¿Cuál es la amenaza?

FortiBleed es una campaña activa de robo de credenciales dirigida a los firewalls y VPN FortiGate conectados a internet. Los atacantes se centran en extraer información confidencial de autenticación directamente del dispositivo, en lugar de comprometer los equipos individuales.

La clave de la campaña reside en una herramienta personalizada conocida como FortiGateSniffer. Esta herramienta está diseñada para recopilar credenciales VPN, cookies de sesión y tokens de autenticación a medida que el sistema operativo de FortiGate los procesa. En lugar de explotar una única vulnerabilidad de día cero, los atacantes combinan vulnerabilidades previamente divulgadas, servicios de administración expuestos y credenciales débiles o reutilizadas. Este enfoque les permite obtener acceso inicial al dispositivo.

Una vez obtenido el acceso, los atacantes utilizan FortiGateSniffer o técnicas similares para interceptar los datos de autenticación en la memoria o durante los flujos de inicio de sesión de la VPN. A medida que los usuarios remotos se autentican en la VPN SSL u otros servicios de acceso, la herramienta captura las credenciales antes de que el sistema las proteja o descarte por completo.

En algunos casos, los atacantes pueden extraer información de sesión almacenada en caché. Esto les permite reutilizar sesiones VPN activas sin necesidad de volver a autenticarse. Esta técnica es particularmente sigilosa, ya que no requiere malware persistente en los dispositivos de los usuarios. Además, puede operar dentro de los procesos normales de autenticación y registro del firewall.

Tras obtener las credenciales, los atacantes recurren a la repetición y persistencia de credenciales. Los nombres de usuario y contraseñas de VPN robados se utilizan para establecer conexiones VPN legítimas. Estas conexiones suelen originarse en una infraestructura similar a la de los equipos de trabajo remotos habituales de la organización.

Dado que los atacantes utilizan credenciales válidas, es posible que los controles de seguridad no detecten la actividad como sospechosa. A partir de ahí, pueden enumerar redes internas, acceder a recursos compartidos de archivos y aplicaciones internas, e implementar herramientas adicionales. Este enfoque permite a los ciberdelincuentes mantener un acceso prolongado y discreto al entorno. Además, les ayuda a eludir los mecanismos de detección tradicionales, que se centran en intrusiones basadas en exploits en lugar de en el abuso de credenciales.

¿Por qué es digno de mención?

Este informe de amenazas es relevante porque apunta a la infraestructura de seguridad perimetral. Estos sistemas suelen gozar de confianza implícita y se les otorga un amplio acceso a las redes internas. La vulneración de un firewall o un dispositivo VPN puede socavar una de las capas de seguridad más críticas y reducir la eficacia de las defensas posteriores.

Además, FortiBleed destaca el riesgo constante que supone la obtención de credenciales en el perímetro de la red. Esto sigue siendo cierto incluso en ausencia de una nueva vulnerabilidad de día cero. Al aprovechar los servicios expuestos y las debilidades previamente conocidas, los atacantes pueden obtener credenciales válidas de forma silenciosa y reutilizarlas para obtener acceso a largo plazo. Esto dificulta la detección en comparación con los ataques tradicionales de fuerza bruta o basados en exploits.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan dispositivos FortiGate con acceso a internet corren el riesgo de sufrir filtraciones de credenciales y accesos no autorizados a la red. En algunas configuraciones, las credenciales VPN o administrativas robadas pueden utilizarse para eludir la autenticación multifactor. Además, pueden permitir el movimiento lateral y facilitar la exfiltración de datos o la implementación de ransomware.

Dado que los atacantes suelen autenticarse con credenciales válidas, la actividad maliciosa puede parecer legítima. Esto puede aumentar el tiempo de permanencia del atacante y amplificar el impacto de una brecha de seguridad.

El futuro de la seguridad comienza antes del malware

• Actualizaciones y parches: Asegúrese de que los dispositivos FortiGate ejecuten las versiones más recientes de FortiOS.
• Restringir el acceso de administración: Desactive la exposición a Internet de las interfaces administrativas y limite el acceso a rangos de IP de confianza.
• Rotar credenciales: Restablezca las credenciales de la VPN, de la cuenta administrativa y de la cuenta de servicio, especialmente si se sospecha de una posible exposición.
• Implementar la autenticación multifactor: Exigir la autenticación multifactor para el acceso VPN y administrativo.
• Segmentación de red: Limite el acceso de los usuarios de VPN únicamente a los recursos internos necesarios.

¿Cuál es la amenaza?

AryStinger es un malware que compromete routers obsoletos conectados a internet y ciertos dispositivos NAS de QNAP. Los convierte silenciosamente en herramientas para atacantes. En lugar de cifrar datos o causar daños evidentes, AryStinger utiliza los dispositivos comprometidos para escanear internet y mapear redes y servicios. También redirige el tráfico de los atacantes para que parezca provenir de equipos legítimos de hogares u oficinas pequeñas.

En routers antiguos, un programa ligero realiza principalmente escaneos de DNS y de red a gran escala. En dispositivos NAS de QNAP, una versión más avanzada puede ejecutar herramientas de escaneo integradas. También puede ejecutar scripts proporcionados por el atacante, escritos en Go, Java o Python.

Todos los dispositivos infectados se conectan a un servidor de comando y control (C2) a través de internet. Los atacantes utilizan este servidor para asignar tareas y recopilar los resultados. Estas tareas pueden incluir el escaneo de rangos de IP o la exploración de dominios. Una puerta trasera oculta de tipo SSH mantiene un acceso persistente. Esto permite a los atacantes reutilizar los routers y dispositivos NAS comprometidos como nodos de reconocimiento y proxy para futuras operaciones.

¿Por qué es digno de mención?

AryStinger es importante porque se comporta de manera diferente a la mayoría del malware para routers. En lugar de lanzar ataques disruptivos o campañas DDoS, transforma silenciosamente routers y dispositivos NAS obsoletos en herramientas de reconocimiento y retransmisión de tráfico. Sus sistemas pueden ser escaneados o sondeados por lo que parece ser un router doméstico normal. Esto dificulta la identificación y el bloqueo del verdadero atacante.

AryStinger también explota vulnerabilidades que fueron corregidas hace años. Sin embargo, muchas organizaciones nunca actualizaron ni reemplazaron los dispositivos afectados. Como resultado, el malware puede propagarse a través de hardware olvidado que permanece conectado a internet.

Esta amenaza demuestra cómo los atacantes pueden crear una extensa red de reconocimiento y de intermediación a partir de dispositivos antiguos y económicos. Muchos de estos sistemas aún se encuentran al margen de las redes modernas.

¿Cuál es la exposición o el riesgo?

AryStinger presenta riesgos de dos maneras principales.

En primer lugar, las organizaciones que no se infectan directamente pueden sufrir escaneos y mapeos de sus sistemas conectados a internet por parte de atacantes que utilizan la red AryStinger. Este reconocimiento puede revelar puertos abiertos, servicios vulnerables y activos olvidados. Los atacantes pueden usar esta información posteriormente para obtener acceso. Dado que los escaneos se originan en enrutadores aparentemente legítimos, pueden mimetizarse con el tráfico normal de internet.

En segundo lugar, las organizaciones que siguen utilizando routers y dispositivos NAS QNAP obsoletos o sin actualizar podrían, sin saberlo, formar parte de la red AryStinger. En ese caso, los equipos comprometidos podrían convertirse en un punto de acceso permanente para los atacantes. También podrían servir como punto de retransmisión para el tráfico malicioso. Esto facilita que los atacantes oculten su actividad y observen las redes internas.

Las direcciones IP públicas de una organización también pueden asociarse con actividades maliciosas, como escaneos y abusos. Esto puede dañar su reputación o provocar el bloqueo por parte de socios y proveedores de servicios. En resumen, los dispositivos periféricos heredados expuestos generan múltiples riesgos. Aumentan la probabilidad de convertirse en objetivo de ataques y pueden, sin saberlo, apoyar ataques contra terceros.

El futuro de la seguridad comienza antes del malware

• Identificar y reemplazar los dispositivos de borde obsoletos: Inventarie todos los enrutadores, puertas de enlace y dispositivos NAS, y retire los modelos que hayan llegado al final de su vida útil o que no estén actualizados, en particular los dispositivos antiguos de D-Link, Linksys y QNAP basados en Realtek.
• Mantenga todos los dispositivos compatibles completamente actualizados: asegúrese de que todos los routers y dispositivos NAS restantes ejecuten las últimas actualizaciones de firmware y seguridad, incluidos los parches de QNAP Malware Remover relacionados con CVE-2025-11837.
• Desactive el acceso remoto innecesario: Desactive la administración remota siempre que sea posible. Si se requiere acceso remoto, restrinjalo mediante VPN y listas de direcciones IP permitidas de confianza.
• Segmenta y supervisa los dispositivos de red: coloca los enrutadores y los dispositivos NAS en segmentos de red dedicados y supervisa el tráfico saliente en busca de comunicaciones con dominios sospechosos, direcciones IP o indicadores conocidos de AryStinger (como ajb8[.]com).
• Busque señales de compromiso: en los dispositivos potencialmente afectados, busque binarios desconocidos en /tmp/bin, procesos llamados syswapd0ho syswapd0w, servicios SSH inesperados como Dropbear ejecutándose en el puerto 2332 o oyentes de GS Netcat en dispositivos NAS.
• Refuerce la higiene de seguridad general: Incluya los enrutadores y los dispositivos NAS en los programas de gestión de activos, gestión de vulnerabilidades y gestión de parches. Exija credenciales robustas en todas las interfaces de gestión y revise periódicamente los servicios expuestos externamente.

Hoy, la situación es diferente.

Las herramientas de inteligencia artificial permiten generar correos perfectamente redactados, utilizando el mismo tono de comunicación de una empresa, simulando conversaciones previas o incluso imitando la forma de escribir de directivos y proveedores habituales.

Los atacantes ya no necesitan enviar miles de mensajes esperando que alguno funcione. Ahora pueden construir campañas altamente dirigidas y convincentes en cuestión de minutos.

Esperar que cada usuario pueda detectar este tipo de engaños se vuelve cada vez más complicado. Y cuando una organización depende de que sus colaboradores distingan manualmente entre un correo legítimo y uno fraudulento, el riesgo continúa presente.

La seguridad del correo debería eliminar fricciones cotidianas

Más allá de bloquear spam o detener malware, una solución moderna de Email Security debe ayudar a resolver problemas que afectan la productividad de las organizaciones todos los días.

Por ejemplo:

• Reducir las consultas constantes al área de TI para validar correos sospechosos. 
• Evitar que Finanzas tenga que confirmar por teléfono solicitudes urgentes de transferencias o cambios de cuentas bancarias. 
• Impedir que un usuario haga clic en un enlace de restablecimiento de contraseña falso que imita a Microsoft 365 o Google Workspace. 
• Detectar intentos de suplantación dirigidos a ejecutivos, departamentos financieros o personal con acceso a información sensible. 
• Analizar archivos adjuntos y enlaces en tiempo real antes de que lleguen a convertirse en una preocupación para el usuario. 

Principales amenazas impulsadas por IA

• Phishing hiperpersonalizado
• Business Email Compromise (BEC)
• Deepfakes de voz y video
• Spear Phishing automatizado a gran escala
• QR Phishing (Quishing)
• Robo de credenciales mediante flujos legítimos
• Fraude de proveedores y modificación de facturas

La inteligencia artificial ha transformado el correo electrónico empresarial en el principal vector de fraude digital. Los atacantes ahora pueden generar correos, voces y mensajes prácticamente indistinguibles de los reales, incrementando significativamente el riesgo de robo de credenciales, fraude financiero y compromiso de cuentas corporativas. La confianza basada únicamente en el contenido del correo ya no es suficiente; las organizaciones deben incorporar controles de identidad, validaciones fuera de banda y capacidades avanzadas de detección impulsadas por IA.

¿Cómo ayuda TrustLayer Mail?

¿Cuál es la amenaza?

La vulnerabilidad CVE-2026-0257 es un fallo de seguridad en la función VPN GlobalProtect de los firewalls de Palo Alto Networks y Prisma Access. Afecta a los sistemas donde están habilitadas las cookies de anulación de autenticación y dichas cookies utilizan el mismo certificado que la interfaz web principal (HTTPS) de GlobalProtect.

Estas cookies son pequeños fragmentos de datos que se generan tras un inicio de sesión exitoso. Permiten a los usuarios volver a conectarse sin tener que introducir de nuevo su contraseña ni sus credenciales de autenticación multifactor. Debido a un fallo de diseño, el cortafuegos confía en cualquier cookie que pueda descifrar correctamente. No verifica que haya sido él quien la generó originalmente.

Un atacante puede conectarse al sitio web de GlobalProtect y obtener el certificado público que utiliza el servicio. A continuación, puede usar esa información para generar una cookie falsificada que parezca pertenecer a un usuario legítimo. Cuando el atacante envía la cookie falsificada al portal o puerta de enlace de GlobalProtect, el firewall podría autenticarlo erróneamente como un usuario legítimo. En algunos casos, podría tratarse de una cuenta de administrador local. No se requieren credenciales válidas.

Si el ataque tiene éxito, puede establecer una sesión VPN completa en la red de la organización y acceder a los sistemas internos como si fuera un usuario remoto legítimo. Proveedores de seguridad como Rapid7 y Palo Alto Networks han detectado esta técnica en ataques reales. Los informes indican que los atacantes utilizan proveedores de alojamiento en la nube de bajo costo para buscar y explotar dispositivos GlobalProtect vulnerables.

¿Por qué es digno de mención?

Esta vulnerabilidad es particularmente importante porque afecta a las puertas de enlace VPN en el perímetro de la red. Estos sistemas suelen ser el método principal que utilizan los usuarios y administradores remotos para acceder a los recursos de la organización.

Si se explota, los atacantes pueden eludir los controles de autenticación habituales y obtener acceso desde internet haciéndose pasar por usuarios de VPN de confianza. Palo Alto Networks, Rapid7 y CISA han confirmado la explotación activa de esta vulnerabilidad en entornos reales.

Inicialmente, la vulnerabilidad recibió una calificación de gravedad media. Posteriormente, se reevaluó debido a que su impacto en el mundo real resultó ser más grave de lo estimado originalmente.

La CISA añadió la vulnerabilidad CVE-2026-0257 al catálogo KEV. Asimismo, exigió a las agencias federales estadounidenses que solucionaran el problema con prontitud. Estas medidas ponen de manifiesto la gravedad de la amenaza.

¿Cuál es la exposición o el riesgo?

La explotación exitosa permite a los atacantes autenticarse a través de GlobalProtect sin un nombre de usuario, contraseña o verificación multifactor (MFA) válidos. Como resultado, pueden obtener acceso remoto a redes internas desde internet haciéndose pasar por usuarios legítimos de VPN.

El nivel de acceso depende de la configuración de la VPN y de la cuenta que se está suplantando. En muchos entornos, esto podría proporcionar acceso a sistemas internos críticos, recursos compartidos de archivos y herramientas administrativas.

Palo Alto Networks y Rapid7 no han informado públicamente sobre evidencia de actividad posterior a la intrusión en los incidentes observados. Sin embargo, los atacantes aún podrían usar el acceso para profundizar en el entorno.

Las posibles actividades posteriores pueden incluir el robo de datos, la obtención de credenciales, la implementación de malware o el establecimiento de persistencia para futuros ataques. Dado que los ciberdelincuentes escanean activamente internet y atacan los sistemas GlobalProtect vulnerables, cualquier implementación sin parchear o mal configurada se enfrenta a un mayor riesgo de vulneración. Las organizaciones que dependen en gran medida de GlobalProtect para la conectividad remota deben extremar las precauciones. Una puerta de enlace VPN comprometida puede eludir múltiples capas de controles de seguridad internos.

El futuro de la seguridad comienza antes del malware

• Actualice los dispositivos afectados: Actualice todos los sistemas PAN-OS y Prisma Access a las últimas versiones con correcciones de seguridad publicadas por Palo Alto Networks.
• Deshabilitar o reconfigurar las cookies de anulación de autenticación: Deshabilitar las cookies de anulación de autenticación de GlobalProtect siempre que sea posible. Si deben permanecer habilitadas, configúrelas para que utilicen un certificado específico en lugar del certificado HTTPS principal o del portal.
• Restringir el acceso a la VPN: Limite el acceso a los portales y puertas de enlace de GlobalProtect mediante listas de direcciones IP permitidas, bloqueo geográfico o reglas de firewall que permitan conexiones solo desde fuentes confiables.
• Supervise los registros de GlobalProtect: revise periódicamente los registros de la VPN para detectar actividad de autenticación inusual, incluidos inicios de sesión inesperados basados en cookies, nombres de dispositivos desconocidos, ubicaciones sospechosas o direcciones IP maliciosas conocidas.
• Investigue de inmediato cualquier actividad sospechosa: finalice las sesiones VPN sospechosas, restablezca las credenciales o los tokens de autenticación y revise los sistemas internos en busca de evidencia de acceso no autorizado.
• Implementar la autenticación multifactor y la monitorización continua: Exigir la autenticación multifactor a todos los usuarios de VPN y considerar servicios de monitorización de seguridad 24/7 para identificar y responder rápidamente a las amenazas relacionadas con la VPN.

¿Cuál es la amenaza?

La campaña utiliza páginas de phishing personalizadas para las empresas a las que se dirige. Para parecer auténtica, emplea nombres de marcas locales de confianza y referencias a servicios gubernamentales.

Según los analistas, la campaña comienza con un correo electrónico de phishing que parece legítimo. El enlace redirige a los usuarios a través de un servidor de retransmisión de Google antes de enviarlos a un portal comercial falso.

El sitio web imita los flujos de trabajo de acceso a documentos que suelen usar los empleados de finanzas y administración. Esto facilita que las víctimas bajen la guardia.

¿Por qué es digno de mención?

Este ataque es particularmente peligroso porque, después de que el usuario hace clic en el enlace de descarga, la víctima instala sin saberlo un agente legítimo de NinjaOne Remote Monitoring and Management (RMM) configurado para conectarse a la infraestructura controlada por el atacante en lugar de recibir un documento comercial.

La infraestructura de phishing es más sofisticada de lo que parece a primera vista. Las páginas utilizan la identificación del navegador, la detección en entornos aislados (sandbox) y la geolocalización para filtrar a los investigadores antes de entregar el código malicioso.

¿Cuál es la exposición o el riesgo?

Hasta el momento, la campaña se ha dirigido al menos a una organización brasileña especializada en productos químicos y materiales avanzados. Sin embargo, las tácticas de ingeniería social empleadas, como la falsificación de registros fiscales, documentos de proveedores y portales de gestión de quejas, son aplicables a diversos sectores.

Una vez que la víctima instala el agente NinjaOne, el atacante obtiene los mismos privilegios que tendría un administrador de TI legítimo sobre ese dispositivo, incluyendo la capacidad de monitorear la actividad del dispositivo, ejecutar comandos remotos, transferir archivos y más.

La inteligencia artificial ya está descubriendo vulnerabilidades

Herramientas de inteligencia artificial como Mythos de Anthropic o ChatGPT 5.5 de OpenAI ya son utilizadas por investigadores de seguridad para identificar decenas de miles de vulnerabilidades en aplicaciones y sistemas. Estas capacidades representan un avance significativo para la comunidad defensiva, permitiendo acelerar auditorías de seguridad, mejorar revisiones de código y detectar errores antes de que lleguen a producción.

Sin embargo, también existe una preocupación creciente. Si los investigadores pueden aprovechar estas tecnologías para encontrar vulnerabilidades, es razonable asumir que los actores maliciosos también podrán hacerlo. "Y probablemente ya lo estén haciendo."

Los ciberdelincuentes podrían utilizar modelos de IA para automatizar procesos que anteriormente requerían semanas o meses de investigación, reduciendo considerablemente el tiempo necesario para desarrollar ataques altamente efectivos.

La ventana de actualización se está cerrando

Diversos estudios indican que la mayoría de los equipos de seguridad requieren entre cuatro y siete días para identificar vulnerabilidades críticas dentro de sus entornos productivos los cuales presentan los siguiente:

• Solo una pequeña proporción logra detectar y evaluar amenazas en menos de 24 horas.
• Históricamente, muchas organizaciones han considerado la gestión de parches como un proceso periódico.
• Las actualizaciones suelen aplicarse después de ciclos extensos de pruebas, validaciones y ventanas de mantenimiento programadas.
• El problema es que los atacantes ya no operan bajo esos mismos tiempos.

• En algunos casos, los exploits aparecen incluso antes de que se publique una corrección oficial.

En otros, basta con analizar un parche recién liberado para comprender qué vulnerabilidad corrige y desarrollar un exploit funcional mediante herramientas de codificación asistidas por inteligencia artificial.

Lo que antes tomaba semanas, hoy puede suceder en cuestión de minutos.

Los MSP se convierten en actores estratégicos

Ante esta nueva realidad, cada vez más organizaciones están recurriendo a los Proveedores de Servicios Gestionados (MSP) para fortalecer sus procesos de gestión de vulnerabilidades.

Las empresas buscan socios capaces de proporcionar:

• Monitoreo continuo de vulnerabilidades.
• Seguimiento permanente de boletines de seguridad.
• Priorización de riesgos basada en exposición real.
• Automatización del despliegue de actualizaciones.
• Validación y pruebas aceleradas de parches.
• La gestión de parches está dejando de ser una actividad mensual para convertirse en una función prácticamente continua.

Para los MSP esto representa tanto una oportunidad de negocio como un desafío operativo.

Deberán decidir si apoyarse en plataformas especializadas, desarrollar capacidades propias o incorporar herramientas impulsadas por IA que permitan mantener el ritmo de un panorama de amenazas en constante evolución.

La seguridad de aplicaciones entra en una nueva etapa

La inteligencia artifical está redefiniendo por completo el ciclo de vida de la seguridad de aplicaciones. La pregunta ya no es únicamente si una organización aplicará un parche. La verdadera pretunta es cuanto tiempo tardará en hacerlo antes de que alguien encuetnre una forma de explotar la vulnerabilidad.

Para los MSP, esta transformación también implica mirar hacia adentro. Los clientes depositan su confianza en estos proveedores para actuar como su primera línea de defensa. Una vulneración dentro del propio MSP podría afectar simultáneamente a múltiples organizaciones y erosionar rápidamente esa confianza.

La era de los parches trimestrales o mensuales está lelgando a su fin. En un mundo impulsado por IA, la gestión de vulnerabilidades deberá operar con la misma velocidad con la que evolucionan las amenazas.

Porque cuando una IA puede encontrar una vulnerabilidad en minutos, esperar semanas para corregirla simplemente deja de ser una opción.

¿Cuál es la amenaza?

La amenaza involucra al grupo de Ransomware DragonForce, que utiliza una puerta trasera personalizada, denominada Backdoor. Se utiliza TURN para enrutar secretamente su tráfico de comando y control (C2) a través de la infraestructura de retransmisión TURN de Microsoft Teams. Los atacantes canalizan el tráfico malicioso a través de los mismos protocolos y repetidores que Teams utiliza cuando no es posible la conexión directa. Esto permite que sus comunicaciones C2 parezcan tráfico de colaboración normal. Esta técnica de evasión les ayuda a eludir los controles de seguridad y monitoreo de red tradicionales. También les permite mantener un acceso sigiloso dentro de los entornos de las víctimas y desplegar y operar el ransomware de manera más efectiva.

¿Por qué es digno de mención?

Este ataque es relevante porque demuestra una táctica real de "operación en la nube". Los operadores de ransomware ocultan el tráfico de comando y control dentro de la infraestructura de confianza de Microsoft Teams. Al abusar de los relés TURN de Teams y los servicios de identidad legítimos, Backdoor.Turn hace que el tráfico malicioso parezca indistinguible de la actividad de colaboración normal. Esto socava significativamente la monitorización de red tradicional y las listas de permisos que confían en los dominios de Microsoft.

También representa el primer caso documentado de atacantes que ponen en práctica una técnica previamente observada solo en investigaciones (las llamadas fantasma de Praetorian). Este cambio indica que los grupos criminales están adoptando métodos avanzados de abuso en la nube, a modo de prueba de concepto. Asimismo, sugiere que estas técnicas probablemente se extenderán a otras plataformas de colaboración y SaaS.

¿Cuál es la exposición o el riesgo?

El principal riesgo reside en que los atacantes pueden ocultar el tráfico de comando y control, así como la exfiltración de datos, dentro de lo que parece ser una actividad normal de Microsoft Teams. Esto dificulta enormemente que los defensores detecten o bloqueen la amenaza. Muchas organizaciones confían plenamente en el tráfico en la nube de Microsoft. Por ello, esta técnica puede eludir los firewalls, los controles de proxy y las listas de dominio permitidas que normalmente impedirían las conexiones sospechosas.

Una vez dentro, los atacantes pueden moverse lateralmente, robar datos e implementar ransomware. Sus comunicaciones de red siguen pareciendo legítimas durante todo el ataque. Esto aumenta tanto la probabilidad de una intrusión exitosa como el impacto potencial. Las intrusiones pueden persistir sin ser detectadas durante períodos más prolongados y volverse más difíciles de investigar o contener.

El navegador se ha convertido en una mina de información

Los navegadores modernos recopilan constantemente señales sobre nuestra actividad digital.

Entre ellas:

• Consultas de búsqueda.
• Aplicaciones utilizadas.
• Horarios de conexión.
• Ubicación geográfica.
• Dispositivos utilizados.
• Patrones de navegación.
• Accesos a plataformas empresariales.
• Uso de herramientas de inteligencia artificial.

Cada una de estas señales ayuda a construir perfiles extremadamente precisos sobre los usuarios. Lo que para una plataforma publicitaria representa una oportunidad de segmentación, para un atacante puede convertirse en una lista de objetivos prioritarios.

¿Cómo identifican los atacantes a las personas más valiosas?

No todos los usuarios tienen el mismo valor dentro de una organización. Algunos perfiles poseen acceso privilegiado a información crítica, procesos financieros o infraestructura tecnológica.

Por ejemplo:

• Directores y ejecutivos.
• Equipos financieros.
• Administradores de TI.
• Responsables de recursos humanos.
• Líderes comerciales.

Estos usuarios suelen interactuar diariamente con aplicaciones especificas y siguen patrones de comportamiento predecibles. Con suficiente información, los atacantes pueden identificar quiénes son, qué sistemas utilizan y cuáles representan el mayor impacto para una organización.

El cambio de paradigma: ya no buscan malware, busca sesiones

Durante años, la mayoría de los ataques buscaban instalar malware.

Hoy la situación es diferente.

Los atacantes han descubierto que resulta mucho más eficiente aprovechar accesos legítimos.

Algunas de las técnicas más utilizadas incluyen:

Robo de cookies.

Secuestro de sesiones.

Robo de tokens de autenticación.

Phishing avanzado.

Compromiso de extensiones del navegador.

Una vez que obtienen acceso a una sesión válida, muchas herramientas de seguridad tradicionales tienen dificultades para distinguir entre actividad legítima y actividad maliciosa. El atacante ya parece ser el usuario.

¿Por qué los controles tradicionales ya no son suficientes?

La mayoría de las organizaciones cuentan con controles importantes como:

• Antivirus.
• EDR.
• Firewalls.
• VPN.
• Filtrado web.

Sin embargo, estas tecnologías fueron diseñadas para resolver problemas distintos.

Actualmente los ataques se centran cada vez más en:

• Identidades.
• Comportamientos.
• Sesiones activas.
• Contexto de acceso.

Un usuario autenticado puede representar tanto riesgo como una amenaza externa si su identidad ha sido comprometida, por ello proteger únicamente la red o el dispositivo ya no resulta suficiente.

El acceso seguro a internet debe evolucionar

La seguridad moderna necesita comprender quién accede, desde dónde lo hace y en qué contexto ocurre cada interacción, esto implica adoptar un enfoque basado en identidad y validación continua.

Las decisiones de acceso deben considerar factores como:

• Identidad del usuario.
• Estado del dispostivo.
• Ubicación.
• Nivel del riesgo.
• Comportamiento habitual.
• Sensibilidad de los recursos consultados.

La confianza ya no puede otorgarse una sola vez, debe verificarse continuamente.

La importancia de la visibilidad

Uno de los mayores desafíos para las organizaciones es la falta de visibilidad sobre lo que ocurre dentro del navegador. El navegador se ha convertido en el principal espacio de trabajo digital. Sin embargo, también es uno de los entornos menos monitoreados.

Las organizaciones necesitan identificar:

• Navegación hacia sitios riesgosos.
• Uso de aplicaciones no autorizadas.
• Herramientas de IA no aprobadas.
• Comportamientos anómalos.
• Posibles intentos de robo de sesiones.

Sin visibilidad, los riesgos permanecen ocultos hasta que se convierten en incidentes.

¿Por qué esto es especialmente importante para las pymes?

Las pequeñas y medianas empresas enfrentan un reto particular.

Con equipos de TI reducidos y recursos limitados, la gestión de riesgos asociados al navegador suele quedar relegada frente a otras prioridades.

Al mismo tiempo:

• Los usuarios trabajan desde cualquier lugar.
• Utilizan aplicaciones SaaS constantemente. 
• Adoptan herramientas de IA rápidamente.
• Manejan información crítica desde navegadores web.

Esto amplía significativamente la superficie de ataque.

¿Cuál es la amenaza?

CVE-2026-50751 es una vulnerabilidad crítica de omisión de autenticación en los productos de Firewall Check Point Mobile Access VPN, Remote Access VPN y Spark que permite a atacantes remotos no autenticados establecer sesiones VPN. Su origen reside en la forma en que la puerta de enlace VPN procesa la autenticación y la inicialización de la sesión para ciertas rutas de acceso, especialmente cuando se habilitan protocolos heredados o en desuso (en particular IKEv1) o modos de autenticación mixtos. Debido a una validación incorrecta durante la negociación de la sesión, las solicitudes de conexión especialmente diseñadas pueden provocar que la puerta de enlace trate erróneamente a un usuario como autenticado.

La explotación es sencilla y de gran impacto. Un atacante no autenticado puede enviar solicitudes de negociación VPN o SSL VPN manipuladas a una puerta de enlace expuesta, alterando parámetros específicos del protocolo e identificadores de sesión para eludir las comprobaciones de credenciales. Como resultado, la puerta de enlace establece una sesión VPN que otorga a los atacantes acceso directo a recursos internos de capa 3 o capa 7 según la configuración sin necesidad de credenciales robadas ni interacción del usuario.

Tras lograr eludir la autenticación, la conexión VPN comprometida se convierte en una poderosa puerta de entrada. Los atacantes pueden enumerar las redes internas, acceder a recursos compartidos de archivos y aplicaciones, y aprovechar la conectividad VPN de confianza para evadir las defensas perimetrales.

¿Por qué es digno de mención?

Esta vulnerabilidad es particularmente relevante porque es explotada activamente por afiliados del Ransomware Qilin. En los incidentes observados, los atacantes utilizaron este acceso para preparar rápidamente herramientas, obtener credenciales y moverse lateralmente por el entorno antes de desplegar las cargas útiles del Ransomware.

Dado que la actividad se origina en una interfaz VPN de confianza, puede parecer tráfico normal de usuario remoto, lo que retrasa significativamente su detección y respuesta. Como dispositivos de borde que proporcionan un amplio acceso a los sistemas internos, los dispositivos VPN son objetivos especialmente atractivos para los operadores de ransomware. La explotación de protocolos obsoletos subraya aún más el riesgo que representan las configuraciones antiguas que permanecen habilitadas por motivos de compatibilidad. La emisión de una directiva obligatoria de la CISA pone de manifiesto la gravedad de la situación y confirma que la explotación ya se está produciendo a gran escala.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan implementaciones vulnerables de VPN o firewalls de Check Point se enfrentan a un alto riesgo de sufrir una vulneración total de la red. Una explotación exitosa permite a los atacantes eludir los controles de autenticación y obtener acceso interno seguro, a menudo sin activar los mecanismos de detección tradicionales.

Este nivel de acceso permite el robo de datos, la vulneración de credenciales, el movimiento lateral y el despliegue de ransomware con mínimo esfuerzo y alta fiabilidad. Las pasarelas VPN con acceso a Internet son especialmente vulnerables, lo que representa una amenaza crítica para empresas, proveedores de servicios y organismos gubernamentales.

La acción humana

• Un clic en un enlace malicioso.
• Una descarga aparentemente legítima.
• Una aplicación de inteligencia artificial no autorizada.
• Una navegación hacia un sitio comprometido.

Cuando el endpoint detecta la amenaza, en muchos casos el riesgo ya ha ingresado a la organización.

Por eso, la conversación en ciberseguridad está evolucionando desde la simple protección de dispositivos hacia un concepto más amplio: la resiliencia de las estaciones de trabajo.

El problema de confiar únicamente en la seguridad del endpoint

Las soluciones EDR, XDR y antivirus modernos son capaces de detectar actividades sospechosas, bloquear ransomware y contener dispositivos comprometidos.

• Sin embargo, estas herramientas generalmente actúan después de que la amenaza alcanza el dispositivo.

• El desafío es que los atacantes actuales están explotando la brecha existente entre el comportamiento del usuario y la respuesta del endpoint.
• Hoy, gran parte del trabajo empresarial ocurre dentro del navegador.

Los usuarios interactúan constantemente con:

• Aplicaciones SaaS
• Servicios en la nube
• Herramientas de colaboración
• Plataformas de inteligencia artificial
• Correos electrónicos
• Sitios web corporativos

Cada una de estas interacciones representa una posible superficie de ataque.

El navegador se ha convertido en el nuevo perímetro

Hace algunos años la seguridad se centraba en proteger servidores y redes internas.

Hoy la realidad es diferente.

Los usuarios trabajan desde cualquier lugar, acceden a aplicaciones en la nube y utilizan herramientas impulsadas por IA como parte de sus actividades diarias.

Esto significa que muchas amenazas aparecen antes de que exista un archivo malicioso que analizar.

Por ejemplo:

• Acceso a sitios fraudulentos.
• Descargas desde fuentes no autorizadas.
• Exposición involuntaria de datos sensibles.
• Uso de aplicaciones de IA no aprobadas.
• Conexiones hacia dominios maliciosos.

En todos estos escenarios, el riesgo comienza antes de que cualquier solución de endpoint tenga oportunidad de intervenir.

¿Qué es realmente la resiliencia de las estaciones de trabajo?

La resiliencia de las estaciones de trabajo consiste en reducir el riesgo antes de la ejecución y contener rápidamente las amenazas cuando logran infiltrarse.

No se trata únicamente de bloquear malware, se trata de proteger todo el recorrido del usuario. Desde el momento en que realiza una búsqueda en internet hasta la respuesta automatizada frente a una amenaza activa.

Una estrategia moderna debe incluir dos capacidades fundamentales:

• Prevención antes de la ejecución
• El objetivo es reducir el riesgo antes de que llegue al dispositivo.

Esto incluye:

• Filtrado DNS.
• Control de navegación.
• Bloqueo de dominios maliciosos.
• Supervisión de aplicaciones de IA.
• Aplicación de políticas de uso seguro.

La meta es detener comportamientos de riesgo antes de que se conviertan en incidentes.

Contención después de la ejecución

Ninguna estrategia de seguridad es perfecta.

Por ello, cuando una amenaza logra ejecutarse, es necesario contar con mecanismos capaces de:

• Detectar actividad maliciosa.
• Investigar automáticamente los eventos.
• Aislar dispositivos comprometidos.
• Detener movimientos laterales.
• Reducir el tiempo de permanencia del atacante.

Aquí es donde tecnologías como EDR, XDR y los servicios gestionados de detección y respuesta juegan un papel fundamental.

El riesgo de las herramientas de IA

Uno de los desafíos más recientes es el crecimiento acelerado de las aplicaciones de inteligencia artificial.

Muchas organizaciones enfrentan actualmente el fenómeno conocido como Shadow AI.

Los usuarios adoptan herramientas de IA para aumentar su productividad sin que los equipos de TI tengan visibilidad completa sobre:

• Qué plataformas utilizan.
• Qué información comparten.
• Dónde se almacenan los datos.
• Qué riesgos regulatorios podrían generarse.

La gobernanza de IA se está convirtiendo rápidamente en una pieza clave dentro de las estrategias modernas de resiliencia.

Menos herramientas aisladas, más visibilidad

Uno de los errores más comunes en ciberseguridad es implementar soluciones independientes que operan sin contexto compartido.

La verdadera resiliencia surge cuando la protección previa y posterior a la ejecución trabajan de forma coordinada.

Cuando los equipos pueden visualizar:

• Comportamiento del usuario.
• Actividad del navegador.
• Uso de aplicaciones de IA.
• Eventos del endpoint.
• Alertas de seguridad.
• Acciones de contención.

La capacidad de identificar riesgos y responder eficazmente mejora significativamente.