Imagina por unos minutos que estás del otro lado.
Tu objetivo es obtener acceso a la infraestructura de una organización. Todavía no tienes credenciales, no conoces la red interna, no sabes qué herramientas de seguridad utiliza y, probablemente, nunca has tenido contacto con ninguna persona de esa empresa.
¿Por dónde empezar?
La respuesta puede ser más sencilla de lo que parece: por Internet.
Antes de intentar vulnerar algo, un atacante necesita descubrir qué existe. Y es precisamente ahí donde comienzan muchos ataques.
Antes del ataque, viene el descubrimiento
El primer paso no necesariamente implica malware, phishing o alguna técnica particularmente sofisticada. El atacante comienza buscando información sobre la organización y su infraestructura expuesta:
- Dominios y subdominios.
- Direcciones IP.
- Aplicaciones Web y APIs.
- Portales de acceso remoto.
- Servicios expuestos.
- Infraestructura cloud.
- Tecnologías y versiones de software utilizadas.
Gran parte de esta información puede estar disponible públicamente.
El propio MITRE ATT&CK define esta etapa como Reconnaissance (TA0043): el adversario recopila información que puede utilizar para planificar futuras operaciones.[1]
Entre las técnicas documentadas por MITRE se encuentran Active Scanning (T1595), Gather Victim Network Information (T1590) y Search Open Technical Databases (T1596). Bases públicas de DNS, certificados digitales y resultados de escaneos de Internet pueden revelar direcciones IP, hostnames, puertos abiertos, tecnologías y otros elementos útiles para un atacante.[2][3][4]
En otras palabras, el atacante comienza construyendo un mapa de la superficie de ataque de la organización — identificando dominios, sistemas, servicios, tecnologías y otros activos que pueden ser descubiertos y analizados desde Internet.
Pensemos como un atacante
Imagina que durante este reconocimiento aparecen decenas o cientos de activos relacionados con la organización. La mayoría quizás no sea particularmente interesante, pero algunos elementos pueden llamar rápidamente la atención:
- Un subdominio apunta a una aplicación antigua.
- Una dirección IP tiene un puerto de administración accesible desde Internet.
- Un portal VPN está expuesto.
- Una aplicación utiliza una versión de software conocida por contener vulnerabilidades.
- Una API que debería tener acceso restringido responde públicamente.
- Un servidor antiguo, creado años atrás para algún proyecto, continúa online.
- Un storage cloud está configurado incorrectamente.
- Un panel administrativo o entorno de testing que nadie del equipo de seguridad recordaba que estaba publicado continúa accesible.
Para quienes defienden la organización, existen decenas o cientos de activos que administrar. Para quien ataca, basta con encontrar un camino viable.
El atacante no necesita conocer toda tu infraestructura
Este es un punto importante.
El objetivo inicial del atacante no es comprender perfectamente todo el entorno tecnológico de la organización. Es encontrar una oportunidad.
Por eso, durante el reconocimiento, algunos elementos naturalmente adquieren prioridad:
- Vulnerabilidades conocidas en sistemas expuestos: Principalmente cuando existe un exploit disponible.
- Servicios sensibles accesibles desde Internet: Como VPN, RDP, SSH, interfaces administrativas o herramientas de gestión.
- Sistemas legacy: Que pueden permanecer publicados incluso cuando ya no reciben el mismo nivel de mantenimiento o actualización.
- Aplicaciones, APIs e infraestructura cloud mal configuradas: Especialmente cuando permiten acceso indebido a datos, interfaces o recursos.
- Activos olvidados o desconocidos: Muchas veces fuera de los procesos regulares de inventario, actualización y gestión de vulnerabilidades.
Es en este punto donde el reconocimiento y el acceso inicial comienzan a acercarse.
Del descubrimiento al intento de acceso
Supongamos que nuestro atacante encuentra una aplicación accesible públicamente que ejecuta una versión vulnerable. Ahora puede investigar la tecnología, identificar la vulnerabilidad y verificar si existe una forma conocida de explotación.
En MITRE ATT&CK, este comportamiento aparece claramente en Exploit Public-Facing Application (T1190).
La técnica contempla la explotación de debilidades en sistemas accesibles desde Internet — desde aplicaciones y servidores Web hasta bases de datos, servicios, dispositivos de red e infraestructura de edge. MITRE también destaca que la explotación de aplicaciones alojadas en cloud o containers puede abrir caminos adicionales hacia otros componentes del entorno.[5]
Otro camino es utilizar External Remote Services (T1133). VPNs, Citrix y otros mecanismos de acceso remoto pueden servir como punto de entrada. MITRE también contempla situaciones que involucran servicios expuestos sin autenticación y cita, en entornos de containers, ejemplos como Docker API, Kubernetes API Server y kubelet.[6]
Esto ayuda a desmontar una percepción común: un ataque cibernético no siempre comienza con alguien haciendo clic en un enlace malicioso. A veces, comienza simplemente porque algo que no debería estar expuesto está accesible desde Internet.
¿Esto sucede en la práctica?
Los datos recientes ayudan a dimensionar el problema.
El M-Trends 2026 de Mandiant, basado en más de 500.000 horas de investigaciones de incidentes realizadas globalmente en 2025, señala que la explotación de vulnerabilidades fue el vector inicial más observado por sexto año consecutivo, representando el 32% de las intrusiones investigadas.[7]
IBM X-Force, en su Threat Intelligence Index 2026, identificó un aumento del 44% respecto del año anterior en la explotación de aplicaciones accesibles públicamente como vector de acceso inicial. El informe también destaca otro dato importante: el 56% de las vulnerabilidades divulgadas analizadas no requerían autenticación para ser explotadas con éxito.[8]
ENISA, en su Threat Landscape 2026, también señala la explotación de vulnerabilidades N-day y zero-day como un vector frecuente de intrusión. Entre los incidentes de acceso no autorizado en los que fue posible determinar el vector de entrada, el 60% involucró la explotación de vulnerabilidades.[9]
Aunque los estudios utilizan metodologías y conjuntos de datos diferentes, existe un mensaje consistente entre ellos: la explotación de sistemas accesibles desde Internet continúa siendo uno de los principales caminos utilizados para iniciar ataques cibernéticos.
Esto coloca la superficie externa de la organización en una posición crítica. Aplicaciones vulnerables, servicios sensibles o legacy expuestos, accesos remotos, APIs, infraestructura cloud y activos desconocidos no representan únicamente problemas técnicos aislados — pueden convertirse en el punto de partida de una intrusión.
El problema no es solamente tener una vulnerabilidad
Existe una diferencia importante entre que una vulnerabilidad exista y que represente una oportunidad inmediata para un atacante.
El contexto importa.
¿Dónde está el activo?
¿Está accesible desde Internet?
¿Qué servicio está expuesto?
¿Existe autenticación?
¿La vulnerabilidad es explotable?
¿Existe un exploit conocido?
¿El activo contiene información sensible?
¿Ofrece algún camino hacia otros sistemas?
¿Es un activo conocido por la organización?
Estas preguntas comienzan a transformar una lista de vulnerabilidades en una visión de exposición.
Y quizás este sea uno de los puntos más importantes para quienes trabajan en seguridad:
El atacante no ve la organización a partir de su inventario interno. Ve aquello que Internet muestra.
Mientras lees este artículo…
Nuevos activos pueden estar siendo publicados.
Pueden estar creándose nuevos entornos cloud.
Pueden aparecer nuevos subdominios.
Pueden habilitarse servicios.
Las configuraciones pueden cambiar.
Puede divulgarse una vulnerabilidad para una tecnología que ya llevaba meses expuesta.
Y herramientas automatizadas pueden identificar rápidamente estos cambios.
La superficie externa de una organización no es estática.
Cambia.
Y cada cambio puede crear una nueva oportunidad.
Por eso, quizás la pregunta más interesante no sea solamente:
“¿Tenemos vulnerabilidades?”
Sino también:
“¿Qué puede descubrir un atacante sobre nosotros en este momento?”
En el próximo artículo, analizaremos los datos: qué brechas, exposiciones y vectores de acceso inicial aparecen con mayor frecuencia en los informes recientes de incidentes — y por qué las vulnerabilidades externas, los servicios de edge, los accesos remotos, las configuraciones cloud y los activos olvidados merecen especial atención.
Porque entender cómo comienza el atacante es el primer paso para comprender qué necesitamos ver antes que él.
Referencias
- MITRE ATT&CK — Reconnaissance (TA0043)
- MITRE ATT&CK — Active Scanning (T1595)
- MITRE ATT&CK — Gather Victim Network Information (T1590)
- MITRE ATT&CK — Search Open Technical Databases (T1596)
- MITRE ATT&CK — Exploit Public-Facing Application (T1190)
- MITRE ATT&CK — External Remote Services (T1133)
- Google Cloud / Mandiant — M-Trends 2026 Report, datos de investigaciones realizadas en 2025
- IBM X-Force — Threat Intelligence Index 2026, publicado en febrero de 2026
- European Union Agency for Cybersecurity (ENISA) — ENISA Threat Landscape 2026, datos correspondientes al período de enero a diciembre de 2025
Continúa explorando
- Superficie de ataque externa: qué muestran los datos recientes sobre el inicio de los ataques
- Attack Surface Management (ASM): viendo la organización desde la perspectiva del atacante
- ¿Qué es un vector de ataque? Entiende su relación con la superficie de ataque
- ¿Qué es la superficie de ataque y por qué cambia continuamente?
¿Quieres llevar esta visión a tu superficie de ataque?
Conoce cómo Lion Focus ayuda a descubrir, monitorear, validar y priorizar exposiciones cibernéticas.
Leonnes Cybersecurity
Cyber Exposure Platform
