Durante años, la ciberseguridad se sostuvo sobre una premisa que hoy ya no es suficiente: detectar lo conocido.
Listas de indicadores, firmas, dominios maliciosos y hashes fueron, y siguen siendo, componentes relevantes de la defensa. Sin embargo, 2025 dejó en evidencia que el adversario aprendió a operar fuera de ese marco.
A lo largo del último año, en CronUp Ciberseguridad investigamos múltiples incidentes que, aunque distintos en su forma, compartían un mismo trasfondo: ataques diseñados para evadir la detección tradicional, abusar de la confianza y mantener persistencia silenciosa.
Este artículo no es un recuento de incidentes: Es una lectura del patrón que los conecta.
La identidad digital como objetivo final
- Selfies biométricos
- Fotografías de documentos de identidad
- Credenciales de acceso a plataformas gubernamentales
La recompensa ya no era una cuenta aislada. Era la identidad digital completa.
Phishing Avanzado, BEC y Abuso de Plataformas Legítimas: La Evolución del Riesgo para las Organizaciones
Este tipo de fraude, altamente dirigido, confirma que el phishing dejó de ser una amenaza masiva para transformarse en operaciones de precisión, donde cada víctima representa un activo de alto valor en mercados ilegales.
Cuando la confianza se convierte en el vector de ataque
Uno de los patrones más claros que dejó 2025 fue el abuso deliberado de infraestructura y servicios legítimos como vector principal de ataque. Ya no se trata de crear dominios evidentemente maliciosos o desplegar plataformas improvisadas, sino de aprovechar la reputación digital de terceros para operar bajo el radar.
Un ejemplo representativo fue una campaña de Fraude al CEO (BEC) que utilizaba open redirects legítimos de Google.
Los atacantes:
- No desplegaron infraestructura sospechosa
- No recurrieron a dominios recién registrados
- No activaron advertencias visibles para el usuario
En su lugar, aprovecharon la confianza asociada a un servicio ampliamente utilizado para construir enlaces que, a simple vista, parecían seguros, pero que redirigían de forma sigilosa a sitios maliciosos.
Ninguno de estos dominios aparecía en feeds tradicionales de IoCs. La técnica sí estaba ahí, operando con precisión.
Este mismo principio se repitió en otros escenarios a lo largo del año. Sitios web legítimos, incluyendo instituciones educacionales con anuncios activos en Google, fueron utilizados para distribuir malware mediante técnicas avanzadas de ingeniería social como ClickFix.
Estos casos dejan una lección transversal: la reputación digital ya no es sinónimo de seguridad.
Cuando el adversario opera desde plataformas legítimas, la superficie de ataque se extiende mucho más allá del perímetro tradicional, y los modelos de detección basados exclusivamente en indicadores pierden efectividad.
Perseguir dominios o enlaces aislados deja de ser suficiente. Entender cómo se abusa de la confianza es lo que permite anticiparse.
Persistencia: el enemigo silencioso
En paralelo, investigaciones globales revelaron que más de 16.000 dispositivos Fortinet permanecían comprometidos incluso después de haber sido parchados.
No se trataba de una nueva vulnerabilidad, era un mecanismo de persistencia implantado años atrás, capaz de sobrevivir a actualizaciones y mantener acceso silencioso a configuraciones críticas.
Este hallazgo reforzó una realidad incómoda para muchas organizaciones: parchear no siempre equivale a estar seguro.
Este hallazgo reforzó una realidad incómoda para muchas organizaciones: parchear no siempre equivale a estar seguro.Sin visibilidad post-compromiso y sin capacidades reales de threat hunting, los atacantes pueden permanecer dentro del entorno, observando.
Ransomware y reciclaje de TTPs
Finalmente, los ataques de ransomware contra organismos críticos confirmaron una tendencia que venimos siguiendo hace tiempo: los grupos cambian de nombre, pero no necesariamente de técnicas.
Operadores que ayer actuaban bajo una marca criminal, hoy reaparecen bajo otra, reutilizando C2, herramientas y cadenas de ataque similares.
Quien entiende los TTPs, los reconoce. Quien depende solo de IoCs, vuelve a empezar desde cero.
De la observación a la anticipación: cómo se reduce realmente el riesgo
Los incidentes analizados durante 2025 comparten un denominador común: ninguno habría sido detenido a tiempo únicamente con controles reactivos o listas de indicadores.
Bloquear dominios, hashes o aplicar parches sigue siendo necesario, pero ya no es suficiente cuando el adversario:
- Abusa de infraestructura legítima
- Mantiene persistencia silenciosa
- Cambia rápidamente de identidad operativa
- Apunta a activos críticos como la identidad digital y el acceso privilegiado
En este contexto, la ventaja no está en detectar primero el incidente, sino en entender antes cómo opera el adversario.
Ahí es donde entra ATRc®
ATRc® es el servicio con el que en CronUp Ciberseguridad transformamos investigación de amenazas en decisiones defensivas concretas.
ATRc® permite a las organizaciones:Identificar exposición real en su superficie de ataque, más allá de lo que reportan los controles tradicionales
- Detectar compromisos activos o latentes, incluso en entornos ya parchados
- Correlacionar TTPs, IoCs y contexto regional para anticipar ataques relevantes para su sector
- Priorizar riesgos con evidencia técnica, no con supuestos
- Reducir la ventana de exposición antes de que el impacto sea operativo, financiero o reputacional
No se trata de recibir más alertas. Se trata de recibir inteligencia accionable, a tiempo.
Anticiparse no es opcional
Los casos de 2025 demuestran que esperar a que el ataque sea visible es llegar tarde.
Las organizaciones que fortalecen su postura de seguridad son aquellas que comprenden cómo piensa el adversario y ajustan su defensa en consecuencia.
Si quieres saber:
- Qué ve hoy un atacante cuando analiza tu organización
- Qué técnicas podrían estar siendo utilizadas contra tu sector
- Qué señales tempranas pueden indicar un compromiso silencioso
ATRc® fue diseñado exactamente para eso.
¿Quieres saber si tu organización puede ser el próximo objetivo? Realizamos una evaluación de exposición digital para ayudarte a tomar decisiones informadas, antes de que el riesgo se materialice.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
