No están forzando la entrada. Están iniciando sesión. Y lo hacen 4 veces más rápido.

Hay una frase en el último informe de respuesta a incidentes de Palo Alto Networks que debería cambiar la manera en que toda organización piensa sobre ciberseguridad. Sam Rubin, vicepresidente sénior de Unit 42, lo dijo claramente: cuando un atacante tiene credenciales legítimas, no está forzando la entrada. Está iniciando sesión. Cuando un adversario se mimetiza con el tráfico normal, la detección se vuelve increíblemente difícil incluso para equipos de seguridad experimentados.

Esa afirmación redefine todo el panorama de amenazas. El atacante no necesita explotar una vulnerabilidad del día cero. No necesita evadir un firewall. No necesita implementar malware sofisticado. Necesita una credencial robada. Y con esa credencial, se vuelve indistinguible de un usuario legítimo: se mueve por los sistemas, accede a datos y los exfiltra antes de que los equipos de seguridad sepan que algo ha sucedido.

Las cifras detrás de este cambio son contundentes. Palo Alto Networks analizó más de 750 casos de respuesta a incidentes en todo el mundo y descubrió que los grupos de amenazas ahora se mueven cuatro veces más rápido que hace apenas un año. La IA está acelerando cada fase del ciclo de ataque: reconocimiento, phishing y scripting, y ejecución operativa. En los ataques más eficientes, la exfiltración de datos ocurre solo 72 minutos después del acceso inicial. Identidades y tokens robados aparecen en el 90% de los casos de respuesta a incidentes.

Este no es un informe sobre amenazas emergentes en el horizonte. Es un informe sobre lo que ya está ocurriendo —documentado en cientos de incidentes reales— y revela una desconexión fundamental entre la velocidad con la que operan los atacantes y la velocidad con la que la mayoría de las organizaciones pueden detectar y responder.

5 conclusiones clave

1. Los atacantes se mueven 4 veces más rápido que hace un año — y los más eficientes exfiltran en 72 minutos. El análisis de Palo Alto Networks de más de 750 casos de respuesta a incidentes encontró que los grupos de amenazas ahora operan cuatro veces más rápido que hace solo un año. La IA acelera cada fase: reconocimiento, phishing y scripting, y ejecución operativa. En los ataques más eficientes, la exfiltración de datos ocurre solo 72 minutos después del acceso inicial. Eso no es un punto de referencia teórico. Es la realidad operativa que los equipos de seguridad deben defender hoy.
2. La identidad es el vector de ataque principal — presente en el 90% de los casos de respuesta a incidentes. Identidades y tokens robados aparecieron en el 90% de los casos analizados por Unit 42. Los atacantes no fuerzan la entrada. Inician sesión. Una vez que el adversario tiene credenciales legítimas, se mimetiza con el tráfico normal, haciendo que la detección sea extraordinariamente difícil incluso para operaciones de seguridad maduras. El perímetro ya no es el punto de entrada. La credencial lo es.
3. Los atacantes apuntan a vulnerabilidades en los 15 minutos posteriores a la divulgación de la CVE. La ventana entre la divulgación de una vulnerabilidad y su explotación activa se ha reducido drásticamente. Ahora, los atacantes apuntan a fallos de software conocidos en los 15 minutos posteriores a la publicación de una CVE. La IA permite el reconocimiento y los intentos de acceso inicial a cientos de objetivos al mismo tiempo. Las organizaciones que dependen de ciclos de parches manuales medidos en días o semanas están operando en un cronograma que ya no existe.
4. Las integraciones de confianza son la nueva superficie de ataque de la cadena de suministro. Casi una cuarta parte de los incidentes del último año involucraron atacantes que abusaron de integraciones de confianza para lanzar ataques contra aplicaciones SaaS. Estas integraciones otorgan acceso legítimo y privilegiado que es inherentemente difícil de proteger porque la conexión en sí está autorizada. Unit 42 de Palo Alto Networks describe esto como un cambio estructural en el riesgo de la cadena de suministro — pasando del código vulnerable al abuso de enlaces de confianza entre sistemas.
5. El promedio de detección de 42 días es catastróficamente desfasado frente a la exfiltración en 72 minutos. El tiempo promedio de permanencia en la industria sigue siendo de aproximadamente 42 días. Los atacantes exfiltran datos en 72 minutos. Esa diferencia no es incremental. Es categórica. Cuando los procesos tradicionales de detección y respuesta identifican una brecha, los atacantes ya han completado su misión más de 800 veces. El monitoreo en tiempo real del acceso a los datos y la aplicación automatizada de políticas ya no son aspiracionales. Son la defensa mínima viable frente a amenazas aceleradas por IA.

La ventana de 72 minutos ha roto el modelo de detección

El tiempo promedio de permanencia en la industria —el periodo entre el compromiso inicial y la detección— sigue siendo de aproximadamente 42 días. Ahora, los atacantes exfiltran datos en 72 minutos. Eso no es una brecha. Es un abismo. Cuando las operaciones de seguridad tradicionales identifican que ha ocurrido una brecha, el atacante ya se ha ido desde hace semanas. Los datos ya han sido exfiltrados. El daño ya está hecho.

La aceleración por cuatro se debe a la IA en todo el ciclo de ataque. El reconocimiento impulsado por IA identifica objetivos, mapea repositorios de datos y descubre vulnerabilidades a velocidad de máquina. Las campañas de phishing generadas por IA crean ingeniería social convincente a escala, logrando tasas de clics que las campañas humanas no pueden igualar. El scripting asistido por IA automatiza la explotación y la persistencia. La ejecución operativa impulsada por IA coordina ataques simultáneos contra múltiples objetivos.

La ventana de exfiltración de 72 minutos significa que cualquier mecanismo de detección que opere en tiempos humanos —revisiones periódicas de registros, triaje manual de alertas, búsquedas de amenazas semanales— es estructuralmente incapaz de detectar el ataque antes de que se complete. Cuando un analista revisa la alerta, la correlaciona con otras señales, investiga el alcance y escala a respuesta a incidentes, la exfiltración ya ocurrió horas o días antes. El modelo de detección construido para un mundo donde los atacantes permanecían semanas o meses está catastróficamente desfasado frente a atacantes que completan su misión en poco más de una hora.

El monitoreo en tiempo real del acceso a los datos ya no es una aspiración. Es un requisito. Las organizaciones necesitan la capacidad de detectar patrones anómalos de acceso a datos en segundos, no horas. Necesitan aplicación automatizada de políticas que bloquee actividades sospechosas sin esperar análisis humano. Necesitan establecer líneas base de comportamiento para cada usuario y cada agente de IA que permitan identificar desviaciones en el momento en que ocurren. La ventana de 72 minutos no deja espacio para procesos manuales.

El problema de la identidad es un problema de exfiltración de datos

El noventa por ciento de los casos de respuesta a incidentes involucraron identidades y tokens robados. Esa estadística merece una reflexión profunda. Significa que el método principal por el que los atacantes acceden a los datos de la organización no es una explotación técnica. Es el robo de credenciales. Phishing, secuestro de tokens, relleno de credenciales, repetición de sesión —los mecanismos varían, pero el resultado es el mismo. El atacante obtiene una identidad legítima y la usa para acceder a los datos como si fuera el usuario autorizado.

Las defensas perimetrales tradicionales se diseñaron para distinguir entre internos y externos. Firewalls, sistemas de detección de intrusiones, segmentación de red: todos asumen que la amenaza viene de fuera del perímetro de confianza y debe ser identificada al cruzarlo. Cuando el atacante inicia sesión con credenciales válidas, esa suposición se derrumba. Está dentro del perímetro de confianza desde el primer momento. Usa una identidad autorizada. Su tráfico parece legítimo porque, desde la perspectiva del sistema, lo es.

Por eso los ataques basados en identidad son tan efectivos y por qué el dato del 90% es tan relevante. Las acciones del atacante son indistinguibles del comportamiento normal del usuario, a menos que la organización tenga controles que evalúen el contexto más allá de la identidad. ¿De dónde proviene este acceso? ¿En qué horario ocurre? ¿A qué clasificación de datos se accede? ¿Cuántos datos se solicitan? ¿Este volumen, velocidad y patrón coinciden con el historial de la cuenta? Estas son preguntas a nivel de datos, no de infraestructura —y la mayoría de las organizaciones no las están haciendo.

La implicación es directa: incluso cuando la gestión de identidades es sólida, incluso con autenticación multifactor implementada y rotación regular de credenciales, el atacante que obtiene un token de sesión válido puede exfiltrar datos. La verificación de identidad en el punto de autenticación es necesaria pero insuficiente. Las organizaciones necesitan verificación continua en el punto de acceso a los datos: cada solicitud, cada consulta, cada descarga evaluada según el comportamiento base del usuario, la clasificación de sensibilidad de los datos y el contexto de riesgo actual.

15 minutos desde la divulgación hasta la explotación

El informe revela que los atacantes ahora apuntan a vulnerabilidades conocidas en los 15 minutos posteriores a la publicación de una CVE. No es un error tipográfico. Quince minutos después de que una vulnerabilidad se divulga públicamente, los grupos de amenazas ya están escaneando y tratando de explotarla.

La IA hace esto posible. Los sistemas automatizados analizan las divulgaciones de CVE, identifican el software afectado, generan scripts de explotación y lanzan campañas de escaneo contra cientos de objetivos simultáneamente. El ciclo humano de gestión de parches —evaluar la vulnerabilidad, probar el parche, programar la ventana de mantenimiento, implementar la actualización— opera en un cronograma de días a semanas. El ciclo de explotación acelerado por IA opera en minutos.

Esta aceleración tiene dos implicaciones. Primero, las organizaciones no pueden confiar solo en la gestión de parches para protegerse contra vulnerabilidades conocidas. La ventana entre divulgación y explotación ahora es más corta que el tiempo necesario para evaluar e implementar la mayoría de los parches. Los controles compensatorios —segmentación de red, parches virtuales, restricciones de acceso centradas en los datos— deben poder implementarse de inmediato mientras avanza el ciclo de parches. Segundo, la ventana de 15 minutos refuerza la importancia de reducir el radio de impacto de cualquier explotación exitosa. Si un atacante explota una vulnerabilidad y accede a un sistema, los controles de acceso a datos con privilegios mínimos determinan si puede llegar a información confidencial. La compartimentación limita hasta dónde puede moverse. La detección de anomalías identifica la desviación respecto al patrón normal. La explotación puede tener éxito, pero la exfiltración no tiene por qué.

Integraciones de confianza: el ataque a la cadena de suministro que ya autorizaste

Casi una cuarta parte de los incidentes del último año involucraron atacantes que abusaron de integraciones de confianza para lanzar ataques contra aplicaciones SaaS. No se trata de exploits de día cero contra vulnerabilidades desconocidas. Son ataques que aprovechan conexiones establecidas por la propia organización —tokens OAuth, integraciones API, cuentas de servicio y flujos de datos entre plataformas que recibieron acceso privilegiado por diseño.

Sam Rubin de Unit 42 describe esto como un cambio estructural en el riesgo de la cadena de suministro que va más allá del código vulnerable y se centra en el abuso de enlaces de confianza. La distinción es importante. La seguridad tradicional de la cadena de suministro se enfoca en si el código o los componentes que consumes contienen vulnerabilidades. El nuevo riesgo de la cadena de suministro es que las conexiones de confianza entre tus sistemas —todas autorizadas y privilegiadas— ofrecen caminos de movimiento lateral que los atacantes pueden explotar sin activar las alertas diseñadas para detectar accesos no autorizados.

El patrón de ataque es engañosamente simple. Un atacante compromete a un proveedor o socio con acceso de confianza a tu entorno SaaS. Usa esa conexión de confianza para acceder a tus datos. Desde la perspectiva de tus herramientas de seguridad, el acceso parece legítimo porque la integración en sí es legítima. El token OAuth es válido. La llamada API está autorizada. La transferencia de datos sigue los patrones establecidos —hasta que deja de hacerlo.

Protegerse ante esto requiere monitorear los patrones de acceso a los datos de cada integración, no solo las identidades de los usuarios humanos. Cuando una integración de confianza comienza a acceder a datos en volúmenes, velocidades o patrones que se desvían de su línea base, esa desviación debe activar las mismas alertas y respuestas automatizadas que el comportamiento anómalo humano. Las organizaciones necesitan registros de auditoría integrales que documenten qué datos accede cada integración, cuándo, en qué volumen y para qué propósito. Y necesitan la capacidad de revocar el acceso de la integración inmediatamente cuando la detección de anomalías identifique un posible compromiso —sin esperar la confirmación del proveedor sobre si la integración fue explotada.

Por qué las arquitecturas de defensa tradicionales fallan ante ataques acelerados por IA

El informe de Palo Alto Networks revela un conjunto de características de ataque que, en conjunto, hacen que las arquitecturas de defensa tradicionales sean inadecuadas. Aceleración de velocidad por cuatro. Ventanas de exfiltración de 72 minutos. Acceso basado en identidad en el 90% de los casos. Explotación de vulnerabilidades en 15 minutos. Abuso de integraciones de confianza. Cada una de estas características desafía la seguridad convencional por sí sola. Juntas, describen un panorama de ataques que ha superado lo que las operaciones de seguridad centradas en el perímetro, a ritmo humano y con revisiones periódicas pueden gestionar.

La detección tradicional depende de correlacionar señales de múltiples fuentes de datos —registros SIEM, telemetría de endpoints, flujos de red— y de que los analistas investiguen las alertas resultantes. Cuando los atacantes permanecían semanas, ese modelo funcionaba porque el tiempo jugaba a favor del defensor. Con una ventana de 72 minutos, el tiempo está exclusivamente del lado del atacante. El motor de correlación puede generar la alerta. El analista puede no verla nunca antes de que la exfiltración se complete.

La prevención tradicional se basa en mantener a los atacantes fuera del perímetro. Cuando el 90% de los ataques usan credenciales robadas, el atacante ya ha superado el perímetro desde el primer momento de acceso. Firewalls, sistemas de prevención de intrusiones y controles de acceso de red resuelven un problema que el atacante ya ha superado.

La respuesta tradicional depende de identificar el alcance del compromiso, contener los sistemas afectados y remediar. Cuando los atacantes exfiltran en 72 minutos, no queda nada por contener. Los datos ya no están. La respuesta se convierte en investigación forense y notificación de la brecha —no en defensa activa.

El modelo de defensa que se ajusta a estas características de ataque requiere tres capacidades operando simultáneamente. Monitoreo en tiempo real del acceso a los datos que identifique patrones anómalos en segundos. Aplicación automatizada de políticas que bloquee accesos sospechosos sin intervención humana. Y verificación continua que evalúe cada solicitud de acceso a datos según la línea base del usuario, la clasificación de los datos y el contexto de amenaza actual. Esto no es un modelo perimetral. Es un modelo centrado en los datos —uno que asume que el atacante ya está dentro y se enfoca en evitar la exfiltración, no el acceso inicial.

Qué deben hacer las organizaciones para igualar la velocidad de ataque de la IA

El informe de Palo Alto Networks se basa en más de 750 incidentes reales. Las conclusiones exigen respuestas operativas, no ejercicios de planificación estratégica. Esto es lo que las organizaciones deben hacer ahora.

Implementa monitoreo en tiempo real del acceso a los datos con detección automática de anomalías. La ventana de exfiltración de 72 minutos elimina la viabilidad de las revisiones periódicas de registros y el triaje manual de alertas. Las organizaciones necesitan monitoreo continuo que identifique patrones anómalos de acceso a datos en segundos: volúmenes de descarga inusuales, acceso a clasificaciones de datos atípicas, acceso desde ubicaciones o dispositivos desconocidos, patrones de consultas rápidas. La detección de anomalías debe operar a velocidad de máquina porque los ataques ahora operan a velocidad de máquina.

Implementa aplicación automatizada de políticas que bloquee la exfiltración sin intervención humana. Cuando la detección de anomalías identifica acceso sospechoso a datos, la respuesta debe ser automática. Restringe el acceso, exige autenticación reforzada, bloquea descargas, revoca sesiones. La ventana de 72 minutos no permite que un analista reciba la alerta, investigue el contexto, determine la gravedad y decida bloquear. La aplicación automatizada debe ejecutarse en milisegundos mientras alerta al equipo de seguridad para su investigación.

Ve más allá de la verificación de identidad y aplica controles de acceso a datos continuos y basados en contexto. La autenticación en la puerta de entrada es insuficiente cuando el 90% de los ataques usan credenciales robadas. Cada solicitud de acceso a datos debe evaluarse según el contexto: la clasificación de datos solicitada, los patrones históricos de comportamiento del usuario, la ubicación y el dispositivo de acceso, el volumen y la velocidad de las solicitudes. Las credenciales válidas no deberían ser suficientes para acceder a datos de alta sensibilidad sin verificación adicional basada en estos factores contextuales. Aquí es donde el control de acceso basado en atributos —evaluando identidad, clasificación de datos, contexto y riesgo simultáneamente— reemplaza el binario estático de «autenticado / no autenticado».

Aplica acceso a datos con privilegios mínimos para cada usuario humano, agente de IA e integración. El radio de impacto de cualquier robo de credenciales o compromiso de integración exitoso lo determina la cantidad de datos a los que puede llegar la identidad comprometida. El acceso a datos con privilegios mínimos —limitando cada identidad a las clasificaciones de datos mínimas requeridas para su función— es el control más efectivo para reducir el impacto de los ataques basados en identidad. Audita el acceso actual de cada usuario, agente e integración frente a lo que realmente necesita. La Red de Contenido Privado de Kiteworks aplica estos límites a través de una puerta de enlace gobernada que asegura que ninguna identidad —humana o de IA— pueda acceder a datos fuera de su propósito autorizado.

Monitorea las integraciones de confianza con el mismo rigor que a los usuarios humanos. Casi una cuarta parte de los incidentes involucraron abuso de integraciones de confianza. Los patrones de acceso a datos de cada integración deben ser monitoreados de forma continua. Se deben establecer líneas base de comportamiento para cada integración. Las desviaciones —volúmenes inusuales, nuevas categorías de datos, acceso fuera de horario— deben activar las mismas respuestas automatizadas que el comportamiento anómalo humano. Las organizaciones deben poder revocar el acceso de la integración de inmediato cuando se sospeche un compromiso.

Crea registros de auditoría que permitan respuesta a incidentes en 72 minutos, no detección en 42 días. Los registros de auditoría integrales deben documentar cada evento de acceso a datos en todos los canales —correo electrónico, uso compartido de archivos, SFTP, transferencia de archivos gestionada, APIs. Estos registros deben poder consultarse en tiempo real, no en ciclos de procesamiento por lotes. Cuando se detecta un incidente, el registro de auditoría debe mostrar de inmediato qué datos se accedieron, por quién, cuándo, desde dónde y qué se hizo con ellos. La línea de tiempo forense debe estar disponible en minutos, no en semanas, porque el ataque se completó en minutos, no en semanas.

La línea de tiempo del ataque ha cambiado. Tu línea de defensa debe cambiar también.

El informe de Palo Alto Networks documenta un cambio fundamental en la línea de tiempo de los ataques. Los atacantes son cuatro veces más rápidos. La exfiltración de datos ocurre en 72 minutos. Las credenciales robadas aparecen en el 90% de los casos. Las vulnerabilidades se explotan en 15 minutos tras su divulgación. Las integraciones de confianza se convierten en rutas de movimiento lateral.

Cada uno de estos hallazgos apunta en la misma dirección: la defensa debe operar a nivel de datos, a velocidad de máquina, en tiempo real. El modelo perimetral que asume que los atacantes están fuera ha fallado ante el acceso basado en credenciales. El modelo de detección que depende del análisis a ritmo humano ha fallado ante la exfiltración en 72 minutos. El modelo de respuesta que se centra en la contención ha fallado ante ataques que se completan antes de que la contención comience.

Lo que queda es un modelo de defensa centrado en los datos. Monitoreo continuo de cada evento de acceso a datos. Aplicación automatizada que bloquea accesos sospechosos en milisegundos. Controles basados en contexto que evalúan cada solicitud según líneas base de comportamiento y sensibilidad de los datos. Acceso con privilegios mínimos que limita el radio de impacto de cualquier compromiso. Y registros de auditoría integrales que hacen visibles los incidentes en el momento en que comienzan, no semanas después de que terminan.

Los atacantes han cambiado su línea de tiempo. Las organizaciones que no cambien la suya descubrirán lo que significan 72 minutos de acceso sin detectar en su próxima notificación de brecha.

Para descubrir cómo Kiteworks puede ayudarte, agenda una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog Arquitectura Zero Trust: Nunca confíes, verifica siempre
• Video Microsoft GCC High: Desventajas que impulsan a los contratistas de defensa hacia ventajas más inteligentes
• Artículo del Blog Cómo proteger datos clasificados una vez que DSPM los identifica
• Artículo del Blog Cómo generar confianza en la IA generativa con un enfoque Zero Trust
• Video La guía definitiva para el almacenamiento seguro de datos sensibles para líderes de TI