¿Qué es una amenaza persistente avanzada (APT)?

Una amenaza persistente avanzada es un ataque dirigido en el que atacantes cualificados penetran en una red y permanecen ocultos durante largos periodos.

Los atacantes usan una variedad de herramientas técnicas modernas combinadas con decisiones humanas, y muchos son muy hábiles estudiando un sistema para obtener acceso de forma silenciosa antes de recopilar datos valiosos.

Lo que debe saber:

• Una APT es un ciberataque dirigido y de larga duración que usa el sigilo y operadores humanos. Estos grupos se centran en permanecer dentro de una red más que en causar daños rápidos.
• Los atacantes se apoyan en tácticas como el phishing, exploits de día cero, ingeniería social y métodos asistidos por AI para obtener y mantener el acceso.
• Los APTs suelen enfocarse en organizaciones, pero las personas pueden verse afectadas por datos expuestos o dispositivos comprometidos.
• Las grandes filtraciones suelen incluir información personal que los atacantes reutilizan o venden.
• Los ataques APT se desarrollan en fases y muchos grupos modernos usan ahora AI para recuperar acceso si los defensores cierran parte del ataque.
• Los usuarios pueden reducir el riesgo actualizando los dispositivos y adoptando buenas prácticas de seguridad y herramientas de protección basadas en el comportamiento.
• Casos recientes de APT ponen el foco en ataques a la cadena de suministro y en técnicas de ingeniería social cada vez más realistas.

¿Qué significa una APT en ciberseguridad?

Una amenaza persistente avanzada (APT) es un ataque dirigido en el que un actor malicioso obtiene acceso a un sistema y permanece en él durante un largo periodo.

El término "advanced" se refiere a las herramientas y técnicas que se emplean para entrar. Exploits de día cero, malware personalizado y métodos asistidos por AI son ejemplos de las técnicas que usan los estafadores. "Persistent" significa que los atacantes no se marchan una vez dentro: siguen monitorizando el sistema y reconstruyendo el acceso si los defensores los expulsan. Ajustan y evolucionan su estrategia según sea necesario.

Los APTs modernos no están completamente automatizados. Operadores humanos guían el ataque y reaccionan ante las defensas para hacerlo más preciso. AI desempeña un papel creciente al permitir que los atacantes actúen más rápido y mantengan una presencia con menos esfuerzo. También puede ayudarles a ocultar su identidad y evitar la detección.

Las descripciones clásicas de los APTs en Ciberseguridad suelen enumerar cinco fases, pero estos pasos continúan evolucionando. Los ataques más recientes añaden persistencia impulsada por AI mediante automatización, y métodos flexibles de mando y control que pueden permitir a los atacantes permanecer incluso si parte de su operación es detectada.

¿Por qué importa el factor humano?

La mayoría de los ataques APT empiezan cuando alguien es engañado. La ingeniería social abre una puerta y sigue siendo una de las formas más fiables de obtener acceso.

Incluso las defensas técnicas sólidas pueden fallar si un atacante convence a una sola persona de que haga clic en un enlace o revele un pequeño dato.

Las tácticas modernas son más sofisticadas y ya no lanzan redes tan amplias. Los mensajes de spear phishing ahora usan detalles empresariales reales o cadenas de correo robadas. Los textos generados por AI pueden hacer que parezcan auténticos y profesionales.

El cebo también ha evolucionado. Los atacantes pueden usar páginas de inicio de sesión en la nube falsas y notificaciones urgentes que imitan sistemas internos. Estas técnicas dificultan que los usuarios detecten la trampa, especialmente cuando los mensajes parecen provenir convincente de un colega o socio de confianza.

Las decisiones humanas marcan las primeras fases de muchas intrusiones APT. Un momento de distracción o un mensaje de estafa bien elaborado puede dar a los atacantes el acceso necesario para asentarse en una red.

¿Cómo funciona un ataque APT?

Un ataque APT se desarrolla en una serie de fases que permiten a los atacantes entrar en una red y operar sin llamar la atención. La mayoría de los ataques siguen un patrón conocido:

Fase uno: obtener acceso

El acceso es el primer paso. Los ciberdelincuentes suelen entrar a través de la red, un archivo infectado, correo basura o una vulnerabilidad de una aplicación para insertar malware en la red objetivo. Las técnicas modernas hacen que esta fase sea a menudo automatizada. Los atacantes automatizan pruebas en múltiples puntos de entrada a la vez y ajustan su enfoque cuando las herramientas de seguridad bloquean un intento.

Fase dos: establecer un punto de apoyo

Los ciberdelincuentes implantan malware que permite crear una red de puertas traseras y túneles usados para moverse por los sistemas sin ser detectados. El malware con frecuencia emplea técnicas como la reescritura de código para ayudar a los atacantes a cubrir sus huellas.

Los puntos de apoyo modernos están diseñados para sobrevivir a intentos de eliminación y pueden reinstalarse automáticamente. Algunos cambian a nuevas vías de acceso cuando los defensores intervienen.

Fase tres: profundizar el acceso

Una vez dentro, los atacantes usan técnicas como romper contraseñas para obtener derechos de administrador y así controlar más partes del sistema y alcanzar niveles de acceso superiores. Este proceso ahora puede estar guiado por herramientas automatizadas y scripts que mapifican permisos y se adaptan rápidamente si el acceso se restringe o se supervisa. Eso hace más difícil erradicar a los atacantes.

Fase cuatro: movimiento lateral

Con derechos de administrador y más profundidad en el sistema, los atacantes pueden moverse libremente. También intentan acceder a otros servidores y secciones seguras de la red. Esta es otra área que muchos estafadores han automatizado para intentar obtener una mayor presencia y comprensión del sistema.

Fase cinco: observar, aprender y permanecer

Una vez dentro, los atacantes construyen un conocimiento detallado de cómo funciona el entorno y dónde están sus puntos débiles. Esto les permite recopilar silenciosamente la información buscada. Al mismo tiempo, se adaptan a las medidas de seguridad y usan técnicas avanzadas de ocultación para permanecer en el sistema el mayor tiempo posible.

¿Cómo pueden entrar y tomar el control los atacantes?

Los grupos APT suelen comenzar encontrando un único punto débil y explotándolo lentamente. Puede tratarse de una falla en el sistema de una empresa, un dispositivo personal o un servicio en línea que la gente utiliza a diario.

Sus métodos resultan cada vez más convincentes. Un exploit de día cero aprovecha una falla de software que aún no se ha corregido y puede afectar tanto a software empresarial como a aplicaciones de consumo. Los ataques de tipo "watering hole" consisten en infectar sitios web que ciertos grupos de usuarios visitan con regularidad. El cebo también ha evolucionado e incluye páginas de inicio de sesión en la nube falsas o avisos urgentes del sistema diseñados para engañar tanto a empleados como a usuarios particulares.

Muchos ataques APT no comienzan atacando directamente al objetivo principal. En su lugar, los atacantes suelen comprometer primero proveedores de servicios más pequeños o herramientas de software de uso general. Desde allí, pueden alcanzar tanto a organizaciones como a usuarios individuales que dependen de esos servicios, especialmente cuando cuentas o dispositivos de trabajo y personales están conectados.

Los atacantes suelen crear un punto de apoyo instalando puertas traseras o shells remotos. Estas herramientas les permiten reconectar con el sistema cuando quieren y dificultan los intentos de eliminar su acceso. A continuación, los estafadores trabajan para ampliar el acceso explotando fallos internos del sistema. También elevan privilegios para controlar un mayor número de sistemas.

¿Cómo se mueven, ocultan y mantienen el acceso a largo plazo?

Una vez que los atacantes cuentan con acceso consolidado, comienzan a explorar sistemas conectados, cuentas y herramientas de comunicación manteniéndose ocultos. Esto puede incluir servidores corporativos, servicios en la nube o incluso redes domésticas y personales conectadas a través de dispositivos de trabajo o cuentas compartidas.

Su objetivo es entender cómo funciona el entorno y cómo pueden pasar desapercibidos mientras causan daño. Esto les da más tiempo para acceder a información personal, cuentas de usuario vinculadas y otros datos sensibles relacionados con organizaciones y particulares.

Los atacantes se apoyan en técnicas que dejan pocas huellas. Pueden alterar registros o usar malware sin archivos (fileless) que ejecuta en memoria. Algunos enrutan su comunicación por canales cifrados diseñados para mezclarse con el tráfico normal. También hemos observado persistencia asistida por AI que puede cambiar su comportamiento cuando las herramientas de seguridad reaccionan y reconstruir el acceso si se elimina.

Las mejores defensas también usan AI y aprendizaje automático para responder. Estas herramientas buscan comportamientos inusuales en sus cuentas y redes y pueden detectar patrones de inicio de sesión o actividad de datos que no coinciden con el uso habitual. Esto es importante porque muchos ataques avanzados no dependen de malware evidente: se mimetizan y esperan.

Desde el punto de vista de la seguridad personal, esto significa que la protección moderna se centra en reducir el riesgo de forma temprana en lugar de reaccionar simplemente después de que algo sale mal. Las herramientas de seguridad pueden detectar pequeñas señales de advertencia y limitar el acceso antes de que los atacantes tengan tiempo de avanzar o permanecer conectados.

Las defensas frente a APT siguen evolucionando

Algunas defensas todavía están en desarrollo. El cifrado resistente a la computación cuántica es un enfoque emergente diseñado para proteger datos sensibles frente a métodos de ataque futuros que podrían romper los estándares de cifrado actuales. Aunque esto no es algo que la mayoría de los consumidores necesiten configurar por sí mismos, cada vez se usa más entre proveedores de servicios para reforzar la protección de datos a largo plazo.

Incidentes recientes muestran lo rápido que evolucionan los métodos APT y que la definición de amenaza persistente avanzada cambia con la tecnología. Ataques recientes han empleado actualizaciones de software envenenadas e incluso audio deepfake para ingeniería social. Algunos han preocupado por las nuevas técnicas “living off the land” que se basan en herramientas legítimas dentro de la red. Cada caso subraya lo flexibles y pacientes que pueden ser estos grupos.

Incluso cuando una operación APT parece cerrada, la amenaza puede no haber desaparecido. Los atacantes a menudo dejan puertas traseras ocultas e implantes secundarios que les permiten volver más adelante. Comprender el ciclo de vida completo de una APT ayuda a organizaciones y personas a entender el tipo de amenaza al que se enfrentan.

¿Quiénes son los atacantes detrás de las amenazas persistentes avanzadas?

Los ataques APT suelen ser llevados a cabo por grupos grandes y con recursos, más que por hackers en solitario.

Muchos están vinculados a programas estatales, donde gobiernos financian operaciones cibernéticas a largo plazo para recopilar inteligencia o obtener ventaja estratégica.

También existen actores híbridos que difuminan la línea entre grupos respaldados por gobiernos y redes criminales. También hay grupos criminales organizados que pueden usar tácticas al estilo APT (entre otras) para robar datos o extorsionar.

Estos atacantes suelen centrarse en industrias que apoyan servicios críticos o almacenan grandes volúmenes de datos sensibles.

¿Por qué lanzan campañas APT?

No todos los grupos APT son iguales: ejecutan campañas por motivos diversos.

Algunos se dedican al espionaje y la vigilancia a largo plazo con fines políticos. Otros buscan beneficios financieros a corto plazo. Lo que comparten es la paciencia y la planificación. Estos ataques están diseñados para ofrecer valor con el tiempo, no victorias rápidas.

¿Afectan los ataques APT a la gente normal?

El impacto de una APT suele alcanzar a usuarios cotidianos como parte de brechas mucho mayores. También pueden atacar a personas vinculadas a organizaciones.

¿Cómo los individuos se convierten en víctimas indirectas?

Cuando los atacantes comprometen una empresa o un servicio público, a menudo obtienen acceso a muchos registros personales. Aunque no fueras el objetivo principal, tu información puede verse afectada por la brecha. Es importante

¿Cómo los dispositivos personales pueden facilitar los ataques?

Los dispositivos personales y del trabajo se usan a menudo como puntos de entrada. Un portátil comprometido o una red doméstica pueden dar a los atacantes un punto de apoyo en un entorno mayor cuando los dispositivos se conectan a sistemas corporativos. A medida que más hogares dependen de dispositivos conectados, las debilidades en la seguridad del hogar también pueden exponer sistemas domóticos, redes personales y cuentas vinculadas a ataques más amplios.

¿Qué señales pueden notar los usuarios cotidianos?

La actividad de APT suele ser sutil por diseño. Pero pueden aparecer algunas señales. Estas pueden incluir alertas de inicio de sesión inesperadas, actividad inusual en cuentas y dispositivos que van más lentos de lo normal. También debe vigilar intentos de phishing repetidos y muy personalizados.

Ignorar estas señales puede dar a los atacantes más tiempo para permanecer ocultos e incluso aumentar el riesgo de usurpación de cuentas a largo plazo o exposición masiva de datos.

¿En qué se diferencia una APT del malware habitual?

Una APT no es un ataque rápido o disperso. Es dirigido y está diseñado para ser sigiloso y permanecer oculto durante largos periodos.

El malware habitual suele propagarse ampliamente y causar daños inmediatos, mientras que los grupos APT eligen víctimas específicas y trabajan de forma detallada y precisa para evitar la detección. En realidad son lo opuesto a algunos enfoques de malware masivo.

Los ataques de ransomware pueden ser una forma de APT y buscan bloquear archivos y pedir un rescate en pocas horas. Los actores APT prefieren un acceso silencioso que les permita estudiar sistemas y recopilar datos valiosos durante semanas o meses. Aprovechan la toma de decisiones humanas y técnicas que cambian conforme reaccionan los defensores. Este nivel de control los separa del malware básico que sigue un guion fijo.

Cómo detectar una amenaza persistente avanzada

La detección de amenazas persistentes avanzadas se complica porque la actividad está diseñada para mimetizarse con el comportamiento normal. Eso no significa que siempre funcione o que sea indetectable, y muchas señales aún pueden avisarle con antelación. Esté atento a comportamientos extraños:

• Acceso a archivos en horas inusuales
• Transferencias de datos inesperadas o inexplicables
• Cuentas que inician sesión desde ubicaciones desconocidas
• Rendimiento lento de los dispositivos
• Alto uso de red
• Cambios en la configuración sin su intervención también pueden señalar problemas

También debe buscar aplicaciones o tareas en segundo plano que no haya instalado. Monitorizar archivos y configuraciones importantes puede ayudarle a detectar pequeños cambios tempranos, antes de que los atacantes se propaguen más.

Los antivirus y firewalls tradicionales se basaban mucho en firmas de malware conocidas. Nuestras herramientas de seguridad han evolucionado hacia la monitorización basada en el comportamiento y en soluciones impulsadas por AI que buscan acciones inusuales en lugar de detectar solo amenazas familiares.

La detección experta de amenazas de Kaspersky y el análisis y eliminación de virus pueden ayudar a proteger a los consumidores y eliminar cualquier amenaza que haya superado las defensas.

Alertas de seguridad y supervisión de cuentas

Active las alertas de inicio de sesión en sus cuentas más importantes para que le avisen si alguien intenta acceder. Revise los registros de actividad en todas sus cuentas y herramientas online para confirmar que solo usted está iniciando sesión. Estas alertas pueden darle una advertencia temprana si alguien intenta usar credenciales robadas.

Herramientas de detección que ayudan

Use software de seguridad sofisticado que vigile comportamientos sospechosos, no solo firmas conocidas. Las herramientas basadas en comportamiento y en AI pueden detectar anomalías antes y evitar que los atacantes profundicen en su sistema.

Mantenga siempre las actualizaciones automáticas activadas para que su dispositivo tenga las últimas protecciones frente a nuevas técnicas de APT. Las herramientas de Kaspersky también pueden protegerle frente a sitios y correos falsos creados por ciberdelincuentes para robar su identidad y su dinero.

¿Cómo pueden protegerse las personas frente a las tácticas APT?

Las actualizaciones regulares de software, la autenticación multifactor, contraseñas fuertes y una concienciación constante sobre el phishing eliminan muchas de las vías que estos grupos explotan.

Incluso un intento bloqueado puede impedir que los atacantes obtengan el acceso necesario para avanzar en una red. Aunque estos ataques suelen dirigirse a grandes organizaciones, los hábitos personales siguen importando. Se necesitan defensas sólidas en todos los frentes. Los dispositivos domésticos, las cuentas personales de correo y las contraseñas reutilizadas suelen ser el eslabón más débil que los atacantes explotan para alcanzar sistemas mayores.

Usar software de seguridad moderno reduce el riesgo. Las herramientas actuales se centran menos en detectar malware conocido y más en limitar comportamientos sospechosos y evitar cambios no autorizados. Esto ayuda a reducir la exposición con el tiempo, en lugar de reaccionar solo después de que se produzca un daño.

También están surgiendo enfoques protectores gracias a avances tecnológicos. Algunas plataformas usan ahora registros basados en blockchain para crear trazas de actividad del sistema y cambios en archivos resistentes a la manipulación. Al registrar eventos de forma que no puedan alterarse en silencio, estos sistemas dificultan que los atacantes oculten cambios o reescriban la historia tras acceder. Estas técnicas complican que los atacantes modifiquen archivos u oculten su actividad.

¿Qué hacer si sospecha una compromisión?

Si cree que su dispositivo o cuentas han sido comprometidos, lo más importante es actuar con rapidez.

Desconéctese de la red primero. Cambie sus contraseñas desde un dispositivo seguro y revise la actividad de sus cuentas en busca de inicios de sesión o configuraciones desconocidas. Ejecute un análisis de seguridad completo con un software capaz de detectar comportamientos inusuales y amenazas modernas reales.

Si los problemas vuelven a aparecer o se han accedido cuentas sensibles, es importante entender que los atacantes avanzados pueden haber dejado puertas traseras ocultas. Estas les permiten recuperar el acceso incluso después de que algunos problemas parezcan resueltos.

En casos en los que persisten signos repetidos de intrusión, un borrado completo del dispositivo y una reinstalación limpia pueden ser la opción más segura. Esto puede eliminar herramientas ocultas difíciles de detectar que siguen amenazando su seguridad.

Las buenas prácticas de ciberseguridad siguen siendo clave. Active la autenticación multifactor siempre que sea posible para mantenerse protegido. Revise la actividad de las cuentas en busca de inicios de sesión o opciones de recuperación que no reconozca.

¿Qué ejemplos recientes de APT muestran cómo funcionan estos ataques?

Esto no es una amenaza abstracta. Incidentes recientes de APT ofrecen una imagen clara de cómo atacantes reales se mueven silenciosamente por las redes.

Incidentes importantes de APT desde 2020

SolarWinds:

Uno de los casos más comentados fue el ataque a SolarWinds Orion en 2020, cuando se descubrió que los atacantes "habían podido añadir una modificación maliciosa a los productos SolarWinds Orion que les permitió enviar comandos a nivel de administrador a cualquier instalación afectada".

Cuando los clientes instalaron esa actualización, sin saberlo dieron a los atacantes acceso remoto a sus redes internas. Los atacantes eligieron en qué víctimas profundizar y usaron herramientas adicionales para ampliar el acceso y mantener la persistencia.

MOVEit:

Más recientemente, la brecha de datos de MOVEit en 2023 puso de manifiesto el riesgo de las herramientas de transferencia gestionada de archivos. Un grupo de ransomware explotó una vulnerabilidad de día cero en el software MOVEit para instalar web shells en servidores expuestos y, a continuación, robó silenciosamente datos de miles de organizaciones antes de que el problema fuera público.

¿Qué enseñan estos incidentes a los consumidores?

Muestran que los atacantes no siempre van a por individuos de forma directa. A menudo comprometen software o proveedores de servicios de confianza y luego usan esa posición para alcanzar a muchas organizaciones a la vez.

Igualmente, demuestran cómo funciona la persistencia por fases en la práctica. Estos ejemplos muestran que los atacantes instalaron puertas traseras o usaron web shells ocultos. Se movieron por sistemas para encontrar información valiosa.

La lección para los usuarios cotidianos es sencilla: depende de más sistemas de los que posee. Las buenas prácticas de seguridad personal y una rápida reacción ante notificaciones de incidentes ayudan a reducir con el tiempo el riesgo para sus datos.

Artículos relacionados:

• ¿Qué son los exploits de día cero?
• ¿Qué es la seguridad de endpoints?
• ¿Qué es la ciberseguridad?
• Cómo protegerse del hacking con AI?

Productos recomendados:

• Soluciones empresariales de Kaspersky
• Kaspersky Premium
• Descargue una prueba gratuita de 30 días de nuestro plan Premium

FAQ

¿Cuánto tiempo permanecen normalmente dentro de un sistema los atacantes de APT?

Los atacantes de APT pueden permanecer en un sistema durante semanas o incluso años. Su objetivo es pasar desapercibidos el mayor tiempo posible para seguir recopilando datos y observar cómo funciona la organización.

¿Por qué son tan difíciles de detectar los ataques APT?

Este tipo de ataques son difíciles de detectar porque emplean tácticas sigilosas como herramientas personalizadas y actividad del sistema que parece normal. Integran sus acciones en el tráfico de red cotidiano.

¿Están los grupos de APT vinculados a países concretos?

Se cree que muchos grupos de APT están vinculados o reciben apoyo de determinados estados, mientras que otros son grupos delictivos que pueden operar a través de fronteras. Los informes públicos suelen usar nombres en clave en lugar de nombrar países directamente.

¿Cómo eligen sus víctimas los atacantes de APT?

Normalmente eligen objetivos que poseen datos valiosos o acceso a sistemas importantes. Es más habitual ver como blanco a agencias gubernamentales y grandes empresas que a particulares no vinculados. A veces atacan primero a organizaciones más pequeñas porque ofrecen una vía de entrada a una red mayor.