La ventana de oportunidad para los defensores de redes se ha reducido drásticamente. El tiempo que transcurre entre que un atacante obtiene acceso inicial a un sistema y comienza a moverse lateralmente —lo que los expertos denominan breakout time— se ha desplomado a una media de 30 minutos. Esta cifra representa una aceleración del 29% respecto al año anterior, y en algunos casos documentados, el movimiento lateral se completa en menos de un minuto desde la intrusión inicial. Para los equipos de seguridad acostumbrados a trabajar en un horizonte de horas, este cambio de ritmo exige una transformación profunda en su estrategia de defensa.
La nueva realidad del breakout time: 30 minutos y cayendo
El breakout time no es una métrica académica. Es el indicador más claro de la capacidad de un adversario para convertir una intrusión menor en un incidente de gran escala. Cuando un atacante logra desplazarse lateralmente dentro de una red, el control del entorno pasa de manos del defensor al agresor. Según datos recientes, el tiempo medio para ejecutar ese movimiento se sitúa hoy en torno a los 30 minutos. La cifra es aún más alarmante si se considera que el caso más rápido registrado el año pasado fue de solo seis minutos para la exfiltración de datos, un proceso que en 2024 requería cuatro horas y 29 minutos de media.
¿Qué está impulsando esta aceleración? La respuesta es contundente: la inteligencia artificial y la automatización. Los grupos de ransomware como servicio (RaaS) han integrado estas capacidades como parte de su oferta. Un informe reciente señala que el 80% de estos grupos ya incluyen IA o automatización entre sus funcionalidades. Paralelamente, existe un mercado activo de herramientas diseñadas específicamente para evadir soluciones de seguridad, como los denominados EDR killers. El resultado es un aumento significativo tanto en el número de brechas de datos como en los costes asociados.
Las tácticas que están comprimiendo los tiempos de reacción
Los actores de amenazas no están inventando técnicas radicalmente nuevas. Lo que hacen es potenciar sus tácticas, técnicas y procedimientos (TTP) clásicos con IA y automatización. El efecto neto es una compresión del tiempo de ataque que deja a los defensores tradicionales rezagados. Estas son las seis vías principales por las que los adversarios están logrando reducir el breakout time:
- Credenciales comprometidas con mayor eficacia: Los atacantes han perfeccionado el robo, el descifrado y la suplantación de credenciales legítimas. Contraseñas débiles, reutilizadas o rotadas con poca frecuencia facilitan los ataques de fuerza bruta. La ausencia de autenticación multifactor (MFA) es otro factor crítico. Además, han mejorado sus ataques de vishing para restablecer contraseñas, ya sea suplantando al servicio de asistencia técnica o llamando a ese servicio haciéndose pasar por empleados. Con credenciales legítimas, pueden actuar como usuarios autorizados sin levantar alarmas.
- Explotación de vulnerabilidades de día cero en dispositivos perimetrales: El uso de exploits para vulnerabilidades desconocidas en dispositivos como Ivanti EPMM permite a los atacantes ganar una primera posición en la red sin ser detectados por las herramientas de seguridad internas. Estos dispositivos de borde suelen ser puntos ciegos en la monitorización.
- Reconocimiento potenciado por IA: Las técnicas de código abierto combinadas con inteligencia artificial permiten a los adversarios rastrear la web en busca de información pública sobre objetivos de alto valor, especialmente aquellos con credenciales privilegiadas. Recopilan datos sobre la estructura organizativa, los procesos internos y el entorno tecnológico para diseñar ataques más precisos y crear guiones de ingeniería social a medida.
- Automatización de la post-explotación: Mediante scripts impulsados por IA, los atacantes automatizan la recolección de credenciales, el movimiento lateral utilizando herramientas legítimas del sistema (living off the land, LOTL) e incluso la generación de malware personalizado en tiempo real.
- Explotación de los silos entre equipos y soluciones puntuales: Los equipos de seguridad suelen operar de forma fragmentada, con soluciones independientes para endpoints, red y nube. Una actividad que parece legítima para un equipo puede resultar sospechosa para otro, pero sin una visibilidad holística, los casos límite no se investigan. En muchos casos, los atacantes toman medidas deliberadas para desactivar o evadir las soluciones EDR.
- Técnicas de living off the land (LOTL): El uso de credenciales válidas y herramientas de acceso remoto legítimas, como SMB y RDP, permite a los atacantes mezclarse con la actividad normal de la red. Al no ejecutar código malicioso que pueda ser detectado por firmas, permanecen invisibles para muchos sistemas de seguridad tradicionales.
Defensa con IA: la respuesta necesaria ante ataques que se miden en minutos
Si los atacantes pueden acceder a la red con privilegios elevados, permanecer ocultos en endpoints no monitorizados y moverse lateralmente sin activar alarmas, la respuesta humana tradicional es demasiado lenta. La única manera de recuperar la iniciativa es combatir el fuego con fuego: inteligencia artificial aplicada a la detección y respuesta.
Las soluciones de detección y respuesta extendida (XDR) y detección y respuesta gestionada (MDR) basadas en IA ofrecen la capacidad de marcar automáticamente comportamientos sospechosos, utilizando datos contextuales para mejorar la fidelidad de las alertas y ejecutar acciones de remediación sin intervención humana. Las plataformas avanzadas pueden incluso agrupar alertas relacionadas y generar respuestas automatizadas, liberando a los equipos de los centros de operaciones de seguridad (SOC) para que se concentren en tareas de alto valor, como la caza de amenazas (threat hunting).
Un proveedor unificado que tenga visibilidad sobre endpoints, redes, nube y otros planos puede iluminar esos puntos ciegos que existen entre las soluciones puntuales. Esta visibilidad integral permite trazar rutas de ataque potenciales que de otro modo pasarían desapercibidas. Es fundamental que estas herramientas tengan también visibilidad sobre los dispositivos perimetrales y se integren sin problemas con las plataformas de gestión de eventos e información de seguridad (SIEM) y orquestación y respuesta de seguridad (SOAR).
¿Qué es exactamente el breakout time y por qué es crítico para la ciberseguridad?
El breakout time, o tiempo de irrupción lateral, es el intervalo que transcurre desde que un atacante obtiene acceso inicial a un sistema hasta que comienza a moverse lateralmente hacia otros recursos dentro de la red. Es crítico porque representa la última oportunidad para los defensores de contener una intrusión antes de que se convierta en un incidente mayor. Cuando este tiempo se reduce a minutos, las respuestas manuales y los procesos de escalado tradicionales resultan insuficientes, haciendo necesaria la automatización y la inteligencia artificial para la detección y contención inmediatas.
Recuperar la iniciativa: medidas prácticas más allá de la tecnología
La tecnología por sí sola no es suficiente. Para acelerar los tiempos de respuesta y reducir el breakout time, las organizaciones deben implementar un conjunto de medidas complementarias que refuercen su postura defensiva desde múltiples ángulos:
- Monitorización y conciencia continua en todos los entornos: endpoints, red y nube. La visibilidad permanente es el requisito previo para cualquier detección temprana.
- Automatización de pasos de respuesta como la terminación de sesiones, el restablecimiento de contraseñas o el aislamiento de equipos. Cuando es posible, el análisis automatizado combinado con evaluación humana permite investigar alertas y contener amenazas con rapidez.
- Políticas de mínimo privilegio y microsegmentación, pilares del modelo Zero Trust. Estas prácticas garantizan controles de acceso estrictos y minimizan el radio de explosión de un ataque. Si un atacante compromete un sistema, no debería tener acceso automático al resto de la red.
- Seguridad centrada en la identidad mejorada, basada en credenciales fuertes y únicas gestionadas a través de un gestor de contraseñas, respaldadas por MFA resistente al phishing. Las contraseñas reutilizadas y las políticas de rotación infrecuente son una puerta abierta para los atacantes.
- Procesos anti-vishing actualizados en el servicio de asistencia técnica, incluyendo devoluciones de llamada fuera de banda (out-of-band callbacks) y programas efectivos de concienciación en seguridad para empleados.
- Protección contra fuerza bruta que bloquee los ataques automatizados de adivinación de contraseñas en el punto de entrada.
- Monitorización continua de redes sociales y dark web para detectar información de empleados o de la empresa que pueda ser utilizada como munición en ataques dirigidos.
- Monitorización de scripts y procesos a medida que se «decloakan» en memoria, para detectar y bloquear comportamientos LOTL que de otro modo pasarían desapercibidos.
- Ejecución en sandbox en la nube de archivos sospechosos para mitigar las amenazas de exploits de día cero.
La inteligencia de amenazas y la caza proactiva como ventaja estratégica
Mantener el ritmo frente a adversarios potenciados por IA requiere más que herramientas reactivas. La inteligencia de amenazas (threat intelligence) y la caza de amenazas (threat hunting) se convierten en capacidades estratégicas. Un enfoque que combine ambas permite a los equipos centrarse en lo que realmente importa: cómo los atacantes están apuntando a su organización específica y hacia dónde podrían moverse a continuación.
La inteligencia de amenazas proporciona contexto sobre las TTP actuales, los indicadores de compromiso (IOC) y los actores que operan en el panorama. La caza de amenazas, por su parte, busca de forma proactiva signos de compromiso que las herramientas automatizadas podrían haber pasado por alto. Juntas, permiten anticiparse al movimiento del adversario en lugar de limitarse a reaccionar. Es posible que en el futuro los agentes de IA puedan asumir de forma autónoma más de estas tareas para acelerar aún más los tiempos de respuesta.
Una afirmación clave sobre la velocidad del ataque moderno
El tiempo medio de irrupción lateral se ha reducido a 30 minutos, un 29% más rápido que el año anterior, y en algunos ataques documentados el movimiento lateral se completa en menos de 60 segundos desde el acceso inicial, lo que convierte a la automatización defensiva en un requisito indispensable para cualquier organización que pretenda contener una intrusión antes de que se convierta en una brecha generalizada.
La carrera armamentista no tiene fin, pero hay margen para recuperar terreno
Ninguna de las medidas descritas por sí sola es una bala de plata. Pero cuando se combinan en capas y se apoyan en soluciones MDR o XDR potenciadas por IA de un proveedor de confianza, los defensores pueden recuperar la iniciativa. Estamos ante una carrera armamentista que, fundamentalmente, no tiene un final a la vista. Los atacantes seguirán utilizando IA para supercargar sus TTP; los defensores deberán hacer lo mismo para contenerlos.
La buena noticia es que la tecnología defensiva está madurando al mismo ritmo. Las organizaciones que adopten un enfoque basado en visibilidad unificada, automatización inteligente y principios Zero Trust no solo podrán igualar la velocidad del adversario, sino que, en muchos casos, podrán anticiparse. La ventana de 30 minutos puede ser estrecha, pero con las herramientas y procesos adecuados, sigue siendo suficiente para marcar la diferencia entre un incidente contenido y una brecha catastrófica.
