Son las tres de la madrugada de un domingo. En la mayoría de las empresas no hay nadie delante de una pantalla. El responsable de IT duerme, la plantilla descansa y, en el mejor de los casos, un sistema automatizado emitirá una alerta si detecta actividad extraña. Esta escena, lejos de ser una mera anécdota, describe el escenario preferido por los ciberdelincuentes modernos: las horas muertas del calendario laboral. Cada vez son más los ataques que se lanzan o se activan durante las noches, los fines de semana y los festivos, coincidiendo con la ausencia casi total de personal de seguridad vigilando la red. No se trata de una impresión subjetiva, sino de una tendencia documentada que obliga a las organizaciones a replantearse cómo cubren esos huecos de vigilancia.
La lógica detrás de esta estrategia es implacable y sencilla. Un atacante necesita tiempo para moverse dentro de una red después de conseguir el primer acceso. Cuanto menos personal haya pendiente de los sistemas, mayor será el margen de maniobra antes de que alguien se percate de que algo falla. La automatización de los ciberataques y el avance de la inteligencia artificial han llevado esta situación a un nuevo nivel: la actividad maliciosa ya no necesita que una persona esté despierta para continuar. Las herramientas maliciosas trabajan y avanzan mientras las posibles víctimas duermen.
El problema no es trivial, y afecta de forma desproporcionada a las pequeñas y medianas empresas, que rara vez pueden permitirse un equipo de seguridad dedicado las 24 horas. Pero incluso las grandes corporaciones han sufrido incidentes devastadores lanzados en fines de semana, cuando la plantilla de IT estaba reducida al mínimo. El caso de Kaseya en julio de 2021 es un ejemplo paradigmático de cómo un puente festivo puede convertirse en la coartada perfecta para un ataque de ransomware de alcance global.
El patrón nocturno de los ataques de ransomware y su impacto
Las autoridades de ciberseguridad estadounidenses llevan años registrando un aumento de los ataques de ransomware fuera del horario laboral, especialmente durante fines de semana y festivos. Una investigación sobre víctimas de este tipo de ataque, encargada por el Gobierno británico, documentó casos en los que los atacantes esperaron deliberadamente a la noche o al fin de semana para activar el cifrado de los sistemas. El objetivo es claro: aprovechar la ventana de tiempo en que hay menos personal de TI pendiente de los equipos para maximizar el daño antes de que se detecte la intrusión.
Para entender la dimensión del problema basta con examinar qué ocurre en ese intervalo de horas sin supervisión. Un atacante que ha logrado colarse en la red puede avanzar hacia otros equipos, elevar privilegios, localizar información sensible, extraer datos y desplegar ransomware en sistemas críticos. Todo eso, sin que nadie pulse un botón de alarma. La diferencia entre que una organización tenga una detección temprana y una respuesta tardía puede medirse en la cantidad de sistemas comprometidos y en la magnitud del rescate exigido.
El caso Kaseya es ilustrativo por varias razones. En julio de 2021, el grupo de ransomware REvil aprovechó una vulnerabilidad en el software de gestión remota VSA de Kaseya para distribuir ransomware a través de los proveedores tecnológicos que utilizaban esa plataforma. El ataque se lanzó coincidiendo con el inicio del fin de semana del 4 de julio en Estados Unidos, una fecha señalada en el calendario festivo del país. El incidente afectó a empresas de distintos países. En Suecia, la cadena de supermercados Coop se vio obligada a cerrar temporalmente cientos de establecimientos porque el ataque había inutilizado sus sistemas de caja.
Este ejemplo demuestra que la ciberseguridad no puede limitarse al horario comercial. Un incidente puede desencadenarse a las 3 de la mañana, durante un puente vacacional o en pleno periodo de cierre anual. La capacidad de una empresa para responder a cualquier hora forma parte de la ecuación de protección, aunque durante mucho tiempo se haya subestimado.
Automatización y supervisión humana: una brecha que se amplía
Un detalle clave en este escenario es que la automatización ha cambiado la naturaleza del juego. Durante mucho tiempo se pensó en un ciberataque como una operación dirigida por una persona en cada paso, tomando decisiones y ejecutando acciones. Esa imagen ya no se corresponde con la realidad actual. Hace años que existen herramientas capaces de recorrer Internet en busca de sistemas expuestos, escanear puertos, probar credenciales o localizar vulnerabilidades sin intervención humana. La inteligencia artificial ha ampliado esas capacidades: ahora facilita el análisis de grandes volúmenes de datos, acelera tareas de reconocimiento, genera o modifica código y permite adaptar campañas maliciosas a gran escala.
Este avance supone que la actividad maliciosa puede mantenerse durante las 24 horas del día. La tecnología ofensiva no descansa ni se toma vacaciones, mientras que la supervisión humana de muchas organizaciones sí lo hace. Hervé Lambert, Global Consumer Operation Manager de Panda Security, subraya esta asimetría: “Durante mucho tiempo hemos pensado en un ciberataque como una acción detrás de la que había una persona tomando decisiones en cada momento. Cada vez sucede menos de esa manera. Hoy se pueden automatizar muchas de las tareas que forman parte de un ataque, desde buscar sistemas expuestos hasta probar credenciales o detectar vulnerabilidades. Eso significa que la actividad maliciosa puede continuar mientras nosotros dormimos, estamos de vacaciones o simplemente hemos terminado nuestra jornada laboral”.
La diferencia entre el ritmo al que operan los atacantes y el ritmo al que responden las defensas se ha convertido en un factor estratégico determinante. Una organización puede disponer de antivirus, protección de endpoints, copias de seguridad y sistemas de alerta avanzados, pero si nadie revisa esas alertas fuera de horario, el valor de la inversión se reduce drásticamente. Los atacantes lo saben, y por eso planifican sus operaciones en función de los vacíos de supervisión.
La madrugada de un domingo: el escenario que ninguna empresa debería ignorar
¿Por qué un domingo a las 3 de la mañana? Porque es el momento en el que confluyen la ausencia de personal técnico, la desactivación temporal de ciertos servicios y, con frecuencia, una menor actividad en los sistemas que puede enmascarar comportamientos anómalos. Para un atacante que ya ha establecido una presencia en la red, ese es el mejor momento para dar el paso final: activar el cifrado, exfiltrar información o interrumpir servicios críticos.
La ventana de oportunidad no se limita a las noches. Los festivos prolongados—como Navidad, Semana Santa o las vacaciones de verano— pueden reducir drásticamente la disponibilidad de los equipos de IT durante varios días consecutivos. Y hay fechas especialmente sensibles para ciertos sectores. El Black Friday, por ejemplo, concentra una parte importante de la actividad comercial de muchas empresas, que dependen de sus sistemas tecnológicos para facturar, gestionar pedidos y atender clientes. Un ataque lanzado en esa jornada tiene un potencial de daño económico mucho mayor que si se produjera en un día sin actividad comercial.
¿Cómo funciona un ataque automatizado durante horas sin supervisión?
Para entender la gravedad de la situación, conviene desglosar el proceso. Un ataque automatizado típico durante horas no laborales sigue una secuencia que combina herramientas preconfiguradas con la capacidad de adaptarse a lo que encuentra:
- Reconocimiento inicial: el atacante escanea internet en busca de sistemas expuestos, puertos abiertos o servicios mal configurados. Este proceso puede durar horas y nadie lo nota porque es ruido de fondo para la mayoría de las organizaciones.
- Acceso inicial: una vez identificada una vulnerabilidad, se explota para conseguir una primera entrada en la red, a menudo mediante credenciales legítimas robadas o phishing dirigido.
- Movimiento lateral: el atacante se desplaza por la red, buscando otros equipos, datos sensibles y sistemas con privilegios elevados. Cada paso puede automatizarse con scripts que imitan acciones de administradores legítimos.
- Exfiltración de datos: antes de activar el ransomware o alterar sistemas, los datos valiosos se extraen de la infraestructura para ser usados como moneda de presión o para su venta.
- Activación del cifrado: finalmente se despliega el ransomware, que cifra los archivos y bloquea el acceso a los sistemas críticos.
Entre el primer paso y el último pueden pasar varias horas o incluso días. Cuanto más tiempo transcurra sin que nadie revise las alertas, mayor será el daño. Un ataque lanzado un viernes por la noche puede tener todo el fin de semana para completarse antes de que el equipo de IT lo detecte el lunes por la mañana.
La cobertura que ofrecen los SOC y sus límites reales
Para muchas pymes, la idea de montar un centro de operaciones de seguridad (SOC) propio que supervise los sistemas las 24 horas del día es una quimera financiera y de personal. La alternativa realista pasa por los servicios gestionados de detección y respuesta, que permiten contratar equipos especializados que supervisan los sistemas y analizan las alertas de forma continuada, sin necesidad de crear una estructura interna costosa.
Sin embargo, contratar un SOC externo no es garantía automática de cobertura completa. Hervé Lambert expresa una duda que debería estar en la mente de cualquier responsable de seguridad: “Que una herramienta funcione durante todo el día no significa necesariamente que exista capacidad para responder durante todo ese tiempo. La empresa debe saber quién analiza una alerta cuando se produce, cuánto tarda en hacerlo y qué medidas puede tomar si detecta un incidente”. Esta distinción entre detección continua y respuesta continua es esencial y a menudo se pasa por alto en la letra pequeña de los contratos. También hay que revisar qué ocurre realmente en noches, festivos y periodos vacacionales: no todos los proveedores garantizan el mismo nivel de servicio durante una noche de Navidad que un martes a las 3 de la tarde.
Para una pyme, comprobar su cobertura puede empezar por unas preguntas sencillas y directas: ¿Qué sistemas están monitorizados? ¿Quién recibe las alertas fuera del horario laboral? ¿Cuánto tiempo tarda alguien en revisarlas? ¿Qué puede hacer el proveedor si confirma una amenaza? Son cinco cuestiones que sirven para medir la eficacia real de la protección, más allá de los folletos comerciales.
El coste de descubrir la respuesta tarde
En sectores como el comercio minorista o la logística, la disponibilidad de los sistemas es la columna vertebral del negocio. Una cadena de tiendas que no puede cobrar en sus cajas porque un ransomware ha cifrado sus sistemas de punto de venta pierde ingresos de forma inmediata. La cadena de supermercados Coop en Suecia es un ejemplo de ello: tuvo que cerrar cientos de tiendas porque su infraestructura tecnológica quedó inutilizada. En intervalos de tiempo prolongados, el impacto excede la pérdida de ventas y alcanza la reputación de marca, la confianza del cliente y la posible responsabilidad legal por la pérdida de datos de terceros.
Por eso, la reflexión estratégica para cualquier empresa, independientemente de su tamaño, debería centrarse en una pregunta muy concreta: si ocurre algo esta noche a las tres de la mañana, ¿quién se va a enterar y qué capacidad existirá para actuar? La respuesta a esa pregunta define si la organización está realmente protegida frente a los ciberdelincuentes que ya no necesitan esperar despiertos para atacar.
Respuestas para preguntas frecuentes sobre los ataques nocturnos
La preocupación por este tema genera una serie de preguntas habituales que merecen respuestas claras y directas.
¿Por qué los ciberdelincuentes eligen atacar de noche o en fines de semana?
Porque durante esas horas hay menos personal pendiente de los sistemas de seguridad. Esto reduce la probabilidad de detección temprana y aumenta el tiempo disponible para que el atacante se mueva por la red, consiga sus objetivos y despliegue el ataque final antes de que alguien pueda reaccionar. Además, la automatización de los ciberataques permite que la actividad maliciosa continúe sin necesidad de que el atacante esté despierto o pendiente.
¿Qué tipos de ataques se lanzan preferentemente fuera del horario laboral?
Predominan los ataques de ransomware, la exfiltración de datos y las intrusiones que requieren moverse lateralmente por la red. Estos ataques se benefician especialmente de la falta de supervisión porque necesitan tiempo para completarse. También son frecuentes los ataques a infraestructuras críticas de empresas que tienen menor actividad durante los fines de semana.
¿Cómo puede proteger una pyme sus sistemas si no puede mantener un equipo 24/7?
La alternativa pasa por contratar servicios gestionados de seguridad que supervisen los sistemas de forma continua. Los proveedores de estos servicios reciben las alertas, las analizan y pueden responder ante una amenaza confirmada. Para ello, la empresa debe conocer exactamente qué cobertura se incluye: quién revisa las alertas fuera de horario, cuánto tarda en hacerlo y qué medidas puede tomar.
¿La inteligencia artificial ha hecho que estos ataques sean más difíciles de detectar?
No necesariamente más difíciles, pero sí más rápidos y a mayor escala. La IA permite automatizar tareas de reconocimiento, adaptar el malware a las defensas que encuentra y ejecutar ataques con mayor eficiencia. Esto obliga a las defensas a ser igualmente rápidas y adaptativas, lo que refuerza la necesidad de soluciones que operen durante todo el día.
Mirando hacia el futuro: la vigilancia como ventaja competitiva
La realidad es que los ciberdelincuentes han incorporado la lógica de la eficiencia operativa. Ya no necesitan esperar despiertos: sus herramientas trabajan por ellos mientras duermen o disfrutan de fines de semana libres. Las empresas que no adapten su estrategia de defensa a esta nueva realidad quedarán expuestas a una brecha de vigilancia que es, en sí misma, una vulnerabilidad.
La ciberseguridad ya no consiste solo en tener buenos sistemas de protección, sino en garantizar que la vigilancia y la capacidad de respuesta están operativas las 24 horas del día, los 365 días del año. La automatización que beneficia a los atacantes también puede ayudar a las defensas, pero la tecnología no sustituye la necesidad de procedimientos claros y personal disponible para actuar cuando suena una alerta.
Para las empresas que dependen de sus sistemas tecnológicos, la pregunta no es si serán atacadas en algún momento, sino si estarán preparadas cuando el ataque llegue un domingo a las tres de la madrugada. La respuesta a esa pregunta se construye antes, con la adopción de servicios de vigilancia continua, la definición de protocolos de respuesta fuera de horario y una comprensión honesta de las propias limitaciones. Los atacantes ya han hecho los deberes. Las empresas deberían hacer lo mismo.
