:quality(90):no_upscale()){kind=logo}
Los atacantes superan ahora en velocidad a los procesos creados para detenerlos
ESTADO: Panorama de amenazas en constante evolución GRAVEDAD: 7/10 DESTINATARIOS: Responsables de seguridad del sector público, de infraestructuras críticas, del transporte y de la logística
12 de octubre de 2026
·Blog
·Comunicaciones seguras
:quality(90):no_upscale())
Los responsables de seguridad de Google, Mandiant, Symantec, Trellix y la CISA advierten de que la inteligencia artificial está reduciendo las barreras para llevar a cabo ciberataques sofisticados, acortando a unos minutos el tiempo que transcurre entre la revelación de una vulnerabilidad y su explotación. El resultado es una necesidad cada vez mayor de que el Gobierno y las organizaciones de infraestructuras críticas planifiquen cómo seguir operando en caso de sufrir un ataque, y no solo cómo prevenirlo.2,3
¿Qué pasó?
Los ataques perpetrados por Estados-nación están aprovechando las vulnerabilidades conocidas casi al instante.
En la Cumbre de Ciberseguridad de Billington celebrada a principios de este mes, altos responsables de seguridad y funcionarios gubernamentales describieron un cambio que ya está en marcha: la inteligencia artificial está rebajando el nivel técnico necesario para llevar a cabo ataques a escala estatal, al tiempo que reduce el tiempo de que disponen los defensores para responder. «El umbral de sofisticación de un ataque a nivel de Estado-nación se ha reducido», afirmó Vikram Thakur, director técnico de Symantec by Broadcom, advirtiendo de que la IA permite ahora incluso a los ciberdelincuentes comunes lanzar ataques que parecen operaciones de Estado-nación.1
El cambio más tangible es la velocidad. John Hultquist, analista jefe del Grupo de Inteligencia sobre Amenazas de Google, describió una transición de los atacantes que comprueban manualmente cada día si hay nuevas vulnerabilidades a sistemas autónomos que nunca dejan de buscar, lo que reduce el lapso entre la divulgación y la explotación a cuestión de minutos o segundos. John Fokker, de Trellix, expuso claramente la consecuencia práctica: las organizaciones ahora solo disponen de unos segundos para cerrar una brecha antes de que alguien ya se haya colado dentro.1 Ese plazo convierte los ciclos rutinarios de aplicación de parches, incluso los más rigurosos, en una defensa poco fiable por sí sola.
Las autoridades estadounidenses están abordando esto como un problema de planificación actual, no como un riesgo futuro. El director en funciones de la CISA, Nick Andersen, planteó el escenario concreto para el que ahora se espera que los equipos de seguridad se preparen: un momento en el que una nación adversaria actúe para deteriorar directamente las infraestructuras críticas civiles, en lugar de limitarse a infiltrarse en ellas. Charles Carmakal, de Mandiant, que realiza un seguimiento de las intrusiones en organizaciones capaces de perturbar las infraestructuras críticas, plantea la cuestión pendiente de la misma manera: en muchos casos, el acceso ya existe, y la variable que queda por determinar es si un desencadenante geopolítico cambia el cálculo para utilizarlo.1
No se trata de una hipótesis limitada a un solo país. Este año se han registrado intrusiones y perturbaciones en varias regiones, así como una campaña continuada contra más de 100 empresas de suministro de agua de EE. UU.2, una interrupción del servicio de cuatro días en una central eléctrica del Reino Unido atribuida a una actividad presuntamente vinculada al Estado3, así como campañas confirmadas de apropiación de cuentas dirigidas contra altos cargos de la UE4, encajan en el mismo patrón que describen los expertos: adversarios que se posicionan dentro de infraestructuras civiles o actúan contra ellas, fuera del ámbito de un conflicto declarado. El posicionamiento previo que describe Carmakal ya no es teórico. Este año, ya ha contribuido a cortes reales del suministro y a la apropiación de cuentas en múltiples regiones.
Las propias directrices de la CISA dirigidas a los CISO reflejan el cambio de enfoque, pasando de la prevención a la resiliencia. Andersen señaló en la cumbre que los ejercicios de simulación ya no pueden descartar las interrupciones prolongadas en el suministro eléctrico, las telecomunicaciones, el agua, los servicios en la nube o los proveedores como si quedaran fuera de su ámbito de aplicación. Ahora se espera que las organizaciones planifiquen cómo seguir operando ante un incidente de seguridad, y no solo cómo prevenirlo.1
Lo que descubrieron y qué significa
Conclusión | Qué significa | Consecuencias operativas | Pregunta abierta |
La inteligencia artificial está reduciendo el lapso de tiempo entre la divulgación de una vulnerabilidad y su explotación a cuestión de minutos, y los investigadores describen un futuro en el que los sistemas autónomos supervisarán continuamente la aparición de nuevas fallas, en lugar de esperar a que un ser humano las detecte. | La periodicidad de las actualizaciones, incluso si se aplica con disciplina, ya no es una defensa suficiente por sí sola, ya que la ventana de vulnerabilidad puede cerrarse antes de que finalice el ciclo de actualizaciones. | Las organizaciones que se basan exclusivamente en una gestión programada de las vulnerabilidades se encuentran, por su propia estructura, en desventaja frente a un adversario que no descansa ni espera a que se presente una oportunidad propicia. | ¿Cuántos procesos actuales de aplicación de parches y gestión de cambios parten de la base de que el plazo de respuesta se mide en días en lugar de en minutos? |
Los expertos afirman que la inteligencia artificial difumina la línea divisoria entre la capacidad de un Estado-nación y la de una organización criminal, lo que permite a actores con menos conocimientos llevar a cabo ataques que parecen estar patrocinados por un Estado. | Las organizaciones ya no pueden basarse únicamente en el nivel de sofisticación para determinar a quién se enfrentan. Las señales que antes indicaban que un ataque contaba con el respaldo de un Estado están perdiendo fiabilidad. | Una organización que nunca se haya considerado estratégicamente relevante puede verse enfrentada a técnicas operativas propias de un Estado-nación por parte de un actor que carezca por completo de respaldo estatal, y viceversa. | ¿Siguen los modelos de amenazas actuales distinguiendo de forma significativa entre los actores delictivos y los estatales, o esa distinción ha perdido relevancia? |
La CISA ha indicado a los CISO que planifiquen teniendo en cuenta la posibilidad de seguir operando ante interrupciones prolongadas en el suministro eléctrico, las telecomunicaciones, el agua, la nube o los proveedores, en lugar de dar por sentado que esos escenarios quedan fuera del alcance de los ejercicios de planificación. | La postura del propio Gobierno federal ha pasado de ayudar a las organizaciones a prevenir un incidente a ayudarlas a sobrevivir a él, lo que supone un cambio sustancial en el enfoque de la planificación. | Una organización cuyo plan de continuidad siga considerando una interrupción prolongada de las infraestructuras como un caso extremo de baja probabilidad se encuentra ahora desfasada con respecto al organismo gubernamental que coordina la respuesta precisamente ante ese escenario. | ¿Se simuló realmente en el último ejercicio de simulación de tu organización un escenario tan grave, o se dio por supuesto de forma implícita que no se daría? |
Por qué es importante
La antigua Asunción | La realidad actual | Respuesta de BlackBerry |
Una frecuencia adecuada de aplicación de parches, análisis semanales o mensuales de vulnerabilidades y actualizaciones programadas constituyen una defensa adecuada frente a un adversario serio. | Los investigadores en materia de seguridad describen cómo el intervalo entre la divulgación y la explotación se está reduciendo hasta situarse en cuestión de minutos, impulsado por sistemas de inteligencia artificial que realizan un seguimiento continuo, en lugar de periódico. | BlackBerry®UEM garantiza el cumplimiento de los requisitos de los dispositivos de forma continua, en lugar de hacerlo mediante ciclos de análisis, lo que reduce el tiempo que transcurre entre la disponibilidad de un parche y la verificación efectiva de que el dispositivo se ha actualizado. |
Solo las organizaciones con un valor estratégico evidente —como los contratistas del sector de la defensa, las grandes empresas de servicios públicos y los organismos gubernamentales— deben simular de forma activa las amenazas procedentes de Estados-nación. | Los expertos señalan que la inteligencia artificial está difuminando la línea divisoria entre las capacidades de los delincuentes y las patrocinadas por el Estado, lo que significa que la sofisticación por sí sola ya no permite determinar quién está detrás de un ataque. | BlackBerry® SecuSUITE® y BlackBerry® AtHoc® se basan en la premisa de que cualquier organización que gestione una coordinación sensible es un objetivo plausible, no contingente, independientemente de cómo la propia organización perciba su perfil estratégico. |
En la planificación de la continuidad del negocio, es razonable considerar que una interrupción prolongada del suministro eléctrico, de las telecomunicaciones, del agua o de los servicios en la nube es un caso extremo lo suficientemente improbable como para pasarlo por alto en un simulacro de mesa. | La CISA está comunicando ahora directamente a los CISO que esta suposición ya no es aceptable, y los incidentes reales ocurridos este año ya ponen de manifiesto que este escenario se está haciendo realidad. | BlackBerry AtHoc está diseñado específicamente para la situación que describe la CISA, es decir, para coordinar al personal y la respuesta cuando se produce una interrupción en la red o la infraestructura principal de la que depende una organización. |
Medidas recomendadas
Acción | Qué significa esto en la práctica |
INMEDIATO | Comprueba si el último ejercicio de continuidad de tu organización simuló realmente una interrupción prolongada del suministro eléctrico, las telecomunicaciones, el agua o los servicios en la nube, o si se descartó esta posibilidad por considerarla fuera del alcance del ejercicio. |
INMEDIATO | Reevalúa si tu modelo de amenazas sigue tratando a los «Estados-nación» y a los «delincuentes» como niveles de respuesta distintos, teniendo en cuenta que las herramientas basadas en la inteligencia artificial permiten ahora a ambos tipos de actores lanzar ataques de apariencia similar. |
A CORTO PLAZO | Hay que orientar la verificación del cumplimiento de los dispositivos y los parches hacia una supervisión continua, en lugar de a análisis periódicos, ya que el margen de tiempo para los ataques que motiva este cambio se mide ahora en minutos, en lugar de en días. |
A CORTO PLAZO | Identifica cuáles de los activos, investigaciones, proveedores, relaciones con los clientes, contratos o acceso a la infraestructura de tu organización podrían hacerla estratégicamente relevante para un adversario extranjero, aunque esa relevancia no resulte evidente desde fuera. |
EN CURSO | Estar al tanto de las directrices de la CISA y de las orientaciones internacionales equivalentes en lo que respecta al cambio de enfoque, que pasa de centrarse en la prevención a centrarse en la resiliencia, ya que ese cambio de enfoque suele preceder a los cambios formales en las políticas o en la contratación pública. |
Puesto de comunicaciones seguras en BlackBerry
Los CISO ya eran conscientes del riesgo que suponen los Estados-nación. Lo que ha cambiado es el tiempo del que disponen para actuar al respecto: un adversario que antes tardaba días en pasar de una vulnerabilidad revelada a un exploit operativo ahora recorre ese camino en cuestión de minutos, y una organización que daba por sentado que no era lo suficientemente interesante desde el punto de vista estratégico como para ser un objetivo ya no dispone de ninguna forma fiable de verificar esa suposición. Superar con éxito este cambio dependerá menos de la rapidez con la que se apliquen los parches y más de si una organización dispone de un método para seguir coordinándose cuando la infraestructura en la que normalmente confía deje de estar disponible.
Referencias:
1. Los CISO ya no pueden ignorar la amenaza que suponen los Estados-nación (CSO Online, Cynthia Brumfield, 22 de septiembre de 2026).
2. La CISA insta al sector de los sistemas de agua y aguas residuales a proteger la tecnología operativa (OT) frente a actividades dirigidas contra los controladores lógicos programables (PLC) (Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA), 30 de julio de 2026).
3. Una pequeña central eléctrica del Reino Unido cierra tras un ciberataque vinculado a Irán: Telegraph (CNBC, 23 de agosto de 2026).
4. Un documento revela que hackers respaldados por el Estado atacaron a funcionarios de la UE a través de WhatsApp (POLITICO Europe, Sam Clark, 25 de agosto de 2026).
:quality(90):no_upscale())