¿Qué es un ciberataque? Tipos, fases y cómo prevenirlo

Un ciberataque es un intento deliberado de acceder sin autorización a sistemas informáticos, redes o datos, normalmente con el fin de robar algo, provocar una interrupción o extorsionar para obtener dinero. Este concepto abarca un amplio abanico de situaciones: un correo electrónico fraudulento que engaña a un empleado para que transfiera dinero es un ciberataque, al igual que un programa malicioso que bloquea todo un hospital. Lo que tienen en común es la intención. Si algo falla por accidente, se trata de una interrupción del servicio; si alguien lo provoca a propósito, es un ataque.

A continuación, analizamos quiénes llevan a cabo estos ataques y qué es lo que buscan, los tipos de ataques con los que es más probable que te encuentres, cómo suele desarrollarse un ataque, qué hacer si te ves envuelto en uno y por qué la prevención más eficaz tiene menos que ver con la tecnología de lo que la mayoría de la gente cree.

¿Quién ataca y por qué?

La imagen del hacker solitario con sudadera con capucha está desfasada desde hace décadas. La inmensa mayoría de los ataques provienen de grupos delictivos organizados que funcionan como empresas, con servicios de asistencia técnica, modelos de suscripción y afiliados que alquilan sus herramientas. Su motivación es el dinero, y eligen sus objetivos del mismo modo que cualquier empresa elige a sus clientes: en función de lo fácil que resulte la venta.

Por eso, la suposición de que «somos demasiado pequeños para resultar interesantes» resulta tan costosa. Las pequeñas y medianas empresas resultan atractivas precisamente porque disponen de datos valiosos y flujos de pago, pero rara vez cuentan con un equipo de seguridad dedicado. Los ataques contra ellas no suelen ser personales; son automatizados y recorren listas de direcciones y vulnerabilidades conocidas hasta que algo responde. Analizamos esa dinámica con más detalle en nuestro artículo sobre por qué las pymes son tan vulnerables a los ciberataques.

Además de la mayoría de los delincuentes, existen otros motivos: competidores o agentes estatales que buscan hacerse con la propiedad intelectual, activistas que buscan llamar la atención y, en ocasiones, personas con acceso a información privilegiada que actúan movidas por la frustración. Motivos diferentes, pero técnicas en gran medida similares, lo cual resulta práctico: la defensa frente al caso más habitual cubre la mayor parte del resto.

Los tipos más comunes de ciberataques

Constantemente surgen nuevos nombres de ataques, pero casi todos ellos son variaciones de unos pocos mecanismos. Conocer el mecanismo resulta más útil que memorizar el vocabulario.

• El phishing y sus variantes. Un mensaje que se hace pasar por alguien de confianza para obtener credenciales, un pago o un clic. Sigue siendo, con diferencia, la vía de acceso más habitual. En nuestra guía sobre el phishing se explica cómo funciona y en qué se diferencian las variantes por SMS y por voz.
• Ransomware. Software malicioso que cifra tus archivos y exige un pago a cambio de la clave, lo que cada vez se combina más con la amenaza de publicar los datos. En nuestro artículo sobre el ransomware se explica cómo se propaga una infección.
• El malware en general. Los keyloggers, los troyanos bancarios, el spyware y los cryptominers se instalan de forma silenciosa y actúan en segundo plano. Consulta nuestra descripción general sobre el malware.
• Ingeniería social sin ningún tipo de malware. Una llamada telefónica convincente, un proveedor falso que cambia los datos bancarios, una solicitud urgente de un director. No hay ningún archivo que analizar, y eso es precisamente lo que hace que la ingeniería social sea tan difícil de detectar.
• Ataques a las credenciales. Reutilización de contraseñas filtradas en otros sitios o adivinar contraseñas débiles a gran escala. Es una técnica económica para el atacante y la razón por la que la autenticación multifactorial (MFA) es tan importante.
• Aprovechamiento de software sin parches. Vulnerabilidades conocidas en sistemas que no se han actualizado. Los escáneres automáticos las detectan a las pocas horas de que una vulnerabilidad se haga pública.
• Denegación de servicio. Inundar un servicio con tráfico para que quede inaccesible. Rara vez se trata de un robo, sino que suele tener como objetivo la interrupción del servicio o la extorsión.
• Ataques a la cadena de suministro. Comprometer a un proveedor, una actualización de software o un proveedor de servicios para llegar a todos los que lo utilizan. Tu propia seguridad es solo una parte del problema en este caso.

Fíjate en cuántos de estos casos comienzan con una persona y no con una máquina. El phishing, la ingeniería social y la reutilización de credenciales requieren que alguien actúe, y ahí es precisamente donde una organización tiene más margen de mejora.

Cómo se desarrolla un ciberataque

Los ataques rara vez son ese momento dramático aislado que parecen en las noticias. En la práctica, siguen unas fases reconocibles, y suele pasar semanas entre el primer punto de acceso y el daño visible. Ese lapso de tiempo es también la oportunidad: un ataque detectado en la primera semana es un incidente; un ataque detectado en la sexta semana es una crisis.

A grandes rasgos, la secuencia va desde el reconocimiento —en el que el atacante recopila nombres, direcciones y relaciones con proveedores a partir de fuentes públicas— hasta la obtención de acceso mediante un clic o una contraseña robada, pasando por la ampliación silenciosa de ese acceso, hasta llegar al acto final de cifrado, robo o fraude. Cada fase deja rastros y ofrece una oportunidad para intervenir. Desglosamos la secuencia paso a paso en nuestro artículo sobre las etapas de un ciberataque.

Qué hacer durante y después de un ataque

La primera hora es más importante que la tecnología que compraste el año pasado. Lo que la gente necesita no es una carpeta gruesa, sino unos pocos pasos que realmente puedan recordar en situaciones de presión.

1. Notifícalo inmediatamente, antes de intentar solucionarlo. La rapidez con la que se notifique determina el margen de maniobra del que dispone el atacante. Nadie debería dudar por no estar aún seguro.
2. Aísla el equipo en lugar de apagarlo. Desconectar un equipo afectado de la red limita la propagación; desconectarlo de la corriente puede destruir pruebas que necesitarás más adelante.
3. Supongamos que las credenciales se han visto comprometidas. Restablece las contraseñas y las sesiones de las cuentas afectadas, y comprueba si hay dispositivos añadidos recientemente, reglas de reenvío de correo o direcciones de recuperación modificadas.
4. Conserva las pruebas: los registros, el mensaje original y las capturas de pantalla. Las aseguradoras y los investigadores te las pedirán, al igual que el organismo regulador si se han tratado datos personales.
5. Comprueba tus obligaciones en materia de notificación. Una filtración de datos personales conlleva la obligación de notificarla, y las organizaciones sujetas a la NIS2 tienen sus propios plazos para notificar incidentes. Involucra a la persona responsable desde el primer día, no desde el quinto.
6. Haz el análisis a posteriori, sin buscar un culpable. Lo importante es averiguar qué señal se pasó por alto y por qué, no quién hizo clic. Echar la culpa a alguien garantiza que el próximo incidente permanezca oculto durante más tiempo.

Por qué la prevención empieza por las personas

Las medidas técnicas se encargan de la mayor parte del trabajo en cuanto al volumen. La autenticación multifactorial, las actualizaciones puntuales, las copias de seguridad comprobadas y almacenadas fuera de línea, y la limitación del acceso a determinados contenidos filtrarán la mayor parte de los intentos automatizados. Ninguna de estas medidas es opcional, y ya no es en ellas donde los ataques logran realmente su objetivo.

Lo que se cuela por los filtros va dirigido a las personas, porque a las personas se las puede convencer y al software no. Un empleado que detecta una solicitud de pago sospechosa, la comprueba a través de un segundo canal y la notifica, ha frustrado un ataque que ningún escáner habría detectado. Eso es una habilidad y, como cualquier otra, se pierde sin práctica; por eso una única sesión de formación al año da tan pocos resultados. Los ejercicios breves y recurrentes que se adaptan al panorama actual de amenazas funcionan mucho mejor, y una simulación de phishing te muestra cuál es tu nivel real, en lugar de el que crees que tienes.

Cómo te ayuda Guardey a reducir el riesgo

La formación en concienciación sobre seguridad de Guardey está diseñada para adaptarse a ese ritmo: retos semanales de unos tres minutos, gamificación con tablas de clasificación y rachas, y contenidos que se ajustan a las amenazas que circulan realmente. Los empleados realizan la formación a través de la aplicación móvil para iOS y Android o en el navegador, lo que permite que también participen los compañeros que no disponen de un puesto de trabajo fijo.

Las simulaciones integradas de phishing permiten comprobar si el reconocimiento se traduce en un cambio de comportamiento, y los informes listos para auditoría convierten todo el programa en pruebas válidas para marcos normativos como NIS2 e ISO 27001. La configuración se realiza en cuestión de minutos, y más de 500 organizaciones trabajan de esta manera, entre ellas el Parlamento Europeo.

Preguntas frecuentes sobre los ciberataques

¿Cuál es la diferencia entre un ciberataque y una filtración de datos?

Un ataque es el intento; una filtración de datos es una de las posibles consecuencias. Un ataque que se bloquea nunca se convierte en una filtración, y una filtración también puede producirse sin que haya habido ningún ataque, por ejemplo, cuando alguien envía un archivo por correo electrónico a un destinatario equivocado. Esta distinción es importante porque las obligaciones de notificación se refieren a la filtración, no al intento.

¿Cuánto tiempo se tarda en darse cuenta de que se está produciendo un ataque?

Más tiempo del que la mayoría de las organizaciones esperan. Los atacantes que logran acceder mediante una contraseña robada suelen actuar con cautela para no activar las alarmas, y el daño visible se produce al final, en lugar de al principio. Por eso son tan valiosos los informes de los empleados: a menudo detectan algo extraño mucho antes de que lo haga el sistema de supervisión.

¿Es una organización pequeña realmente un objetivo?

Sí, y normalmente no es por elección propia. La mayoría de los intentos son automáticos y se dirigen a cualquier respuesta, por lo que ser pequeño no ofrece ninguna protección, mientras que contar con menos especialistas suele suponer un tiempo de respuesta más largo. No resultar interesante no es una defensa frente a un script.

¿Cubre el seguro un ciberataque?

Existen pólizas de ciberseguridad que pueden cubrir los costes de recuperación, pero las aseguradoras exigen cada vez más que se demuestre que se han adoptado medidas básicas, incluida la formación del personal, y solicitarán pruebas al respecto tras un incidente. Considera la póliza como un respaldo frente a los daños económicos, no como un sustituto de las propias medidas.

La incómoda verdad sobre los ciberataques es que la mayoría de ellos no son sofisticados. Se basan en una contraseña reutilizada en diferentes sitios web, en un sistema al que nunca se le han aplicado parches o en un compañero con prisa un viernes por la tarde. Y ahí radica también lo alentador: con unos pocos hábitos se puede evitar la gran mayoría de ellos, y cada uno de esos hábitos es algo que un equipo puede aprender.