Las 4 fases de un ciberataque a una empresa — y dónde se puede detener en cada una

Las 4 fases de un ciberataque contra una empresaCuando una empresa se despierta con los archivos cifrados y un pedido de rescate en pantalla, parece que el ataque ocurrió esa misma noche. Casi nunca ocurre así. El atacante entró días o semanas antes, recorrió la red, encontró las copias de seguridad, las borró y sólo entonces pulsó el botón. Entender esta secuencia cambia la forma de pensar en seguridad: en lugar de una única muralla, hay cuatro momentos en que el ataque puede ser detenido — y cuanto antes, más barato. Este artículo describe las cuatro fases como las vemos en los incidentes en PYMES portuguesas y cómo funcionan en cada una.

Fase 1 — Reconocimiento: el atacante estudia la empresa

Antes de cualquier contacto, el atacante recopila lo que es público: nombres y cargos en LinkedIn, direcciones de correo electrónico en el sitio web, proveedores mencionados en noticias, el software que la empresa usa (aparece en ofertas de empleo), contraseñas de colaboradores que aparecieron en filtraciones de datos de otros sitios web. Con esto monta el ataque a medida: un correo electrónico del “proveedor habitual”, una llamada del “banco”, un intento de inicio de sesión con la contraseña reutilizada. Esta fase es invisible para la empresa y dura de horas a semanas.
Dónde alojarse: reduciendo lo que está expuesto y lo que sirve de llave. Contraseñas únicas con un administrador de contraseñas anulan las fugas de otros sitios. Menos direcciones de correo electrónico genéricas en el sitio y un procedimiento para solicitudes “en nombre de” reducen la superficie para la ingeniería social.

Fase 2 — Entrada: la primera puerta

Tres puertas dominan en las pymes. La primera es el phishing: alguien escribe la contraseña en un sitio falso o abre un archivo adjunto que instala software malicioso. La segunda es un servicio expuesto a internet con contraseña débil o sin MFA: un entorno de trabajo remoto, una VPN, un portal antiguo. La tercera es una vulnerabilidad no corregida en un equipo orientado hacia el exterior: cortafuegos con firmware antiguo, servidor sin actualizaciones, Windows 10 sin soporte. La entrada en sí toma minutos.
Dónde alojarse: autenticación multifactor en todo lo que es accesible desde el exterior — hace que la contraseña robada sea inútil. Filtrado de correo electrónico y equipo capacitado para reportar. Actualizaciones al día y una cortafuegos administrado, con los servicios expuestos reducidos al mínimo. Esta es la fase donde la mayoría de los ataques a pymes debe morir.

Fase 3 — Expansión: de un puesto a toda la red

Con un pie dentro, el atacante busca tres cosas: más credenciales (sobre todo de administrador), el camino hacia los servidores y las copias de seguridad. En una red plana, sin segmentación, con usuarios administradores de sus puestos y contraseñas de administración iguales en todas las máquinas, esto demora horas. Es también la fase en que el atacante desactiva el antivirus, crea cuentas propias para volver más tarde y borra o cifra las copias de seguridad a las que consigue llegar. Puede durar días o semanas — y es el momento en que la monitorización marca la diferencia entre un puesto comprometido y una empresa parada.
Dónde alojarse: segmentación de la red en VLANs, para que un puesto comprometido no llegue a los servidores ni a las copiascómo se hace). Usuarios sin derechos de administrador. Copias de seguridad fuera del alcance de la red e inmutables. Y monitorización 24×7 (Premium 365) que detecte el comportamiento anómalo —inicios de sesión fuera de horario, cuentas nuevas, tráfico hacia destinos extraños— mientras aún es una alerta y no una catástrofe. Es la lógica de los cuatro pasos del Cero Confianza para PYME.

Fase 4 — Impacto: lo que la empresa ve

Solo aquí el ataque se vuelve visible: archivos cifrados y una solicitud de rescate, datos publicados o vendidos, transferencias bancarias fraudulentas, o simplemente la paralización de los sistemas. El atacante elige el momento —frecuentemente el viernes por la noche o la víspera de un día festivo— para maximizar el tiempo hasta la reacción. A partir de aquí el coste ya no se mide en prevención: se mide en días parados, en honorarios de recuperación, en notificaciones a la CNPD y a clientes, y en reputación.
Dónde alojarse: ya no se lucha, se contiene. Plan de respuesta a incidentes escrito y conocido: quién aísla qué, quién comunica, quién llama a quién. Copias de seguridad probadas y fuera del alcance del atacante, que son la diferencia entre restaurar en horas y negociar un rescate. Un plan de recuperación ante desastres con tiempos de recuperación definidos. Y las primeras horas bien gestionadas —qué hacer y no hacer está en nuestra guía sobre recuperación de datos en las primeras horas.

¿Por qué la fase 3 es la más importante?

La fase 2 nunca se cerrará en 100%: la gente comete errores y cada día surgen nuevas vulnerabilidades. En la fase 4 ya es demasiado tarde para prevenir. La fase 3 es aquella en la que una empresa que cuenta con segmentación, supervisión y copias de seguridad convierte un incidente grave en un simple reinicio del sistema. También es la fase más ignorada, porque no se ve: las empresas invierten en la puerta de entrada (cortafuegos, antivirus) y en la recuperación (copias de seguridad), y dejan el centro desprotegido.

Una secuencia real, resumida

Un escenario compuesto de lo que vemos en las pymes: martes, un empleado de contabilidad recibe un correo electrónico del “proveedor” con una factura y escribe la contraseña en el portal falso. El atacante entra en el correo electrónico esa noche, lee durante una semana, encuentra el acceso al entorno de trabajo remoto sin MFA. Entra en la red, descubre que el usuario es administrador local, extrae credenciales, llega al servidor de archivos y al NAS de las copias en el mismo segmento. Borra las copias la noche del jueves. Cifra todo en la madrugada del sábado. Lunes por la mañana, la empresa lo descubre. Con MFA en el acceso remoto, el ataque se paraba en la fase 2. Con VLAN y copias fuera de la red, se paraba en la fase 3 con un servidor por restaurar. Sin nada de esto, fueron tres semanas de parada parcial.

Preguntas frecuentes

¿Cuánto tiempo pasa entre la entrada y el impacto?

En las pymes, típicamente entre algunos días y algunas semanas. Los ataques automatizados pueden cifrar en horas; los ataques dirigidos tardan más porque el atacante busca las copias de seguridad antes de actuar.

¿Un buen antivirus no bloquea todo esto?

Bloquea parte de la fase 2 (archivos adjuntos maliciosos) y parte de la fase 3 (herramientas conocidas). No bloquea las credenciales robadas usadas de manera legítima, que es como progresa la mayoría de los ataques. Por eso el MFA y la segmentación son más decisivos.

¿Pagar el rescate resuelve?

No garantiza la recuperación, no garantiza que los datos no sean publicados y financia el próximo ataque. Las empresas con copias probadas y fuera del alcance no necesitan considerar la pregunta.

¿Por dónde empezar si no tengo nada de esto?

Por orden de costo-beneficio: MFA en todos los accesos externos, copias fuera de la red y probadas, retirar derechos de administrador a los usuarios, segmentar la red. Las dos primeras se hacen en días.

¿En qué fase detendría su empresa un ataque?

Recorremos las cuatro fases con su infraestructura y le decimos por escrito dónde se detendría el ataque hoy y qué falta para detenerlo antes. Vea nuestra ciberseguridad gestionada para empresas o llame al +351 211 459 950.