Miguel Mur, autor en 4Elitech https://4elitech.com/author/miguel-mur/ Innovamos para transformar, protegemos para crecer. Tue, 01 Sep 2026 07:41:41 +0000 es hourly 1 https://wordpress.org/?v=7.1.2 https://4elitech.com/wp-content/uploads/2025/02/cropped-icono-32x32.png Miguel Mur, autor en 4Elitech https://4elitech.com/author/miguel-mur/ 32 32 Insider Threats, de la confianza al comportamiento anómalo https://4elitech.com/insider-threats-amenazas-internas-comportamiento-anomalo/ Mon, 31 Aug 2026 08:42:04 +0000 https://4elitech.com/?p=44421 Cuando pensamos en un ciberataque solemos imaginar a alguien intentando entrar desde fuera: explotar una vulnerabilidad, robar credenciales, evadir el MFA o comprometer una VPN. Pero existe un escenario más difícil de detectar: ¿qué ocurre cuando el atacante no necesita entrar porque ya está dentro? Tiene una cuenta corporativa, conoce los sistemas, sabe dónde está […]

La entrada Insider Threats, de la confianza al comportamiento anómalo se publicó primero en 4Elitech.

]]>

Cuando pensamos en un ciberataque solemos imaginar a alguien intentando entrar desde fuera: explotar una vulnerabilidad, robar credenciales, evadir el MFA o comprometer una VPN.

Pero existe un escenario más difícil de detectar: ¿qué ocurre cuando el atacante no necesita entrar porque ya está dentro?

Tiene una cuenta corporativa, conoce los sistemas, sabe dónde está la información crítica y entiende los procesos internos. En algunos casos, además, dispone de privilegios elevados.

Ese es el problema de los Insider Threats o amenazas internas. Y hay algo que los hace especialmente peligrosos: la actividad más dañina puede comenzar con un evento completamente legítimo: Authentication successful.

Un insider no siempre es un empleado malicioso

NIST define la amenaza interna como aquella en la que una persona utiliza su acceso autorizado, de forma consciente o inconsciente, para causar daño a los sistemas, activos u operaciones de una organización.

Un insider malicioso puede ser un empleado, exempleado, proveedor o colaborador que utiliza deliberadamente sus accesos para robar información, sabotear sistemas u obtener beneficio, no podemos predecir la motivación.

Pensemos en un administrador de sistemas con privilegios elevados que decide actuar contra la compañía. No necesita descubrir una vulnerabilidad Zero Day ni estudiar la infraestructura. Puede que haya sido precisamente él quien la configuró.

El riesgo aumenta cuando se combinan motivación, conocimiento interno y capacidad técnica.

También existe el insider involuntario: un usuario que envía documentación confidencial al destinatario equivocado, comparte información mediante servicios no autorizados o concede permisos incorrectos. No existe intención maliciosa, pero el impacto puede ser igualmente grave.

Y existe otro escenario: el usuario comprometido. Credenciales robadas, cookies de sesión, infostealers o técnicas para eludir MFA pueden permitir que un atacante externo actúe utilizando una identidad válida. Para muchos controles todo parece correcto: el usuario existe, tiene permisos y la autenticación ha sido satisfactoria.

El insider ya conoce el negocio

El insider ya conoce el negocio

Un atacante externo necesita realizar reconocimiento: descubrir tecnologías, localizar activos críticos y entender cómo funciona la organización.

El insider parte con gran parte de ese trabajo hecho. Puede conocer qué servidor contiene información sensible, dónde están las copias de seguridad, qué aplicaciones son esenciales para producción o qué cuentas tienen permisos elevados.

Además, su actividad legítima puede servirle como cobertura: una conexión VPN o el uso de herramientas administrativas pueden ser acciones perfectamente autorizadas.

Por eso la pregunta relevante no es únicamente qué está haciendo el usuario, sino:

¿Tiene sentido que ese usuario haga eso, en ese momento, desde ese equipo y con ese volumen?

Correlación: cuando varias señales cuentan una historia

Frente a una amenaza interna, buscar únicamente indicadores clásicos de compromiso no siempre es suficiente. Puede no haber una IP maliciosa, un dominio sospechoso, malware conocido o un hash identificado.

Imaginemos que un empleado inicia sesión de madrugada, accede a un repositorio que apenas utiliza, descarga mucha más información de lo habitual y poco después se conecta a un servicio externo de almacenamiento.

Por separado, cada acción podría tener una explicación legítima. Juntas cuentan una historia distinta.

Ahí entra en juego la correlación.

Un SIEM permite combinar telemetría de Active Directory o Entra ID, VPN, EDR/XDR, proxies, firewalls, sistemas cloud, correo, almacenamiento o DLP.

Así reconstruimos detecciones como:

  • Acceso fuera del horario habitual + información sensible + descarga anómala.
  • Elevación de privilegios + herramientas poco habituales.
  • Cuenta privilegiada utilizada desde un dispositivo nuevo.
  • Acceso masivo a un repositorio que el usuario apenas utiliza.

Una alerta aislada puede ser ruido, varias señales relacionadas pueden ser un incidente.

UEBA: aprender qué significa “normal”

Aquí entra en juego UEBA, User and Entity Behavior Analytics.

En lugar de depender únicamente de reglas estáticas, UEBA analiza cómo se comportan usuarios y entidades para establecer una línea base: dispositivos, aplicaciones, horarios o volumen de información habitual.

Una regla tradicional podría decir:

“Genera una alerta si alguien descarga más de 5 GB”.

UEBA plantea otra pregunta:

“¿Por qué este usuario ha descargado hoy veinte veces más información que cualquier otro día de los últimos seis meses?”.

NIST CSF 2.0 contempla el uso de analítica de comportamiento para identificar actividad anómala asociada a amenazas internas.

Privilegios: cuanto más acceso, mayor impacto

No todas las identidades representan el mismo riesgo.

Administradores de sistemas, administradores de dominio, proveedores con acceso elevado o cuentas de servicio pueden realizar acciones que un usuario convencional no puede ejecutar.

Por eso no basta con proteger estas cuentas. Hay que monitorizar cómo se utilizan.

El principio de mínimo privilegio, la separación entre cuentas administrativas y de uso diario, la revisión periódica de permisos, PAM o los accesos Just-in-Time ayudan a reducir el impacto potencial.

No existe una herramienta mágica: hace falta contexto

Tener un SIEM, un EDR, un DLP o una solución UEBA no resuelve por sí solo el problema. La detección funciona cuando las diferentes fuentes de información empiezan a hablar entre ellas.

Identidad nos dice quién es el usuario. EDR, qué ha ejecutado. Active Directory, qué privilegios tiene. VPN, desde dónde se conecta. Proxy y firewall, con qué servicios se comunica. DLP puede indicar qué datos están abandonando la organización.

Ese contexto permite distinguir entre “un administrador ha utilizado una herramienta administrativa” y “un administrador que nunca trabaja de madrugada se ha conectado desde un dispositivo nuevo, ha accedido a sistemas que normalmente no administra y después ha transferido una cantidad anormal de información”.

Cómo puede ayudar un SOC

Frente a las amenazas internas no basta con desplegar tecnología. Hay que diseñar casos de uso, entender cómo trabaja la organización, reducir falsos positivos e investigar anomalías.

Desde el SOC 24/7 de 4ELITECH ayudamos a construir esa capacidad mediante centralización y correlación de telemetría, monitorización de cuentas privilegiadas, detección de comportamientos anómalos, UEBA, Threat Hunting y playbooks específicos de respuesta.

Porque no buscamos únicamente malware.

Buscamos comportamiento.

No preguntamos solamente si una autenticación ha sido correcta. Preguntamos si tenía sentido que esa persona se autenticara allí, en ese momento y para hacer aquello.

La amenaza que ya tiene permiso

Invertimos mucho en proteger el perímetro: firewalls, VPN, MFA, EDR, WAF, filtrado de correo o segmentación.

Pero un insider parte con una ventaja que un atacante externo no posee por defecto: confianza.

No siempre necesita evadir la protección perimetral, explotar una vulnerabilidad o utilizar malware. En ocasiones solo necesita utilizar los permisos que ya tiene de una forma que la organización nunca esperaba.

Por eso proteger el perímetro sigue siendo imprescindible, pero asumir que todo lo que ocurre detrás de él es legítimo hace tiempo que dejó de ser suficiente.

La pregunta ya no debería ser únicamente:

  • ¿Quién está intentando entrar?


También deberíamos preguntarnos:

  • ¿Qué están haciendo los que ya están dentro?


En 4ELITECH podemos ayudarte a responderla.

Insider Threats, la amenaza no siempre está en el acceso, sino en lo que ocurre después de obtenerlo.

Podemos ayudarte

La entrada Insider Threats, de la confianza al comportamiento anómalo se publicó primero en 4Elitech.

]]> Purple Teaming: Cuando atacar y defender se convierten en la misma estrategia https://4elitech.com/purple-teaming-cuando-atacar-y-defender-se-convierten-en-la-misma-estrategia/ Mon, 23 Mar 2026 10:33:30 +0000 https://4elitech.com/?p=43858 ¿Tu empresa está realmente protegida, o solo lo parece? Esta es la pregunta incómoda que todo CISO debería hacerse. Los dashboards están en verde. El EDR está desplegado. Los logs fluyen hacia el SIEM. Todo parece bajo control. Y sin embargo, cuando alguien simula el comportamiento real de un atacante dentro de tu entorno, los […]

La entrada Purple Teaming: Cuando atacar y defender se convierten en la misma estrategia se publicó primero en 4Elitech.

]]>

¿Tu empresa está realmente protegida, o solo lo parece?

Esta es la pregunta incómoda que todo CISO debería hacerse. Los dashboards están en verde. El EDR está desplegado. Los logs fluyen hacia el SIEM. Todo parece bajo control. Y sin embargo, cuando alguien simula el comportamiento real de un atacante dentro de tu entorno, los gaps aparecen con una rapidez que sorprende.

En 4Elitech llevamos más de 15 años acompañando a organizaciones líderes en su sector, protegiendo infraestructuras críticas en transporte, telecomunicaciones, salud y alimentación. Lo que hemos aprendido en todo ese tiempo es una verdad incómoda pero necesaria: la resiliencia no se asume, se demuestra.

El purple teaming es la metodología que lo hace posible.

¿Qué es el purple teaming y por qué importa ahora?

El purple teaming es la colaboración estructurada entre los equipos ofensivos (red team) y defensivos (blue team) para validar de forma real y continua la capacidad de una organización para detectar, investigar y contener un ataque.

No es un pentest puntual orientado al cumplimiento normativo. No es una simulación genérica de técnicas MITRE. Es un ejercicio de validación de exposición real, adaptado al perfil de amenaza específico de tu organización, ejecutado en formato abierto y colaborativo.

El objetivo no es «ganar» el ejercicio. El objetivo es mejorar.

El problema del "verde en el panel"

Imaginemos una empresa del sector financiero con un stack de seguridad robusto: EDR de última generación, SIEM centralizado, reglas de detección actualizadas y un equipo de analistas formado. Todo correcto sobre el papel.

Cuando se ejecuta un ejercicio ded purple team, los operadores ofensivos acceden al entorno y comienzan a moverse lateralmente utilizando credenciales legítimas con permisos excesivos. No explotan vulnerabilidades técnicas. Abusan de la arquitectura tal y como fue diseñada. El movimiento lateral pasa completamente desapercibido durante horas. Las reglas de detección existen, pero no están afinadas para ese comportamiento específico. La telemetría está incompleta en ciertos segmentos de red.

 

Resultado: Brecha real, sin alerta.

Este escenario se repite con más frecuencia de la que pensamos. Y el purple teaming existe precisamente para sacarlo a la luz antes de que lo haga un atacante real.

Red team vs. purple team: Dos herramientas, un objetivo

Es importante no confundir ambos enfoques. Son complementarios, no sustitutivos.

En un ejercicio de red team, el SOC no sabe que está siendo atacado. Los operadores intentan permanecer sin ser detectados el mayor tiempo posible. El objetivo es emular a un adversario real y observar cómo responde la organización bajo condiciones de incidente genuino. Mide si las defensas aguantan bajo presión.

En un ejercicio de purple team, la colaboración es explícita desde el principio. El objetivo no es la sorpresa, sino la mejora. Refina las defensas de forma estructurada.

Una secuencia habitual que recomendamos a nuestros clientes: comenzar con un red team para identificar rutas de brecha reales, y transitar después a un ejercicio de purple teaming para cerrar los gaps con el equipo defensivo. El resultado: capacidades de detección mejoradas, validadas y medibles.

Cómo trabajamos desde 4Elitech

Nuestro enfoque integra dos capacidades que, en muchas empresas, operan en silos: ciberseguridad ofensiva y SOC 24/7. Esa integración es precisamente lo que hace que nuestros ejercicios de purple teaming sean diferentes.

Threat scenarios a medida

Partimos del perfil de riesgo real de tu organización. No lanzamos técnicas genéricas contra un host aislado. Analizamos las vulnerabilidades y malas configuraciones que existen en tu entorno, identificamos las rutas de ataque que un adversario real aprovecharía y diseñamos los escenarios en consecuencia.

Los atacantes no siempre explotan vulnerabilidades técnicas. Con frecuencia abusan de permisos excesivos, relaciones de confianza entre sistemas o debilidades arquitectónicas que nunca fueron diseñadas para generar alertas. Nuestro equipo trabaja exactamente así.

A diferencia de un red team puro, donde el SOC no sabe que está siendo atacado,  el purple teaming opera en formato abierto. Tu equipo de seguridad conoce el ejercicio desde el principio. Juntos definimos los escenarios, los playbooks a validar y las métricas de éxito.

Si durante la ejecución los analistas no pueden seguir una táctica o la telemetría es insuficiente, paramos. Identificamos el gap. Lo corregimos. Y continuamos.

Nuestro SOC, certificado ISO 27001, ENS Alto, miembro de FIRST y la Red Nacional de SOCs nivel Oro, aporta una capacidad de detección y respuesta que se refina en tiempo real durante cada ejercicio.

Cada ejercicio concluye con una fase de hunting conjunto. Recreamos el ciclo completo de la brecha sin activar alertas. Después, generamos deliberadamente una única señal. A partir de ahí, el equipo trabaja para reconstruir la cadena de ataque completa.

Esta fase es, habitualmente, la más reveladora: muestra con precisión cómo funcionan las herramientas, la telemetría y los procesos bajo escrutinio real.

¿Qué obtiene tu organización?

Al finalizar un ejercicio de purple teaming con 4Elitech, tu organización dispone de algo que va mucho más allá de un informe estático:

  • Lógica de detección mejorada, afinada contra comportamiento real de atacante, no contra técnicas teóricas.
  • Gaps de telemetría identificados y corregidos, con cobertura real en los segmentos críticos.
  • Flujos de investigación con ownership claro, sabiendo exactamente quién hace qué cuando llega una alerta.
  • Remediación priorizada contra rutas de ataque validadas, no contra riesgos hipotéticos.
  • Evidencia medible del retorno de inversión en herramientas y personas.

 

Para los responsables de seguridad, esto se traduce en algo muy concreto: la capacidad de demostrar, con datos, que las defensas funcionan.

En 4Elitech no entendemos la ciberseguridad como un coste o una obligación regulatoria. La entendemos como una ventaja competitiva. Las organizaciones que validan su resiliencia de forma continua son más rápidas en la respuesta, más eficientes en la inversión y más confiables para sus clientes y partners.

El purple teaming es una de las herramientas más poderosas para construir esa resiliencia. No porque lo digamos nosotros. Sino porque cada ejercicio produce mejoras medibles y verificables.

¿Quieres saber cómo respondería tu organización ante un ataque real?


Hablemos. Nuestro equipo de ciberseguridad ofensiva y nuestro SOC están listos para diseñar un ejercicio a medida de tu entorno, tu sector y tu perfil de amenaza.

Podemos ayudarte

La entrada Purple Teaming: Cuando atacar y defender se convierten en la misma estrategia se publicó primero en 4Elitech.

]]> De la detección a la anticipación: https://4elitech.com/de-la-deteccion-a-la-anticipacion/ Thu, 30 Oct 2025 08:44:53 +0000 https://4elitech.com/?p=43092 El valor real de la vigilancia digital Si en nuestro artículo anterior, “Tu mayor riesgo: un clic”, vimos cómo el phishing y la ingeniería social abren la puerta, lo que viene ahora es la evolución natural de esa historia. Porque cuando alguien pica el anzuelo, sus credenciales no se pierden en el vacío: acaban adentrándose […]

La entrada De la detección a la anticipación: se publicó primero en 4Elitech.

]]>

El valor real de la vigilancia digital

Si en nuestro artículo anterior, “Tu mayor riesgo: un clic”, vimos cómo el phishing y la ingeniería social abren la puerta, lo que viene ahora es la evolución natural de esa historia. Porque cuando alguien pica el anzuelo, sus credenciales no se pierden en el vacío: acaban adentrándose en las zonas menos visibles de Internet; la Deep y Dark Web, donde se venden accesos a sistemas corporativos por apenas 10 €. Lo que para ti es “otra contraseña”, para un atacante es una llave maestra con la que mercadear al precio de un menú del día.

Por qué ya no basta con esperar a que lo descubran

La Dark Web no es ficción: es un mercado. Lejos de las leyendas urbanas, uno de sus negocios mayoritarios son las credenciales y los accesos comprometidos, en sus foros se intercambian credenciales, cookies de sesión, accesos RDP y bases de datos enteras. Y los números no engañan: se han detectado decenas de miles de millones de cookies robadas y puestas a la venta, estamos hablando de un problema que ha escalado de decenas de miles de millones a casi 94.000 millones de cookies reportadas recientemente, y un porcentaje significativo de esas cookies continúa activo, con la capacidad de iniciar sesiones sin contraseña. Eso ofrece un acceso” instantáneo” a cuentas y servicios corporativos.

A esto súmale que las filtraciones masivas siguen siendo una realidad: el conjunto conocido como “Mother of All Breaches” agrupó decenas de miles de millones de registros, muchos con credenciales reutilizables en entornos corporativos. Los atacantes recombinan y revenden estos packs hasta que obtienen lo que necesitan. ¿El resultado? Una oferta constante de “entradas” a tu organización.

Credenciales y cookies: las llaves que más se venden

¿Por qué atacan a personas y no solo a servidores? Porque robar una credencial o una cookie cuesta menos esfuerzo y da acceso rápido. Los informes de inteligencia muestran que el compromiso de credenciales está presente en la mayoría de los patrones de brecha, y que el uso de credenciales robadas es uno de los vectores más recurrentes en los incidentes reales. En lenguaje directo: si tus empleados usan la misma contraseña en varios servicios o ceden un código por error, el atacante no necesita explotar vulnerabilidades complejas; compra la entrada y entra.

El secuestro de sesión (cookie hijacking) merece mención aparte, ya que, si los timings son precisos, ponen en jaque a los que a mí me gusta llamar “Testigos del MFA”, porque cuando un atacante posee una cookie activa, puede “hacerse pasar” por ese usuario sin necesidad de conocer la contraseña ni sortear MFA en muchos escenarios. Por eso es tan rentable para estos mercados y tan peligroso para las empresas: una sola cookie activa puede abrir puertas críticas.

Impacto real (y caro) para las empresas

Las cifras económicas también hablan claro: el coste medio global de una brecha se mide en millones de euros, y las organizaciones que detectan y contienen tarde pagan muchísimo más por la respuesta, notificación y pérdida reputacional. Esa suma no es solo una multa: es negocio parado, clientes desconfiando y contratos que sostienen tu economía, en riesgo.

Además, el modelo “comprar acceso por 10 €” simplifica la vida de los atacantes: cualquiera con poco presupuesto puede financiar un ataque peligroso. El riesgo ya no es solo “si nos atacan”, sino “cuántos accesos nuestros están circulando ahora mismo en estos foros y canales”.

¿Qué podemos hacer? Vigilancia digital proactiva (y sentido común)

Monitorización continua de Deep/Dark Web.

Esto deja de ser un extra: es una línea de vida. Un buen servicio de vigilancia detecta menciones de dominios, correos o dumps con tus datos y manda alertas accionables. Así puedes rotar credenciales, invalidar sesiones y mitigar antes de que el atacante ejecute su golpe.

Implementa rotación de secretos, short-lived tokens y modelos de acceso just-in-time. Evita la reutilización de contraseñas a nivel de plantilla corporativa.

Limita la vida de las sesiones, fuerza re-auth en acciones sensibles y monitoriza patrones anómalos de uso (geo-anomalías, cambios de IP, reuse de cookies).

Las medidas MFA son imprescindibles, pero no infalibles frente al secuestro de sesiones: combínala con detección de comportamiento y mecanismos anti-replay de tokens.

El factor humano sigue siendo el punto de entrada. Entrena con ejercicios de phishing y revisiones de sesgos: un empleado prevenido reduce la oferta de “entradas” que acaban en la Dark Web.

El modelo de negocio del cibercrimen es eficiente: compra y venta de accesos a bajo precio, automatización, y reventa de datos históricos. Si quieres dormir un poco más tranquilo, necesitas una vigilancia que no espere al desastre: detección temprana en la Deep/Dark Web, integración con tu SOC, y playbooks claros para rotar accesos y contener. Los costes de no hacerlo se miden en millones y en pérdida de confianza.

En 4Elitech ofrecemos vigilancia digital integrada con respuesta SOC: monitorizamos foros, dumps y mercados oscuros, y transformamos esos hallazgos en acciones. No dejes que un clic termine abriendo tus puertas.

Podemos ayudarte

La entrada De la detección a la anticipación: se publicó primero en 4Elitech.

]]> Ransomware en 2025: ¿Por qué sigue siendo una amenaza? https://4elitech.com/ransomware-en-2025-por-que-sigue-siendo-una-amenaza/ Thu, 15 May 2025 09:03:36 +0000 https://4elitech.com/?p=42562 En el panorama actual de la ciberseguridad, a pesar de los avances tecnológicos y del aumento en la inversión sobre la misma, el ransomware sigue siendo protagonista aunque las conversaciones “se centren en amenazas avanzadas, inteligencia artificial y otras nuevas tendencias”. Pero… ¿Cómo hemos llegado hasta aquí? ¿Y por qué no lo hemos frenado todavía? […]

La entrada Ransomware en 2025: ¿Por qué sigue siendo una amenaza? se publicó primero en 4Elitech.

]]>

En el panorama actual de la ciberseguridad, a pesar de los avances tecnológicos y del aumento en la inversión sobre la misma, el ransomware sigue siendo protagonista aunque las conversaciones “se centren en amenazas avanzadas, inteligencia artificial y otras nuevas tendencias”. Pero… ¿Cómo hemos llegado hasta aquí? ¿Y por qué no lo hemos frenado todavía? No olvidemos que no es precisamente nueva en su concepto, ya que el primer caso data en 1989 ocurrido en Bélgica… tal vez seguimos poniéndoselo demasiado fácil a los malos.

¿Cómo es posible que esto siga ocurriendo?

Las inversiones en ciberseguridad no paran de crecer. Según un informe de Gartner, el gasto global en seguridad de la información superará los 200.000 millones de euros en 2025, un aumento superior al 15 % respecto a 2024. Sin embargo, paralelamente el coste del cibercrimen sigue aumentando. Ya solo en 2024, el FBI reportó pérdidas récord de 16.600 millones de dólares y la aparición de más de 60 nuevas variantes de ransomware.

Mientras los equipos de seguridad adoptan nuevas estrategias, los atacantes también evolucionan. El fortalecimiento de los endpoints ha empujado a los ciberdelincuentes a centrarse en el perímetro: firewalls, VPNs, y sobre todo, infraestructuras en la nube. 

El auge del MFA ha dado lugar a ataques de fatiga para sortearlo. Incluso con la mejora de las capacidades de detección basadas en inteligencia artificial y aprendizaje automático, los grupos de ransomware han adaptado sus tácticas para evadir los sistemas de detección tradicionales.

La economía del ransomware

El éxito continuado de estos ataques ha alimentado un ecosistema delictivo cada vez más profesionalizado. Algunos grupos de cierta madurez operan como verdaderas empresas, reinvirtiendo sus ganancias en nuevos exploits, herramientas y contratación de talento.

Se estima que grupos como RansomHub generan más de 40 millones de dólares, con beneficios netos de hasta 12 millones tras gastos y comisiones a afiliados. Los chats filtrados de bandas como Black Basta revelan estructuras internas que imitan a startups tecnológicas: programas de afiliados, soporte al “cliente” y bonificaciones a los operadores más efectivos.

Se han detectado compras de exploits Zero Day por cifras que alcanzan los 200.000 dólares. Mientras muchas organizaciones luchan por aplicar parches a tiempo, los delincuentes siguen comprando herramientas a mayor velocidad que la que se tarda en corregir las vulnerabilidades.

Además, el modelo Ransomware-as-a-Service (RaaS) permite que grupos menos capacitados accedan a capacidades avanzadas, amplificando el impacto global.

Y todo esto se agrava cuando las víctimas optan por pagar. No solo no hay garantías de recuperar los datos, sino que eso alimenta económicamente al atacante, incentivando nuevas campañas y amenazas recurrentes a las mismas organizaciones.

Zero Day
$ 0 K
RansomHub
$ 0 M

¿Realmente están innovando estos grupos?

Aunque algunos grupos avanzados experimentan con lenguajes como Rust, Go y con técnicas de cifrado más sofisticadas, la mayoría simplemente adapta lo ya conocido. Incluso se han detectado casos en los que se reutiliza código fuente filtrado de otros ya conocidos.

Hay investigaciones sobre ransomware a nivel de firmware, y un uso incipiente de inteligencia artificial en ingeniería social (chatbots de phishing o deepfakes). Pero, en general, los atacantes siguen prefiriendo la eficiencia sobre la innovación, es decir, ir a lo seguro… si un simple correo con un adjunto malicioso sigue siendo efectivo, pocos grupos se molestan en reinventar la rueda.

Volver a lo básico: la mejor defensa

Pasada más de una década de campañas que ya forman parte del lore del mundo de la ciberseguridad como CryptoLocker, el ransomware sigue vivo porque seguimos dejando abiertas las mismas puertas: credenciales débiles, vulnerabilidades sin parchear y planes de respuesta poco definidos.

Muchas organizaciones aún no tienen visibilidad completa de su superficie de ataque. Sin saber qué proteger ni dónde implementar controles, es imposible frenar movimientos laterales, escaladas de privilegios o accesos no autorizados.

Aunque el MFA es fundamental, suele estar mal configurado o no se aplica a sistemas críticos como VPNs, firewalls o plataformas cloud. El parcheo de vulnerabilidades, por su parte, sigue siendo lento o incompleto, lo que deja una ventana abierta para el ataque.

La clave está en la priorización. Ante cientos de vulnerabilidades, el contexto es esencial: información de inteligencia contextualizada ayuda a identificar y priorizar aquellas realmente explotables.

Y más allá de la prevención, hay que probar la capacidad de respuesta. Simulaciones realistas son las que nos permiten medir si la organización puede detectar, contener y recuperarse de un ataque sin recurrir al pago. ¿Qué pasa si quien debe tomar decisiones está de vacaciones? ¿Quién tiene autoridad? ¿Dónde están los planes?

Buenas prácticas esenciales para 2025:

  • Aplicar MFA en sistemas críticos y verificar su configuración.
  • Realizar simulacros de ataque trimestralmente.
  • Integrar inteligencia de amenazas para priorizar vulnerabilidades.
  • Controlar accesos con principio de mínimo privilegio.
  • Mantener un inventario actualizado de activos.

El papel del SOC en 2025: prevención, detección y respuesta

El ransomware sigue siendo un reto en 2025. Pero no es invencible. Los atacantes no ganan por ser más inteligentes: ganan porque cometemos errores.

Desde el SOC de 4Elitech ayudamos a las compañías a recuperar el control mediante la monitorización continua, la detección temprana, y una respuesta eficaz. Actuamos bajo la premisa de: Respuesta máxima; Impacto mínimo. No se trata de hacer cosas extraordinarias, sino de comenzar haciendo bien lo esencial, y no dar más ventajas al adversario.

 

Si tu organización quiere prepararse para responder con agilidad ante un ataque de ransomware, en 4Elitech estamos listos para ayudarte. Escríbenos o agenda una demo con nuestro equipo de expertos para conocer cómo podemos ayudarte a fortalecer tu estrategia de ciberseguridad.

La entrada Ransomware en 2025: ¿Por qué sigue siendo una amenaza? se publicó primero en 4Elitech.

]]>