visibilidad

Tener diferentes mecanismos de respaldo no es necesariamente un error. De hecho, determinadas organizaciones necesitan diferentes niveles de protección dependiendo del tipo de información, la criticidad de sus sistemas o los requisitos de continuidad de su negocio.

El problema comienza cuando esas soluciones funcionan como islas.

Cada plataforma puede tener su propia consola, sus propias credenciales, diferentes periodos de retención y distintas formas de reportar el estado de las copias. Mientras tanto, el equipo responsable de TI tiene que dedicar tiempo a revisar cada una de ellas para determinar si todo está funcionando como debería.

Conforme aumenta la complejidad, también aumenta la posibilidad de que algo pase desapercibido.

Puede existir un servidor que no esté incluido en ninguna política de respaldo. Puede haber equipos que continúen utilizando un agente antiguo. Una aplicación crítica puede tener una retención insuficiente. O puede existir una copia perfectamente configurada que nadie haya intentado restaurar durante meses o incluso años.

Esto convierte el problema de los backups en algo mucho más amplio que el almacenamiento de información. En realidad, estamos hablando de visibilidad, administración y continuidad operativa.

Una empresa necesita saber qué activos tiene, cuáles son críticos, qué información contienen, cómo están protegidos y qué sucedería si dejaran de estar disponibles. Sin esa visibilidad, incluso una infraestructura con múltiples soluciones de respaldo puede tener importantes puntos ciegos.

La recuperación debe formar parte de la estrategia de seguridad

Durante mucho tiempo, las copias de seguridad se consideraron principalmente una herramienta para recuperar archivos eliminados o solucionar fallas de hardware. Hoy, esa visión resulta insuficiente.

Los datos se han convertido en uno de los activos más importantes de cualquier organización y, al mismo tiempo, en uno de los principales objetivos de los ciberdelincuentes. Un ataque exitoso no necesariamente busca destruir la información; en muchos casos, busca impedir que la empresa pueda acceder a ella y utilizarla.

Por eso, proteger los respaldos también significa proteger la capacidad de recuperación de la organización.

Esto implica considerar aspectos como el control de acceso, la protección de las credenciales administrativas, la separación de los respaldos respecto de los sistemas productivos, las políticas de retención y, especialmente, las pruebas periódicas de restauración. No basta con que una plataforma informe que una tarea terminó correctamente. Es necesario comprobar que los datos pueden recuperarse de manera íntegra y que el proceso puede ejecutarse dentro del tiempo que el negocio necesita.

Una estrategia de recuperación efectiva tampoco debería depender de que una persona recuerde cómo funciona cada plataforma cuando ocurre una emergencia. Debe existir un proceso claro, documentado y probado que permita actuar con rapidez.

Porque cuando un incidente ocurre, el tiempo deja de ser un concepto abstracto. Cada hora sin acceso a los sistemas puede representar operaciones detenidas, empleados sin capacidad para trabajar, clientes afectados y pérdidas económicas.

Menos complejidad, más control

La respuesta no necesariamente consiste en eliminar todas las herramientas y utilizar una única plataforma para todo. Cada organización tiene necesidades diferentes y, en determinados escenarios, mantener varias tecnologías puede ser completamente válido.

La verdadera oportunidad está en dejar de administrar las copias de seguridad como elementos independientes y comenzar a gestionarlas como parte de una estrategia integral de protección.

Esto significa tener visibilidad sobre los activos, identificar qué información necesita mayor protección, conocer dónde están las copias, controlar quién puede administrarlas y establecer mecanismos que permitan comprobar periódicamente que la recuperación realmente funciona.

También significa evaluar si las herramientas que actualmente utiliza la empresa siguen aportando valor o si simplemente continúan activas porque nadie ha tenido tiempo de revisarlas.

La tecnología debe ayudar a reducir la incertidumbre, no aumentarla.

Por eso, antes de adquirir otra solución de respaldo, vale la pena hacer una pausa y analizar el entorno actual. Saber qué se está protegiendo, qué no, qué herramientas están duplicando funciones y qué tan preparada está la organización para recuperar sus operaciones puede revelar problemas que permanecen ocultos mientras todo funciona con normalidad.

Al final, una empresa no necesita presumir cuántas copias de seguridad tiene. Necesita tener la confianza de que su información crítica estará disponible cuando la necesite.

Porque el verdadero valor de una estrategia de respaldo no está en la cantidad de herramientas, servidores o terabytes almacenados. Está en la capacidad de mantener el control, responder ante un incidente y recuperar la operación sin poner en riesgo la continuidad del negocio.

Y cuando hablamos de ciberseguridad, esa capacidad puede ser tan importante como cualquier otra capa de protección.

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

Protección avanzada, visibilidad total y respuesta inteligente en un solo lugar.

Proyecto Fantasma: cuando el ciberdelito se convierte en un servicio bajo demanda.

Blog de la ciberseguridad

Proyecto Fantasma: Cuando el ciberdelito se convierte en un servicio bajo demanda


Proyecto Fantasma: Un conjunto de herramientas para combatir el ciberdelito.

Phantom Project es un conjunto de herramientas comerciales para el cibercrimen que incluye un programa de robo de datos, un cifrador y una herramienta de acceso remoto (RAT). Sigue el modelo estándar de Malware como Servicio (MaaS) con suscripciones escalonadas para acceso básico y avanzado. Los investigadores han detectado este conjunto de herramientas en campañas de phishing en ruso e inglés dirigidas a usuarios en más de 100 países. La actividad de Phantom Project se observó por primera vez en junio de 2025, aunque los investigadores descubrieron que su sitio de distribución se había registrado en febrero de ese mismo año. La actividad de Phantom Project se intensificó durante la segunda mitad de 2025, y varios equipos de investigación independientes documentaron distintas campañas globales en un mismo período de varios meses.

Se dice que Phantom Project incluye tres componentes principales, pero solo dos parecen haber sido detectados en ataques. Phantom Stealer es el programa de robo de información y la pieza clave del paquete. Phantom Crypter empaqueta y ofusca la carga útil de Phantom Stealer para facilitar la evasión de los controles de seguridad. El troyano de acceso remoto Phantom RAT se anuncia en el sitio web, pero hay poca evidencia de su despliegue en las campañas observadas.

TX1
TX2

El troyano de acceso remoto (RAT)

En conjunto, el cifrador, el ladrón de información y el troyano de acceso remoto (RAT) proporcionan a los ciberdelincuentes herramientas para la distribución de malware, el robo de credenciales y el acceso a largo plazo. Este tipo de paquete refleja una tendencia en la economía del cibercrimen hacia las ofertas de MaaS (Mailing as a Service) que combinan múltiples etapas de ataque en una sola suscripción. Muchos de estos paquetes han incluido un ladrón de información y un cifrador, un cargador o un RAT. Otro paquete común es un cargador, un cifrador y un RAT. Phantom Project destaca porque el cargador tradicional se reemplaza por un ladrón de información.

Phantom Stealer

El componente Phantom Stealer ha seguido evolucionando como plataforma de robo de identidad desde su aparición en 2025. Los desarrolladores ampliaron la segmentación de navegadores para incluir Chrome, Edge, Firefox y otros navegadores basados en Chromium y Gecko, y añadieron mayores capacidades de recopilación de datos. Se ha detectado Phantom Stealer v3.5.0 en múltiples campañas globales a lo largo de 2026, incluyendo operaciones de phishing dirigidas a personal de banca, manufactura, compras, logística y finanzas.

Los investigadores también han documentado cadenas de distribución cada vez más sofisticadas que utilizan cadenas de infección de varias etapas y técnicas de ejecución sin archivos diseñadas para eludir los controles de seguridad.

Cuida tu organización de amenazas 

El éxito de Phantom Stealer depende en gran medida del robo de credenciales y de lograr que los usuarios abran archivos maliciosos. Por ello, una sólida seguridad del correo electrónico, la autenticación multifactor (MFA) resistente al phishing y la monitorización cuidadosa de la actividad de las cuentas constituyen algunas de las defensas más eficaces. Los equipos de TI también deben estar atentos a las conexiones salientes y transferencias de datos inusuales, especialmente a servicios en la nube desconocidos. Se ha observado que Phantom Stealer extrae datos a través de múltiples canales simultáneamente, como SMTP, FTP, Telegram y Discord. Es fundamental monitorizar estas y cualquier otra conexión a servicios desconocidos.

Cobra Networks

Lleva tu ciberseguridad al siguiente nivel

www.cobranetworks.com