¿Está su organización realmente a salvo o lleva meses conviviendo con un intruso en su red? La compañía de ciberseguridad ESET plantea una respuesta incómoda: toda organización vive en un estado cuántico de brecha. La expresión no pertenece a la ciencia ficción ni a un tratado de física, sino a un análisis que aplica al mundo digital el famoso experimento mental del gato de Schrödinger, formulado hace nueve décadas. Hasta que no se observa lo que ocurre en el interior de los sistemas, cualquier organización se encuentra simultáneamente comprometida y no comprometida. La incertidumbre no es un estado abstracto; es la realidad operativa de quienes carecen de visibilidad sobre sus propias redes.
De la física cuántica al centro de operaciones de seguridad
En 1935, el físico austríaco Erwin Schrödinger propuso un experimento mental para ilustrar la interpretación de la mecánica cuántica. Un gato permanece encerrado en una caja sellada junto a un dispositivo con una sustancia radiactiva. Si un átomo se desintegra, libera un veneno y el gato muere; si no ocurre, el gato sigue vivo. Como el evento es aleatorio y nadie lo observa, la teoría cuántica sostiene que el gato está, en cierto sentido, vivo y muerto a la vez. Solo al abrir la caja, el observador decanta el sistema hacia un resultado concreto.
La imagen del gato de Schrödinger se ha convertido en una metáfora cultural sobre la incertidumbre. En ciberseguridad, la incertidumbre es una constante incómoda. Un análisis de ESET UK utiliza esta analogía para describir la situación de las organizaciones que no cuentan con herramientas de detección y monitorización interna. ¿Hay un atacante dentro de la red? ¿Se ha exfiltrado información sensible? ¿Existen procesos maliciosos activos? Si nadie está mirando, no hay forma de saberlo.
La idea, como el propio análisis reconoce, ya había sido explorada por otros profesionales en artículos y debates dentro de la industria. Que no sea original no le resta valor; al contrario, confirma que se ha convertido en una forma útil de explicar una realidad que afecta a empresas de todos los tamaños. El estado cuántico de brecha no es una ocurrencia minoritaria, sino una tendencia conceptual con implicaciones estratégicas.
El estado cuántico de brecha: por qué ninguna organización puede dar por hecho que está a salvo
En términos operativos, el estado cuántico de brecha describe a una organización sin capacidades de threat hunting ni monitorización de comportamiento malicioso. En esa condición, la empresa es y no es víctima a la vez. Los equipos de seguridad pueden sospechar que algo va mal, pero sin visibilidad no pueden confirmar ni descartar la presencia de una amenaza.
¿Qué es el estado cuántico de brecha?
El estado cuántico de brecha es una analogía inspirada en el gato de Schrödinger según la cual una organización se encuentra simultáneamente comprometida y no comprometida hasta que se observa su estado real mediante herramientas de visibilidad, monitorización o servicios de respuesta gestionada. La incertidumbre solo se resuelve con la observación, tal como la suerte del gato solo se conoce al abrir la caja.
Esta perspectiva exige un cambio de mentalidad. Durante años, la ciberseguridad se ha basado en la prevención: construir muros cada vez más altos, instalar mejores antivirus, cerrar puertos. Pero la realidad actual demuestra que los muros caen y que los atacantes encuentran formas de entrar a través de credenciales robadas, ingeniería social o vulnerabilidades conocidas. Si se asume que toda organización vive en un estado previo a la brecha, la prioridad deja de ser solo prevenir para convertirse también en detectar y responder con rapidez.
El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) lo resume con una frase que se ha vuelto un lugar común en la industria: los ciberataques no son una cuestión de «si», sino de «cuándo». El estado cuántico de brecha añade un matiz aún más inquietante: quizás el ataque ya está ocurriendo, en este mismo momento, bajo el silencio de los sistemas.
Cuando la aleatoriedad no existe: ataques planificados al milímetro
El experimento original de Schrödinger dependía del azar. La desintegración de un átomo es un evento aleatorio, y en eso radicaba su fuerza filosófica. En ciberseguridad, sin embargo, la «detonación» de un ataque no suele ser aleatoria. Detrás de cada incidente grave hay una organización criminal que estudia a su víctima, planifica el acceso y elige el momento para maximizar el daño.
Un caso paradigmático es el de Scattered Spider, un grupo de ciberdelincuentes de habla inglesa señalado como responsable de la brecha en Marks & Spencer (M&S) en el Reino Unido. Según las investigaciones publicadas, el grupo se movió por los sistemas de la compañía durante semanas sin ser detectado, una técnica conocida como «living off the land», que consiste en utilizar herramientas y protocolos legítimos del sistema para pasar desapercibido. El ataque se desencadenó al inicio del fin de semana de Pascua, un momento elegido deliberadamente para paralizar la operación comercial en uno de sus picos de actividad.
El mismo grupo está vinculado al ataque contra Jaguar Land Rover (JLR), considerado el más costoso en la historia del Reino Unido. Las estimaciones hablan de más de 2.000 millones de libras esterlinas en pérdidas para la economía británica. El ataque se activó el 31 de agosto de 2025, en vísperas del «new plate day», el día de matriculación de nuevos vehículos, una de las fechas más importantes para la industria automovilística británica. Esa fecha no fue elegida al azar. Provocar una interrupción justo antes del día de mayor volumen de matriculaciones multiplica el impacto económico y operativo.
La planificación cuidadosa convierte la analogía cuántica en una herramienta imperfecta. La desintegración radiactiva del gato era imprevisible; los ataques de Scattered Spider, en cambio, respondieron a una lógica deliberada. Pero esa imprecisión refuerza el mensaje central: si la organización no observa lo que sucede en su interior, los atacantes pueden moverse, preparar su golpe y elegir el momento exacto para detonarlo, mientras la empresa sigue en una falsa sensación de normalidad.
241 días: el largo viaje desde la intrusión hasta la detección
Los casos de M&S y JLR no son excepciones aisladas. Las estadísticas globales dibujan un panorama sistemático. El informe Cost of a Data Breach Report 2025 de IBM establece que el tiempo medio global para identificar y contener una brecha, es decir, todo el ciclo de vida del incidente, es de 241 días. El tiempo medio para identificar una brecha es de 181 días.
Estas cifras significan que un atacante dispone, en promedio, de casi seis meses para operar dentro de una red antes de que la organización detecte su presencia. Durante esos meses, el intruso puede exfiltrar datos, mapear la infraestructura, abrir puertas traseras y preparar el golpe final. Cuanto más largo es el tiempo de permanencia, más graves son las consecuencias de la «detonación», que no es un estallido repentino, sino la culminación de un proceso prolongado de espionaje y preparación.
La estadística de IBM es una prueba empírica del estado cuántico de brecha. Durante 181 días, la organización comprometida es y no es víctima a la vez. Los equipos directivos pueden presentar resultados financieros, celebrar la ausencia de incidentes y dormir tranquilos, mientras en algún rincón de la red un atacante espera el momento oportuno. Solo cuando la brecha se detecta, la caja se abre y la realidad se impone.
De cerraduras más grandes a SOC completos: el espectro de soluciones
Si se acepta la premisa del estado cuántico de brecha, la siguiente pregunta es inevitable: ¿cómo se resuelve la paradoja? La respuesta más intuitiva es comprar una cerradura más grande, es decir, reforzar las defensas perimetrales con soluciones de seguridad tradicionales. Sin embargo, esta estrategia se queda corta frente a los métodos de ataque modernos.
La ingeniería social, el phishing y el robo de credenciales convierten cualquier cerradura en obsoleta. Los atacantes de Scattered Spider no necesitaron vulnerar complejos sistemas de defensa; les bastó con engañar a empleados o aprovechar credenciales legítimas. Cuando las llaves están en manos equivocadas o son entregadas voluntariamente, el tamaño de la cerradura deja de importar.
Ante este escenario, las soluciones avanzadas de detección y respuesta en endpoints (EDR) y su evolución hacia una visión más amplia (XDR) se vuelven indispensables. Estas herramientas permiten monitorizar el comportamiento de servidores, endpoints y aplicaciones, identificar anomalías y bloquear acciones maliciosas en tiempo real. Equivalen a abrir la caja de Schrödinger y observar el interior con instrumentos de precisión.
Ahora bien, desplegar EDR y XDR no es suficiente si no se cuenta con personal capacitado para operarlas. Muchas organizaciones descubren, al activar estas herramientas, que el volumen de telemetría, alertas y alarmas es tan abrumador que terminan desactivando gran parte de las funcionalidades para reducir el ruido. Esa decisión, comprensible desde el punto de vista operativo, crea una falsa sensación de seguridad. Se está observando, pero sin la capacidad de interpretar lo que se observa. Los atacantes, que conocen de sobra ese comportamiento, aprovechan el caos de alertas para esconderse tras el ruido.
La alternativa de construir un centro de operaciones de seguridad (SOC) propio tampoco está al alcance de todas las organizaciones. Montar un SOC implica contratar analistas cualificados, definir protocolos de escalado, integrar múltiples fuentes de datos y mantener una cobertura 24/7/365. El proceso puede llevar meses y costar cientos de miles de euros. La ampliamente documentada escasez de talento en ciberseguridad complica aún más la ecuación: no solo hay que tener dinero, sino encontrar personas capaces de operar las herramientas y gestionar incidentes.
La presión de las aseguradoras y el riesgo de una falsa sensación de seguridad
El mercado de ciberseguros ha añadido un nuevo nivel de presión. ESET ha documentado un número creciente de pólizas que exigen la implementación de soluciones EDR como condición para otorgar cobertura. La intención es razonable: las aseguradoras quieren reducir su exposición al riesgo y consideran que una organización sin herramientas de detección es una póliza demasiado peligrosa.
Sin embargo, la exigencia crea un dilema para los responsables de seguridad. Si la organización adopta un EDR pero no tiene operadores cualificados, la herramienta puede convertirse en un punto débil en lugar de una protección. Y si la póliza condiciona la cobertura a un uso correcto, que no se puede demostrar, el seguro podría no responder en el momento más crítico. La presión de las aseguradoras fuerza así una decisión apresurada: comprar tecnología sin construir la capacidad de utilizarla.
Esa situación es un caldo de cultivo para el estrés. Los equipos de ciberseguridad de todo el mundo trabajan con una presión constante, conscientes de que las herramientas que tienen entre manos son poderosas pero de que su organización no siempre cuenta con los recursos para dominarlas. El estado cuántico de brecha no se resuelve instalando software; se resuelve con observación efectiva, y la observación efectiva requiere tanto tecnología como recurso humano cualificado.
MDR: la tercera vía que resuelve la paradoja
Existe una tercera vía que evita la disyuntiva entre construir un SOC in-house o abandonarse a la improvisación. Los servicios de detección y respuesta gestionada, conocidos como MDR, ofrecen una solución intermedia: un proveedor externo, generalmente el propio fabricante de la tecnología de seguridad, opera las herramientas de forma remota, monitoriza la red, realiza threat hunting, detecta amenazas y responde ante incidentes.
ESET, por ejemplo, proporciona un servicio MDR con tiempos medios de detección (MTTD) inferiores a un minuto y tiempos medios de respuesta (MTTR) inferiores a seis minutos. Esas cifras contrastan de manera radical con los 181 días de detección media global que reporta IBM. La diferencia no es marginal; es una diferencia de órdenes de magnitud. Mientras que una organización sin capacidad de observación tarda meses en descubrir una brecha, un servicio gestionado puede detectar la intrusión en segundos y neutralizarla en cuestión de minutos.
Esta fórmula resuelve además el problema de la escasez de talento. No se trata de competir con las grandes tecnológicas por los pocos analistas de seguridad disponibles; se trata de acceder a un equipo de especialistas ya formados, que trabajan de forma coordinada y con procedimientos probados. El MDR democratiza la seguridad avanzada: está disponible para organizaciones de cualquier tamaño, desde una sola posición de trabajo hasta grandes corporaciones, a través de proveedores de servicios gestionados (MSP) y proveedores de seguridad gestionada (MSSP).
Desde el punto de vista estratégico, el MDR también ayuda a cumplir con los requisitos de las aseguradoras. Si la póliza exige EDR, el proveedor MDR aporta la cualificación y la operación continua que demuestran un uso efectivo de la herramienta. La cobertura del seguro deja de ser un papel con condiciones imposibles y se convierte en una protección real.
Verificación de la realidad: cinco preguntas que toda organización debería hacerse
Para llevar la reflexión al terreno práctico, ESET propone una lista de verificación que condensa las preocupaciones centrales del análisis. Toda organización, independientemente de su tamaño o sector, debería responder con honestidad a estas cinco preguntas:
- ¿Sabe realmente si ha sufrido una brecha? Sin visibilidad interna, la única respuesta honesta es «no lo sé». ¿Se ha observado el estado real de los sistemas?
- ¿Cuenta con las habilidades necesarias para realizar threat hunting y remediar incidentes? Si no es así, las herramientas de seguridad pueden volverse contraproducentes y generar ruido tras el cual los atacantes pueden esconderse.
- ¿Conoce sus propios tiempos de detección y respuesta (MTTD y MTTR)? Un proveedor MDR como ESET alcanza MTTD inferiores a un minuto y MTTR inferiores a seis minutos. ¿Cuál es el dato exacto de su organización?
- ¿Tiene el tiempo y el presupuesto para construir y mantener un SOC 24/7/365? Para la mayoría de las organizaciones, la respuesta es no.
- ¿Ha considerado un servicio MDR como alternativa para externalizar la monitorización, la detección y la respuesta?
Estas preguntas no buscan generar ansiedad, sino orientar decisiones. La primera pregunta obliga a reconocer la incertidumbre. La segunda interpela sobre las capacidades internas. La tercera introduce métricas concretas para evaluar la postura de seguridad. La cuarta y la quinta abren el abanico de soluciones más allá de la idea preconcebida de que la seguridad es un problema que debe resolverse únicamente con recursos internos.
Referencias
- «Schrödinger’s Cat in Cybersecurity: The Paradox of Uncertainty» – análisis que compara las vulnerabilidades con el destino del gato y subraya la necesidad de monitorización proactiva.
- «Schrödinger’s Breach» – trabajo que destaca el dwell time, o tiempo de permanencia, y la ilusión de seguridad hasta que se demuestra lo contrario.
- Cyber Strategy Institute – aplicación de la analogía para explicar la confianza y el riesgo como estados duales de tipo cuántico.
El estado cuántico de brecha no es una metáfora para el debate filosófico; es una descripción precisa de la condición en la que operan muchas organizaciones hoy en día. A diferencia del gato de Schrödinger, cuya suerte dependía de la física, la ciberseguridad permite intervenir en el resultado. Aceptar la incertidumbre como punto de partida, invertir en visibilidad y decidir entre construir una capacidad propia o contratar servicios gestionados es la única vía para decantar el estado hacia una seguridad verificable. La pregunta ya no es si la caja contiene una amenaza, sino si la organización está dispuesta a abrirla y observar antes de que sea demasiado tarde. La tecnología para hacerlo existe; la decisión de usarla es el verdadero desafío.
