Panorama#

Los cinco capítulos anteriores construyeron un método: formular requerimientos, colectar bajo esa restricción, analizar con disciplina, diseminar en el formato del consumidor y verificar en el centro de operaciones si algo cambió. Este capítulo aplica ese método a su objeto. Es el producto estratégico del ciclo —el nivel que 1.5 sacó deliberadamente del SOC para llevarlo a las decisiones de arquitectura, parcheo y presupuesto— y por eso su forma es distinta a la de todos los demás capítulos del manual: no describe un mecanismo, describe un momento.

Este es el único capítulo del manual con fecha de vencimiento, y conviene decirlo antes de la primera cifra. Está escrito a mediados de 2026 sobre dos informes: uno publicado a comienzos de 2026 con balance del año anterior, y otro que cubre el segundo semestre de 2025. Las cifras concretas —cuántas variantes, cuántas víctimas publicadas, qué familias encabezaron qué lista— son las que primero pierden validez, y la mayoría ya envejeció mientras se leía. Lo que se busca conservar acá no son los números sino la dirección del cambio y, sobre todo, el método para leer el próximo informe sin tener que reescribir este capítulo. Todo lo que sigue debe leerse con esa marca puesta.

De ahí la tesis: el panorama no se lee por sus cifras sino por su dirección. Un informe anual responde bien a «cuánto hubo» y mal a «hacia dónde va»; la segunda pregunta es la única que sirve para decidir dónde poner un sensor o qué arquitectura cambiar, porque las decisiones de esa clase tardan meses en implementarse y años en amortizarse. Leer el panorama buscando el número más alto produce una respuesta táctica a un insumo estratégico, que es la forma que adopta acá el fallo de nivel de 1.1.

Cómo se lee un informe de panorama#

Esta sección es la que se pretende durable, y por eso va antes que el contenido. Todo informe de panorama —de proveedor, de agencia, de consorcio— trae incorporado un sesgo que no es deshonestidad sino geometría: cada publicación describe lo que sus sensores ven. Un fabricante de cortafuegos describe el perímetro; uno de EDR describe la ejecución en el endpoint; una empresa de inteligencia describe los foros y la infraestructura que rastrea. Ninguno miente y ninguno ve el panorama.

Ese es exactamente el problema que 1.2 enunció —el sesgo de selección de fuentes se convierte en sesgo de conclusiones, y el silencio se lee como ausencia de amenaza en lugar de ausencia de datos—, ahora en su versión más consumida. Tres correcciones prácticas antes de citar cualquier informe:

Preguntar de qué telemetría sale cada cifra. «Las detecciones en el endpoint bajaron» puede significar que hay menos ataques, que el producto mejoró, que los ataques se volvieron menos detectables por ese producto, o que cambió la base instalada de clientes. Los informes serios suelen decir cuál, en una nota al pie que casi nadie lee. La caída de detecciones que acompaña a un aumento de variantes únicas, por ejemplo, admite las dos lecturas opuestas a la vez.

Distinguir volumen de capacidad. Un aumento del 33 % en variantes nuevas de programa de extorsión suena a una mejora del adversario, y el propio informe aclara que no lo es: la mayoría de esas variantes nace de constructores y código filtrado de familias preexistentes. Hay más actores y no mejores actores. Esa distinción cambia completamente la respuesta defensiva, y se pierde si uno se queda con el titular.

Desconfiar de las métricas que produce el adversario. Es la corrección menos habitual y la más importante.

Los recuentos de víctimas de extorsión salen de los sitios de filtración, que son la vitrina publicitaria del atacante. Esa fuente es controlada íntegramente por la parte interesada: publica a quien no pagó —el que pagó rara vez aparece—, tiene incentivo directo a inflar para atraer afiliados, reutiliza víctimas entre marcas cuando un grupo se refunda, y a veces publica accesos revendidos como si fueran intrusiones propias. En términos del código del Almirantazgo de 1.2, es una fuente de fiabilidad baja con un interés declarado en el contenido, y sin embargo se cita como si fuera un registro contable. Un máximo histórico de víctimas publicadas mide, en el mejor de los casos, la actividad de publicación; el volumen real de extorsión no es observable desde afuera. Sirve para leer tendencia relativa y proporción entre grupos, no para afirmar magnitudes.

Con esas tres correcciones puestas, el contenido se vuelve utilizable.

Tres direcciones del cambio#

flowchart TD
  subgraph D1["① ACCESO SIN MALWARE"]
    A1["Infostealer → credenciales y cookies\nIAB revenden el acceso\nla sesión válida derrota al MFA"]
    A2["disuelve: el vector como artefacto\nno hay archivo que analizar"]
  end
  subgraph D2["② EJECUCIÓN SIN BINARIO PROPIO"]
    B1["Entrega sobre TLS (dropper)\nLOLBAS desplaza al script\ninyección en memoria"]
    B2["disuelve: la firma y el perímetro\nel binario es legítimo y firmado"]
  end
  subgraph D3["③ INDUSTRIALIZACIÓN DEL INTERMEDIARIO"]
    C1["RaaS fragmentado por código filtrado\nMaaS · afiliados · IA como acelerador"]
    C2["disuelve: la barrera de capacidad\nmás actores, no mejores"]
  end

  D1 --> INT["Intrusión"]
  D2 --> INT
  D3 --> INT

  INT -.->|"se contesta en"| R1["identidad y correo (5.3)\nexfil y SaaS (5.9)"]
  INT -.->|"se contesta en"| R2["caza de C2 (5.7)\nmalware y evasión (5.8)\ntelemetría de ejecución (5.2)"]
  INT -.->|"se contesta en"| R3["comportamiento, no familia\n→ pirámide del dolor (5.1)"]

Acceso sin malware#

La primera dirección es la más consolidada: el acceso inicial se compra o se roba en lugar de fabricarse. El mecanismo tiene tres piezas encadenadas. Los infostealers —programas cuyo único trabajo es extraer credenciales guardadas, cookies de sesión y carteras de criptomonedas— alimentan un mercado de credenciales corporativas. Los initial access brokers profesionalizan la reventa de ese acceso a quien vaya a monetizarlo. Y los grupos de extorsión entran con credenciales válidas, sin exploit y sin carga que un antivirus pueda examinar.

Este manual ya recorrió las dos mitades de esa dirección. Los stealer logs como fuente y como mercado están en 2.6; la detección del acceso resultante está en 5.3, y en particular el punto que esta dirección vuelve central: una autenticación exitosa no implica legitimidad, porque una sesión robada llega ya autenticada y el segundo factor no se opone a nada. La consecuencia estratégica —que es lo que corresponde a este capítulo— es que el control con mayor retorno frente a esta dirección no es de detección sino de arquitectura: autenticación resistente al phishing, vinculación de sesión al dispositivo, y reducción de la vida útil del token. Y que la respuesta a un compromiso de identidad se mide en revocación de sesiones y de tokens, no en cambio de contraseña.

Ejecución sin binario propio#

La segunda dirección es la que más afecta al diseño de la detección, y tiene dos capas que se refuerzan.

En la entrega, el canal cifrado se consolidó como el escondite por defecto: la mayor parte del malware observado en el perímetro llega sobre HTTPS, y las familias dominantes son droppers con carga diferida cuya única función es traer lo demás una vez adentro. La consecuencia es la que 5.7 desarrolló y conviene repetir acá porque es una decisión de arquitectura y no de operación: sin inspección de TLS, el perímetro ve metadatos de destino y no contenido. Ese hecho no se resuelve comprando otro producto perimetral; o se acepta el costo real de la inspección —técnico, de privacidad, de pinning— o se diseña la detección para no depender de ella, moviendo el peso al endpoint y a las señales de forma. Lo que no funciona es suponer que el perímetro ve lo que ya no ve.

En la ejecución, los binarios legítimos del sistema desplazaron a los scripts como vector principal. Es la maduración de una técnica que el manual trató en varios lugares —5.8 la midió empíricamente al comprobar que una entrega vía instalador legítimo atraviesa controles que se apoyan en la reputación del ejecutable— y su efecto sobre la detección es directo: el artefacto ya no es malicioso, la secuencia sí. Lo mismo vale para la inyección en memoria y el vaciado de procesos, que siguen apareciendo con alta prevalencia: el código malicioso vive dentro de un proceso legítimo, y por eso 5.5 pasa de especialidad forense a capacidad ordinaria.

La lectura estratégica de las dos capas juntas es una sola: las dos preguntas que la defensa venía haciendo —¿qué archivo es? ¿de dónde viene?— dejaron de discriminar, y la que discrimina es qué cadena de acciones ocurrió. Es la tesis que recorrió toda la Parte 5, ahora respaldada por la telemetría del sector.

# El panorama se vuelve accionable cuando se traduce a un requerimiento # verificable sobre la telemetria propia. La direccion "ejecucion sin binario # propio" se convierte en esta pregunta: que binarios firmados del sistema # engendran procesos hijo en esta red, y con que frecuencia. # # El resultado NO es una lista de alertas: es la LINEA BASE que dice cuales de # esos pares son normales aca. Sin ese inventario previo, una regla sobre # LOLBAS produce ruido; con el, produce excepciones. DeviceProcessEvents | where InitiatingProcessFolderPath has_any (@"\windows\system32\", @"\windows\syswow64\") | summarize hosts = dcount(DeviceName), total = count() by InitiatingProcessFileName, FileName | where hosts < 5 // lo raro primero: pocos equipos lo hacen | order by total asc

El valor de esa consulta no es detectar nada por sí sola: es convertir una afirmación de un informe en una pregunta sobre la propia red. Un panorama que no se traduce a preguntas de este tipo se leyó, no se consumió —que es exactamente lo que 1.5 sostuvo.

Industrialización del intermediario#

La tercera dirección es económica antes que técnica: entre el que sabe hacer y el que ejecuta se interpuso un mercado. El programa de extorsión como servicio reparte trabajo entre desarrolladores y afiliados; el malware como servicio alquila cargadores y stealers a quien no sabe escribirlos; los corredores de acceso venden la entrada. Cada eslabón baja la barrera técnica del siguiente.

El fenómeno de 2025-2026 que mejor ilustra la dirección es la fragmentación por filtración: constructores y código fuente de familias establecidas se filtran, y a partir de ahí proliferan variantes lanzadas por actores sin capacidad de desarrollo propia, operando desde plataformas de mensajería en lugar de infraestructura dedicada. De ahí el matiz que la sección de método anticipó y que conviene volver a subrayar porque casi todos los resúmenes lo pierden: más variantes no significa mejores adversarios; significa el mismo código en más manos.

Esa distinción tiene una consecuencia defensiva concreta y algo tranquilizadora: la detección que apunta a la familia pierde valor y la que apunta al comportamiento lo gana, porque las decenas de variantes derivadas de un constructor común comparten comportamiento aunque no compartan firma. Es la pirámide del dolor de 5.1 confirmada por la economía del adversario: cuando el código se democratiza, el comportamiento es lo último que cambia porque es lo único que nadie rediseñó.

La otra consecuencia es menos cómoda. La comoditización desacopla capacidad de intención: un actor con poca habilidad puede ejecutar hoy una operación de impacto alto, de modo que el perfil de riesgo de una organización ya no se deduce de su atractivo para actores sofisticados. La exposición oportunista pesa más que antes.

Actores estatales: persistir en lugar de romper#

En el plano estatal, la tendencia dominante no es destructiva sino paciente: pre-posicionamiento. Acceso persistente y sigiloso en infraestructura crítica y en equipamiento de borde —enrutadores domésticos y de pequeña oficina, dispositivos perimetrales— construido con técnicas de subsistencia local, con negabilidad como requisito de diseño y sin ninguna acción disruptiva que lo delate. El objetivo no es el efecto de hoy sino tener la opción disponible mañana.

Tres consecuencias defensivas se derivan de esa forma, y ninguna es intuitiva:

El equipamiento de borde es el punto ciego estructural. Un enrutador comprometido no admite EDR, rara vez exporta telemetría útil y casi nunca entra en el inventario que 1.5 señaló como requisito previo. Es, además, el lugar desde el cual la organización deja de poder confiar en su propia visión de la red —el argumento que 5.10 desarrolló sobre el host que miente, aplicado a un dispositivo que ni siquiera se puede interrogar.

La ausencia de impacto no es ausencia de compromiso. Un programa de detección calibrado sobre incidentes ruidosos no encuentra a un intruso cuyo objetivo explícito es no hacer nada. Esto es lo que convierte a la cacería basada en hipótesis en algo más que una buena práctica: contra el pre-posicionamiento, es el único mecanismo que puede encontrar lo que por definición no dispara alertas.

La atribución se volvió más difícil justo cuando parece más fácil. Las fronteras entre espionaje, cibercrimen y activismo se difuminan deliberadamente: se usan herramientas de vigilancia comercial, se contrata infraestructura criminal, se opera detrás de fachadas activistas y —el caso más elocuente— se despliega malware destructivo disfrazado de extorsión financiera para que el incidente se lea como crimen común. Ese disfraz es 1.3 en acción: las coincidencias técnicas prueban menos de lo que parecen, y la pregunta que desactiva el debate sigue siendo cuál decisión defensiva cambia según quién sea. En el caso del wiper disfrazado, además, la respuesta no es «ninguna»: cambia radicalmente, porque con un limpiador no hay rescate que pagar ni datos que recuperar, y toda la respuesta depende del backup offline que 5.4 señaló como el único que sobrevive.

Inteligencia artificial: acelerador, no metodología#

La lectura sobria de las fuentes es más útil que cualquiera de los dos extremos del debate público. Aparecieron modelos de lenguaje construidos específicamente para operaciones ofensivas, con madurez notable de interfaz y usabilidad, y su efecto medido es claro: mejoran la eficiencia y la accesibilidad de técnicas existentes en lugar de introducir un modo de operar nuevo. El malware autónomo dirigido por IA sigue siendo experimental.

Dicho eso, «acelerador» no es «irrelevante», y donde el efecto ya es material es en lo que depende de la escala y de la verosimilitud:

  • Ingeniería social a escala. El correo dirigido bien redactado en el idioma y el registro correctos deja de ser costoso. Con eso muere una heurística que el sector usó durante veinte años: los errores de redacción como señal de fraude. El resto de las señales que 5.3 desarrolló —cabeceras, autenticación del dominio, incoherencia de la ruta— no dependen del texto y siguen valiendo. La detección que se apoyaba en la calidad del contenido es la que hay que dar por perdida.
  • Identidad sintética y deepfakes. Es la extensión natural del fraude por suplantación de directivos, y su contramedida no es tecnológica sino de proceso: verificación fuera de banda para operaciones sensibles, independiente de voz e imagen.
  • Aceleración del trabajo del atacante. Análisis de código en busca de fallas, comprensión de binarios, automatización de tareas. Comprime tiempos; no crea capacidades que no existieran.

La dirección a vigilar —que es lo que corresponde a un capítulo estratégico— no es el malware autónomo sino la superficie que la propia adopción de IA agrega del lado defendido: agentes con acceso a datos y a herramientas, inyección de instrucciones, cadenas de suministro de modelos. Es un tema propio y el manual lo trata en su Parte 9.

Lo que no cambió#

Esta sección es deliberadamente la última del contenido, porque es la que más envejece bien y la que ningún resumen ejecutivo destaca.

Mientras el titular describe adversarios estatales pacientes e inteligencia artificial ofensiva, el volumen real de actividad hostil de red sigue estando compuesto sobre todo por escaneo indiscriminado y explotación masiva de vulnerabilidades corregidas hace años en software ubicuo y heredado, ejecutada por redes de equipos comprometidos que no eligen a su víctima. Los adjuntos siguen llegando con extensión disfrazada. Los operadores siguen prefiriendo robar los datos antes de cifrarlos —lo que hace de la exfiltración, tratada en 5.9, la fase que decide el impacto real de un incidente de extorsión.

De ahí la corrección de rumbo con la que conviene cerrar el contenido: el panorama de titulares es un panorama de novedad, y la realidad operativa de la mayoría de las organizaciones es un panorama de deuda. Una organización que reacciona al informe anual invirtiendo en lo más nuevo mientras mantiene expuesto un componente con una vulnerabilidad de hace cinco años está optimizando para la amenaza equivocada. La priorización correcta ya está dicha en 1.2 y no cambió: no por severidad publicada ni por novedad, sino por evidencia de que alguien lo está usando.

Cómo releer este capítulo cuando caduque. Las cifras se descartan; las tres direcciones se re-evalúan con dos preguntas cada una: ¿sigue vigente? ¿se aceleró o se estancó? Y se agrega una tercera pregunta que es la que detecta lo que este capítulo no vio: ¿qué apareció que no encaja en ninguna de las tres? Un panorama nuevo se lee bien cuando se lo usa para revisar los requerimientos de 1.1 —qué decisión pendiente cambia esto— y mal cuando se lo usa para actualizar una lista de indicadores. Ese es el reflejo que la Parte 1 intenta instalar.

Cierre de la Parte 1#

Con este capítulo se cierra el recorrido que empezó preguntando qué distingue a la inteligencia de un depósito de datos. La respuesta que la Parte fue construyendo es acumulativa y conviene recogerla entera.

La inteligencia no se define por el dato que contiene sino por la decisión que habilita, y por eso un programa sin requerimientos explícitos produce feeds y no inteligencia (1.1). El valor de una fuente no es su volumen sino su unicidad y su latencia respecto de esa decisión, y la fuente que mejor puntúa no se compra: es la telemetría y son los incidentes propios (1.2). Los modelos de análisis no describen la realidad, imponen una disciplina de razonamiento, y un juicio vale por la solidez con que resistió los intentos de refutarlo (1.3). La entrega exige distinguir dos productos incompatibles —el que va a una máquina y el que va a una persona que decide— y todo indicador sin contexto ni caducidad es deuda operativa (1.4). Y nada de eso cuenta hasta que cambia una regla, una prioridad de parcheo o una decisión de arquitectura, lo que ocurre —o no— dentro del centro de operaciones (1.5).

Este último capítulo agrega la pieza que faltaba y que también es la más frágil: el objeto sobre el que todo eso se aplica cambia, y cambia más rápido de lo que se actualizan los controles. Por eso el producto durable de la Parte 1 no es ningún contenido sino un reflejo: preguntar, ante cualquier informe, de qué telemetría salió, qué dirección describe y qué decisión propia toca. Las tres direcciones de este momento —acceso sin malware, ejecución sin binario propio, industrialización del intermediario— comparten además una propiedad que las conecta con todo el bloque azul: las tres disuelven un artefacto que la defensa venía usando como ancla —el vector como archivo, el binario como sospechoso, la capacidad como barrera de entrada—. Y las tres dejan intacto lo que la Parte 5 sostuvo en cada una de sus superficies: el adversario controla cómo se ven las cosas, y no controla lo que su operación tiene que hacer.

Si el panorama cambia y ese principio no, entonces el panorama es lo que se relee cada año y el principio es lo que se construye una vez.

Referencias#

  • blue-dfir/rf-state-of-security-2026/cap-01 — Recorded Future, 2026 State of Security: fragmentación geopolítica y operaciones cibernéticas como coerción; pre-posicionamiento estatal en infraestructura crítica y equipamiento de borde con subsistencia local y negabilidad; 289 variantes nuevas de programa de extorsión (+33 % interanual) originadas mayormente en constructores y código filtrado; infostealers como habilitador transversal del acceso inicial y profesionalización de los corredores de acceso; tres modelos de lenguaje maliciosos con madurez operativa que mejoran eficiencia y accesibilidad sin introducir un modo de operar nuevo; convergencia destructiva con wipers disfrazados de extorsión; y la recomendación de resiliencia operativa permanente.
  • blue-dfir/wg-threat-report-h2-2025/cap-01 — WatchGuard Internet Security Report H2 2025: predominio de la entrega sobre TLS con droppers de carga diferida; los binarios nativos de Windows como vector de ejecución principal, desplazando a los scripts; alta prevalencia de inyección en memoria y vaciado de procesos; explotación masiva y oportunista de vulnerabilidades antiguas en aplicaciones web; y la profesionalización de la extorsión por afiliados con máximos históricos de víctimas publicadas.
  • La crítica metodológica sobre el sesgo de visibilidad de los informes de proveedor, y en particular sobre los sitios de filtración como fuente controlada por el adversario, es enriquecimiento propio sobre la base del código del Almirantazgo de 1.2.
  • Nota de vigencia: capítulo escrito a mediados de 2026 sobre informes publicados a comienzos de 2026 y referidos al segundo semestre de 2025. Las cifras deben tomarse como instantánea de ese momento; la sección «Cómo se lee un informe de panorama» y las tres direcciones son lo que se pretende durable.