En el artículo anterior, hicimos un ejercicio: observar una organización desde la perspectiva de quien está del otro lado — un adversario.
Antes de atacar, el adversario puede investigar dominios, subdominios, aplicaciones, APIs, direcciones IP, servicios, tecnologías y otros elementos accesibles desde Internet. Poco a poco, construye un mapa de la superficie de ataque de la organización y busca oportunidades.
Pero ¿qué importancia tiene este proceso en ataques reales?
Los datos publicados en 2026 por algunas de las principales organizaciones de investigación y respuesta a incidentes ayudan a responder esta pregunta.
Aunque cada estudio utiliza su propia metodología y conjunto de datos, existe una tendencia consistente: la explotación de vulnerabilidades y sistemas accesibles desde Internet continúa ocupando una posición central en el inicio de los ataques cibernéticos.
Cuando una vulnerabilidad se convierte en una puerta de entrada
El Verizon Data Breach Investigations Report (DBIR) 2026 mostró un cambio importante.
Por primera vez en los 19 años del informe, la explotación de vulnerabilidades superó el uso de credenciales robadas como principal punto de entrada en las brechas analizadas.
La explotación de vulnerabilidades estuvo presente en el acceso inicial del 31% de las brechas, mientras que el abuso de credenciales representó el 13%.[1]
El M-Trends 2026, de Mandiant, presenta un escenario similar a partir de las investigaciones realizadas por la compañía. Basado en más de 500.000 horas de investigaciones de incidentes realizadas en 2025, el informe señala que los exploits fueron el vector inicial más observado por sexto año consecutivo, representando el 32% de las intrusiones investigadas.[2]
Por su parte, IBM X-Force, al analizar sus datos de respuesta a incidentes e investigaciones de 2025, identificó un aumento del 44% respecto del año anterior en la explotación de aplicaciones accesibles públicamente como vector de acceso inicial.[3]
Son fuentes y metodologías diferentes, pero los resultados convergen en un punto importante: aquello que es accesible externamente está ofreciendo oportunidades concretas para el inicio de intrusiones.
El problema está en la combinación entre exposición y oportunidad
Una vulnerabilidad existente en un sistema interno y aislado no presenta el mismo escenario que una vulnerabilidad presente en una aplicación accesible directamente desde Internet.
Cuando un sistema es accesible públicamente, también puede ser encontrado, analizado y probado por terceros.
Y esto no se limita a sitios web.
La superficie externa puede incluir:
- Aplicaciones Web y APIs.
- VPNs y otros servicios de acceso remoto.
- Firewalls, gateways y dispositivos de edge.
- Interfaces administrativas y servicios sensibles.
- Sistemas legacy aún publicados.
- Entornos de desarrollo o testing.
- Infraestructura y servicios cloud.
- Activos desconocidos u olvidados.
Cada uno de estos elementos puede presentar vulnerabilidades, configuraciones inadecuadas, software desactualizado o servicios que no deberían estar accesibles de esa manera.
Es precisamente esta combinación entre activo accesible + exposición existente + posibilidad de explotación la que puede transformar un problema técnico en una oportunidad real para un atacante.
Los sistemas de edge están particularmente cerca del atacante
Existe además una característica importante en los sistemas ubicados en el edge de la infraestructura: por definición, muchos de ellos necesitan estar accesibles externamente.
VPNs, gateways, appliances de seguridad, dispositivos de red y otros sistemas de edge suelen desempeñar precisamente el papel de conectar entornos internos con redes externas.
Esto también los coloca directamente en el campo de visión de los atacantes.
M-Trends 2026 destaca la explotación de vulnerabilidades zero-day en dispositivos de edge y señala otro problema: estos equipos con frecuencia no cuentan con la misma telemetría disponible en endpoints tradicionales, lo que puede dificultar la detección de actividades maliciosas.[2]
La recomendación de la propia Mandiant es explícita: las organizaciones deben gestionar de manera agresiva sus superficies de ataque expuestas a Internet, priorizando correcciones rápidas, análisis de vulnerabilidades y el aislamiento adecuado de servidores Web externos frecuentemente atacados en campañas que involucran vulnerabilidades zero-day y N-day.[2]
Es decir, no estamos hablando únicamente de descubrir vulnerabilidades. Estamos hablando de entender dónde se encuentran y cómo ese sistema se relaciona con Internet.
El tiempo entre el descubrimiento y la explotación importa
Existe otro componente importante en esta ecuación: el tiempo.
Cuando se divulga una vulnerabilidad, la organización necesita identificar si utiliza la tecnología afectada, localizar los activos correspondientes, comprender cuáles están expuestos y realizar la corrección o aplicar controles compensatorios.
El atacante trabaja en sentido contrario.
Puede buscar rápidamente sistemas vulnerables accesibles desde Internet e intentar explotarlos antes de que se realice la corrección.
El DBIR 2026 muestra la dimensión de este desafío. Entre las vulnerabilidades críticas consideradas por el informe — definidas a partir del catálogo Known Exploited Vulnerabilities (KEV) de CISA — solo el 26% fueron completamente remediadas por las organizaciones en 2025. El año anterior, ese porcentaje había sido del 38%.[1]
El tiempo necesario para la remediación completa también aumentó, pasando de 32 a 43 días.[1]
Esto crea una ventana importante entre tres momentos:
- La vulnerabilidad pasa a ser conocida o explotada.
- Los atacantes comienzan a buscar sistemas afectados.
- La organización logra identificar y corregir sus activos expuestos.
Cuanto mayor sea esta ventana, mayor puede ser la oportunidad disponible para la explotación.
No toda explotación requiere autenticación
Otro dato ayuda a entender por qué los sistemas accesibles públicamente merecen una atención especial.
El IBM X-Force Threat Intelligence Index 2026 señala que el 56% de las vulnerabilidades divulgadas analizadas no requerían autenticación para ser explotadas con éxito.[3]
Esto significa que, en muchos casos, un atacante no necesita comenzar obteniendo un usuario y una contraseña.
Si el sistema vulnerable está accesible y se dan las condiciones necesarias para su explotación, la propia exposición puede proporcionar la oportunidad inicial.
IBM también relaciona el aumento observado en la explotación de aplicaciones accesibles públicamente con brechas en controles básicos de seguridad, incluyendo controles de autenticación ausentes y un descubrimiento más rápido de vulnerabilidades.
En este escenario, descubrir rápidamente qué está accesible externamente y qué exposiciones existen en esos activos adquiere una importancia directa para reducir la ventana disponible para el atacante.
Y no se trata solo de vulnerabilidades
Cuando hablamos de superficie de ataque externa, limitar el análisis a CVEs conocidos ofrece solo una parte de la visión.
Un atacante también puede buscar:
- Servicios administrativos expuestos.
- Configuraciones inadecuadas.
- APIs publicadas sin los controles esperados.
- Storages cloud accesibles indebidamente.
- API Keys y secrets expuestos.
- Credenciales filtradas.
- Documentos sensibles disponibles públicamente.
- Sistemas y entornos que la propia organización dejó de monitorear.
Ninguno de estos elementos necesariamente tiene que comenzar con una vulnerabilidad tradicional de software.
El punto en común es otro: pueden ser descubiertos desde una perspectiva externa y utilizados para ampliar las posibilidades de ataque.
Por eso, observar únicamente vulnerabilidades conocidas no significa necesariamente visualizar toda la exposición existente.
Los datos cuentan una historia consistente
El escenario también aparece en los datos europeos.
La ENISA, en su Threat Landscape 2026, afirma que la explotación de vulnerabilidades N-day y zero-day continúa siendo un vector prevalente de intrusión. Entre los incidentes de acceso no autorizado en los que la agencia pudo determinar el vector de intrusión, el 60% involucró la explotación de una vulnerabilidad.[4]
ENISA también llama la atención sobre un aspecto más amplio: las dependencias digitales y los entornos cada vez más interconectados están ampliando la superficie de ataque de las organizaciones.[4]
Cuando observamos los diferentes estudios en conjunto, no necesitamos transformar sus porcentajes en una única métrica para percibir la dirección:
Verizon: el 31% de las brechas analizadas comenzaron con la explotación de vulnerabilidades.[1]
Mandiant: los exploits fueron el vector inicial más observado por sexto año consecutivo, representando el 32% de las intrusiones investigadas.[2]
IBM X-Force: aumento del 44% en la explotación de aplicaciones accesibles públicamente como vector de acceso inicial.[3]
ENISA: la explotación de vulnerabilidades N-day y zero-day continúa siendo un vector prevalente de intrusión.[4]
Son perspectivas diferentes sobre un mismo problema operativo: los sistemas accesibles externamente continúan siendo utilizados por los atacantes para encontrar oportunidades e iniciar intrusiones.
La superficie externa cambia continuamente
Sin embargo, existe una dificultad adicional.
La superficie de ataque de una organización no permanece igual.
Nuevas aplicaciones entran en producción. Se crean entornos cloud. Se publican APIs. Aparecen subdominios. Se habilitan servicios. Los proveedores conectan nuevos sistemas. Las configuraciones cambian.
Al mismo tiempo, se divulgan nuevas vulnerabilidades y aparecen nuevas técnicas de explotación.
Un activo que ayer no representaba una exposición importante puede representarla hoy.
Y un sistema que el equipo de seguridad cree haber retirado de operación puede continuar accesible externamente.
Por eso, conocer la superficie externa no puede ser simplemente una fotografía tomada en un momento determinado.
Debe ser una capacidad continua.
La pregunta deja de ser solamente “¿tenemos vulnerabilidades?”
Los datos recientes refuerzan que las vulnerabilidades y los sistemas accesibles públicamente continúan desempeñando un papel importante en el inicio de ataques reales.
Pero también apuntan hacia una cuestión más amplia.
No basta con preguntar:
“¿Qué vulnerabilidades conocemos?”
También es necesario preguntar:
“¿Qué activos están realmente expuestos?”
“¿Qué cambió desde el último análisis?”
“¿Existen sistemas que no están en nuestro inventario?”
“¿Qué exposiciones puede encontrar alguien que observa desde afuera?”
Y, quizás, la pregunta más importante:
“¿Podemos descubrir estos cambios antes de que se transformen en una oportunidad para un atacante?”
Es a partir de esta necesidad — descubrir, monitorear y comprender continuamente la superficie de ataque externa — que comenzamos a entrar en el próximo tema de esta serie: Attack Surface Management (ASM/EASM).
Referencias
- Verizon — 2026 Data Breach Investigations Report (DBIR)
- Google Cloud / Mandiant — M-Trends 2026 Report: Executive Edition
- IBM X-Force — Threat Intelligence Index 2026
- European Union Agency for Cybersecurity (ENISA) — ENISA Threat Landscape 2026
Continúa explorando
- ¿Cómo comienza un ataque cibernético?
- Attack Surface Management (ASM): viendo la organización desde la perspectiva del atacante
- Superficie de ataque externa: 7 puntos ciegos que aumentan la exposición
- ¿Qué es la superficie de ataque y por qué cambia continuamente?
¿Quieres llevar esta visión a tu superficie de ataque?
Conoce cómo Lion Focus ayuda a descubrir, monitorear, validar y priorizar exposiciones cibernéticas.
Leonnes Cybersecurity
Cyber Exposure Platform
