Atacantes no buscan ataques mejores, sino repetibles

La forma más común de entrar en una empresa el año pasado fue pedirlo. Una página web le dice al visitante que demuestre que no es un robot y, mientras lee las instrucciones, coloca silenciosamente un comando en su portapapeles. Luego le guía para abrir una terminal y pegarlo. Es la técnica ClickFix, y según Microsoft fue el método de acceso inicial más usado en sus notificaciones el año pasado, con un 47% de los ataques. No llega ningún adjunto, así que no hay nada que escanear. No se usa ninguna vulnerabilidad, así que no hay nada que parchear.

Lo que viene después es igual de ordinario. Bitdefender analizó 700.000 incidentes de seguridad y el 84% de los de alta severidad involucraban binarios que ya estaban en la máquina: las mismas herramientas administrativas que usa tu equipo de TI a diario. No se instaló nada malicioso porque no hizo falta.

Ninguna de las dos técnicas es brillante, pero ambas están ganando. Y no porque a los atacantes se les hayan acabado las ideas. Es que no buscan ideas: buscan algo que funcione igual en la siguiente empresa y en la siguiente. Esto es un negocio, y los negocios estandarizan.

El negocio de la repetición

Un grupo criminal que tiene que inventar algo nuevo para cada víctima no escala. El que tiene un procedimiento, una fórmula que puede ejecutar contra una lista de objetivos con pasos predecibles y un resultado predecible, puede crecer tan rápido como encuentre objetivos.

Los datos lo reflejan. El último informe de investigaciones de brechas de Verizon señala que la explotación de vulnerabilidades se ha convertido en el vector de acceso inicial más prominente, alcanzando el 31% de los casos, frente al 20% del año anterior: un aumento del 55% en un solo año, en la categoría que premia el escaneo masivo por encima de la habilidad. Los dispositivos perimetrales no son populares porque sean interesantes, sino porque el procedimiento es tan corto que cabe en una tarjeta.

El patrón es claro: espera a que se publique un CVE nuevo en dispositivos expuestos a internet, filtra los que den ejecución remota de código sin autenticación, y espera. Alguien publicará un exploit funcional en GitHub en cuestión de días. Entonces, escanea internet a gran escala y aprovecha lo que aún no se ha parcheado. Nadie en esa cadena desarrolla nada: el exploit llega gratis de un investigador, en un repositorio público, con un calendario que pone otro. La única capacidad necesaria es ejecutar código ajeno rápido y en volumen.

Hay una versión legítima de esto: un fabricante de genéricos no descubre fármacos, espera a que la investigación de otros se haga pública y produce la fórmula conocida a gran escala, compitiendo en coste y rapidez. Esto es un negocio de genéricos, donde la patente caduca el día que el proof of concept llega a GitHub.

Quién gana: los que más víctimas acumulan

La preferencia por la repetición también se ve en quién lidera los rankings. Durante más de un año, Qilin ocupó el primer puesto en los sitios de filtraciones de ransomware, con unas 1.600 víctimas reclamadas. En junio fue desplazado por The Gentlemen, con 121 víctimas frente a las 80 de Qilin. Son cifras que los grupos publican sobre sí mismos, así que son afirmaciones, no datos auditados, pero ambos compiten por el mismo puesto y lo que les importa es el volumen. El marcador cuenta víctimas, no logros técnicos.

El detalle más revelador es de dónde salió el retador. The Gentlemen surgió de un antiguo afiliado de Qilin y, como señala el informe de Bitdefender, demuestra cómo los playbooks de ransomware se reciclan y mejoran. El procedimiento salió de una organización y entró en otra, y funcionó igual de bien en manos nuevas. Es la declaración más clara de lo que estos grupos poseen: no un exploit, ni una herramienta, ni un secreto, sino un método que se puede escribir, entregar y volver a ejecutar.

ClickFix: un playbook para entrar

Visto así, el atractivo de ClickFix es obvio. No hay payload que reconstruir cuando llega una detección, porque no hay payload. No hay exploit que rehacer cuando el proveedor lanza un parche, porque no se usa ninguna vulnerabilidad. Cuando un señuelo deja de funcionar, reescribes el texto de la página web. La técnica se degrada con elegancia, que es justo lo que quieres de algo que piensas ejecutar miles de veces.

Además, funciona igual en todas partes porque no depende de la pila tecnológica del objetivo. Depende de que una persona siga instrucciones, y ese es el único componente presente en todos los entornos del mundo, con la misma versión y sin parche posible. El hecho de que elimine todos los artefactos que las defensas están diseñadas para detectar es una ventaja real, pero no es lo principal. Los atacantes no lo eligieron porque evada la detección; lo eligieron porque se repite, y la evasión vino gratis.

Vivir de la tierra: la misma idea, un paso más allá

El acceso inicial es solo el principio. El trabajo posterior, el que termina en datos robados o sistemas cifrados, sigue la misma lógica: un playbook que produce el mismo resultado dondequiera que se apunte. Solo que aquí las herramientas son las que ya están en la máquina. En lugar de traer su propio arsenal, usan lo que ya está instalado: motores de scripting, utilidades de administración remota, herramientas de archivo y binarios administrativos que vienen con el sistema operativo.

Eso explica el 84% de Bitdefender: esos binarios estaban involucrados en la gran mayoría de incidentes graves. La razón principal no es el sigilo, sino que son herramientas conocidas, presentes en todos los entornos e idénticas en todos ellos. Un operador que aprende la secuencia una vez puede ejecutarla en la siguiente víctima sin adaptación. No hay nada que portar, nada que dependa de la configuración del objetivo. Y el hecho de que sean difíciles de distinguir de la administración legítima es una ventaja considerable, pero no es por lo que se eligieron.

El comando y control sigue el mismo instinto, enrutado a través de servicios en la nube que la organización ya usa y permite. Cuando el atacante no introduce nada, no hay nada que encontrar. Es la parte más difícil para los defensores, y conviene ser honesto sobre por qué.

La economía cuadra con un negocio de volumen

Si el cibercrimen es realmente un negocio de volumen basado en procedimientos repetibles, el panorama financiero debería parecerse al de un negocio de volumen bajo presión. Y así es. Verizon reporta que el ransomware volvió a crecer, alcanzando el 48% de las brechas (frente al 44% del año anterior). Pero el dinero se movió en sentido contrario: el 69% de las víctimas no pagó, y el rescate mediano pagado cayó de 150.000 a 139.875 dólares. Bitdefender contó 704 organizaciones reclamadas como víctimas solo en junio de 2026.

Más víctimas, menos dinero. Eso es una caída de ingresos por intento, y la respuesta racional no es hacer cada intento más elaborado, sino más barato y más repetible, y ejecutar más intentos.

Aquí entra la aritmética de la IA. El enfoque de playbook cuesta casi nada por intento: el escaneo es barato, el exploit fue gratis y las herramientas ya estaban en la máquina de la víctima. Meter un modelo en ese bucle añade un coste real a cada intento, en un negocio que ha pasado años reduciendo ese coste a cero. Además, lo añade en el lugar equivocado. Esto es una operación de volumen dirigida a quien esté expuesto, no a un puñado de grandes organizaciones donde una inversión mayor por objetivo podría justificarse. Contra unas pocas víctimas de alto valor, pagar por inteligencia podría compensar. Contra una lista de miles de pequeñas empresas, no.

Por qué la autonomía es la forma equivocada

Esa es la objeción aritmética. La estructural es más profunda: un agente autónomo improvisa. Explora un entorno, encuentra un camino, y ese camino es particular de ese entorno. Ejecútalo contra la siguiente empresa y hará algo diferente. Eso es impresionante, pero es lo contrario de un playbook.

El ransomware opera con un modelo de afiliados. El sentido de una franquicia es que un procedimiento escrito una vez produzca el mismo resultado en manos inexpertas. La variabilidad es el enemigo de ese modelo: no puedes documentar a un improvisador, no puedes entrenar a un afiliado con él, y no puedes predecir qué hará en una víctima que no has visto. Una herramienta que resuelve cada problema de forma distinta no es un activo para un negocio cuya ventaja es hacer lo mismo cada vez.

Existe una versión racional de adopción de IA que probablemente ya está ocurriendo: usar un modelo fuera de línea para desarrollar el playbook —investigar una técnica, escribir las herramientas, afinar el señuelo— y luego ejecutar el procedimiento de forma determinista, como siempre se ha hecho. Esa es la IA como autora. Lo que no sigue el dinero es la IA como ejecutora, en vivo en cada víctima, improvisando su camino de entrada.

Lo mismo aplica a la idea de que la IA permitirá a los atacantes encontrar vulnerabilidades novedosas. Ya rehúsan invertir en eso, y por una razón: el procedimiento de dispositivos perimetrales funciona precisamente porque otro hace ese trabajo y lo publica gratis, con una cadencia predecible. Una capacidad que descubra vulnerabilidades originales resolvería un problema que este negocio no tiene ahora mismo, y tendría que ser más barata que esperar, lo cual es difícil cuando esperar no cuesta nada.

Nada de esto es permanente. Los atacantes adoptaron el ransomware como servicio y la doble extorsión en cuanto tuvieron sentido comercial, sin sentimentalismos, y adoptarán la autonomía en los mismos términos. Pero la señal a vigilar no es un anuncio de capacidades, sino el punto en que ejecutar un modelo contra una víctima sea más barato que ejecutar el playbook. Porque el coste es el único umbral al que este negocio ha respondido.

Lo que realmente ayuda

La consecuencia positiva de todo esto es que un ataque estandarizado es un problema de defensa estandarizado. No te enfrentas a una creatividad ilimitada, sino a cerrar un pequeño número de puertas de las que depende el playbook, y el playbook no puede permitirse rediseñarse para cada víctima.

Parchea con inteligencia. No puedes parchear todo rápido, y no tienes por qué. El filtro del atacante es público: con conexión a internet, ejecución remota de código, sin autenticación. Aplica ese mismo filtro a tu propio parque y tendrás tu lista. La ventana es el intervalo entre la publicación del aviso y el primer proof of concept en GitHub, a menudo solo unos días. Parchea dentro de esa ventana y el procedimiento descrito nunca llegará a ti.

Reduce lo que puede ejecutarse. El control de aplicaciones y las políticas de ejecución de scripts rompen la cadena de ClickFix en el punto donde un comando pegado se convierte en un proceso en ejecución.

Acota las herramientas integradas. La mayoría de los usuarios no necesitan legítimamente las utilidades de administración remota y scripting que aparecen en el 84%. No se pueden eliminar, pero decidir quién puede invocarlas es una decisión que puedes tomar.

Trata la identidad como el perímetro real. Las credenciales compartidas, las cuentas de servicio con privilegios excesivos y las claves que son administrativas en todas partes son lo que convierte una máquina comprometida en un incidente. Es el elemento menos moderno de esta lista, y el más decisivo.

Y mira los eventos en conjunto, no uno a uno.