Qué es una filtración de datos y cómo funciona realmente un ciberataque

La mayoría de las brechas de datos llegan a las personas a través de un sobre familiar: una carta de la empresa, una disculpa cautelosa y una oferta de doce meses de supervisión de crédito gratuita. Lo que la carta no describe es todo lo que ocurrió antes de que se enviara. Entre el momento en que un atacante entra por primera vez en una red y el momento en que te enteras de que tu información estaba implicada, pasan una media de 194 días. Entender lo que ocurre en esos meses y por qué permanecen invisibles es más útil que el servicio de supervisión.

Una brecha de datos es cualquier incidente de seguridad en el que se accede, copia o extrae información protegida sin autorización. Esto incluye registros de clientes, datos financieros, archivos médicos, identificadores gubernamentales e información de empleados. Los marcos legales que las regulan añaden otra capa: según el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, las organizaciones deben notificar a las autoridades en un plazo de 72 horas desde que tienen conocimiento de la brecha. La frase clave es «tener conocimiento» y el lapso entre el inicio de una brecha y el momento en que una empresa se entera de ella es exactamente donde se acumula la mayor parte del daño.

Los atacantes encuentran su camino hacia el interior a través de un pequeño número de métodos fiables. En 2024, la explotación de vulnerabilidades dirigida a fallos de seguridad en software, especialmente en las VPN, cortafuegos y herramientas de acceso remoto que las organizaciones utilizan como puntos de entrada seguros, representó el 33 por ciento de las brechas. Las credenciales robadas o comprometidas fueron responsables del 16 por ciento, y los correos de phishing del 14 por ciento. La brecha de MOVEit, que afectó a más de 62 millones de personas en cientos de organizaciones en una sola campaña, ilustra cómo una vulnerabilidad no revelada en un software de transferencia de archivos ampliamente utilizado puede ser armada antes de que el proveedor tenga conocimiento de ella. Los ataques a la cadena de suministro de este tipo explotan la confianza que las organizaciones depositan en herramientas de terceros; una vez que el software está comprometido, cada organización que lo utiliza se convierte en un objetivo potencial simultáneamente.

Entrar en una red es el principio, no el objetivo. Una vez que el atacante tiene acceso inicial, comienza el trabajo de moverse por la red: recolectar credenciales adicionales, escalar privilegios e identificar los sistemas que contienen los datos más valiosos. Esta fase, denominada movimiento lateral, lleva tiempo y está diseñada para permanecer invisible. La brecha de Change Healthcare, que finalmente afectó a unos 100 millones de estadounidenses y costó más de 2.400 millones de dólares en costes de respuesta directa, comenzó con una única credencial comprometida para un portal de acceso remoto que carecía de autenticación multifactor. Las brechas de autenticación en la capa de acceso, un segundo factor ausente o una interfaz de inicio de sesión sin parchear, demuestran de manera consistente ser más consecuentes que los exploits técnicos sofisticados.

La media de detección de 194 días refleja una asimetría fundamental: los atacantes trabajan a su propio ritmo dentro de una red que ya controlan, mientras que los defensores buscan señales que el atacante está ocultando activamente. Cuando las organizaciones detectan brechas a través de su propio monitoreo, el tiempo de permanencia medio se reduce drásticamente a 16 días, lo que sugiere que las capacidades de detección interna, cuando existen y funcionan correctamente, detectan las intrusiones mucho antes. Las empresas que utilizan inteligencia de amenazas en tiempo real identificaron intrusiones 28 días antes en promedio. Después de la detección, contener una brecha lleva una media de 64 días adicionales, para un ciclo de vida total desde la intrusión hasta la contención de alrededor de 258 días.

Antes de que se produzca la detección, la exfiltración casi siempre ya ha ocurrido. Los datos robados siguen rutas predecibles a través de los mercados criminales. Los registros de alto valor, incluidos los números de la Seguridad Social, identificadores médicos y detalles de cuentas financieras, se venden al por mayor y se revenden a compradores especializados. La brecha de National Public Data comprometió un estimado de 2.900 millones de registros, incluidos números de la Seguridad Social de personas en Estados Unidos, Reino Unido y Canadá, y el conjunto de datos se ofreció a la venta por 3,5 millones de dólares antes de que la empresa hiciera una declaración pública. Las herramientas automatizadas ahora aceleran tanto las etapas de explotación como de monetización, lo que significa que la ventana entre una brecha exitosa y el primer uso criminal de los datos extraídos puede ser mucho más corta que la ventana entre la brecha y tu notificación.

Los efectos posteriores de una brecha no son inmediatos ni uniformes. Las pérdidas por fraude de identidad en 2025 alcanzaron los 27.300 millones de dólares, pero la mayoría de las cuentas fraudulentas abiertas con identidades robadas aparecen meses o años después de la brecha, cuando los delincuentes consideran que el momento es ventajoso. El robo de identidad médica tiene su propio calendario particular: las reclamaciones de seguro fraudulentas presentadas bajo una identidad robada pueden corromper el historial médico del titular legítimo, afectar a futuras coberturas y tardar años en identificarse y corregirse. La concienciación sobre cómo funciona este proceso es una de las defensas individuales más efectivas disponibles, no porque la concienciación prevenga las brechas, sino porque el reconocimiento temprano de la actividad sospechosa reduce drásticamente el daño final.

Ninguna inversión en seguridad elimina por completo el riesgo de brecha. Las organizaciones que sufrieron las brechas más grandes y más graves en los últimos años no fueron negligentes. Operaban sistemas complejos a gran escala, y los atacantes encontraron las brechas que inevitablemente existen en sistemas complejos a gran escala. Lo que cambia el gasto en seguridad es la velocidad de detección y el alcance del acceso que un atacante puede acumular antes de ser encontrado. Las brechas descubiertas en un plazo de 200 días cuestan a las organizaciones una media de 1,39 millones de dólares menos que aquellas que permanecieron sin detectar más tiempo. El objetivo realista no es la impenetrabilidad, sino la capacidad de respuesta.

Si recibes una notificación de brecha de datos, tres pasos importan más que la oferta de supervisión de crédito. Primero, congela tu crédito ante las principales agencias de crédito: esto impide que se abran nuevas cuentas a tu nombre, y descongelarlo es sencillo cuando necesites solicitar crédito. Segundo, consulta la herramienta gratuita Have I Been Pwned para ver si tu dirección de correo electrónico aparece en conjuntos de datos de brechas conocidas. Tercero, cambia cualquier contraseña compartida entre el servicio afectado y otras cuentas, ya que el relleno de credenciales se basa en contraseñas reutilizadas. La notificación del RGPD que puedas recibir de una empresa europea representa el plazo de 72 horas desde que la organización tuvo conocimiento, no desde que comenzó la brecha. El detalle más útil en cualquier carta de notificación es el tipo específico de datos implicados: saber si tus registros médicos, credenciales financieras o identificadores gubernamentales fueron expuestos determina la urgencia con la que debes actuar.

Etiquetas: ciberseguridad, ransomware, filtración de datos, GDPR, phishing, privacidad digital