La migración a la nube y la adopción acelerada de la Inteligencia Artificial están transformando los negocios con ganancias visibles en velocidad y eficiencia. Pero ese mismo impulso ha ampliado la superficie de ataque y ha elevado la sofisticación de los delincuentes: combinan herramientas nuevas con tácticas antiguas para entrar por la puerta débil, moverse lateralmente y generar interrupciones que duelen en operaciones y reputación. La cuestión real ya no es si habrá un incidente, sino si la organización será capaz de absorberlo y seguir funcionando. La clave, subraya el informe “Ciberamenazas en la nube: estrategias frente a la disrupción digital”, es integrar la gestión del riesgo desde el diseño, no añadirla al final como un parche.
Tres ideas fuerza para situar el problema
1) Eficiencia con doble filo. La nube y la IA permiten hacer más con menos, pero también concentran activos valiosos y credenciales en plataformas expuestas por diseño a Internet. A mayor concentración y conectividad, mayor atractivo para atacantes.
2) Adversarios que evolucionan. Las bandas de ransomware, los grupos con apoyo estatal y el fraude corporativo han modernizado su arsenal: emplean ingeniería social impulsada por IA, deepfakes y kits de adversario-en-el-medio, pero mantienen lo que funciona (phishing, abuso de credenciales, explotación de configuraciones débiles).
3) Resiliencia por diseño. La continuidad de negocio no se certifica: se construye. Identidades fuertes, segmentación, cifrado con gestión de claves adecuada, telemetría útil, backups inmutables y planes de crisis ejercitados son cimientos, no adornos.
Nube e IA: eficiencia con coste en exposición
El salto de cargas y datos a nubes públicas, privadas e híbridas no es un traslado sin fricción: cambia el modelo de amenaza. Casi la mitad de los datos corporativos que residen en servicios cloud son sensibles, y el correo corporativo en suites SaaS continúa siendo una puerta de entrada preferida a través de campañas de compromiso de cuentas (BEC). La IA generativa, por su parte, abarata la escala para ambos lados: el defensor gana velocidad en detección y respuesta; el atacante produce campañas de phishing a medida, imitaciones de voz e imagen más convincentes y scripts de malware adaptables. El resultado es una curva de incidentes que crece y, sobre todo, una mayor tasa de ataques que culminan en interrupción operativa.
Ransomware + phishing: la doble exposición del modelo cloud
El ransomware ha perfeccionado su “negocio”. Ya no solo cifra: primero exfiltra y amenaza con publicar. Y ahora busca deliberadamente almacenamiento y colaboración en la nube para elevar el impacto. En paralelo, el phishing sigue siendo el vector más rentable. La variante Adversary-in-the-Middle (AITM) roba tokens de sesión y sortea autenticaciones débiles o heredadas, lo que permite a los intrusos eludir incluso el doble factor tradicional. El patrón se repite: credenciales comprometidas, movimiento lateral silencioso, exfiltración a buckets externos y disparo de cifrado en el peor momento para la víctima.
Terceros y cadena de suministro: del fallo puntual al impacto sistémico
La externalización acelera proyectos, pero añade riesgo correlacionado: miles de compañías dependen de pocos proveedores de software, identidad, CDN o seguridad. Un incidente en un tercero puede escalar a decenas de miles de sistemas, y un error en una actualización crítica puede causar paradas globales, incluso si el detonante no fue un ciberataque. La lección es dura: no basta con proteger el perímetro propio; hay que comprender y gestionar dependencias técnicas y operativas, exigir transparencia y garantizar rutas de escape cuando un eslabón de la cadena se rompe.
Casos recientes que no conviene olvidar
- Okta (2023): el acceso indebido a sistemas de soporte y la exfiltración de tokens de sesión afectaron a decenas de clientes. Dejó claro que el soporte técnico y los accesos de terceros son vectores críticos y que el mínimo privilegio debe aplicarse también fuera del “core” de TI.
- DDoS a servicios perimetrales (2024): interrupciones de varias horas en plataformas cloud recordaron que sin ingeniería de tráfico multirregión y rutas alternativas la disponibilidad puede caer como fichas de dominó.
- Agentes de IA mal perfilados (2025): pruebas de concepto demostraron que un agente con permisos de más puede ejecutar acciones destructivas sin malware. El mensaje: la seguridad de IA no puede ser teatral; exige controles de identidad y autorización tan estrictos como cualquier microservicio.
- Ransomware en proveedores de email y hosting (2022–2024): credenciales + una vulnerabilidad explotada + ausencia de segmentación derivaron en caídas prolongadas, litigios costosos y pérdida de confianza. La segmentación y el aislamiento de funciones no son opcionales.
De “cumplir” a “resistir”: resiliencia desde el diseño
La nube y la IA requieren pasar del checklist al diseño de resiliencia:
- Apetito de riesgo claro. La dirección debe fijar qué servicios no pueden caer y por cuánto tiempo. Sin ese marco, la seguridad se difumina y el gasto se dispersa.
- Identidades blindadas. MFA resistente al phishing (FIDO2/WebAuthn), privilegios JIT (just-in-time) para administradores, PAM para cuentas de alto riesgo y bóvedas para secretos de servicio. Nada de MFA por SMS salvo como último recurso.
- Segmentación y mínimo privilegio en cloud. Cuentas separadas por entornos (producción, pre, dev), políticas deny-by-default, microsegmentación en red, filtros de egress y control fino de permisos en almacenamiento, colas y funciones serverless.
- Cifrado y claves bajo control. Cifrar en tránsito y en reposo es básico; lo determinante es quién controla las claves (KMS) y dónde residen. En ciertos sectores y jurisdicciones, la custodia local reduce riesgos regulatorios y de extraterritorialidad.
- Higiene de configuración continua. Auditorías periódicas, parches en ventana, imágenes inmutables, infraestructura como código con guardrails y validaciones previas al despliegue. La configuración es código y debe tratarse como tal.
- Detección y respuesta integradas. Telemetría útil (logs, métricas y trazas), analítica con IA para detectar anomalías de sesión y privilegios, y runbooks ensayados. La teoría sin ejercicios no prepara a nadie.
- Backups 3-2-1-1-0. Tres copias, dos soportes, una off-site, una inmutable/offline y cero errores verificados en restauración. Medir y probar RTO y RPO como si un rescate dependiera de ello (porque depende).
- Gobernanza de terceros. Inventario vivo de dependencias SaaS/PaaS, cuestionarios que evalúen telemetría, SLA de notificación, planes de continuidad y subprocesadores. Cláusulas de salida, exportación de datos y modo degradado definidos por contrato.
- Pruebas de crisis. Escenarios de caída de proveedor, pérdida de identidades, DDoS y compromiso de correo. Medir MTTD/MTTR, tiempos de conmutación y efectividad de comunicación interna y externa.
- Seguro ciber alineado con la realidad. No sustituye controles: los complementa. Muchas pólizas exigen MFA robusta, EDR, backups inmutables y segmentación para cubrir.
Métricas que sí importan al comité de dirección
La resiliencia se demuestra con números, no con presentaciones. Algunas métricas accionables:
- MTTD/MTTR por tipo de incidente y por proveedor afectado.
- Cumplimiento de parches por criticidad dentro de ventanas definidas.
- Porcentaje de sesiones privilegiadas JIT y su duración media.
- Cobertura de cifrado según clasificación de datos.
- Tasa de restauraciones exitosas frente a RTO/RPO prometidos.
- Mapa de dependencias críticas con plan alternativo verificado (incluida ruta manual o en modo degradado).
Diez acciones para empezar mañana
- Activar MFA resistente al phishing y retirar métodos heredados.
- Inventariar aplicaciones SaaS, cerrar conectores huérfanos y revisar permisos excesivos.
- Aplicar acceso condicional por riesgo, con bloqueo por geografía/dispositivo cuando proceda.
- Forzar JIT para administradores y registro de sesiones elevadas.
- Aislar backups con inmutabilidad y prueba mensual de restauración.
- Revisar reglas de correo y dominios de typosquatting asociados a la marca.
- Simular un AITM contra la suite de productividad y ajustar detecciones.
- Ensayar un plan de continuidad ante caída de un SaaS crítico.
- Exigir a terceros tiempos de notificación, telemetría compartible y canales de emergencia.
- Formar a directivos en decisiones bajo presión y protocolos de comunicación.
Cultura y gobierno: la diferencia entre tropezar y caer
La tecnología marca el ritmo, pero la cultura marca el paso. Las organizaciones que mejor resisten tienen roles y responsabilidades claras, comités que hablan el mismo idioma (riesgo, negocio, tecnología), presupuestos que priorizan impacto y una obsesión sana por aprender del incidente. El objetivo no es eliminar el riesgo —imposible en entornos hiperconectados—, sino gestionar la exposición y reducir el tiempo de recuperación cuando, inevitablemente, algo falla.
Preguntas frecuentes
¿Cuáles son las mejores prácticas para frenar el ransomware en entornos multicloud en 2025?
Identidades con MFA resistente al phishing, segmentación por entornos y cuentas separadas, mínimo privilegio, parcheo con SLA por criticidad, backups 3-2-1-1-0 inmutables, telemetría unificada y runbooks probados. Añada controles de exfiltración (egress), sesiones cortas y revocación de tokens robados.
¿Qué es un ataque AITM (Adversary-in-the-Middle) y cómo mitigarlo en suites de productividad?
Es la intercepción de la sesión entre usuario y servicio para robar tokens y saltarse la autenticación. Se mitiga con FIDO2/WebAuthn, acceso condicional según riesgo, detección de anomalías de sesión, reautenticación en operaciones sensibles y buena higiene de aplicaciones registradas/OAuth.
¿Cómo evaluar el riesgo de terceros SaaS sin caer en el “checklist”?
Mapee dependencias reales (datos, identidades, procesos), exija telemetría y SLA de notificación, revise subprocesadores y jurisdicciones, pida evidencias de backups inmutables y planes de continuidad, y defina rutas de escape operativas (exportación, modo degradado).
¿Qué métricas de resiliencia debe seguir un comité de dirección?
MTTD/MTTR, éxitos de restauración frente a RTO/RPO, cobertura de cifrado por clasificación de datos, porcentaje de admins JIT, tiempo de conmutación multirregión y resultados de pruebas de crisis (frecuencia, hallazgos y correcciones ejecutadas).
vía: QBE España
