Entradas de blog etiquetadas con ' cyberrisk '

Un correo electrónico, dos objetivos.

El phishing tradicional se basa principalmente en la ingeniería social.

El atacante crea un mensaje diseñado para parecer confiable y utiliza diferentes recursos para provocar una acción por parte del destinatario: hacer clic, descargar un archivo, introducir información o seguir determinadas instrucciones.

Pero cuando un asistente de IA comienza a intervenir en el procesamiento de esos mensajes, el correo electrónico deja de ser únicamente una comunicación dirigida a una persona.

También puede convertirse en una entrada de información para un sistema automatizado.

Y eso abre una nueva posibilidad para los atacantes: intentar influir directamente en el comportamiento de la IA.

Las campañas pueden combinar técnicas tradicionales de ingeniería social dirigidas a los usuarios con inyecciones maliciosas de mensajes diseñadas para influir o anular el comportamiento esperado del asistente de IA.

En otras palabras, el mismo correo puede intentar engañar al humano y, al mismo tiempo, manipular a la inteligencia artificial.

Cuando la ingeniería social también apunta a la IA

Una de las características más importantes de este nuevo escenario es que los dos ataques pueden coexistir dentro del mismo mensaje.

Para el usuario, el atacante puede recurrir a técnicas conocidas de ingeniería social. Por ejemplo, utilizar un archivo adjunto protegido con contraseña para intentar generar confianza o dificultar el análisis automático de su contenido.

Pero mientras el usuario observa el correo, el asistente de IA puede estar procesando información completamente diferente.

Si el sistema analiza automáticamente el contenido del mensaje para generar un resumen, determinar su prioridad o ayudar al usuario a gestionar una solicitud, las instrucciones maliciosas incluidas dentro del correo pueden intentar influir en ese procesamiento.

Así, el atacante ya no depende exclusivamente de convencer a una persona.

También puede intentar convencer a la máquina que está ayudando a esa persona.

La IA se convierte en parte de la superficie de ataque

La adopción de asistentes de IA está modificando la manera en que los usuarios interactúan con el correo electrónico.

Un usuario puede recibir cientos de mensajes y apoyarse en la IA para identificar cuáles requieren atención. Puede utilizarla para resumir conversaciones extensas, analizar solicitudes, gestionar invitaciones o facilitar determinadas decisiones empresariales.

Esto aporta eficiencia, pero también significa que los sistemas de IA comienzan a consumir y procesar información procedente directamente de las bandejas de entrada.

Y esa información no siempre es confiable.

Un correo electrónico puede contener contenido diseñado específicamente para influir en el comportamiento del sistema que lo analiza. Por ello, el problema ya no consiste únicamente en determinar si un usuario podría caer en un phishing.

Ahora también es necesario considerar qué puede hacer una IA cuando recibe y procesa ese mismo contenido malicioso.

El nuevo reto para la seguridad del correo

Este cambio obliga a ampliar la perspectiva de protección.

Durante mucho tiempo, la estrategia de seguridad del correo electrónico se ha concentrado en proteger al usuario y detectar mensajes maliciosos antes de que lleguen a su bandeja de entrada.

Esa protección sigue siendo fundamental.

Pero a medida que los asistentes de IA adquieren un papel más importante en la gestión del correo, las organizaciones también deben considerar los sistemas que leen, interpretan y procesan esa información.

La bandeja de entrada deja de ser únicamente un espacio donde una persona recibe mensajes. Puede convertirse también en una fuente de datos para sistemas automatizados con capacidad de analizar información y participar en determinadas acciones.

Por eso, proteger el correo electrónico implica pensar más allá del usuario final.

Proteger al usuario y también a la inteligencia artificial

El phishing está evolucionando porque también está cambiando la forma en que trabajamos con el correo electrónico.

Los atacantes continúan utilizando técnicas de ingeniería social para manipular a las personas, pero ahora pueden intentar aprovechar una segunda capa: los sistemas de IA que procesan los mensajes antes, durante o después de que lleguen al usuario.

El análisis indica que un correo malicioso puede tener más de un objetivo.

Para las organizaciones, esto significa que la seguridad debe contemplar no solo la protección de los usuarios y sus bandejas de entrada, sino también los sistemas de inteligencia artificial que consumen y procesan los datos del correo electrónico.

Porque cuando la IA se convierte en parte de la forma en que gestionamos nuestros mensajes, también puede convertirse en parte de la superficie que debemos proteger.

El phishing ya no busca únicamente que hagas clic. Ahora también puede intentar que tu IA haga lo que el atacante quiere.

Como limitar el riesgo de ser vulnerable

Barracuda Email Gateway Defense ayuda a identificar y bloquear mensajes sospechosos, analizar archivos adjuntos en entornos aislados y aplicar controles en torno a tipos de archivos adjuntos de alto riesgo, incluidos los archivos protegidos con contraseña.

La IA conductual ayuda a identificar intentos de phishing, suplantación de identidad por correo electrónico empresarial y otros ataques que pueden eludir la detección tradicional basada en firmas.

Cuando una cuenta se ve comprometida, el sistema de respuesta automatizada ante amenazas puede contener rápidamente la amenaza eliminando los correos electrónicos maliciosos, deshabilitando el acceso sospechoso y corrigiendo los indicadores de compromiso.

Phishing en tu correo electrónico

MFA.

Durante años, una de las recomendaciones más importantes en ciberseguridad ha sido clara: utiliza autenticación multifactor.

Y sigue siendo un consejo fundamental.

Pero los atacantes están aprendiendo que, en lugar de intentar romper directamente los controles de seguridad, pueden buscar algo mucho más interesante: aprovechar la confianza que existe entre esos controles.

Ese es el concepto detrás de TrustSink, una técnica que pone el foco en Microsoft Entra ID y en los entornos de identidad federada.

En lugar de llevar a la víctima a una página de phishing evidentemente falsa, TrustSink busca insertarse en un flujo de autenticación legítimo mediante un proveedor de autenticación multifactor (MFA) malicioso.

El usuario cree que está iniciando sesión normalmente.

El sistema cree que está trabajando con un proveedor de confianza.

Mientras tanto, el atacante puede estar capturando las credenciales.

TrustSink cambia la pregunta: ¿en quién confías para autenticar a tus usuarios?

La fortaleza de un sistema de identidad federada depende, en gran medida, de las relaciones de confianza que existen dentro de él.

Las organizaciones utilizan proveedores de identidad, mecanismos de autenticación y servicios externos para facilitar el acceso seguro a aplicaciones y recursos corporativos.

TrustSink intenta convertir esa confianza en una oportunidad de ataque.

La técnica introduce un proveedor MFA malicioso dentro del proceso de autenticación. Cuando un usuario inicia sesión a través de un portal legítimo, sus credenciales pueden pasar por ese componente antes de completar el proceso de autenticación.

Esto abre la puerta a la captura de las contraseñas en tiempo real.

Y aquí está la diferencia fundamental frente al phishing tradicional:

el usuario no necesariamente está interactuando con una página falsa.

Está utilizando un flujo de autenticación que parece legítimo.

El problema no es solamente robar una contraseña

Una contraseña comprometida ya representa un riesgo.

Pero cuando esa contraseña pertenece a una identidad corporativa con acceso a Microsoft Entra ID, Microsoft 365, aplicaciones empresariales y recursos en la nube, el impacto potencial puede ser mucho mayor.

Una credencial válida puede convertirse en el punto de partida para:

• Acceder a aplicaciones y servicios corporativos.

• Consultar información confidencial.

• Comprometer otras cuentas.

• Intentar elevar privilegios.

• Realizar movimiento lateral.

• Mantener acceso persistente.

• Preparar ataques posteriores, incluido ransomware.

Por eso, la identidad se ha convertido en uno de los activos más importantes que una organización debe proteger.

Si un atacante controla una identidad legítima, puede intentar comportarse como un usuario legítimo.

Y eso hace que la detección sea mucho más complicada.

Cuando el ataque utiliza la infraestructura legítima

Esta es probablemente la característica más preocupante de TrustSink.

El phishing tradicional intenta engañar al usuario para que abandone el entorno legítimo y entre en una página controlada por el atacante.

TrustSink plantea otro escenario.

El atacante busca aprovechar el propio ecosistema de autenticación y las relaciones de confianza existentes.

Esto puede reducir algunas de las señales que normalmente ayudan a detectar un ataque de phishing.

No necesariamente hay una página con una URL extraña.

No necesariamente existe un correo lleno de errores.

No necesariamente el usuario recibe una alerta evidente.

En cambio, el ataque intenta integrarse en un proceso que la víctima ya reconoce como normal.

La confianza deja de ser únicamente una defensa y se convierte en parte de la superficie de ataque.

MFA sigue siendo importante. Pero MFA no puede tratarse como una solución aislada

TrustSink también deja una lección importante sobre la autenticación multifactor.

MFA continúa siendo uno de los controles más importantes para reducir el riesgo asociado con credenciales robadas. Sin embargo, ningún mecanismo de seguridad debería considerarse una barrera absoluta.

Los atacantes están evolucionando.

Ya no se limitan a intentar obtener una contraseña mediante phishing. También buscan manipular sesiones, robar tokens, explotar procesos de autenticación y abusar de relaciones de confianza.

Por eso, proteger la identidad requiere una estrategia más amplia.

No basta con preguntar “¿el usuario tiene MFA?”.

También debemos preguntar:

¿Quién puede modificar la configuración de autenticación?

¿Qué proveedores externos están autorizados?

¿Qué relaciones de federación existen?

¿Qué cambios se están realizando?

¿Desde dónde se están produciendo las autenticaciones?

¿El comportamiento coincide realmente con el usuario?

Estas preguntas forman parte de una estrategia de seguridad de identidad mucho más robusta.

¿Quién está más expuesto?

El riesgo es especialmente relevante para organizaciones que dependen de Microsoft Entra ID con configuraciones de identidad federada y mantienen relaciones con proveedores externos de identidad o autenticación.

Una gobernanza deficiente puede ampliar considerablemente la superficie de ataque.

Por ejemplo, una organización puede tener dificultades para detectar o controlar:

• Proveedores de identidad externos que ya no deberían tener acceso.

• Configuraciones de federación excesivamente permisivas.

• Usuarios con privilegios para modificar mecanismos de autenticación.

• Cambios inesperados en proveedores MFA.

• Actividad de autenticación anómala.

• Relaciones de confianza que no han sido revisadas recientemente.

El problema es que una configuración que alguna vez fue necesaria puede convertirse, con el tiempo, en una puerta que nadie recuerda que dejó abierta.

¿Cómo reducir el riesgo de TrustSink?

La defensa comienza por recuperar visibilidad sobre quién y qué tiene capacidad para intervenir en los procesos de autenticación.

Barracuda recomienda adoptar varias medidas:

1. Revisar las relaciones de confianza

Audite periódicamente los proveedores de identidad externos y las configuraciones de MFA asociadas a Microsoft Entra ID.

La pregunta no debería ser únicamente “¿funciona?”, sino también “¿sigue siendo necesario y confiable?”

2. Aplicar controles estrictos de acceso

Utilice políticas de acceso condicional para limitar la autenticación proveniente de proveedores no autorizados o que no cumplan los requisitos de seguridad establecidos.

3. Vigilar los cambios en la federación

Habilite registros y alertas avanzadas para detectar modificaciones inesperadas en la configuración de identidad, proveedores de autenticación y relaciones de federación.

Un cambio aparentemente pequeño puede tener consecuencias importantes.

4. Reducir los privilegios administrativos

Limite el número de usuarios capaces de modificar configuraciones de federación o agregar proveedores externos de autenticación.

Cuantas menos identidades puedan cambiar las reglas de confianza, menor será la superficie de ataque.

5. Adoptar un enfoque Zero Trust

No asuma que una identidad, dispositivo o proveedor es confiable simplemente porque ya se encuentra dentro del ecosistema.

La confianza debe evaluarse continuamente antes de conceder acceso a recursos sensibles.

6. Considerar métodos de autenticación resistentes al phishing

Siempre que sea posible, las organizaciones deberían evaluar mecanismos como claves de seguridad FIDO2 o autenticación basada en certificados, reduciendo la dependencia de métodos que puedan ser susceptibles a determinadas técnicas de robo de credenciales.

La nueva batalla por la identidad

TrustSink representa una evolución importante en la forma en que debemos pensar sobre la seguridad de las identidades.

Durante mucho tiempo, la estrategia consistía en proteger las credenciales.

Después, añadimos MFA para protegerlas mejor.

Ahora los atacantes están buscando algo más sofisticado:

atacar el sistema que determina en quién confiamos para autenticar esas identidades.

Ese cambio obliga a las organizaciones a ampliar su perspectiva.

La seguridad de identidad no consiste únicamente en proteger nombres de usuario y contraseñas. También implica proteger las relaciones, configuraciones, proveedores y privilegios que hacen posible la autenticación.

Porque si un atacante consigue robar una contraseña, tenemos un problema.

Pero si consigue que el sistema confíe en él para obtenerla, tenemos un problema mucho mayor.

La lección de TrustSink es clara: en un entorno donde la identidad se ha convertido en el nuevo perímetro, la confianza también debe ser protegida.

Phishing en tu correo electrónico

EvilTokens: cuando el phishing se convierte en un servicio

EvilTokens funcionaba bajo un modelo que ya es habitual en el ecosistema criminal: el Phishing-as-a-Service. En lugar de que cada atacante tenga que desarrollar desde cero sus propias herramientas, estas plataformas proporcionan infraestructura y capacidades listas para lanzar campañas de phishing.

En este caso, una de las técnicas empleadas fue el phishing mediante código de dispositivo, que abusa de un flujo legítimo de autenticación diseñado originalmente para dispositivos con interfaces limitadas, como televisores inteligentes, impresoras o sistemas de videoconferencia.

El usuario recibe un código y debe introducirlo desde otro dispositivo para completar la autenticación. Para el atacante, este proceso abre una oportunidad: mediante ingeniería social, puede presentar una solicitud maliciosa como si fuera un procedimiento legítimo de inicio de sesión.

El resultado es especialmente relevante porque la víctima puede estar interactuando con un flujo de autenticación real, mientras el atacante intenta aprovechar ese proceso para obtener acceso.

El nuevo acelerador del cibercrimen: la IA

El desmantelamiento de EvilTokens también revela otra tendencia que está cambiando el ritmo al que evolucionan las amenazas: la utilización de herramientas de inteligencia artificial para desarrollar código.

Cuando una plataforma criminal queda fuera de servicio, tradicionalmente reconstruir su infraestructura requería tiempo, conocimientos técnicos y recursos. Las herramientas de codificación asistida por IA pueden reducir algunas de esas barreras.

Esto no significa que la IA cree automáticamente una operación criminal completa. Significa que determinadas tareas de desarrollo pueden realizarse más rápido y con menor esfuerzo, facilitando que los atacantes reemplacen componentes que han sido identificados y neutralizados.

Y ahí aparece un cambio importante: la infraestructura criminal comienza a comportarse como un sistema resiliente.

Si una plataforma cae, otra puede ocupar su lugar.

Blockchain, infraestructura distribuida y bajos costes: una combinación difícil de perseguir

La evolución no termina en la IA. Los operadores criminales también recurren a infraestructura de bajo coste y mecanismos descentralizados que pueden dificultar la identificación y el seguimiento de los recursos utilizados durante una campaña.

Esto crea una situación complicada para los defensores. Incluso cuando una infraestructura es localizada y desactivada, el coste de reemplazarla puede ser suficientemente bajo como para que la operación continúe bajo una nueva forma.

Por eso, el desmantelamiento de EvilTokens resulta relevante más allá de la propia plataforma: muestra que combatir el cibercrimen ya no consiste únicamente en encontrar un servidor y apagarlo.

Se trata de identificar y afectar todo el ecosistema que permite que estas operaciones continúen.

¿Significa esto que los desmantelamientos ya no funcionan?

No. Interrumpir plataformas criminales sigue siendo una herramienta importante para reducir la capacidad operativa de los atacantes.

El desafío es que una operación aislada puede tener un efecto temporal si no se acompaña de acciones contra otros elementos de la cadena: infraestructura, proveedores, credenciales comprometidas, canales de distribución y servicios utilizados para facilitar los ataques.

El caso de EvilTokens deja precisamente esa lección: el objetivo no debería ser únicamente derribar una plataforma, sino dificultar que el ecosistema pueda reconstruirse inmediatamente después.

La IA está acelerando la capacidad de desarrollo. Los servicios en la nube reducen los costes de infraestructura. Los modelos PhaaS permiten que más actores accedan a herramientas sofisticadas. Y las técnicas de autenticación legítimas pueden convertirse en nuevas superficies de ataque.

El resultado es un escenario donde detener una amenaza puede ser más fácil que evitar que aparezca su reemplazo.

Para las organizaciones, esto refuerza la necesidad de no depender exclusivamente de las acciones de desmantelamiento. La protección debe asumir que las campañas pueden reaparecer, cambiar de infraestructura y utilizar nuevas técnicas.

Porque en la nueva economía del cibercrimen, derribar al atacante una vez no garantiza que no vuelva a intentarlo mañana.

Phishing en tu correo electrónico

¿Qué ocurre después de que un ataque de phishing con clave de acceso tenga éxito?

Lo primero que llama la atención en la investigación de Microsoft es que los atacantes no estaban realmente interesados en las claves de acceso. Estas solo eran un señuelo. El verdadero objetivo era acceder a las cuentas de Microsoft 365. Una vez que lo consiguieron, la campaña se diferenció mucho de un ataque de phishing tradicional.

Los atacantes añadieron métodos de autenticación que controlaban. Exploraron el entorno de Microsoft 365. Identificaron información valiosa. Luego comenzaron a recopilarla. En algunos casos, esta actividad se prolongó durante días.

Eso es lo que hace que esta campaña sea importante. El compromiso no fue el evento en sí, sino el comienzo.

¿Por qué los atacantes se centran en la persistencia tras una brecha de seguridad en Microsoft 365?

Aquí es donde las cosas se complican para los defensores. Microsoft observó que los atacantes utilizaban Microsoft Graph, SharePoint, OneDrive, Exchange Online y otros servicios legítimos de Microsoft 365. Ninguna de estas actividades es inusual en sí misma. Los empleados buscan archivos, acceden a SharePoint, leen correos electrónicos y utilizan aplicaciones empresariales. A simple vista, gran parte de la actividad de los atacantes parecía idéntica.

El peligro solo se hizo evidente cuando se conectaron esos eventos. Tras un inicio de sesión exitoso, se realizaron cambios en la autenticación multifactor (MFA). Estos cambios fueron seguidos por un reconocimiento del inquilino. El reconocimiento fue seguido por el acceso al buzón de correo y la recopilación de archivos.

Considerados individualmente, estos eventos parecían normales. Vistos en conjunto, revelaron un ataque que se propagaba a través del entorno.

¿Por qué el robo de identidad se considera un incidente de seguridad en la nube?

Durante años, las conversaciones sobre seguridad del correo electrónico se centraron en evitar que los mensajes maliciosos llegaran a las bandejas de entrada. Eso sigue siendo importante, pero ataques como este ponen de manifiesto un desafío mucho mayor.

Una vez que los atacantes obtienen acceso a una identidad de Microsoft 365, ya no se limitan a atacar el correo electrónico. Su objetivo son las herramientas de colaboración, el almacenamiento en la nube, las comunicaciones internas, los procesos de negocio y el conocimiento organizacional.

En ese punto, te enfrentas a mucho más que un simple ataque de phishing. Te enfrentas a un incidente de seguridad en la nube.

La seguridad se convierte en un problema diferente después de la autenticación.

La investigación de Microsoft refuerza una idea que muchos equipos de seguridad ya observan en la práctica: los controles de identidad robustos siguen siendo esenciales. Tecnologías como las claves de acceso, Microsoft Entra, el acceso condicional, Microsoft Defender y Exchange Online Protection proporcionan una base sólida para proteger los entornos de Microsoft 365.

Pero el desafío cambia tras la autenticación. Las preguntas clave son: ¿Ha comenzado una cuenta comprometida a enviar mensajes sospechosos? ¿Se ha añadido un nuevo método de autenticación? ¿Se está produciendo alguna actividad inusual en el buzón de correo? ¿Ha comenzado alguien a recopilar archivos de SharePoint o OneDrive sin que se den cuenta?

Estas son las señales que suelen aparecer más adelante en el ciclo de vida del ataque. También explican por qué muchas organizaciones están haciendo mayor hincapié en la detección de robo de cuentas, la remediación continua y la seguridad posterior a la entrega , junto con los controles de prevención tradicionales.

El objetivo no es simplemente bloquear las amenazas en la puerta principal. Se trata de comprender qué sucede si una logra entrar.

¿Cómo pueden los equipos de seguridad detectar los ataques posteriores al inicio de sesión?

Quizás la lección más importante de esta campaña es que nadie habría comprendido el ataque analizando un solo evento. Ni el inicio de sesión. Ni el registro de MFA. Ni la actividad del buzón de correo. Ni el acceso a SharePoint. Ni las solicitudes de Microsoft Graph.

Microsoft señaló específicamente que la actividad de Graph debe evaluarse mediante la progresión del comportamiento y la correlación entre eventos, en lugar de solicitudes individuales aisladas. Esta observación es válida mucho más allá de esta campaña. Los ataques modernos rara vez se limitan a un solo lugar. Se propagan a través de identidades, buzones de correo, aplicaciones, servicios en la nube y datos.

El reto consiste en conectar esas señales antes de que el atacante tenga tiempo de lograr su objetivo.

¿Qué deberían aprender las organizaciones de los ataques de phishing con claves de acceso?

Sería fácil leer esta historia y concluir que trata sobre contraseñas. Pero no es así. Las contraseñas siguen siendo una de las tecnologías de autenticación más seguras disponibles.

La lección más importante es que los atacantes siguen buscando maneras de sortear los controles de seguridad explotando algo mucho más difícil de defender que la tecnología: la confianza. Y una vez que entran, suelen ser pacientes.

Para las organizaciones que utilizan Microsoft 365, unos controles de identidad sólidos son solo una parte de la solución. Ataques como este ponen de manifiesto la importancia de detectar rápidamente las cuentas comprometidas, mitigar continuamente las amenazas emergentes y conectar la actividad entre identidades, correo electrónico, servicios en la nube y datos.

Porque el verdadero riesgo no reside en la concesión inicial, sino en todo lo que sucede después.

Filtrado de contenido

KATARU... está atacanto a Linux?

KATARU es una variante de malware para IoT y Linux que ataca dispositivos con servicios Telnet expuestos y credenciales débiles o predeterminadas. Tras obtener acceso, descarga y ejecuta una carga útil maliciosa e intenta obtener privilegios de administrador mediante vulnerabilidades conocidas de Linux.

Una vez establecido, KATARU instala mecanismos de persistencia que le permiten sobrevivir a los reinicios y mantener el acceso a largo plazo. Utiliza comunicaciones de comando y control cifradas para evadir la detección y puede lanzar ataques DDoS, realizar ataques de fuerza bruta SSH, ejecutar comandos remotos y descargar malware adicional.

¿Por qué es digno de mención?

KATARU combina vulnerabilidades de seguridad de larga data, como servicios Telnet expuestos, contraseñas débiles y sistemas Linux sin parchear, con capacidades de malware modernas, como comunicaciones C2 cifradas y acceso persistente de nivel root. A diferencia de muchas botnets de IoT de corta duración, KATARU está diseñado para mantener el control a largo plazo de los dispositivos comprometidos. Este malware demuestra cómo los ciberdelincuentes pueden combinar herramientas y exploits disponibles públicamente para crear ataques efectivos y escalables.

Para las organizaciones con entornos de IoT o OT, KATARU refuerza la importancia de la aplicación de parches, el endurecimiento de la seguridad y una gestión sólida de las credenciales.

¿Cuál es la exposición o el riesgo?

Las organizaciones se enfrentan al mayor riesgo cuando los dispositivos IoT o Linux conectados a internet tienen Telnet habilitado, utilizan credenciales débiles o ejecutan firmware y sistemas operativos obsoletos. Una vez comprometidos, los dispositivos pueden formar parte de una botnet utilizada para ataques DDoS a gran escala y otras actividades maliciosas. Dado que KATARU incluye capacidades de escalada de privilegios y persistencia, las infecciones pueden sobrevivir a los reinicios y ser difíciles de eliminar.

El malware afecta a una amplia gama de dispositivos basados en Linux, incluidos routers, equipos IoT y otros sistemas conectados. Los dispositivos sin parchear o sin soporte pueden proporcionar a los atacantes una ventaja a largo plazo en el entorno.

¿Cómo pueden los compradores de software proteger las aplicaciones codificadas con Vibe?

Los compradores de software deben asumir que algunos componentes de las nuevas aplicaciones que utilicen en 2026 podrían haber sido codificados con Vibe. Esto no significa que contengan vulnerabilidades por defecto, sino que deben tomar medidas para limitar las consecuencias de cualquier aplicación que pueda contener un error de codificación explotable. En otras palabras, deben adoptar protocolos de seguridad de confianza cero.

La seguridad de confianza cero surgió antes de la IA, partiendo de la premisa de que cada usuario y aplicación era potencialmente vulnerable. En la era de la IA, podemos asumir que cada aplicación está potencialmente comprometida mediante código Vibe, y que cada aplicación con código Vibe posee vulnerabilidades explotables.

Puedes examinar rigurosamente cada aplicación de tu infraestructura para detectar estas vulnerabilidades, pero:

• Esto requiere un tiempo del que no dispones.
• Incluso la revisión más exhaustiva puede pasar por alto vulnerabilidades.
• Sus usuarios están incorporando aplicaciones codificadas con Vibe sin la aprobación del departamento de TI porque la TI en la sombra nunca murió.
• Al tratar cada aplicación como sospechosa, puede diseñar su infraestructura para limitar el impacto de una vulnerabilidad explotada.

¿Cómo reduce el modelo de confianza cero los riesgos de seguridad del código generado por IA?

La arquitectura de confianza cero está diseñada para aplicar una autenticación mejorada a cada intercambio de datos y ubicar a los usuarios y las aplicaciones dentro de segmentos de red estrictamente definidos mediante perímetros definidos por software.

En la práctica, esto significa que cada aplicación, ya sea codificada con Vibe o no, se ubica dentro de su propio perímetro. Este perímetro define las formas en que una aplicación puede interactuar con usuarios, datos y otras aplicaciones. Además, garantiza que los privilegios normales de la aplicación solo incluyan las dependencias específicas que necesita para funcionar.

Esto garantiza que, si una aplicación contiene una vulnerabilidad explotable que es el objetivo de un atacante, la superficie de ataque potencial es mínima. Además, el atacante no podrá moverse lateralmente a otras aplicaciones ni escalar privilegios. Si bien la aplicación codificada con Vibe puede contener más vulnerabilidades, el atacante se limita al acceso más básico.

Recomendaciones para reducir el riesgo

• Desactive Telnet y proteja el acceso remoto. Utilice SSH u otros métodos de administración seguros y restrinja el acceso a redes de confianza o VPN.
• Utilice credenciales seguras y únicas. Elimine las contraseñas predeterminadas y limite el acceso administrativo siempre que sea posible.
• Actualiza el firmware y los núcleos de Linux. Aplica las últimas actualizaciones de seguridad a los dispositivos basados en Linux.
• Segmenta las redes de IoT y OT. Restringe las comunicaciones innecesarias y limita el acceso directo a internet.
• Aísle y reconstruya los dispositivos comprometidos. Desconecte los sistemas afectados, realice un restablecimiento de fábrica o reinstale el sistema operativo, y aplique las actualizaciones de seguridad antes de volver a conectarlos.
• Reemplace los dispositivos que ya no son compatibles. Retire el hardware que ya no puede recibir actualizaciones de seguridad o configurarse de forma segura.

Conoce más en el siguiente video

El ataque puede comenzar antes del primer día de trabajo

La estrategia comienza mucho antes de que aparezca una actividad sospechosa dentro de la red. Los atacantes construyen identidades profesionales falsas utilizando información robada, documentación falsificada, perfiles profesionales cuidadosamente preparados e incluso herramientas de inteligencia artificial capaces de ayudarles a generar contenido, fotografías, comunicaciones y respuestas convincentes durante los procesos de selección.

El resultado es especialmente peligroso porque la primera barrera que deben superar no es tecnológica. Es humana.

Un candidato aparentemente legítimo puede atravesar entrevistas, procesos de contratación y verificaciones hasta convertirse en un empleado más. Una vez contratado, la organización puede proporcionarle exactamente lo que necesita para trabajar: una cuenta corporativa, acceso al correo electrónico, aplicaciones empresariales, VPN, repositorios, herramientas de colaboración y diferentes niveles de privilegio.

En ese momento, la amenaza deja de parecer una intrusión, y el atacante forma parte de la empresa.

De una identidad falsa a un acceso real

Esta es precisamente la característica que hace tan difícil detectar este tipo de operación. Un trabajador falso no necesariamente necesita comportarse como un atacante tradicional. Puede iniciar sesión desde una ubicación autorizada, utilizar las herramientas corporativas habituales y comunicarse con otros empleados mediante canales legítimos.

Desde la perspectiva de muchos sistemas de seguridad, esas acciones pueden parecer normales.

El verdadero problema aparece cuando esa identidad comienza a utilizar el acceso que le fue concedido para realizar actividades que no corresponden con su función. Puede investigar repositorios, consultar documentación interna, explorar recursos en la nube, acceder a información sensible o buscar oportunidades para ampliar sus privilegios.

Y cuanto mayor sea el acceso concedido al empleado, mayor será también el impacto potencial de una identidad comprometida o directamente fraudulenta.

Por eso, el riesgo no termina con detectar que una persona utilizó una identidad falsa. Para cuando la organización descubre el engaño, el atacante puede haber tenido semanas o meses para conocer su entorno tecnológico, identificar información de valor y establecer mecanismos que le permitan continuar operando.

La inteligencia artificial está haciendo más convincente el engaño

La evolución de la inteligencia artificial añade una nueva dificultad a este escenario. Crear una identidad falsa convincente requiere cada vez menos esfuerzo cuando las herramientas disponibles pueden ayudar a generar fotografías, perfiles profesionales, documentos, mensajes e incluso respuestas adaptadas a diferentes situaciones.

Esto significa que los procesos tradicionales de validación pueden enfrentarse a candidatos que no solamente cuentan con documentación aparentemente legítima, sino que además son capaces de mantener una identidad digital coherente durante todo el proceso de contratación.

La amenaza, por tanto, no consiste simplemente en preguntarse si un perfil es falso. Las empresas necesitan considerar si la persona detrás de una identidad digital realmente corresponde con quien afirma ser y, posteriormente, si sus actividades dentro de la organización coinciden con las responsabilidades que le fueron asignadas.

El verdadero objetivo: la confianza que existe detrás de una cuenta

Aquí es donde el concepto de trabajador falso adquiere una dimensión mucho mayor. El atacante no está intentando únicamente superar una solución de seguridad; está intentando aprovechar la confianza que existe dentro de una organización.

Primero obtiene la confianza del proceso de contratación. Después recibe una identidad corporativa. Esa identidad le permite obtener confianza dentro de los sistemas. Y finalmente esa confianza puede convertirse en acceso a información, aplicaciones, infraestructura y datos de alto valor.

Es una cadena que conecta personas, procesos, identidades y tecnología.

Y cuando una de esas etapas falla, las siguientes pueden convertirse en una consecuencia directa.

La seguridad ya no puede depender únicamente de detectar al intruso

El fenómeno de los trabajadores falsos obliga a las organizaciones a ampliar su concepto de seguridad. No basta con proteger el perímetro, bloquear malware o detectar comportamientos sospechosos después de que un usuario haya iniciado sesión.

La seguridad debe comenzar mucho antes y continuar durante todo el ciclo de vida de una identidad corporativa.

Esto implica fortalecer los procesos de incorporación, verificar adecuadamente las identidades, aplicar el principio de mínimo privilegio y evitar que una cuenta tenga acceso innecesario a información o sistemas que no requiere para realizar su trabajo. También significa supervisar continuamente el comportamiento de las cuentas, porque una identidad legítima puede convertirse en una fuente de riesgo cuando sus acciones dejan de corresponder con su función.

El objetivo no es desconfiar de cada empleado. Es dejar de asumir que una identidad autenticada es automáticamente una identidad confiable.

La nueva frontera de la ciberseguridad

Los trabajadores falsos representan una evolución importante en las técnicas de intrusión porque aprovechan algo que ningún firewall puede bloquear por sí solo: la confianza organizacional.

Una empresa puede tener excelentes controles de seguridad y aun así enfrentarse a un escenario en el que el atacante ya posee credenciales válidas, conoce los procesos internos y tiene autorización para utilizar determinadas herramientas.

Por eso, la pregunta que las organizaciones deben hacerse está cambiando.

Ya no se trata únicamente de “¿cómo evitamos que alguien entre?”, sino también de “¿cómo sabemos que quien tiene acceso realmente debería tenerlo y qué está haciendo con ese acceso?”

La respuesta requiere combinar controles de identidad, acceso, correo, endpoints, aplicaciones y monitoreo continuo. Cada señal puede parecer insignificante por separado, pero al correlacionarse puede revelar un comportamiento que de otro modo pasaría desapercibido.

Porque cuando el atacante consigue un empleo, la amenaza ya no se presenta como una intrusión. Se presenta como una actividad cotidiana.

Y precisamente ahí está el verdadero desafío para la seguridad empresarial.

Conoce más en el siguiente video

En conjunto, estos mecanismos proporcionan al atacante un control en tiempo real sobre el flujo de trabajo de phishing dentro de la sesión del navegador de la víctima, lo que permite un nivel de flexibilidad y evasión que no suele verse en las páginas de phishing estáticas.

Detección y defensa

Esta campaña demuestra cómo el phishing está evolucionando más allá de los sitios web falsos y los dominios sospechosos, y cómo está reduciendo muchos de los indicadores en los que los equipos de seguridad se han basado tradicionalmente para la detección.

Las organizaciones deben centrarse en identificar comportamientos maliciosos y controles de identidad en lugar de simplemente bloquear URL de phishing conocidas. Las principales medidas defensivas incluyen:

• Supervisar los flujos de autorización de OAuth y las cadenas de redireccionamiento para detectar destinos inusuales o inesperados.
• Inspeccionar la actividad del navegador relacionada con URL de tipo blob, especialmente cuando se utilizan para renderizar páginas de inicio de sesión o flujos de trabajo de autenticación.
• Detección de registros sospechosos de trabajadores de servicios asociados con contenido de origen externo.
• Aplicar métodos de autenticación multifactor resistentes al phishing, como las claves de seguridad FIDO2 y las contraseñas.
• Utilizar controles de seguridad de correo electrónico que analicen la ruta completa de clics en lugar de basarse únicamente en la URL inicial.
• Capacitar a los usuarios para que tengan cuidado con las solicitudes inesperadas de firma de documentos, incluso cuando los enlaces parezcan utilizar la infraestructura de confianza de Microsoft.

A medida que los atacantes trasladan cada vez más sus métodos de phishing al propio navegador, los defensores deberán prestar mayor atención a la protección de la identidad , la seguridad del navegador y la detección de comportamientos maliciosos. El desafío ya no reside simplemente en identificar un sitio web malicioso. En campañas como esta, la página de phishing puede no existir en ningún otro lugar que no sea el navegador de la víctima.

¿Cúal es la amenaza?

SynkLoader es un malware multietapa recientemente descubierto que se distribuye a través de campañas de phishing en Microsoft Teams. Los ciberdelincuentes se hacen pasar por personal de soporte técnico y envían mensajes convincentes diseñados para engañar a los usuarios y lograr que descarguen y ejecuten archivos maliciosos.

Una vez ejecutado, SynkLoader muestra una pantalla de bloqueo falsa de Windows que solicita a los usuarios que introduzcan sus credenciales. Las credenciales capturadas pueden utilizarse para acceder a las cuentas de usuario, establecer persistencia y facilitar actividades maliciosas adicionales en el entorno de la víctima.

Al combinar la ingeniería social con el robo de credenciales, los atacantes pueden obtener un punto de acceso inicial que puede conducir a una vulneración más amplia de la red.

¿Por qué es digno de mención?

SynkLoader pone de manifiesto una tendencia creciente entre los atacantes que abusan de plataformas de colaboración de confianza, como Microsoft Teams, para eludir los controles de seguridad tradicionales basados en correo electrónico. Al suplantar la identidad del personal de soporte técnico, los ciberdelincuentes explotan la confianza de los usuarios y generan una mayor sensación de urgencia, aumentando así la probabilidad de lograr una intrusión exitosa.

Dado que Teams se utiliza ampliamente para las comunicaciones empresariales diarias, los mensajes maliciosos pueden parecer más legítimos a los usuarios y pueden dar lugar al robo de credenciales, al acceso no autorizado o a la instalación de software malicioso adicional.

El escaparate del cibercrimen

Los llamados sitios de filtraciones o dedicated leak sites son una pieza habitual dentro del ecosistema de extorsión de datos. Normalmente funcionan como portales donde un grupo criminal publica los nombres de organizaciones que afirma haber comprometido y acompaña esas publicaciones con información destinada a aumentar la presión: una fecha límite, una cuenta regresiva, capturas de pantalla, muestras de archivos o descripciones de los supuestos datos obtenidos. En algunos casos, el objetivo es convencer a la víctima de que debe pagar antes de que la información sea publicada de manera completa.

Este mecanismo adquirió especial relevancia con el ransomware de doble extorsión. En lugar de limitarse a cifrar los sistemas, los atacantes comenzaron a robar información antes de ejecutar el cifrado y utilizaron esa información como una segunda herramienta de presión. Si la organización no paga, amenazan con publicar los datos. Con el tiempo, algunos grupos llevaron esta estrategia todavía más lejos y comenzaron a operar mediante extorsión basada exclusivamente en el robo de información, sin necesidad de cifrar los sistemas de la víctima. En ambos escenarios, el sitio de filtraciones cumple esencialmente la misma función: convertir la información robada o la amenaza de haberla robado en una herramienta de negociación.

Esto explica por qué una publicación debe interpretarse dentro del contexto de la operación criminal. El atacante tiene un incentivo para presentar su éxito de la manera más favorable posible. Puede mostrar una pequeña muestra de información y afirmar que posee mucho más. Puede utilizar datos antiguos, información disponible públicamente o elementos procedentes de incidentes anteriores. También puede publicar el nombre de una organización antes de que exista una confirmación independiente de la intrusión. Nada de esto significa que las publicaciones sean inútiles. Todo lo contrario: pueden proporcionar información extremadamente valiosa, siempre que se entiendan como una fuente de inteligencia y no como un informe forense.

Cuando el ruido empieza a revelar patrones

La verdadera utilidad de estos sitios aparece cuando dejamos de observarlos únicamente como listas de víctimas y comenzamos a analizarlos como una ventana hacia la actividad del adversario. Una publicación individual puede decir poco; decenas o cientos de publicaciones analizadas a lo largo del tiempo pueden revelar tendencias.

Pueden mostrar qué grupos están activos, qué sectores están recibiendo mayor atención, qué regiones están siendo afectadas y qué proveedores aparecen repetidamente relacionados con incidentes. También pueden ayudar a identificar campañas que comienzan a tomar fuerza antes de que sus efectos sean ampliamente conocidos. Para un equipo de seguridad, esta información puede ser mucho más útil que el número absoluto de víctimas anunciado por un grupo criminal.

Imaginemos, por ejemplo, que durante varias semanas comienzan a aparecer organizaciones de una misma industria. A primera vista, podría parecer simplemente otra estadística dentro del enorme volumen de ataques de ransomware. Pero si esas organizaciones comparten un proveedor, una plataforma tecnológica o algún elemento común de su infraestructura, la información adquiere otra dimensión. Lo mismo ocurre cuando aparece un proveedor crítico dentro de la cadena de suministro de una empresa. La publicación no demuestra que nuestra organización esté comprometida, pero sí puede proporcionar una razón concreta para revisar determinados controles, accesos, identidades o dispositivos.

Por eso, la pregunta más útil no es necesariamente cuántas víctimas aparecen en una lista, sino qué tienen en común esas víctimas y qué significa ese patrón para nuestro propio entorno.

Los atacantes buscan una identidad digital completa

El navegador dejó de ser una simple aplicación

Durante años, muchas estrategias de seguridad se construyeron alrededor de un escenario relativamente conocido. El atacante enviaba malware, explotaba una vulnerabilidad o recurría al phishing para engañar a un usuario y obtener sus credenciales.

Ese modelo sigue existiendo, pero el punto de partida de muchos ataques ha cambiado.

Hoy, el navegador es mucho más que una herramienta para visitar sitios web. Se ha convertido en el centro de la actividad digital de millones de personas dentro de las empresas. Desde ahí accedemos al correo electrónico, plataformas de colaboración, aplicaciones SaaS, servicios financieros, herramientas de productividad, paneles administrativos y entornos en la nube.

El navegador recuerda contraseñas. Mantiene sesiones abiertas. Almacena cookies. Conserva tokens de autenticación y facilita el acceso continuo a múltiples servicios.

En otras palabras, concentra una enorme cantidad de información que permite demostrar quién es el usuario ante los sistemas digitales.

Para un ciberdelincuente, eso tiene un valor enorme.

Porque robar una contraseña puede obligarlo a superar controles adicionales. Pero robar una sesión activa o un token válido puede acercarlo mucho más a la posibilidad de hacerse pasar por un usuario legítimo.

Ahí está una de las razones por las que el malware conocido como *infostealer* se ha convertido en una herramienta tan valiosa dentro del ecosistema criminal. Ya no quieren tu contraseña; quieren entrar como tú

El robo tradicional de credenciales tenía un objetivo sencillo: conseguir un nombre de usuario y una contraseña que pudieran utilizarse posteriormente.

El correo que ves no siempre es todo lo que contiene

Aquí es donde aparece una técnica conocida como text salting, una estrategia que aprovecha una característica fundamental de los correos electrónicos: lo que el usuario observa en pantalla no necesariamente representa todo lo que existe dentro del mensaje.

Un atacante puede construir un correo que, para una persona, parece completamente normal. Puede mostrar una promoción, una notificación de una cuenta, una supuesta recompensa o cualquier otro mensaje diseñado para provocar una acción. Sin embargo, dentro del código HTML puede incorporar grandes cantidades de texto adicional que permanecen ocultas para el destinatario. Ese contenido puede utilizar palabras y frases aparentemente inocentes con el objetivo de modificar la interpretación que realizan los sistemas automatizados.

La diferencia puede parecer pequeña, pero tiene implicaciones importantes. El usuario ve un mensaje; el sistema de seguridad analiza una estructura mucho más compleja. Si esa estructura está deliberadamente manipulada, el atacante puede intentar alterar las señales que utiliza una herramienta para determinar si el correo es legítimo o malicioso.

El concepto no es completamente nuevo. Durante años, los atacantes han utilizado diferentes técnicas de ofuscación para esconder contenido, modificar patrones o dificultar el trabajo de los filtros. Lo que cambia ahora es el escenario en el que se utilizan. Cuando los sistemas de defensa incorporan inteligencia artificial y modelos capaces de interpretar lenguaje, los atacantes tienen un nuevo objetivo: influir en la información que recibe el modelo para intentar influir en su decisión.