Los atacantes est\u00e1n dejando de depender de malware f\u00e1cilmente detectable para optar por el uso de accesos leg\u00edtimos que les permiten pasar desapercibidos y evadir los controles de seguridad.<\/p>\n\n\n\n
Seg\u00fan un reciente informe global de Kaspersky Security Services, el robo y abuso de credenciales, as\u00ed como los ataques basados en el uso de cuentas v\u00e1lidas, se encuentran entre las t\u00e1cticas m\u00e1s efectivas utilizadas por los ciberdelincuentes. Esta tendencia refleja un cambio estrat\u00e9gico en el comportamiento de los atacantes, quienes est\u00e1n dejando de depender de malware f\u00e1cilmente detectable para optar por el uso de accesos leg\u00edtimos que les permiten pasar desapercibidos y evadir los controles de seguridad.<\/p>\n\n\n\n
\u201cAnatomy of a Cyber World\u201d es un informe global basado en datos recopilados por los servicios de Managed Detection and Response (MDR), Incident Response (IR), Compromise Assessment y SOC Consulting de Kaspersky. El reporte analiza las t\u00e9cnicas, herramientas y escenarios de detecci\u00f3n m\u00e1s utilizados por los actores maliciosos, adem\u00e1s de identificar las principales caracter\u00edsticas de los incidentes observados a nivel mundial.<\/p>\n\n\n\n
Seg\u00fan el informe, una parte significativa de las t\u00e9cnicas de ataque m\u00e1s frecuentemente detectadas gira en torno a la gesti\u00f3n de credenciales e identidades. El an\u00e1lisis realizado examina las tasas de conversi\u00f3n[1]<\/a> de diversos indicadores de ataque (IoA) y destaca las siguientes t\u00e1cticas maliciosas m\u00e1s frecuentes:<\/p>\n\n\n\n Adivinar las contrase\u00f1as (34.8%)<\/p>\n\n\n\n Esta t\u00e9cnica consiste en que los atacantes prueban sistem\u00e1ticamente diferentes combinaciones de contrase\u00f1as hasta lograr acceder a una cuenta. Encabeza la lista de m\u00e9todos m\u00e1s efectivos debido a su frecuente aparici\u00f3n tanto en ataques reales como en evaluaciones de seguridad autorizadas, lo que la convierte en una amenaza persistente en el panorama actual de ciberseguridad. El uso de contrase\u00f1as d\u00e9biles, predecibles o reutilizadas por parte de las organizaciones sigue facilitando el \u00e9xito de esta estrategia, una de las m\u00e1s antiguas, pero a\u00fan vigentes.<\/p>\n\n\n\n Creaci\u00f3n de cuentas locales (34.7%)<\/p>\n\n\n\n Una vez que logran ingresar a un sistema, los atacantes suelen crear nuevas cuentas locales para mantener el acceso incluso si el punto de entrada original es detectado y eliminado. Esta t\u00e9cnica se observa con frecuencia tanto en incidentes reales como en ejercicios de seguridad y puede ser identificada, pero solo cuando las organizaciones cuentan con los mecanismos adecuados de monitoreo y visibilidad, algo que a\u00fan sigue siendo una carencia com\u00fan en muchas infraestructuras.<\/p>\n\n\n\n Abuso de cuentas v\u00e1lidas (34.5%)<\/p>\n\n\n\n En lugar de desplegar malware, los atacantes utilizan credenciales robadas o comprometidas para iniciar sesi\u00f3n y mezclarse con la actividad normal de los usuarios. Esto dificulta considerablemente su detecci\u00f3n, ya que el acceso parece leg\u00edtimo. La alta efectividad de esta t\u00e9cnica demuestra por qu\u00e9 las credenciales comprometidas contin\u00faan siendo uno de los vectores de ataque m\u00e1s peligrosos para las organizaciones.<\/p>\n\n\n\n Manipulaci\u00f3n de cuentas (32%)<\/p>\n\n\n\n Los atacantes modifican cuentas existentes para consolidar y ampliar su acceso al entorno comprometido. Esto puede incluir la activaci\u00f3n de cuentas deshabilitadas, cambios en los grupos de usuarios o la elevaci\u00f3n de privilegios. Esta pr\u00e1ctica refuerza una tendencia cada vez m\u00e1s com\u00fan: en lugar de introducir nuevas herramientas o malware, los ciberdelincuentes aprovechan los recursos y accesos que ya existen dentro de la organizaci\u00f3n para fortalecer su control y pasar desapercibidos.<\/p>\n\n\n\n Reconocimiento de la red (31.2%)<\/p>\n\n\n\n Antes de lanzar un ataque m\u00e1s profundo, los ciberdelincuentes exploran la infraestructura de la organizaci\u00f3n para identificar sistemas vulnerables y rutas de acceso. Detectar estas se\u00f1ales tempranas puede marcar la diferencia entre un incidente contenido y una brecha de seguridad de mayor impacto.<\/p>\n\n\n\n Adem\u00e1s, el informe clasifica las t\u00e9cnicas utilizadas por los atacantes seg\u00fan la frecuencia con la que las actividades observadas derivaron en incidentes maliciosos confirmados. De acuerdo con los expertos de Kaspersky, si bien el marco MITRE ATT&CK\u00ae documenta una amplia variedad de t\u00e1cticas empleadas por los actores de amenazas, una detecci\u00f3n efectiva requiere priorizar aquellos comportamientos con mayor probabilidad de representar una actividad maliciosa, evitando al mismo tiempo generar un exceso de falsos positivos.<\/p>\n\n\n\n \u201cEl reporte resalta cuatro t\u00e9cnicas relacionadas con abuso de credenciales y una relacionada con descubrimiento en el top 5. El abuso de credenciales sigue siendo efectivo porque aprovecha una brecha cr\u00edtica en la seguridad de las organizaciones: la dificultad para distinguir entre un acceso leg\u00edtimo y uno malicioso. Cuando un atacante entra con una cuenta v\u00e1lida, sus movimientos pueden parecer parte de la actividad normal del negocio, lo que le permite pasar desapercibido, escalar privilegios y mantenerse dentro del entorno comprometido. Este escenario demuestra que proteger una organizaci\u00f3n ya no consiste \u00fanicamente en bloquear malware, sino en entender c\u00f3mo se comportan los usuarios, detectar anomal\u00edas y reaccionar antes de que un acceso comprometido se convierta en un incidente mayor\u201d, asegura Eduardo Chavarro, director para Am\u00e9ricas del Equipo Global de Respuestas a Incidentes en Kaspersky.<\/p>\n\n\n\n Para reducir este riesgo, los expertos de Kaspersky recomiendan:<\/p>\n\n\n\n -Fortalecer la gesti\u00f3n de identidades y accesos: no basta con crear usuarios y contrase\u00f1as. Las organizaciones deben revisar peri\u00f3dicamente qu\u00e9 cuentas siguen activas, qu\u00e9 permisos tienen, si existen usuarios inactivos o privilegios excesivos, y aplicar el principio de m\u00ednimo privilegio para que cada persona acceda \u00fanicamente a lo que necesita para cumplir sus funciones.<\/p>\n\n\n\n -Reforzar los controles de autenticaci\u00f3n: la autenticaci\u00f3n multifactor, junto con pol\u00edticas robustas de contrase\u00f1as, ayuda a reducir el impacto del robo o reutilizaci\u00f3n de credenciales. Incluso si un atacante obtiene una contrase\u00f1a, una segunda capa de verificaci\u00f3n puede impedir que acceda a los sistemas cr\u00edticos de la organizaci\u00f3n.<\/p>\n\n\n\n -Contar con capacidades avanzadas de detecci\u00f3n y respuesta: servicios como Managed Detection and Response<\/a>, Incident Response<\/a> y el soporte de un SOC<\/a> permiten monitorear de forma continua el comportamiento dentro de la red, identificar actividades sospechosas, responder r\u00e1pidamente ante incidentes y contener amenazas antes de que escalen. Esto es clave porque, frente al abuso de credenciales, el reto no siempre es detectar un archivo malicioso, sino reconocer comportamientos an\u00f3malos realizados desde cuentas aparentemente leg\u00edtimas.<\/p>\n\n\n\n Para conocer m\u00e1s sobre las t\u00e1cticas y t\u00e9cnicas utilizadas por los ciberdelincuentes, las caracter\u00edsticas de los incidentes detectados y su distribuci\u00f3n por regiones y sectores industriales, consulte el informe completo<\/a>.<\/p>\n\n\n\n
\n\n\n\n