La intrusión comenzó de forma discreta, y el movimiento lateral pasaba fácilmente desapercibido.
Cuando se detectó tráfico sospechoso en las instalaciones de MITRE Corp., una organización federal de investigación sin ánimo de lucro, los investigadores se alarmaron. Al investigar más a fondo, descubrieron que un hacker vinculado a un Estado-nación había logrado burlar el perímetro de la red y se estaba desplazando «de este a oeste» —es decir, lateralmente a lo largo de la infraestructura— con facilidad. Las credenciales administrativas comprometidas permitieron al intruso moverse a sus anchas, sin control y de forma casi invisible.
MITRE contuvo la intrusión y publicó en la información de que disponía. Sin embargo, ese incidente del 2024 puso de manifiesto que la lucha contra la ciberdelincuencia a menudo no comienza en el perímetro de una red informática —donde los cortafuegos y otras herramientas de seguridad tradicionales llevan mucho tiempo luchando por repeler los ataques—, sino una vez que los piratas informáticos ya se han infiltrado en el sistema.
Unas semanas más tarde, el ciberataque contra Change Healthcare dejó muy claro ese punto. Unos piratas informáticos obtuvieron acceso remoto a un servidor que carecía de una autenticación multifactor (MFA) de . Una vez dentro, se desplazaron lateralmente por la red durante nueve días, lo que provocó meses de interrupciones en los pagos y en la atención a los pacientes. Al menos 192.7 millones de personas se vieron afectadas por la filtración.
Esa es la preocupación que suscita el denominado tráfico «este-oeste» o lateral, que actualmente está presente en la mayoría de las intrusiones que han tenido éxito, lo que lo convirtió en un tema clave en la conferencia RSA de este año, « » (). Si una organización ha dedicado la mayor parte de su tiempo a reforzar el tráfico «norte-sur» —es decir, los datos que entran y salen de las redes—, pero no ha aplicado el mismo rigor a nivel interno, se está dejando peligrosamente expuesta.
Los atacantes pueden causar graves daños en poco tiempo. Además, una vez que han penetrado en las redes, actúan cada vez con mayor rapidez, llevando a cabo movimientos laterales en tan solo 27 minutos, o en una media de 48 minutos, según el 2025 .º Informe Anual sobre Amenazas de ReliaQuest.
«El tiempo es el enemigo en materia de ciberseguridad», afirmó Michael McPherson, vicepresidente sénior de operaciones técnicas de ReliaQuest, en un comunicado de . «Los atacantes actúan con mayor rapidez que nunca, lo que significa que nuestras defensas también deben actuar con mayor rapidez».
Por qué el movimiento lateral sigue siendo una amenaza importante
El movimiento lateral es un proceso que consta de varias fases y que incluye el reconocimiento, el robo de credenciales y la explotación.
«Los atacantes actúan con mayor rapidez que nunca, lo que significa que nuestras defensas también deben acelerarse.»Michael McPherson, vicepresidente sénior de operaciones técnicas de ReliaQuest
Los ciberdelincuentes se introducen en una red utilizando técnicas como el « » (phishing), el aprovechamiento de vulnerabilidades conocidas o el uso de credenciales sustraídas. A continuación, analizan la estructura de la red, localizan los dispositivos e identifican los objetivos de interés, como los controladores de dominio —que autentican a los usuarios y aplican los permisos— o los servidores de bases de datos. Por último, llevan a cabo sus actividades mediante , se apoderan de o , corrompen datos, roban credenciales para futuras actividades ilícitas o instalan keyloggers y otros programas de vigilancia para espiar comunicaciones privadas.
Lo que hace que esto resulte tan perjudicial es que convierte una única brecha de seguridad en un ataque que afecta a toda la red, lo que permite a los atacantes acceder a sistemas y datos más valiosos mientras permanecen ocultos a plena vista gracias a las credenciales sustraídas. Cuanto más tiempo permanezcan sin ser detectados, más tiempo tendrán para acceder a información crítica, instalar puertas traseras y lanzar campañas más amplias de ransomware, espionaje y de otro tipo.
3 formas clave de evitar el desplazamiento lateral
Lo que resulta especialmente insidioso de este tipo de ataque es su carácter sutil y casi silencioso. Al aprovechar el movimiento lateral, los atacantes pueden pasar desapercibidos entre el resto del tráfico legítimo de la red, como un delincuente camuflado entre los peatones de una calle concurrida. Para que cualquier medida de protección resulte eficaz, debe detectar los indicios reveladores de dichos movimientos y bloquear las posibles vías de acceso que dejan a una red en una situación de vulnerabilidad.
Para contrarrestar este tipo de actividades encubiertas, muchas empresas están adoptando el antiguo concepto de «defensa en profundidad», combinando enfoques de seguridad modernos —como «zero trust»— con controles de infraestructura, microsegmentación y capacidades de detección y respuesta en red (NDR).
1. «Confianza cero», sin suposiciones
Dado que el quid de la cuestión radica en que los piratas informáticos se desplazan de un lugar a otro sin que se les haya impedido el paso digitalmente a lo largo del trayecto, el modelo «zero trust» ofrece una solución práctica. El término «zero trust», acuñado por John Kindervag, antiguo analista principal de Forrester y actual evangelista jefe de Illumio, se propuso acabar con una percepción errónea que se remonta a décadas atrás, según la cual en una red existen tanto partes de confianza como partes que no lo son.
«Tradicionalmente, una vez que se había autenticado para acceder a una red, podía ir a donde quisiera…». Eso es una tontería. El modelo «zero trust» elimina eso.»John Kindervag, responsable de evangelización de Illumio
«Tradicionalmente, una vez que se había autenticado para acceder a una red, se podía ir a donde se quisiera», explica a Focal Point. «Pero cada paquete debe ir acompañado de una política. Debería especificar de forma explícita adónde va, en lugar de decir: «Bueno, una vez que llegue al lado de confianza, podrá ir a cualquier parte». Eso es una tontería. «El modelo de confianza cero elimina esa presunción de confianza».
El modelo «zero trust» adopta un enfoque basado en políticas que se fundamenta en el antiguo concepto de «necesidad de saber». Se revisa cada solicitud de acceso a un dominio, de uso de una aplicación o de apertura de un archivo, y, si no existe una razón legítima basada en el rol, se deniega. Este modelo sin necesidad de confianza está ganando popularidad entre los responsables empresariales y de seguridad, a medida que aumentan las amenazas de « » en la red que plantea la desinformación , y los «deepfakes» y otras herramientas basadas en la inteligencia artificial facilitan más que nunca suplantar la identidad de los empleados. Más del 80 % de las organizaciones tienen previsto adoptar el modelo «zero trust» para el año 2026, según una encuesta de Zscaler titulada « » ().
2. La microsegmentación en el punto de mira
La microsegmentación es otra solución habitual que las organizaciones están aplicando para resolver el problema del tráfico este-oeste. Al ser compatible con el modelo «zero trust», divide las redes en zonas más pequeñas para que los intrusos no puedan moverse libremente una vez que se hayan infiltrado. Por el contrario, la segmentación tradicional divide las redes en zonas más amplias, utilizando dispositivos como cortafuegos y VLAN. Por lo tanto, no alcanza el nivel de detalle necesario para aplicar políticas de «confianza cero».
«La microsegmentación, si se lleva a cabo correctamente, puede constituir la base de un sistema de seguridad realmente eficaz», afirma el Dr. Chase Cunningham, director de estrategia de Demo Force y ampliamente conocido como Dr. ZeroTrust. «Aunque se produzca una brecha, se les impide seguir adelante y agravar aún más la situación». «La microsegmentación contribuye, básicamente, a eliminar las megafugas de datos».
Cunningham afirma que la microsegmentación resulta especialmente valiosa en la tecnología operativa (OT) y el Internet de las cosas (IoT), es decir, en sectores industriales de gran envergadura, como el sector sanitario o el del petróleo y el gas, donde los sistemas dan respuesta a casos de uso claros y específicos. Permite separar lógicamente los dispositivos, de modo que, por ejemplo, un controlador solo pueda comunicarse con la máquina para la que fue diseñado.
Además, según afirma, está ganando terreno en estos momentos porque las herramientas que lo hacen posible han alcanzado por fin su madurez.
«La microsegmentación, como ámbito tecnológico en el mercado, no estaba realmente disponible hasta hace unos tres años», afirma Cunningham. «Ahora bien, si yo fuera director de seguridad de una empresa, aplicaría una microsegmentación exhaustiva a todo y, a continuación, pasaría a abordar otros problemas».
Aun así, el trabajo no es fácil. Cunningham afirma que las organizaciones suelen tropezar cuando asumen demasiadas tareas a la vez.
«La complejidad surge cuando la gente dice: “Genial, vamos a aplicar la microsegmentación”», afirma. «Entonces dicen: “Bueno, ¿micro-segmentar qué?”» Tiene que tratarse de un proyecto y de un plan. No basta con pulsar el botón y decir: «microsegmentación». «Algo va a salir mal».
3. NDR: sus ojos en el interior
Incluso cuando la segmentación se lleva a cabo correctamente, los intrusos pueden seguir encontrando formas de desplazarse lateralmente. Por eso, muchas organizaciones están recurriendo a herramientas de NDR. Si bien el modelo «zero trust» y la microsegmentación establecen las normas de actuación, estas soluciones actúan como una atalaya. No aplican la segmentación. No obstante, sí supervisan el tráfico entre zonas y dentro de ellas, utilizando herramientas de análisis e inteligencia artificial para detectar movimientos sospechosos en dirección este-oeste que, de otro modo, pasarían desapercibidos para los cortafuegos y las herramientas de protección de terminales.
«Los intrusos no están derribando la puerta principal. Están utilizando sus pasillos, sus puertas, sus escaleras… y… parece que ese fuera su lugar.»Chase Cunningham, doctor, director de estrategia de Demo Force
Esta visibilidad es fundamental, explica Cunningham, ya que los intrusos suelen parecer usuarios legítimos una vez que se han introducido en la red.
«Los intrusos no están derribando la puerta principal», afirma. «Están utilizando sus pasillos, sus puertas, sus escaleras… y, a menos que cuente con los sensores adecuados, parece que forman parte del lugar».
Para reforzar la visibilidad, las organizaciones también utilizan sistemas de gestión de identidades y accesos (IAM) para verificar a los usuarios y los equipos. IAM reduce la superficie de ataque al aplicar el principio del privilegio mínimo, eliminando los accesos excesivos u obsoletos y limitando el movimiento lateral entre sistemas. IAM contribuye a hacer posible el modelo «zero trust» mediante la autenticación y autorización de usuarios y dispositivos finales, la aplicación de políticas de acceso granulares y la supervisión de la actividad.
Las herramientas más recientes de detección de amenazas a la identidad añaden una capa adicional de protección al detectar cuándo se están utilizando indebidamente credenciales robadas dentro de la red. Las plataformas de orquestación de políticas contribuyen a proporcionar los esquemas y los controles necesarios para aplicar de forma coherente el modelo «zero trust» y la microsegmentación. En conjunto, estas tecnologías ofrecen a los responsables de la seguridad la oportunidad de detectar a los atacantes que se desplazan en dirección este-oeste y neutralizarlos antes de que la situación derive en una brecha de seguridad en toda regla.
Inteligencia artificial y automatización: llevar la movilidad lateral a un nuevo nivel
Aunque son eficaces, estas medidas de defensa no son una solución milagrosa. Los atacantes ya están probando formas de automatizar el movimiento lateral mediante la inteligencia artificial, lo que podría acelerar el reconocimiento y el uso indebido de credenciales una vez que consigan acceder al sistema. Cunningham considera que los defensores pueden seguir el ritmo, pero solo si dejan de considerar la visibilidad este-oeste como algo opcional.
«Los adversarios no esperan a que usted tenga el presupuesto listo», afirma. «Están innovando, lo haga usted o no».
Los equipos de seguridad proactivos ya están probando las formas en que la inteligencia artificial y la automatización pueden utilizarse para proteger frente a este tipo de ataques. El aprendizaje automático puede resultar eficaz a la hora de detectar anomalías en el comportamiento de los usuarios y en la actividad general de la red, aislar las amenazas de forma automática y diseñar respuestas rápidas y precisas capaces de frustrar los intentos de los atacantes en el momento en que se producen.
Kindervag aconseja a los responsables de las empresas que cualquier cambio o actualización en las soluciones o protocolos de seguridad debe ser estratégico, y no fragmentario. El modelo «zero trust», la microsegmentación y las herramientas de detección solo resultan eficaces si van acompañadas de una comprensión clara de qué es lo que hay que proteger y por qué.
«Todos los incidentes importantes de ciberseguridad son el resultado de una regla del tipo “ allow ”», afirma. «Todo se reduce a una cuestión de política. ¿Qué estoy permitiendo? ¿Qué es lo que estoy negando? «Así es como se impide que los atacantes se desplacen una vez que han entrado».
La realidad es que las filtraciones de datos se producirán. Lo que importa es si se mantienen controlados o si se convierten en un incidente similar a los de MITRE o Change Healthcare. Las empresas que adoptan un modelo de defensa en profundidad, verifican cada conexión y vigilan de cerca sus redes son las que tienen más probabilidades de evitar que el tráfico este-oeste acabe en primera plana.
