La ciberseguridad en el ámbito de la defensa en 2026: límites reforzados, contenido sin inspeccionar

Más del 80 % de las empresas del sector aeroespacial y de defensa han sufrido una filtración de datos en los últimos doce meses.^[3] El sector registra aproximadamente 1.250 incidentes cibernéticos cada semana,^[4] con un aumento del 300 % en los ataques desde 2018 y un 61 % de las organizaciones afectadas por ransomware en el último año.^[5] Una violación de seguridad cuesta de media 5,46 millones de dólares, sin tener en cuenta la interrupción de programas clasificados, la exposición de la contrainteligencia o el riesgo contractual que conlleva el compromiso de un proveedor.^[6]

Threat Intelligence de Google confirmó en febrero de 2026 que los grupos de espionaje vinculados a China han atacado los sectores de la defensa y el sector aeroespacial más que cualquier otro actor estatal en los últimos dos años,^[7] aprovechando dispositivos periféricos, equipos VPN y canales de transferencia de archivos para establecer un acceso de larga duración. Rusia, Irán y Corea del Norte operan en la misma base industrial. Las campañas DDoS de los hacktivistas generan más del 76 % del volumen de incidentes en el sector (el doble de la media intersectorial^[8]), pero el volumen no es la medida que importa. La amenaza estratégica es precisa y paciente. No llama a la puerta. Entra a través de contenido que ya se considera de confianza.

Las técnicas LOTL (Living Off the Land), que utilizan herramientas legítimas del sistema ya presentes en la red, permiten a los atacantes actuar sin activar los mecanismos de detección. Para cuando se activa el análisis de comportamiento, un atacante sofisticado suele llevar ya el tiempo suficiente en el sistema como para haber cartografiado el entorno, identificado objetivos de gran valor y preparado la exfiltración. La detección es necesaria, pero no suficiente. La clave está en el punto de entrada, no en el interior de la red.

El modelo «Zero Trust» se ha convertido en el modelo de seguridad predominante en las redes de defensa y gubernamentales, y con razón. La autenticación continua, el acceso con privilegios mínimos, la aplicación de políticas de seguridad de los dispositivos y la microsegmentación: estos controles son necesarios y deben formar parte de toda arquitectura de defensa. El problema no radica en el modelo «Zero Trust». El problema es considerarlo como la solución definitiva a un problema para el que nunca fue diseñado. El acceso Zero Trust se creó para controlar quién accede a una red. No se creó para verificar qué se transmite a través de un perímetro una vez que se ha accedido a él. 

La limitación es específica. El modelo Zero Trust verifica quién cruza la frontera. La verificación de contenidos determina qué se permite cruzar. Una política Zero Trust comprueba correctamente que un usuario autenticado en un dispositivo autorizado está solicitando una transferencia legítima. No tiene visibilidad sobre si el archivo que se está transfiriendo contiene una macro maliciosa, una carga útil maliciosa concatenada o una vulnerabilidad de día cero incrustada en un formato de documento de confianza. 

Las campañas de los atacantes que dan inicio a este blog (los 393 días que BRICKSTORM permaneció en entornos de defensa aérea y antiaérea, y los cinco años que Volt Typhoon se mantuvo en infraestructuras críticas de EE. UU.) no burlaron los controles de acceso. Entraron a través de contenidos que los controles de acceso no tenían motivos para sospechar.  

La gestión de identidades y accesos constituye la primera capa imprescindible. La verificación de contenidos en el punto de entrada físico, en el límite de clasificación y en la cadena de suministro de software es la capa que determina qué es lo que realmente se permite que llegue a su destino. Juntas, forman un todo. Por separado, cada una deja sin cubrir las carencias de la otra. 

El cambio más relevante desde el punto de vista operativo en el panorama de las amenazas basadas en archivos para el periodo 2025-2026 es la aplicación de la inteligencia artificial a la generación de malware y a la evasión estructural. El equipo de inteligencia sobre amenazas de Google ha identificado familias de malware que mutan en tiempo real durante la fase de ataque,^[14] lo que ha reducido drásticamente los costes de desarrollo de exploits, pasando de semanas de trabajo a prácticamente cero.^[15]

La propia investigación OPSWATdocumentó un ejemplo concreto: la técnica del PDF concatenado, en la que un PDF malicioso se añade estructuralmente a uno limpio. Tras realizar pruebas con 34 motores de análisis, la tasa de detección se redujo de 34 a 5 cuando se concatenaron los archivos.^[16] Tres motores que anteriormente habían detectado la amenaza dejaron de hacerlo. El lector de PDF del usuario mostró el contenido de phishing exactamente como pretendía el atacante. La infraestructura de seguridad evaluó un documento diferente al que abrió el usuario.

No hay ninguna firma de malware que detectar. No hay ningún exploit que identificar. Solo se trata de una disposición estructural de un formato de archivo legítimo que hace que los escáneres y los lectores perciban un contenido diferente. En el límite entre dos clasificaciones, un solo archivo que utilice esta técnica puede pasar de «SIN CLASIFICAR» a «SECRETO» sin activar ninguna alerta. Esa brecha no es teórica.

La tecnología CDR (Content Disarm and Reconstruction) aborda este problema a nivel de mecanismo. La tecnología CDR no intenta identificar contenidos maliciosos, sino que descompone cada archivo en sus elementos componentes, elimina todo el contenido activo y ejecutable independientemente de la estructura del archivo, y reconstruye una versión limpia y funcionalmente intacta.

Una variante generada por IA sin firma conocida, un documento malicioso con elementos concatenados estructuralmente, un archivo de Office con macros incrustadas, un archivo comprimido malicioso: todos ellos son neutralizados mediante el mismo proceso, ya que CDR elimina el mecanismo de ejecución antes de que el archivo llegue a su destino.

El CDR es un sistema de control basado en los límites de los archivos. No aborda la actividad LOTL dentro de una red, ni la presencia de adversarios que ya se encuentren en el entorno.

Los requisitos de las soluciones de dominios cruzados han evolucionado. Las comunidades de interés que necesitan intercambiar datos son cada vez más diversas. Los tipos de datos se han ampliado, pasando de los archivos estándar de productividad a las cargas de trabajo de los sistemas, las fuentes de inteligencia y los formatos nativos de la nube. Para diseñar un CDS con una vida útil prolongada se requiere un enfoque modular y coordinado, y no un dispositivo estático.

MetaDefender Managed File Transfer la recepción y la transferencia seguras de archivos a través de redes clasificadas y no clasificadas, aplicando políticas de transferencia, lógica de enrutamiento y registros de auditoría a lo largo de todo el flujo de trabajo. Los archivos pasan por la pilaCore MetaDefender Core para someterse a una inspección de contenido en cada punto de control. Juntos forman una arquitectura cohesionada entre dominios, regida por políticas: MetaDefender Managed File Transfer el flujo, mientras que MetaDefender Core lo que pasa.

La norma CMMC 2.0 entró en vigor en los contratos del Departamento de Defensa el 10 de noviembre de 2025. Por primera vez, la ciberseguridad de los contratistas de defensa se somete a una verificación externa, en lugar de basarse en una autodeclaración. El artículo 866 de la Ley de Autorización de Defensa (NDAA) para el año fiscal 2026 exige al Departamento de Defensa que armonice los requisitos de ciberseguridad de la Industria de Defensa (DIB) antes del 1 de junio de 2026, con menos normas específicas para cada contrato, pero con una aplicación más estricta y coherente.

Ambos avances son importantes. Sin embargo, ninguno de ellos subsana las deficiencias descritas anteriormente. Los 110 controles del Nivel 2 del CMMC se diseñaron para elevar el nivel de referencia en un amplio sector industrial, más que para imponer controles específicos que aborden estas superficies de ataque. Los controles no exigen la inspección de soportes físicos en los puntos de acceso a las instalaciones, la verificación del contenido de los archivos en los límites entre dominios, la visibilidad de los componentes de software a nivel de dependencia, ni la inspección de contenidos en línea con la separación de redes impuesta por hardware.

Un contratista puede superar una evaluación de Nivel 2, incluida la verificación C3PAO, sin haber subsanado ninguna de esas deficiencias. Solo el 21 % de las empresas del sector de la defensa había seleccionado tecnología conforme al CMMC en 2025.^[17] En diciembre de 2025, solo se habían autorizado 92 C3PAO frente a una base industrial de más de 80 000 contratistas.^[18] La infraestructura de cumplimiento no ha avanzado al mismo ritmo.

Hay una segunda distinción que resulta importante en el ámbito de la acreditación. El CMMC regula las prácticas de seguridad del contratista. No certifica las herramientas utilizadas para aplicar dichas prácticas. La certificación de Criterios Comunes (exigida por la norma NSTISSP n.º 11 para productos de IA en sistemas de seguridad nacional) verifica las propiedades de seguridad de un producto específico mediante la evaluación realizada por un laboratorio independiente acreditado. Un producto con certificación CC utilizado para cumplir un control del CMMC proporciona al evaluador de la C3PAO pruebas verificadas en laboratorio.

El CMMC y los Criterios Comunes son marcos complementarios. Uno regula lo que hace la organización, mientras que el otro verifica que la herramienta cumpla con lo que promete. Es importante saber cuál es cuál.

MetaDefender aproximadamente 20 de los 110 controles del Nivel 2 del CMMC —el subconjunto para el que la mayoría de las soluciones de seguridad no fueron diseñadas—. El control de acceso, el registro de auditoría, la respuesta ante incidentes y la seguridad del personal quedan fuera de su ámbito de aplicación. Su valor reside en la precisión: los controles estrictos en los límites que su solución actual no puede alcanzar, verificados según los estándares de un laboratorio independiente.

Las organizaciones mejor posicionadas para los próximos tres años no son aquellas que cuentan con los mayores presupuestos de seguridad ni las que han superado el mayor número de controles del CMMC. Son aquellas que han cartografiado su superficie de ataque real —los puntos de entrada físicos, los límites de clasificación, las interfaces entre la tecnología operativa (OT) y la tecnología de la información (IT), la cadena de suministro de software— y han implementado controles verificados en cada uno de ellos.

La detección dentro de la red siempre irá por detrás de un adversario sofisticado que ya se haya infiltrado en el sistema. La clave está en la prevención en el perímetro, antes de que se ejecute un archivo, antes de que se conecte un dispositivo y antes de que una carga útil cruce una línea de clasificación. Ahí es donde OPSWAT .

Solicite una reunión informativa para analizar su entorno y arquitectura específicos.

¿Todavía estás definiendo tu arquitectura CDS? Descarga la «Guía del comprador de soluciones entre dominios para el sector público y la defensa», elaborada por expertos en CDS y dirigida a gestores de programas, arquitectos de seguridad y equipos de adquisiciones que estén evaluando los requisitos actuales en materia de soluciones entre dominios.