Son las tres de la madrugada de un domingo. En la mayor\u00eda de las empresas no hay nadie delante de una pantalla. El responsable de IT duerme, la plantilla descansa y, en el mejor de los casos, un sistema automatizado emitir\u00e1 una alerta si detecta actividad extra\u00f1a. Esta escena, lejos de ser una mera an\u00e9cdota, describe el escenario preferido por los ciberdelincuentes modernos: las horas muertas del calendario laboral. Cada vez son m\u00e1s los ataques que se lanzan o se activan durante las noches, los fines de semana y los festivos, coincidiendo con la ausencia casi total de personal de seguridad vigilando la red. No se trata de una impresi\u00f3n subjetiva, sino de una tendencia documentada que obliga a las organizaciones a replantearse c\u00f3mo cubren esos huecos de vigilancia.<\/p>\n
La l\u00f3gica detr\u00e1s de esta estrategia es implacable y sencilla. Un atacante necesita tiempo para moverse dentro de una red despu\u00e9s de conseguir el primer acceso. Cuanto menos personal haya pendiente de los sistemas, mayor ser\u00e1 el margen de maniobra antes de que alguien se percate de que algo falla. La automatizaci\u00f3n de los ciberataques<\/strong> y el avance de la inteligencia artificial han llevado esta situaci\u00f3n a un nuevo nivel: la actividad maliciosa ya no necesita que una persona est\u00e9 despierta para continuar. Las herramientas maliciosas trabajan y avanzan mientras las posibles v\u00edctimas duermen.<\/p>\n El problema no es trivial, y afecta de forma desproporcionada a las peque\u00f1as y medianas empresas<\/strong>, que rara vez pueden permitirse un equipo de seguridad dedicado las 24 horas. Pero incluso las grandes corporaciones han sufrido incidentes devastadores lanzados en fines de semana, cuando la plantilla de IT estaba reducida al m\u00ednimo. El caso de Kaseya en julio de 2021 es un ejemplo paradigm\u00e1tico de c\u00f3mo un puente festivo puede convertirse en la coartada perfecta para un ataque de ransomware de alcance global.<\/p>\n Las autoridades de ciberseguridad estadounidenses llevan a\u00f1os registrando un aumento de los ataques de ransomware fuera del horario laboral<\/strong>, especialmente durante fines de semana y festivos. Una investigaci\u00f3n sobre v\u00edctimas de este tipo de ataque, encargada por el Gobierno brit\u00e1nico, document\u00f3 casos en los que los atacantes esperaron deliberadamente a la noche o al fin de semana para activar el cifrado de los sistemas. El objetivo es claro: aprovechar la ventana de tiempo en que hay menos personal de TI pendiente de los equipos para maximizar el da\u00f1o antes de que se detecte la intrusi\u00f3n.<\/p>\n Para entender la dimensi\u00f3n del problema basta con examinar qu\u00e9 ocurre en ese intervalo de horas sin supervisi\u00f3n. Un atacante que ha logrado colarse en la red puede avanzar hacia otros equipos, elevar privilegios, localizar informaci\u00f3n sensible, extraer datos y desplegar ransomware en sistemas cr\u00edticos<\/strong>. Todo eso, sin que nadie pulse un bot\u00f3n de alarma. La diferencia entre que una organizaci\u00f3n tenga una detecci\u00f3n temprana y una respuesta tard\u00eda puede medirse en la cantidad de sistemas comprometidos y en la magnitud del rescate exigido.<\/p>\n El caso Kaseya es ilustrativo por varias razones. En julio de 2021, el grupo de ransomware REvil aprovech\u00f3 una vulnerabilidad en el software de gesti\u00f3n remota VSA de Kaseya para distribuir ransomware a trav\u00e9s de los proveedores tecnol\u00f3gicos que utilizaban esa plataforma. El ataque se lanz\u00f3 coincidiendo con el inicio del fin de semana del 4 de julio en Estados Unidos, una fecha se\u00f1alada en el calendario festivo del pa\u00eds. El incidente afect\u00f3 a empresas de distintos pa\u00edses. En Suecia, la cadena de supermercados Coop se vio obligada a cerrar temporalmente cientos de establecimientos porque el ataque hab\u00eda inutilizado sus sistemas de caja.<\/p>\n Este ejemplo demuestra que la ciberseguridad no puede limitarse al horario comercial<\/strong>. Un incidente puede desencadenarse a las 3 de la ma\u00f1ana, durante un puente vacacional o en pleno periodo de cierre anual. La capacidad de una empresa para responder a cualquier hora forma parte de la ecuaci\u00f3n de protecci\u00f3n, aunque durante mucho tiempo se haya subestimado.<\/p>\n Un detalle clave en este escenario es que la automatizaci\u00f3n ha cambiado la naturaleza del juego. Durante mucho tiempo se pens\u00f3 en un ciberataque como una operaci\u00f3n dirigida por una persona en cada paso, tomando decisiones y ejecutando acciones. Esa imagen ya no se corresponde con la realidad actual. Hace a\u00f1os que existen herramientas capaces de recorrer Internet en busca de sistemas expuestos, escanear puertos, probar credenciales o localizar vulnerabilidades sin intervenci\u00f3n humana. La inteligencia artificial<\/strong> ha ampliado esas capacidades: ahora facilita el an\u00e1lisis de grandes vol\u00famenes de datos, acelera tareas de reconocimiento, genera o modifica c\u00f3digo y permite adaptar campa\u00f1as maliciosas a gran escala.<\/p>\n Este avance supone que la actividad maliciosa puede mantenerse durante las 24 horas del d\u00eda. La tecnolog\u00eda ofensiva no descansa ni se toma vacaciones, mientras que la supervisi\u00f3n humana de muchas organizaciones s\u00ed lo hace. Herv\u00e9 Lambert, Global Consumer Operation Manager de Panda Security<\/strong>, subraya esta asimetr\u00eda: \u201cDurante mucho tiempo hemos pensado en un ciberataque como una acci\u00f3n detr\u00e1s de la que hab\u00eda una persona tomando decisiones en cada momento. Cada vez sucede menos de esa manera. Hoy se pueden automatizar muchas de las tareas que forman parte de un ataque, desde buscar sistemas expuestos hasta probar credenciales o detectar vulnerabilidades. Eso significa que la actividad maliciosa puede continuar mientras nosotros dormimos, estamos de vacaciones o simplemente hemos terminado nuestra jornada laboral\u201d.<\/p>\n La diferencia entre el ritmo al que operan los atacantes y el ritmo al que responden las defensas se ha convertido en un factor estrat\u00e9gico determinante. Una organizaci\u00f3n puede disponer de antivirus, protecci\u00f3n de endpoints, copias de seguridad y sistemas de alerta avanzados, pero si nadie revisa esas alertas fuera de horario, el valor de la inversi\u00f3n se reduce dr\u00e1sticamente. Los atacantes lo saben, y por eso planifican sus operaciones en funci\u00f3n de los vac\u00edos de supervisi\u00f3n.<\/p>\n \u00bfPor qu\u00e9 un domingo a las 3 de la ma\u00f1ana? Porque es el momento en el que confluyen la ausencia de personal t\u00e9cnico, la desactivaci\u00f3n temporal de ciertos servicios y, con frecuencia, una menor actividad en los sistemas que puede enmascarar comportamientos an\u00f3malos. Para un atacante que ya ha establecido una presencia en la red, ese es el mejor momento para dar el paso final: activar el cifrado, exfiltrar informaci\u00f3n o interrumpir servicios cr\u00edticos.<\/p>\n La ventana de oportunidad no se limita a las noches. Los festivos prolongados<\/strong>\u2014como Navidad, Semana Santa o las vacaciones de verano\u2014 pueden reducir dr\u00e1sticamente la disponibilidad de los equipos de IT durante varios d\u00edas consecutivos. Y hay fechas especialmente sensibles para ciertos sectores. El Black Friday, por ejemplo, concentra una parte importante de la actividad comercial de muchas empresas, que dependen de sus sistemas tecnol\u00f3gicos para facturar, gestionar pedidos y atender clientes. Un ataque lanzado en esa jornada tiene un potencial de da\u00f1o econ\u00f3mico mucho mayor que si se produjera en un d\u00eda sin actividad comercial.<\/p>\n Para entender la gravedad de la situaci\u00f3n, conviene desglosar el proceso. Un ataque automatizado t\u00edpico durante horas no laborales sigue una secuencia que combina herramientas preconfiguradas con la capacidad de adaptarse a lo que encuentra:<\/p>\n Entre el primer paso y el \u00faltimo pueden pasar varias horas o incluso d\u00edas. Cuanto m\u00e1s tiempo transcurra sin que nadie revise las alertas, mayor ser\u00e1 el da\u00f1o. Un ataque lanzado un viernes por la noche puede tener todo el fin de semana para completarse antes de que el equipo de IT lo detecte el lunes por la ma\u00f1ana.<\/p>\n Para muchas pymes, la idea de montar un centro de operaciones de seguridad (SOC)<\/strong> propio que supervise los sistemas las 24 horas del d\u00eda es una quimera financiera y de personal. La alternativa realista pasa por los servicios gestionados de detecci\u00f3n y respuesta, que permiten contratar equipos especializados que supervisan los sistemas y analizan las alertas de forma continuada, sin necesidad de crear una estructura interna costosa.<\/p>\n Sin embargo, contratar un SOC externo no es garant\u00eda autom\u00e1tica de cobertura completa. Herv\u00e9 Lambert<\/strong> expresa una duda que deber\u00eda estar en la mente de cualquier responsable de seguridad: \u201cQue una herramienta funcione durante todo el d\u00eda no significa necesariamente que exista capacidad para responder durante todo ese tiempo. La empresa debe saber qui\u00e9n analiza una alerta cuando se produce, cu\u00e1nto tarda en hacerlo y qu\u00e9 medidas puede tomar si detecta un incidente\u201d. Esta distinci\u00f3n entre detecci\u00f3n continua y respuesta continua<\/strong> es esencial y a menudo se pasa por alto en la letra peque\u00f1a de los contratos. Tambi\u00e9n hay que revisar qu\u00e9 ocurre realmente en noches, festivos y periodos vacacionales: no todos los proveedores garantizan el mismo nivel de servicio durante una noche de Navidad que un martes a las 3 de la tarde.<\/p>\n Para una pyme, comprobar su cobertura puede empezar por unas preguntas sencillas y directas: \u00bfQu\u00e9 sistemas est\u00e1n monitorizados? \u00bfQui\u00e9n recibe las alertas fuera del horario laboral? \u00bfCu\u00e1nto tiempo tarda alguien en revisarlas? \u00bfQu\u00e9 puede hacer el proveedor si confirma una amenaza? Son cinco cuestiones que sirven para medir la eficacia real de la protecci\u00f3n, m\u00e1s all\u00e1 de los folletos comerciales.<\/p>\n En sectores como el comercio minorista o la log\u00edstica, la disponibilidad de los sistemas es la columna vertebral del negocio. Una cadena de tiendas que no puede cobrar en sus cajas porque un ransomware ha cifrado sus sistemas de punto de venta pierde ingresos de forma inmediata. La cadena de supermercados Coop en Suecia es un ejemplo de ello: tuvo que cerrar cientos de tiendas porque su infraestructura tecnol\u00f3gica qued\u00f3 inutilizada. En intervalos de tiempo prolongados, el impacto excede la p\u00e9rdida de ventas y alcanza la reputaci\u00f3n de marca, la confianza del cliente y la posible responsabilidad legal<\/strong> por la p\u00e9rdida de datos de terceros.<\/p>\n Por eso, la reflexi\u00f3n estrat\u00e9gica para cualquier empresa, independientemente de su tama\u00f1o, deber\u00eda centrarse en una pregunta muy concreta: si ocurre algo esta noche a las tres de la ma\u00f1ana, \u00bfqui\u00e9n se va a enterar y qu\u00e9 capacidad existir\u00e1 para actuar? La respuesta a esa pregunta define si la organizaci\u00f3n est\u00e1 realmente protegida frente a los ciberdelincuentes que ya no necesitan esperar despiertos para atacar.<\/p>\n La preocupaci\u00f3n por este tema genera una serie de preguntas habituales que merecen respuestas claras y directas.<\/p>\n Porque durante esas horas hay menos personal pendiente de los sistemas de seguridad. Esto reduce la probabilidad de detecci\u00f3n temprana y aumenta el tiempo disponible para que el atacante se mueva por la red, consiga sus objetivos y despliegue el ataque final antes de que alguien pueda reaccionar. Adem\u00e1s, la automatizaci\u00f3n de los ciberataques permite que la actividad maliciosa contin\u00fae sin necesidad de que el atacante est\u00e9 despierto o pendiente.<\/p>\n Predominan los ataques de ransomware, la exfiltraci\u00f3n de datos y las intrusiones que requieren moverse lateralmente por la red. Estos ataques se benefician especialmente de la falta de supervisi\u00f3n porque necesitan tiempo para completarse. Tambi\u00e9n son frecuentes los ataques a infraestructuras cr\u00edticas de empresas que tienen menor actividad durante los fines de semana.<\/p>\n La alternativa pasa por contratar servicios gestionados de seguridad que supervisen los sistemas de forma continua. Los proveedores de estos servicios reciben las alertas, las analizan y pueden responder ante una amenaza confirmada. Para ello, la empresa debe conocer exactamente qu\u00e9 cobertura se incluye: qui\u00e9n revisa las alertas fuera de horario, cu\u00e1nto tarda en hacerlo y qu\u00e9 medidas puede tomar.<\/p>\n No necesariamente m\u00e1s dif\u00edciles, pero s\u00ed m\u00e1s r\u00e1pidos y a mayor escala. La IA permite automatizar tareas de reconocimiento, adaptar el malware a las defensas que encuentra y ejecutar ataques con mayor eficiencia. Esto obliga a las defensas a ser igualmente r\u00e1pidas y adaptativas, lo que refuerza la necesidad de soluciones que operen durante todo el d\u00eda.<\/p>\n La realidad es que los ciberdelincuentes han incorporado la l\u00f3gica de la eficiencia operativa. Ya no necesitan esperar despiertos: sus herramientas trabajan por ellos mientras duermen o disfrutan de fines de semana libres. Las empresas que no adapten su estrategia de defensa a esta nueva realidad quedar\u00e1n expuestas a una brecha de vigilancia que es, en s\u00ed misma, una vulnerabilidad.<\/p>\n La ciberseguridad ya no consiste solo en tener buenos sistemas de protecci\u00f3n, sino en garantizar que la vigilancia y la capacidad de respuesta est\u00e1n operativas las 24 horas del d\u00eda, los 365 d\u00edas del a\u00f1o. La automatizaci\u00f3n que beneficia a los atacantes tambi\u00e9n puede ayudar a las defensas, pero la tecnolog\u00eda no sustituye la necesidad de procedimientos claros y personal disponible para actuar cuando suena una alerta.<\/p>\n Para las empresas que dependen de sus sistemas tecnol\u00f3gicos, la pregunta no es si ser\u00e1n atacadas en alg\u00fan momento, sino si estar\u00e1n preparadas cuando el ataque llegue un domingo a las tres de la madrugada. La respuesta a esa pregunta se construye antes, con la adopci\u00f3n de servicios de vigilancia continua, la definici\u00f3n de protocolos de respuesta fuera de horario y una comprensi\u00f3n honesta de las propias limitaciones. Los atacantes ya han hecho los deberes. Las empresas deber\u00edan hacer lo mismo.<\/p>\n","protected":false},"excerpt":{"rendered":" Son las tres de la madrugada de un domingo. En la mayor\u00eda de las empresas no hay nadie delante de una pantalla. El responsable de IT duerme, la plantilla descansa y, en el mejor de los casos, un sistema automatizado emitir\u00e1 una alerta si detecta actividad extra\u00f1a. Esta escena, lejos de ser una mera an\u00e9cdota, […]<\/p>\n","protected":false},"author":2,"featured_media":70390,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/70388.png","fifu_image_alt":"Los ciberdelincuentes atacan de noche y en fines de semana para evitar","footnotes":""},"categories":[5],"tags":[],"class_list":["post-70388","post","type-post","status-publish","format-standard","has-post-thumbnail","category-tecnologia"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/es\/70388.png","fifu_image_alt":"Los ciberdelincuentes atacan de noche y en fines de semana para evitar","_links":{"self":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70388","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/comments?post=70388"}],"version-history":[{"count":1,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70388\/revisions"}],"predecessor-version":[{"id":70391,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/posts\/70388\/revisions\/70391"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media\/70390"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/media?parent=70388"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/categories?post=70388"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/es\/wp-json\/wp\/v2\/tags?post=70388"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}El patr\u00f3n nocturno de los ataques de ransomware y su impacto<\/h2>\n
Automatizaci\u00f3n y supervisi\u00f3n humana: una brecha que se ampl\u00eda<\/h2>\n
La madrugada de un domingo: el escenario que ninguna empresa deber\u00eda ignorar<\/h3>\n
\u00bfC\u00f3mo funciona un ataque automatizado durante horas sin supervisi\u00f3n?<\/h2>\n
\n
La cobertura que ofrecen los SOC y sus l\u00edmites reales<\/h2>\n
El coste de descubrir la respuesta tarde<\/h3>\n
Respuestas para preguntas frecuentes sobre los ataques nocturnos<\/h2>\n
\u00bfPor qu\u00e9 los ciberdelincuentes eligen atacar de noche o en fines de semana?<\/h3>\n
\u00bfQu\u00e9 tipos de ataques se lanzan preferentemente fuera del horario laboral?<\/h3>\n
\u00bfC\u00f3mo puede proteger una pyme sus sistemas si no puede mantener un equipo 24\/7?<\/h3>\n
\u00bfLa inteligencia artificial ha hecho que estos ataques sean m\u00e1s dif\u00edciles de detectar?<\/h3>\n
Mirando hacia el futuro: la vigilancia como ventaja competitiva<\/h2>\n