Tema 4
No todas las amenazas humanas actúan igual ni persiguen los mismos objetivos. Comprender quién ataca, por qué lo hace y cómo organiza sus campañas es clave para anticipar riesgos y diseñar defensas adecuadas.
En muchos entornos se habla de “el atacante” como si existiera un único tipo de adversario. En la práctica, los actores maliciosos son muy distintos entre sí. Cambian sus capacidades, sus recursos, su nivel de paciencia, sus objetivos y el modo en que seleccionan víctimas.
No es lo mismo defenderse de un delincuente oportunista que busca credenciales para revender, que de un insider con acceso legítimo, un grupo de ransomware con capacidad de extorsión o un actor estatal orientado al espionaje. Cada uno exige una lectura diferente del riesgo.
Un actor malicioso es una persona, grupo u organización que tiene intención de causar daño, obtener beneficio ilegítimo, acceder sin autorización a activos o interferir con la operación de un objetivo. En ciberseguridad también se lo suele llamar adversario, agente de amenaza o threat actor.
El concepto es importante porque permite pasar de una visión puramente técnica a una visión estratégica: no solo importa qué vulnerabilidad existe, sino quién podría querer aprovecharla y con qué nivel de capacidad.
Antes de clasificar actores, conviene observar las variables que ayudan a describirlos:
Son uno de los grupos más frecuentes. Su objetivo principal es obtener dinero directa o indirectamente. Pueden operar de forma individual o como organizaciones criminales estructuradas.
Estos actores suelen elegir técnicas eficientes, escalables y rentables: phishing, malware, credential stuffing, explotación de servicios expuestos y abuso de errores de configuración.
Aunque pertenecen al universo del ciberdelito económico, merecen una categoría especial por su impacto y organización. Muchos operan como verdaderas empresas criminales: compran accesos, alquilan infraestructura, negocian rescates y publican datos robados para presionar a las víctimas.
Su modelo suele combinar varias etapas:
Su capacidad de daño es alta porque no solo afectan la confidencialidad, sino también la disponibilidad y la continuidad operativa.
Los actores respaldados por Estados o vinculados a intereses geopolíticos suelen tener objetivos diferentes al ciberdelito clásico. En muchos casos buscan espionaje, obtención de información estratégica, vigilancia, influencia o sabotaje selectivo.
Se asocian frecuentemente al concepto de APT o amenaza persistente avanzada. Esto no significa solo sofisticación técnica, sino también paciencia, recursos y capacidad de mantener acceso a largo plazo sin ser detectados.
Los hacktivistas actúan impulsados principalmente por motivos ideológicos, políticos o sociales. Buscan visibilidad, protesta, exposición pública de información o interrupción simbólica de servicios.
Su sofisticación puede variar mucho, pero su valor como amenaza depende del contexto reputacional y del potencial de exposición mediática.
Un insider es una persona con acceso interno o conocimiento legítimo del entorno. Puede ser empleado, administrador, contratista o proveedor. Su riesgo es especial porque ya se encuentra dentro de ciertos límites de confianza.
| Tipo de insider | Característica | Ejemplo |
|---|---|---|
| Malicioso | Actúa con intención de dañar, robar o sabotear | Extrae bases de datos antes de abandonar la empresa |
| Negligente | No busca dañar, pero comete errores peligrosos | Comparte archivos sensibles sin control |
| Comprometido | Su cuenta o equipo fue tomado por un tercero | Un atacante usa sus credenciales válidas |
El riesgo interno demuestra por qué la seguridad no puede basarse solo en confianza. Se requieren monitoreo, segregación de funciones, mínimo privilegio y trazabilidad.
Son perfiles con conocimiento técnico limitado que usan herramientas ya disponibles, tutoriales públicos o exploits automatizados. Aunque no suelen ser sofisticados, pueden generar daño real cuando encuentran sistemas expuestos y mal protegidos.
Su existencia explica por qué vulnerabilidades básicas y malas configuraciones siguen siendo tan peligrosas: no hace falta un adversario muy avanzado para explotarlas.
En ciertos sectores también existe el riesgo de espionaje orientado a propiedad intelectual, estrategias comerciales, investigaciones, licitaciones o ventajas competitivas. No siempre se expresa mediante ataques directos; a veces se apoya en ingeniería social, terceros, insiders o proveedores.
Este tipo de amenaza suele concentrarse más en la confidencialidad que en la interrupción visible.
Clasificar a un actor por su motivación ayuda a anticipar su comportamiento:
Una distinción central en la defensa es separar ataques masivos de ataques dirigidos.
Los ataques dirigidos suelen requerir más preparación, mientras que los oportunistas se benefician de la escala y la automatización.
Un modelo de ataque describe la forma general en que un adversario organiza su operación. Algunos de los más frecuentes son:
Muchos ataques pueden analizarse como una secuencia de etapas. Aunque existen distintos marcos, una visión simplificada ayuda a entender el proceso:
Analizar ataques en etapas permite detectar oportunidades de bloqueo antes de que el daño se materialice por completo.
No todos los actores tienen el mismo nivel de sofisticación. Algunos dependen de herramientas públicas y cometen errores operativos; otros desarrollan malware propio, explotan vulnerabilidades desconocidas y operan con gran disciplina.
Sin embargo, un error común es sobrevalorar siempre a los actores sofisticados. En muchos entornos, las amenazas de mayor probabilidad y daño provienen de atacantes relativamente simples que explotan fallas básicas: contraseñas débiles, MFA ausente, servicios expuestos y sistemas desactualizados.
Los actores no eligen víctimas de la misma manera:
Esta diferencia importa porque cambia la forma de priorizar defensa, monitoreo e inteligencia.
La defensa efectiva depende del tipo de amenaza predominante:
Comprender quién ataca y con qué motivación mejora la lectura del riesgo y evita defensas genéricas. La ciberseguridad no consiste solo en reaccionar a fallas técnicas, sino también en interpretar el comportamiento probable del adversario.
En el próximo tema se desarrollará el ciclo de vida de un ciberataque y la cadena de intrusión, para entender cómo estas amenazas se convierten en operaciones concretas.