Diseñadas para eludir la detección: las organizaciones de infraestructuras críticas son objetivos ineludibles.

• Las organizaciones de infraestructuras críticas no son objetivos elegidos al azar. Se seleccionan deliberadamente, ya que el correo electrónico es prácticamente sinónimo de continuidad del negocio. Las campañas dirigidas contra ellas son operaciones a largo plazo en las que intervienen múltiples actores y que, a menudo, comienzan con un correo electrónico.
• Los atacantes prueban sus cargas maliciosas contra los sistemas de seguridad de las empresas antes de lanzarlas. El hecho de que un archivo malicioso pase el escáner no significa que esté limpio; es posible que haya sido diseñado precisamente para burlar el escáner.
• La seguridad basada en la detección presenta una vulnerabilidad estructural frente a un adversario bien preparado: no puede reaccionar ante lo que no ha detectado antes.
• La defensa por capas del correo electrónico es la respuesta estructural. Cada capa detecta lo que las demás no están diseñadas para detectar. El efecto combinado es sencillo: aumenta el coste que supone para el atacante la optimización previa al ataque.

Ningún profesional de la seguridad decide tratar las amenazas como sucesos aislados. Es un proceso gradual. Las tasas de detección se mantienen estables, los incidentes se resuelven en los plazos previstos y las auditorías se superan sin hallazgos significativos. Cada dato, por sí solo, resulta razonable, pero, en conjunto, conforman un panorama totalmente preciso y peligrosamente incompleto.

Esa acumulación de confianza es, en sí misma, una vulnerabilidad. Y, en el caso de las organizaciones de infraestructuras críticas, se trata de una vulnerabilidad que los atacantes aprovechan deliberadamente, empezando por la bandeja de entrada, que sigue siendo, a día de hoy, uno de los principales vectores de riesgos para la seguridad del correo electrónico.

Cuando un grupo patrocinado por un Estado ataca una red eléctrica, un hospital o una empresa contratista del sector de la defensa, puede tratarse de una campaña que se prolongue durante varios años. A menudo, estas campañas implican cientos de iteraciones, intentos de sondeo y ataques de distracción diseñados para trazar un mapa de las defensas antes de que llegue la carga útil real. Su objetivo es provocar una interrupción prolongada, una exposición repetida y el máximo daño a la reputación a lo largo del tiempo. El cálculo del rescate se realizó antes de enviar el primer correo electrónico, y lo peor es que los atacantes ya saben que su objetivo no puede permitirse ningún tiempo de inactividad.

Los autores de las amenazas tienen diferentes motivaciones y perfiles de ataque, pero una cosa en común: eligen a sus objetivos. Las organizaciones de infraestructuras críticas no son elegidas al azar, sino que son seleccionadas, y las campañas contra ellas son procesos a largo plazo que casi siempre comienzan con un correo electrónico.

El primer paso consiste en un archivo adjunto malicioso, un enlace malicioso o un intento de suplantación de identidad (phishing) de credenciales, cuidadosamente estudiado y personalizado, que se envía a un ingeniero, un operador o un directivo. Y la razón por la que el correo electrónico sigue siendo el punto de entrada preferido no es su sofisticación técnica, sino su simplicidad matemática. Las organizaciones no pueden bloquearlo ni restringirlo sin interrumpir sus operaciones.

Un empleado, un mal día, un archivo abierto. Esa es toda la clave del éxito. Una campaña que llega a miles de bandejas de entrada al mismo tiempo solo necesita un momento de debilidad para tener éxito, y el defensor tiene que evitar cada uno de ellos.

El modelo de la campaña ya se aprecia en las infraestructuras críticas de EE. UU. Un aviso conjunto de la CISA, la NSA y el FBI confirmó que los autores del grupo «Volt Typhoon» permanecieron infiltrados en algunas redes informáticas durante al menos cinco años con el fin de prepararse para posibles ataques perturbadores o destructivos contra la tecnología operativa.

Ninguno de estos actores va a replantearse su estrategia solo porque un objetivo haya aplicado un parche más rápido o haya contratado a más analistas. Los ataques son una maniobra táctica que, en la mayoría de los casos, forma parte de una estrategia más amplia.

La postura que se deriva de ello no es opcional. Las organizaciones que gestionan infraestructuras críticas deben actuar partiendo de la premisa de que se producirá una brecha de seguridad y prepararse en consecuencia: defensas por capas en cada punto de entrada y una capacidad de respuesta lo suficientemente cercana como para que la contención comience antes de que el daño se agrave.

Esta práctica está muy extendida y está documentada. Tanto en el caso de los grupos patrocinados por Estados como de los operadores de ransomware y las organizaciones criminales sofisticadas, las cargas útiles pasan por un proceso de preparación antes de ser enviadas. Los atacantes crean réplicas de las infraestructuras de seguridad de las empresas, realizan pruebas repetidas hasta que el archivo obtiene una puntuación de detección «limpia» y solo entonces lo envían.

En 2025, una operación internacional coordinada desmanteló AVCheck, uno de los mayores servicios de elusión de antivirus del mundo, que permitía a los desarrolladores de malware comprobar si sus archivos serían detectados antes de su distribución. El servicio existía porque la demanda de pruebas de elusión previas a la distribución era lo suficientemente grande como para sustentar una operación comercial basada en ello.

La seguridad basada en la detección presenta una vulnerabilidad estructural frente a un adversario bien preparado. Está diseñada para reconocer amenazas con las que ya se ha encontrado anteriormente o que se asemejan mucho a algo que ya figura en su historial. Una carga útil diseñada específicamente para no encajar en ninguna de estas categorías pasa desapercibida, ya que no ofrece a la capa de detección ningún motivo para actuar.

Esa optimización no se produce de una sola vez. A lo largo de años de iteraciones y cientos de intentos de sondeo, cada cuarentena y cada bloqueo constituyen información que el atacante utiliza para perfeccionar su siguiente intento. La campaña aprende de tus defensas de una forma que estas no pueden contrarrestar automáticamente. Se trata de una consecuencia lógica de aplicar una estrategia basada en la detección ante un atacante que se ha preparado específicamente para tu sistema de detección.