Tema 6
Para defender mejor un entorno digital conviene entender quién puede atacarlo, por qué lo haría y qué busca conseguir.
No todas las amenazas provienen del mismo tipo de actor ni persiguen los mismos fines. En ciberseguridad, comprender quién está del otro lado ayuda a interpretar mejor el riesgo, priorizar controles y anticipar formas de ataque.
Un atacante puede buscar dinero, datos, notoriedad, sabotaje, espionaje o simplemente aprovechar una oportunidad. Por eso es importante analizar tanto el perfil del actor como su motivación.
Un actor de amenaza es cualquier persona, grupo o entidad con capacidad o intención de generar daño sobre sistemas, datos, servicios o usuarios. Puede actuar de manera directa o a través de herramientas automatizadas.
| Tipo | Descripción | Motivación habitual |
|---|---|---|
| Ciberdelincuentes | Grupos o individuos orientados al beneficio económico. | Fraude, extorsión, robo de datos, monetización. |
| Insiders | Personas internas con acceso legítimo. | Abuso, error, venganza, negligencia o lucro. |
| Hacktivistas | Actores con motivaciones ideológicas o políticas. | Protesta, visibilidad, exposición pública. |
| Estados o grupos patrocinados | Actores con alto nivel de recursos y objetivos estratégicos. | Espionaje, influencia, sabotaje. |
| Script kiddies | Usuarios con baja capacidad técnica que reutilizan herramientas ajenas. | Curiosidad, desafío, notoriedad. |
| Competidores desleales | Actores interesados en información o ventaja comercial. | Espionaje y ventaja competitiva. |
Son uno de los actores más frecuentes en el panorama actual. Suelen buscar beneficios económicos mediante robo de credenciales, fraude financiero, venta de datos, despliegue de ransomware o abuso de infraestructura comprometida.
Este tipo de actor aprovecha campañas masivas y automatizadas, pero también puede operar en ataques más dirigidos si el objetivo promete una ganancia suficientemente alta.
Un insider es una persona con acceso legítimo al entorno, como un empleado, administrador, proveedor o colaborador. Su riesgo puede surgir por mala intención o por error.
Las amenazas internas son especialmente sensibles porque parten de un nivel inicial de confianza y acceso.
Los hacktivistas actúan impulsados por causas ideológicas, políticas o sociales. Sus objetivos pueden incluir desfiguración de sitios web, filtración de documentos, interrupción de servicios o exposición pública de organizaciones.
En estos casos, el daño reputacional suele ser tan importante como el impacto técnico.
Los actores vinculados a estados o grandes estructuras de poder suelen perseguir objetivos estratégicos: espionaje, robo de propiedad intelectual, influencia geopolítica, acceso persistente o sabotaje de infraestructuras críticas.
En general cuentan con más recursos, paciencia y capacidad técnica que otros tipos de atacantes, lo que los vuelve especialmente complejos de detectar y contener.
No todos los ataques requieren alta sofisticación. Muchos incidentes provienen de actores con poca capacidad técnica que reutilizan herramientas públicas, explotan configuraciones inseguras o buscan objetivos fáciles.
Esto es importante porque demuestra que incluso fallas simples pueden ser explotadas rápidamente sin necesidad de enfrentarse a un adversario altamente avanzado.
Las motivaciones ayudan a explicar el comportamiento del atacante y sus prioridades.
No se defiende del mismo modo frente a todos los actores. Algunos controles sirven especialmente contra amenazas masivas y oportunistas, mientras que otros apuntan a adversarios persistentes o a riesgos internos.
Por ejemplo:
Algunos atacantes buscan objetivos específicos. Otros operan a gran escala, probando miles de víctimas y aprovechando a quienes tengan controles débiles.
| Tipo de ataque | Características | Ejemplo |
|---|---|---|
| Masivo | Automatizado, amplio, busca volumen | Campaña general de phishing |
| Dirigido | Adaptado al blanco, más selectivo | Phishing personalizado a un directivo |
Ambos tipos importan. Un entorno inseguro puede caer por un ataque simple y masivo tanto como por una campaña sofisticada.
Muchas veces el objetivo no se alcanza explotando una falla técnica compleja, sino manipulando a una persona, reutilizando una contraseña filtrada o abusando de un acceso legítimo. Por eso, al pensar en atacantes, también debe pensarse en procesos, identidades y comportamiento humano.
Comprender al atacante no significa admirarlo, sino tomar mejores decisiones defensivas. Un buen análisis de amenazas se pregunta:
Estas preguntas ayudan a priorizar controles según escenarios realistas.
La ciberseguridad no trata de amenazas abstractas, sino de actores concretos con intereses concretos. Cuanto mejor se comprende quién puede atacar, por qué lo haría y qué busca, mejor se priorizan los esfuerzos de defensa.
En el próximo tema veremos los ataques más comunes que afectan a usuarios y organizaciones, para pasar del perfil del atacante a las técnicas que suelen emplearse en la práctica.