El silencio como estrategia
En las jornadas «Quo Vadis?» del Centro Nacional de Inteligencia, a través del CCN-CERT, se expusieron casos que muestran una evolución clara de las amenazas digitales: muchos atacantes ya no buscan hacer ruido, interrumpir un servicio o dejar una señal evidente de su presencia.
Su objetivo es obtener acceso, información y tiempo. Cuanto más tarde sea detectada la intrusión, mayor será la capacidad del atacante para reconocer la infraestructura, elevar privilegios, desplazarse entre sistemas y extraer información.
Persistir sin ser detectados
La persistencia permite conservar el acceso incluso después de reinicios, cambios parciales de configuración o intervenciones incompletas del equipo técnico.
- Movimientos laterales discretos entre sistemas.
- Mecanismos de persistencia prolongada.
- Exfiltración gradual y oculta de información.
El proveedor también forma parte de la superficie de ataque
La seguridad de una organización no depende únicamente de sus propios equipos. Proveedores tecnológicos, herramientas de administración, plataformas cloud, componentes de software y servicios externos forman parte de la cadena de suministro digital.
- Los proveedores pueden convertirse en vectores críticos.
- Una dependencia vulnerable amplía el alcance del incidente.
- Un acceso externo comprometido puede afectar a varios clientes.
Sofisticación al alza
Entre los patrones destacados aparecen puertas traseras persistentes, compromiso de equipos de red, espionaje selectivo y operaciones diseñadas para dificultar la atribución y la investigación posterior.
- 278 incidentes críticos comunicados durante 2025.
- Puertas traseras preparadas para mantener el acceso.
- Compromiso de dispositivos y equipamiento de red.
Qué debe cambiar en la defensa
La prevención sigue siendo imprescindible, pero ya no basta por sí sola. Las organizaciones necesitan capacidad de detección, investigación y respuesta. Esto implica vigilar identidades, conexiones, cambios de configuración, comportamiento de dispositivos y accesos de terceros.
También exige segmentar redes, limitar privilegios, revisar dependencias, conservar registros y disponer de procedimientos preparados antes de que ocurra un incidente.
Conclusión
El ataque más peligroso no siempre es el más visible. En muchos escenarios, el adversario más eficaz es aquel que consigue integrarse en el funcionamiento cotidiano de la infraestructura sin llamar la atención.
La ciberseguridad actual debe asumir que una intrusión puede producirse y concentrarse también en descubrirla, contenerla y recuperar la operación con rapidez.