{"id":151088,"date":"2025-07-30T10:51:55","date_gmt":"2025-07-30T17:51:55","guid":{"rendered":"https:\/\/unit42.paloaltonetworks.com\/?p=151088"},"modified":"2025-08-13T13:03:26","modified_gmt":"2025-08-13T20:03:26","slug":"2025-unit-42-global-incident-response-report-social-engineering-edition","status":"publish","type":"post","link":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/","title":{"rendered":"Informe de respuesta ante incidentes de Unit\u00a042 de 2025: edici\u00f3n de ingenier\u00eda social"},"content":{"rendered":"<h2>Resumen ejecutivo<\/h2>\n<p>Consideramos que la ingenier\u00eda social se convertir\u00e1 en uno de los m\u00e9todos de intrusi\u00f3n m\u00e1s confiables, escalables e impactantes en 2025 por cinco razones clave:<\/p>\n<p><strong>En primer lugar<\/strong>, la ingenier\u00eda social sigui\u00f3 siendo el principal vector de acceso inicial en los casos de respuesta ante incidentes de Unit\u00a042 entre mayo de 2024 y mayo de 2025. Estos ataques eludieron sistem\u00e1ticamente los controles t\u00e9cnicos al centrarse en los flujos de trabajo humanos, aprovechando la confianza y manipulando los sistemas de identidad. M\u00e1s de un tercio de los incidentes de ingenier\u00eda social involucraron t\u00e9cnicas que no eran de phishing, como el envenenamiento de la optimizaci\u00f3n de motores de b\u00fasqueda (SEO), mensajes falsos del sistema y manipulaci\u00f3n del servicio de asistencia.<\/p>\n<p><strong>En segundo lugar<\/strong>, los ataques de alto contacto est\u00e1n aumentando. Los actores de amenazas como Muddled Libra eluden la autenticaci\u00f3n multifactor (MFA) y aprovechan los procesos de asistencia de TI para escalar privilegios en cuesti\u00f3n de minutos, por lo general sin necesidad de utilizar malware. En un caso, un actor de amenazas pas\u00f3 de tener acceso a administrador de dominio en menos de 40\u00a0minutos solo con herramientas integradas y pretextos sociales.<\/p>\n<p><strong>En tercer lugar<\/strong>, la baja cobertura de detecci\u00f3n y la fatiga por alertas siguen siendo factores clave. En muchos casos, los ataques de ingenier\u00eda social tuvieron \u00e9xito no gracias a t\u00e9cnicas avanzadas, sino porque las organizaciones pasaron por alto o clasificaron err\u00f3neamente se\u00f1ales cr\u00edticas. Esto era un problema particular para los flujos de trabajo de recuperaci\u00f3n de identidad y las rutas de movimiento lateral.<\/p>\n<p><strong>En cuarto lugar,<\/strong> las interrupciones en la actividad empresarial derivadas de estos ataques siguen aumentando. M\u00e1s de la mitad de los incidentes de ingenier\u00eda social dieron lugar a la exposici\u00f3n de datos confidenciales, mientras que otros incidentes interrumpieron servicios cr\u00edticos o afectaron al rendimiento general de la organizaci\u00f3n. Estos ataques de alta velocidad est\u00e1n dise\u00f1ados para generar altos rendimientos financieros con una infraestructura y un riesgo m\u00ednimos.<\/p>\n<p><strong>En quinto lugar<\/strong>, la inteligencia artificial (IA) est\u00e1 acelerando tanto la escala como el realismo de las campa\u00f1as de ingenier\u00eda social. Los actores de amenazas ahora est\u00e1n utilizando IA generativa para crear se\u00f1uelos personalizados, clonar voces de ejecutivos en estafas de devoluci\u00f3n de llamadas y mantener la interacci\u00f3n en directo durante campa\u00f1as de suplantaci\u00f3n de identidad.<\/p>\n<p>Detr\u00e1s de estas tendencias se esconden tres factores sist\u00e9micos: <strong>acceso excesivo, lagunas en la visibilidad del comportamiento <\/strong>y<strong> confianza no verificada de los usuarios en los procesos humanos.<\/strong> Los sistemas de identidad, los protocolos de asistencia y las aprobaciones por v\u00eda r\u00e1pida suelen ser objeto de explotaci\u00f3n por parte de los actores de amenazas que imitan las actividades rutinarias.<\/p>\n<p>Para contrarrestar esto, los responsables de seguridad deben impulsar un cambio que vaya m\u00e1s all\u00e1 de la concienciaci\u00f3n tradicional de los usuarios y reconozca la ingenier\u00eda social como una amenaza sist\u00e9mica centrada en la identidad. Esta transici\u00f3n requiere lo siguiente:<\/p>\n<ul>\n<li>Implementar an\u00e1lisis de comportamiento y detecci\u00f3n y respuesta a amenazas de identidad (ITDR) para detectar de forma proactiva el uso indebido de credenciales.<\/li>\n<li>Garantizar los procesos de recuperaci\u00f3n de identidad y aplicar el acceso condicional.<\/li>\n<li>Ampliar los principios de Confianza Cero para abarcar a los usuarios, no solo los per\u00edmetros de red.<\/li>\n<\/ul>\n<p>La ingenier\u00eda social funciona no porque los atacantes sean sofisticados, sino porque la gente sigue confiando con demasiada facilidad, lo que compromete la seguridad de las organizaciones.<\/p>\n<h2><a id=\"post-151088-_heading=h.47xe51v5no22\"><\/a>Introducci\u00f3n<\/h2>\n<p>La ingenier\u00eda social sigue dominando el panorama de amenazas<s>.<\/s> Durante el \u00faltimo a\u00f1o, m\u00e1s de un tercio de los casos de respuesta ante incidentes que nuestro equipo gestion\u00f3 comenzaron con una t\u00e1ctica de ingenier\u00eda social. Estas intrusiones no se basaron en vulnerabilidades de d\u00eda cero ni en malware sofisticado. Se aprovecharon de la confianza. Los atacantes eludieron los controles suplantando la identidad de los empleados, manipulando los flujos de trabajo y aprovechando las deficiencias en la forma en que las organizaciones gestionan la identidad y la interacci\u00f3n humana.<\/p>\n<p>Lo que destaca este a\u00f1o es la rapidez con la que est\u00e1n evolucionando estos ataques. Unit\u00a042 tiene detectados dos modelos distintos, ambos dise\u00f1ados para eludir los controles imitando actividades de confianza:<\/p>\n<ul>\n<li><strong>Compromiso de alto contacto<\/strong> que se dirige a personas espec\u00edficas en tiempo real. Los actores de amenazas se hacen pasar por miembros del personal, se aprovechan de los servicios de asistencia y ampl\u00edan su acceso sin necesidad de implementar malware, a veces mediante se\u00f1uelos de voz, pretextos en <span style=\"font-weight: 400;\">tiempo real<\/span> y datos de identidad robados.<\/li>\n<li><strong>Enga\u00f1os a gran escala<\/strong>, como campa\u00f1as al estilo ClickFix, envenenamiento SEO, avisos falsos del navegador y se\u00f1uelos combinados para provocar que el usuario comprometa varios dispositivos y plataformas.<\/li>\n<\/ul>\n<p>Estos no son casos extremos. Son t\u00e9cnicas repetibles y eficaces que los adversarios perfeccionan semana tras semana. Una de las tendencias m\u00e1s reveladoras que hemos observado es el aumento de los vectores que no son de phishing. Esto incluye se\u00f1uelos basados en voz, alertas falsas del navegador y manipulaci\u00f3n directa de los equipos de asistencia. En muchos entornos, estas t\u00e1cticas permiten a los atacantes pasar desapercibidos, extraer datos y causar un da\u00f1o operativo significativo.<\/p>\n<p>En este informe se recopila informaci\u00f3n de los investigadores de amenazas de Unit\u00a042, datos telem\u00e9tricos de intrusiones reales y conocimientos adquiridos en primera l\u00ednea de nuestra pr\u00e1ctica global de respuesta ante incidentes (IR). El objetivo de este informe es ayudarlo a comprender c\u00f3mo funciona realmente la ingenier\u00eda social en 2025 y qu\u00e9 se necesita para detenerla.<\/p>\n<p>Hay algo que est\u00e1 claro. Los adversarios no solo hackean sistemas: hackean a las personas.<\/p>\n<h2><a id=\"post-151088-_heading=h.acc0fkksdncz\"><\/a>Compromiso de alto contacto y alto impacto<\/h2>\n<h3><a id=\"post-151088-_heading=h.9huk4taopiiz\"><\/a><strong>C\u00f3mo vulneran la confianza los atacantes<\/strong><\/h3>\n<p>Una clase creciente de ataques se dirige a personas mediante manipulaciones personalizadas en tiempo real, con frecuencia en grandes empresas donde los sistemas de identidad y los flujos de trabajo humanos son m\u00e1s complejos. Estas organizaciones presentan un conjunto m\u00e1s amplio de puntos de acceso, desde plataformas de identidad federadas hasta operaciones de asistencia distribuidas. Los atacantes aprovechan para escalar el acceso de forma discreta. El tama\u00f1o y la complejidad de las empresas facilitan que las actividades maliciosas se mezclen con las solicitudes rutinarias, lo que aumenta el tiempo necesario para su detecci\u00f3n.<\/p>\n<p>Las operaciones de alto contacto suelen estar motivadas por intereses econ\u00f3micos y las llevan a cabo actores de amenazas que invierten tiempo y recursos en investigar c\u00f3mo vulnerar las defensas de identidad sin activar las alertas. Se hacen pasar por empleados, se aprovechan de la confianza y pasan r\u00e1pidamente de tener acceso a nivel de usuario a tener control privilegiado. Hemos investigado varios casos de gran impacto en los que los atacantes eludieron la MFA y convencieron al personal del servicio de asistencia para que restableciera las credenciales. En un caso reciente, el atacante pas\u00f3 de obtener acceso inicial a conseguir derechos de administrador de dominio en cuesti\u00f3n de minutos, sin necesidad de implementar ning\u00fan tipo de malware.<\/p>\n<p>Grupos como <a href=\"https:\/\/unit42.paloaltonetworks.com\/es-la\/tag\/muddled-libra-es-la\/\" target=\"_blank\" rel=\"noopener\">Muddled Libra<\/a>, una operaci\u00f3n cibern\u00e9tica global motivada por intereses econ\u00f3micos, son un ejemplo de este modelo. En lugar de hacer ataques de phishing a gran escala, estos atacantes identifican al personal clave, crean un perfil a partir de datos p\u00fablicos y se hacen pasar por ellos de forma convincente. Como resultado, estos grupos obtienen un acceso profundo, un amplio control del sistema y la capacidad de monetizar los ataques r\u00e1pidamente.<\/p>\n<p>No todas las operaciones de alto contacto tienen como objetivo generar beneficios. Tambi\u00e9n hemos rastreado a actores de amenazas alineados con el Estado que utilizan t\u00e1cticas parecidas para el espionaje y la infiltraci\u00f3n estrat\u00e9gica. Las campa\u00f1as atribuidas a actores de amenazas alineados con el Estado, como <a href=\"https:\/\/unit42.paloaltonetworks.com\/es-la\/tag\/agent-serpens-es-la\/\" target=\"_blank\" rel=\"noopener\">Agent Serpens<\/a>, afiliado a Ir\u00e1n, y <a href=\"https:\/\/unit42.paloaltonetworks.com\/threat-assessment-north-korean-threat-groups-2024\/\" target=\"_blank\" rel=\"noopener\">grupos de amenaza de Corea del Norte<\/a>, se han basado en identidades institucionales falsificadas, se\u00f1uelos personalizados y documentos falsificados para comprometer objetivos diplom\u00e1ticos y del sector p\u00fablico.<\/p>\n<h4><a id=\"post-151088-_heading=h.424tgeogzwt5\"><\/a>Perfil n.\u00ba\u00a01: Muddled Libra<\/h4>\n<p>Entre los actores con motivaciones financieras, pocos han demostrado la persistencia, la adaptabilidad y la fluidez t\u00e9cnica de Muddled Libra.<\/p>\n<p>Muddled Libra opera dentro de un grupo m\u00e1s amplio de actores. Estos actores de amenazas tienen motivaciones econ\u00f3micas y eluden los controles t\u00e9cnicos mediante la explotaci\u00f3n directa de los sistemas de identidad. Sin embargo, Muddled Libra destaca por su persistencia, rapidez y t\u00e9cnicas de espionaje dirigidas por humanos.<\/p>\n<p>El grupo no solo se dedica a suplantar identidades para obtener credenciales. Se hace pasar por empleados en tiempo real, a veces enfoc\u00e1ndose en el personal de asistencia para restablecer la MFA, tomar control de identidades y acceder a sistemas internos. Una vez dentro, Muddled Libra aprovecha las herramientas de supervisi\u00f3n y gesti\u00f3n remotas (RMM) para mantener un acceso persistente y establecer el control.<\/p>\n<p>La infraestructura de este grupo es ligera y evasiva. En cuanto al mando y control (C2), hemos observado un uso indebido repetido de los servicios de tunelizaci\u00f3n, lo que permite al grupo operar desde fuera del per\u00edmetro de la red sin levantar sospechas inmediatas.<\/p>\n<p>Los reinicios de la MFA, el intercambio de m\u00f3dulos de identidad de suscriptor (SIM) y el uso indebido de se\u00f1ales de confianza orientadas al p\u00fablico son patrones recurrentes. En varios casos, los atacantes recopilaron datos personales detallados de fuentes como LinkedIn para crear perfiles convincentes, lo que aument\u00f3 sus posibilidades de eludir los pasos de verificaci\u00f3n de identidad.<\/p>\n<table>\n<thead>\n<tr>\n<th>\n<p style=\"text-align: left;\"><strong>Seis herramientas y t\u00e9cnicas clave empleadas por Muddled Libra:<\/strong><\/p>\n<ul>\n<li style=\"text-align: left;\">Intercambio de SIM para interceptar c\u00f3digos de autenticaci\u00f3n basados en servicios de mensajes cortos (SMS).<\/li>\n<li style=\"text-align: left;\">Herramientas de acceso remoto, como TeamViewer, ScreenConnect y Splashtop.<\/li>\n<li style=\"text-align: left;\">Servicios de tunelizaci\u00f3n como Ngrok y TryCloudflare para establecer rutas de comando y control sigilosas.<\/li>\n<li style=\"text-align: left;\">Recolecci\u00f3n de credenciales a trav\u00e9s de phishing, reconocimiento y perfiles de c\u00f3digo abierto.<\/li>\n<li style=\"text-align: left;\">Reconocimiento social usando LinkedIn y datos p\u00fablicos para construir personajes realistas.<\/li>\n<li style=\"text-align: left;\">Interacci\u00f3n en vivo con equipos internos para escalar el acceso en tiempo real.<\/li>\n<\/ul>\n<\/th>\n<\/tr>\n<\/thead>\n<\/table>\n<h4>Perfil n.\u00ba 2: actores de amenazad estatales<\/h4>\n<p>La ingenier\u00eda social de alto contacto no es exclusiva de los grupos de ciberdelincuentes. Los actores estatales han recurrido durante mucho tiempo a t\u00e9cnicas de espionaje centradas en las personas para lograr un acceso estrat\u00e9gico, ya sea con fines de espionaje, vigilancia o perturbaci\u00f3n geopol\u00edtica. En las campa\u00f1as recientes se demuestra que las intrusiones alineadas con el Estado reflejan cada vez m\u00e1s los mismos m\u00e9todos centrados en la identidad que se observan en las operaciones con motivaciones financieras.<\/p>\n<p>Campa\u00f1as del <a href=\"https:\/\/unit42.paloaltonetworks.com\/es-la\/iranian-cyberattacks-2025\/\" target=\"_blank\" rel=\"noopener\">Agente Serpens afiliado a Ir\u00e1n<\/a> en las que el grupo afiliado a Ir\u00e1n se hizo pasar por instituciones de confianza, a menudo entregando malware a trav\u00e9s de correos electr\u00f3nicos falsificados que imitaban flujos de trabajo leg\u00edtimos para compartir documentos.<\/p>\n<p><a href=\"https:\/\/unit42.paloaltonetworks.com\/threat-assessment-north-korean-threat-groups-2024\/\" target=\"_blank\" rel=\"noopener\"><strong>Los actores de Corea del Norte<\/strong><\/a> desarrollaron una variante distintiva del compromiso de alto contacto conocida como personas internas sint\u00e9ticas. Estas campa\u00f1as consisten en que los atacantes se hacen pasar por solicitantes de empleo, utilizando curr\u00edculos falsos y perfiles profesionales ficticios para conseguir un empleo a distancia en las organizaciones objetivo.<\/p>\n<h3><strong>Actores de amenazas y sus t\u00e1cticas, t\u00e9cnicas y<\/strong> procedimientos<strong> (TTP)<\/strong><\/h3>\n<p>Desde las intrusiones con fines de lucro de Muddled Libra hasta los ataques estrat\u00e9gicos vistos en las campa\u00f1as del Agente Serpens y de Corea del Norte, las estrategias de estos atacantes siguen siendo consistentes. Manipular a las personas, imitar la confianza y escalar el acceso sin activar la detecci\u00f3n.<\/p>\n<p><strong><img  class=\"alignnone wp-image-151212 size-full lozad\"  data-src=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-table-2.png\" alt=\"Tabla en la que se enumeran tres\u00a0actores de amenazas: Muddled Libra, Agent Serpens, y un actor de Corea del Norte, con sus motivaciones y t\u00e1cticas. Muddled Libra se motiva por las ganancias econ\u00f3micas, y utiliza el intercambio de tarjetas SIM y malware. Agente Serpens, motivado por el espionaje, utiliza recursos compartidos de archivos y portales de documentos falsificados. El actor de Corea del Norte busca obtener ingresos y llevar a cabo operaciones de espionaje mediante solicitudes de empleo falsas y la explotaci\u00f3n de plataformas de contrataci\u00f3n de aut\u00f3nomos.\" width=\"1468\" height=\"942\" srcset=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-table-2.png 1468w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-table-2-686x440.png 686w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-table-2-1091x700.png 1091w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-table-2-768x493.png 768w\" sizes=\"(max-width: 1468px) 100vw, 1468px\" \/><\/strong><\/p>\n<h3><strong>Intrusiones de alto contacto en entornos reales<\/strong><\/h3>\n<p>En los siguientes casos pr\u00e1cticos extra\u00eddos de nuestra cartera de casos de IR se ilustra c\u00f3mo los atacantes pueden eludir los controles no mediante exploits, sino navegando por los sistemas humanos con precisi\u00f3n e intenci\u00f3n.<\/p>\n<h4><strong>El enga\u00f1o del servicio de asistencia desbloquea una vulneraci\u00f3n de 350 GB<\/strong><\/h4>\n<p style=\"padding-left: 40px;\"><strong>Objetivo: <\/strong>registros de clientes alojados en la nube, documentaci\u00f3n propietaria y archivos internos. Un atacante manipul\u00f3 y extrajo m\u00e1s de 350 GB de datos sin activar las alertas de los endpoints ni del sistema de detecci\u00f3n y respuesta de endpoints (EDR). Los atacantes no utilizaron malware, solo credenciales leg\u00edtimas y binarios \"Living off the land\" (vivir de la tierra): usar lo ya instalado.<\/p>\n<p style=\"padding-left: 40px;\"><strong>T\u00e9cnica:<\/strong> el atacante se puso en contacto con el servicio de asistencia de la organizaci\u00f3n, haci\u00e9ndose pasar por un empleado que no pod\u00eda acceder a su cuenta. A partir de una combinaci\u00f3n de informaci\u00f3n filtrada y datos disponibles p\u00fablicamente, el adversario super\u00f3 los controles de identidad y se gan\u00f3 la confianza del agente, lo que provoc\u00f3 un restablecimiento de las credenciales de la MFA. Una vez obtenido el acceso, el atacante inici\u00f3 sesi\u00f3n y se desplaz\u00f3 lateralmente mediante herramientas administrativas leg\u00edtimas. Cada acci\u00f3n imitaba el comportamiento leg\u00edtimo de los usuarios, evitando deliberadamente los desencadenantes que pudieran activar alertas.<\/p>\n<h4><strong>Establecimiento de relaciones para evitar el servicio de asistencia<\/strong><\/h4>\n<p style=\"padding-left: 40px;\"><strong>Objetivo:<\/strong> sistemas corporativos internos. El atacante buscaba obtener acceso a nivel de empleado para escalar privilegios y llevar a cabo un ataque m\u00e1s amplio. La intrusi\u00f3n se contuvo poco despu\u00e9s del inicio de sesi\u00f3n.<\/p>\n<p style=\"padding-left: 40px;\"><strong>T\u00e9cnica:<\/strong> durante varios d\u00edas, el atacante hizo repetidas llamadas de baja presi\u00f3n al servicio de asistencia, haci\u00e9ndose pasar cada vez por un empleado que se hab\u00eda quedado fuera de la oficina. Recopilaron detalles del proceso y perfeccionaron su pretexto con cada intento. Una vez que la historia se ajust\u00f3 a los protocolos internos de escalamiento, emitieron una solicitud urgente que provoc\u00f3 un restablecimiento de la MFA para conceder el acceso. El atacante inici\u00f3 sesi\u00f3n correctamente, pero fue detectado minutos despu\u00e9s debido a anomal\u00edas geogr\u00e1ficas.<\/p>\n<h4><strong>Restablecimiento ejecutivo de la MFA bloqueado por acceso condicional<\/strong><\/h4>\n<p style=\"padding-left: 40px;\"><strong>Objetivo:<\/strong> credenciales de ejecutivo de nivel medio con amplios permisos del sistema. El atacante pretend\u00eda utilizar estas credenciales para acceder a datos empresariales confidenciales y hacer reconocimientos a trav\u00e9s de las API en la nube. El intento fue contenido antes de que se produjera la filtraci\u00f3n de datos, gracias a los controles de acceso condicional.<\/p>\n<p style=\"padding-left: 40px;\"><strong>T\u00e9cnica:<\/strong> tras varios intentos fallidos de phishing, el atacante llam\u00f3 al servicio de asistencia de TI, haci\u00e9ndose pasar por el ejecutivo y alegando problemas de acceso relacionados con un viaje. El pretexto fue lo suficientemente convincente como para provocar un reinicio de la MFA. Con credenciales nuevas, el atacante inici\u00f3 consultas a la API de Graph para enumerar permisos, pertenencias a grupos y rutas de archivos. Sin embargo, la pol\u00edtica de acceso condicional marc\u00f3 la sesi\u00f3n debido a un inicio de sesi\u00f3n inusual desde un dispositivo y una ubicaci\u00f3n no reconocidos, lo que impidi\u00f3 que se produjera una escalada adicional.<\/p>\n<p>En estos estudios de casos se demuestra que los atacantes m\u00e1s h\u00e1biles no triunfan vulnerando los sistemas, sino comprendi\u00e9ndolos. Manipulan procesos, personal y plataformas en todos los sectores de una forma que parece rutinaria hasta que es demasiado tarde.<\/p>\n<h3><strong>C\u00f3mo la IA est\u00e1 configurando el panorama de amenazas de ingenier\u00eda social<\/strong><\/h3>\n<p>En los \u00faltimos meses se ha producido un cambio en la forma en que se utilizan la inteligencia artificial y la automatizaci\u00f3n en las campa\u00f1as de ingenier\u00eda social. Aunque las t\u00e9cnicas convencionales siguen siendo las predominantes, algunos atacantes est\u00e1n experimentando ahora con herramientas que ofrecen mayor velocidad, realismo y escalabilidad.<\/p>\n<p>Los casos de respuesta ante incidentes de Unit\u00a042 apuntan a tres\u00a0capas distintas de herramientas habilitadas por IA:<\/p>\n<ul>\n<li><strong>Automatizaci\u00f3n<\/strong>: las herramientas de esta categor\u00eda siguen reglas predefinidas para acelerar los pasos comunes de una intrusi\u00f3n, como la distribuci\u00f3n de phishing, el env\u00edo de SMS falsificados y las pruebas b\u00e1sicas de credenciales. Estas capacidades no son nuevas, pero cada vez se configuran m\u00e1s para imitar los flujos de trabajo empresariales y eludir las medidas de detecci\u00f3n habituales.<\/li>\n<li><strong>IA Generativa (GenAI)<\/strong>: se utiliza para producir contenido cre\u00edble y semejante al de un humano en distintos canales, como el correo electr\u00f3nico, la voz y el chat en directo. En diversas investigaciones, los actores de amenazas utilizaron GenAI para crear se\u00f1uelos muy personalizados a partir de informaci\u00f3n p\u00fablica. Algunas campa\u00f1as llegaron m\u00e1s lejos, utilizando voces clonadas de ejecutivos en estafas de devoluci\u00f3n de llamadas para aumentar la credibilidad de las solicitudes urgentes por tel\u00e9fono. En intrusiones m\u00e1s prolongadas, se utiliz\u00f3 la IA para perfeccionar los perfiles de los atacantes, generar seguimientos de phishing personalizados y redactar respuestas en tiempo real. Estas t\u00e9cnicas adaptativas permitieron a los actores de amenazas mantener la interacci\u00f3n a lo largo de numerosas etapas de la intrusi\u00f3n, con un nivel de tono y sincronizaci\u00f3n que anteriormente requer\u00eda un operador en directo.<\/li>\n<li><strong>IA aut\u00f3noma<\/strong>: se refiere a sistemas basados en roles y conscientes del contexto, capaces de ejecutar de forma aut\u00f3noma tareas de varios pasos con una intervenci\u00f3n humana m\u00ednima y de aprender a partir de la retroalimentaci\u00f3n. Aunque su adopci\u00f3n sigue siendo limitada hasta la fecha, hemos observado el uso de la IA aut\u00f3noma en actividades encadenadas, como el reconocimiento multiplataforma y la distribuci\u00f3n de mensajes. En un caso, los atacantes crearon identidades sint\u00e9ticas multicapa (incluidos curr\u00edculos falsos y perfiles en redes sociales) para respaldar solicitudes de empleo fraudulentas en una campa\u00f1a dirigida a personas internas.<\/li>\n<\/ul>\n<p>Este espectro de uso refleja una hibridaci\u00f3n de t\u00e1cticas, en la que los m\u00e9todos convencionales de ingenier\u00eda social se ven cada vez m\u00e1s respaldados por componentes basados en la inteligencia artificial. La adopci\u00f3n de la IA por parte de los adversarios sigue siendo desigual, pero el cambio subyacente es evidente: la automatizaci\u00f3n y la IA est\u00e1n empezando a remodelar la escala, el ritmo y la adaptabilidad de los ataques de ingenier\u00eda social.<\/p>\n<h2><a id=\"post-151088-_heading=h.xrz27zt4zask\"><\/a>Ataques a gran escala<\/h2>\n<h3><a id=\"post-151088-_heading=h.41r7asgtbkpw\"><\/a>Enga\u00f1o a gran escala: el auge de las campa\u00f1as ClickFix<\/h3>\n<p>La ingenier\u00eda social se ha convertido en un ecosistema escalable y automatizado que imita se\u00f1ales de confianza y se aprovecha de flujos de trabajo familiares. Un ejemplo es ClickFix, una t\u00e9cnica que utiliza alertas falsas del navegador, avisos de actualizaci\u00f3n fraudulentos y descargas autom\u00e1ticas para iniciar el ataque. Entre mayo de 2024 y mayo de 2025, ClickFix fue el vector de acceso inicial en al menos ocho\u00a0casos confirmados de IR.<\/p>\n<h4><strong>Mecanismos de entrega: envenenamiento SEO, publicidad malintencionada e indicaciones fraudulentas<\/strong><\/h4>\n<p>Las campa\u00f1as de ClickFix no dependen de un \u00fanico m\u00e9todo de entrega. En cambio, se aprovechan de muchos puntos de entrada. Hemos observado que estas campa\u00f1as utilizan el envenenamiento SEO, la publicidad malintencionada y las alertas fraudulentas del navegador para enga\u00f1ar a los usuarios y que ellos mismos inicien la cadena de ataques.<\/p>\n<p>En un caso confirmado de IR, el actor de amenaza utiliz\u00f3 el envenenamiento SEO para colocar un enlace malintencionado en una posici\u00f3n destacada en los resultados de los motores de b\u00fasqueda. Cuando un empleado buscaba un instalador de software, era redirigido a una p\u00e1gina de destino falsificada que activaba la descarga de una carga \u00fatil. La publicidad malintencionada desempe\u00f1a un papel parecido, ya que muestra banners falsos del tipo \u201chaga clic para solucionarlo\u201d a trav\u00e9s de redes publicitarias o ventanas emergentes que imitan marcas de software de confianza. Otro vector en aumento son las alertas fraudulentas del sistema, dise\u00f1adas para imitar las advertencias leg\u00edtimas del navegador o del sistema operativo. En un ejemplo relacionado con la atenci\u00f3n de salud, un empleado se encontr\u00f3 con lo que parec\u00eda ser una notificaci\u00f3n aut\u00e9ntica de actualizaci\u00f3n de Microsoft mientras acced\u00eda a un sistema interno desde su casa. El enlace condujo a la descarga de un cargador, que ejecut\u00f3 un infostealer (ladr\u00f3n de informaci\u00f3n) y permiti\u00f3 la recopilaci\u00f3n de credenciales. Estos mecanismos de entrega comparten tres\u00a0atributos fundamentales:<\/p>\n<ul>\n<li><strong>Imitar para ganar confianza<\/strong><\/li>\n<li><strong>Iniciaci\u00f3n del usuario<\/strong><\/li>\n<li><strong>Agnosticismo de plataforma<\/strong><\/li>\n<\/ul>\n<p>Dado que el usuario inicia la acci\u00f3n (al hacer clic en un enlace, descargar un archivo o responder a una solicitud), el ataque suele eludir las defensas perimetrales tradicionales y eludir la detecci\u00f3n temprana por parte de las herramientas de endpoint.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: left;\">De los ataques de ClickFix analizados por Unit 42, m\u00e1s del 60 % del acceso inicial se origin\u00f3 a trav\u00e9s de la interacci\u00f3n web en lugar del correo electr\u00f3nico. Esto marca un cambio distintivo con respecto al <em>phishing<\/em> tradicional y subraya la importancia de defender m\u00e1s all\u00e1 de la bandeja de entrada.<\/th>\n<\/tr>\n<\/thead>\n<\/table>\n<h4><strong>Cargas \u00fatiles y patrones de comportamiento comunes de ClickFix<\/strong><\/h4>\n<p>Las campa\u00f1as de ClickFix siguen un patr\u00f3n de comportamiento consistente que prioriza la velocidad, el robo de credenciales y la monetizaci\u00f3n. Las cargas <span style=\"font-weight: 400;\">\u00fatiles <\/span>var\u00edan, pero las campa\u00f1as de ClickFix a menudo se centran en establecer un punto de apoyo, extraer valor y evitar la detecci\u00f3n.<\/p>\n<p>El malware de recopilaci\u00f3n de credenciales es la carga \u00fatil m\u00e1s com\u00fan en la primera etapa. En muchos casos, identificamos el uso de programas maliciosos disponibles en el mercado, como <a href=\"https:\/\/unit42.paloaltonetworks.com\/malware-configuration-extraction-techniques-guloader-redline-stealer\/\" target=\"_blank\" rel=\"noopener\"><strong>RedLine<\/strong><\/a> o <strong>Lumma<\/strong>, que se implementaban inmediatamente despu\u00e9s de que un usuario descargara un instalador malicioso o respondiera a una solicitud de actualizaci\u00f3n falsa. Estas herramientas est\u00e1n configuradas para extraer las credenciales almacenadas en el navegador, los tokens guardados y las cookies de sesi\u00f3n.<\/p>\n<p><a href=\"https:\/\/unit42.paloaltonetworks.com\/lampion-malware-clickfix-lures\/\" target=\"_blank\" rel=\"noopener\"><strong>Lampion<\/strong><\/a>, un troyano bancario analizado por los investigadores de Unit 42, ejemplifica la evoluci\u00f3n de estas cargas \u00fatiles. Los se\u00f1uelos y ataques para las variantes de Lampion utilizan envenenamiento de SEO y sitios web comprometidos para su distribuci\u00f3n.<\/p>\n<p>Hemos observado que organizaciones del sector minorista se ven afectadas por este tipo de ataques. Un ejemplo incluye una solicitud de actualizaci\u00f3n falsa que llev\u00f3 a un empleado minorista a instalar sin saberlo un troyano de acceso remoto (RATs) que permiti\u00f3 al atacante observar y finalmente controlar el dispositivo de la v\u00edctima. En 90 minutos, el atacante hab\u00eda capturado las credenciales del sistema de gesti\u00f3n de pedidos de la organizaci\u00f3n y hab\u00eda preparado transferencias de datos salientes.<\/p>\n<h4><strong>Cadenas de herramientas modulares y escalables<\/strong><\/h4>\n<p>Los ataques de ClickFix a menudo utilizan cargas \u00fatiles que se intensifican por etapas:<\/p>\n<ul>\n<li>Comienzan con recolectores de credenciales ligeros para recopilar inteligencia.<\/li>\n<li>Implemente cargadores silenciosos para proporcionar herramientas adicionales solo si se confirma el acceso a sistemas confidenciales.<\/li>\n<li>Las cargas \u00fatiles complementarias pueden incluir lo siguiente:\n<ul>\n<li>Troyanos de acceso remoto (RAT)<\/li>\n<li>Infostealers<\/li>\n<li>Wipers<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Payloads rara vez son novedosas, pero los atacantes cambian su entrega y sincronizaci\u00f3n, calibradas para minimizar el riesgo y maximizar la utilidad. En muchos casos, los atacantes se basaron en t\u00e9cnicas bien conocidas (no en zero-days o exploits personalizados) porque los usuarios del sistema, no su software, eran el punto de entrada.<\/p>\n<p><strong>ClickFix no es sofisticado: es sistem\u00e1tico<\/strong><\/p>\n<p>La mayor\u00eda de las campa\u00f1as de ClickFix utilizaban herramientas disponibles p\u00fablicamente que se reutilizaban para el robo de credenciales o el acceso remoto. Lo que las diferenciaba no era la sofisticaci\u00f3n del malware, sino la precisi\u00f3n en la entrega, las indicaciones de apariencia leg\u00edtima, las rutas de entrega de alta confianza y la ejecuci\u00f3n sin contratiempos.<\/p>\n<table>\n<thead>\n<tr>\n<th style=\"text-align: left;\">En el 75 % de los casos relacionados con ClickFix que examinamos, los atacantes reutilizaron las credenciales obtenidas durante el compromiso inicial en un plazo de 48 horas, ya sea para el acceso directo a servicios en la nube o para ponerlas a la venta en mercados il\u00edcitos.<\/th>\n<\/tr>\n<\/thead>\n<\/table>\n<h4><strong>Conclusiones estrat\u00e9gicas<\/strong><\/h4>\n<p>ClickFix es un m\u00e9todo de enga\u00f1o escalable. Para defenderse contra ello, recomendamos a los responsables de seguridad que hagan lo siguiente:<\/p>\n<ul>\n<li>Supervisen los patrones de acceso en fase inicial, especialmente los recopiladores de credenciales y los cargadores sin archivos.<\/li>\n<li>Fortalezcan los endpoints contra las familias de malware m\u00e1s utilizadas indebidamente, incluso aquellas consideradas de uso com\u00fan.<\/li>\n<li>Hagan un seguimiento y controlen los privilegios de instalaci\u00f3n de software. Muchos incidentes comenzaron con descargas aprobadas por los usuarios.<\/li>\n<li>Extiendan la detecci\u00f3n m\u00e1s all\u00e1 del correo electr\u00f3nico para incluir la entrega basada en la web, la manipulaci\u00f3n del SEO y las indicaciones falsas del sistema.<\/li>\n<li>Establezcan pr\u00e1cticas de higiene de credenciales y limite la reutilizaci\u00f3n entre sistemas para evitar la exposici\u00f3n en cadena.<\/li>\n<\/ul>\n<h2><a id=\"post-151088-_heading=h.1cfraahtibxm\"><\/a>Ingenier\u00eda social en n\u00fameros<\/h2>\n<p>En esta secci\u00f3n, pasamos de las t\u00e1cticas a la telemetr\u00eda para examinar los patrones t\u00e9cnicos y organizativos que hay detr\u00e1s de ese \u00e9xito.<\/p>\n<p>En los casos en que la ingenier\u00eda social fue el vector de acceso inicial:<\/p>\n<ul>\n<li>El <strong>66%<\/strong> de los ataques de ingenier\u00eda social se dirigieron a cuentas con privilegios.<\/li>\n<li>El <strong>23%<\/strong> implicaba t\u00e9cnicas de devoluci\u00f3n de llamada o basadas en voz.<\/li>\n<li>El <strong>45%<\/strong> utiliz\u00f3 la suplantaci\u00f3n de identidad de personal interno para generar confianza.<\/li>\n<\/ul>\n<p>Como se inform\u00f3 en <a href=\"https:\/\/www.paloaltonetworks.com\/resources\/research\/unit-42-incident-response-report?utm_source=google-jg-amer-unit42-unrc-unpt&amp;utm_medium=paid_search&amp;utm_campaign=google-unit42-unit42_port-amer-multi-lead_gen-en-non_brand&amp;utm_content=7014u000001ZyZbAAK&amp;utm_term=cyber%20threat%20landscape&amp;cq_plac=&amp;cq_net=g&amp;gad_source=1&amp;gad_campaignid=20369915908&amp;gbraid=0AAAAADHVeKloupLzGlReZDzsOSqGnMQ6J&amp;gclid=CjwKCAjw4K3DBhBqEiwAYtG_9DCbZEEQOQXDf8IClfk55q9kAPrmUKmD_ZvZW7zHPGVLspBVHD0FexoC7hYQAvD_BwE\" target=\"_blank\" rel=\"noopener\">enero<\/a>, el phishing represent\u00f3 el 23% de todas las intrusiones y ese n\u00famero se mantiene constante en el conjunto de datos utilizado en este informe. Cuando se a\u00edslan \u00fanicamente <strong>las intrusiones motivadas por ingenier\u00eda social<\/strong>, el phishing asciende al 65% de esos casos (ver Figura\u00a01).<\/p>\n<p>Nuestros datos revelan seis patrones clave detr\u00e1s del \u00e9xito continuado de los ataques de ingenier\u00eda social, y c\u00f3mo est\u00e1n eludiendo las defensas.<\/p>\n<h3><strong>Acceso inicial: la ingenier\u00eda social sigue siendo la t\u00e1ctica principal<\/strong><\/h3>\n<p>El 36 % de todos los incidentes en los casos de IR comenzaron con una t\u00e1ctica de ingenier\u00eda social.<\/p>\n<h4><strong>Informaci\u00f3n clave<\/strong><\/h4>\n<p>A diferencia de los exploits t\u00e9cnicos que se basan en sistemas sin parches o vulnerabilidades de d\u00eda cero, la ingenier\u00eda social tiene \u00e9xito debido a controles de acceso d\u00e9biles, una sensaci\u00f3n de urgencia, cuentas con permisos excesivos y confianza mal depositada. Estas condiciones persisten en los entornos empresariales, incluso cuando se implementan herramientas de detecci\u00f3n modernas.<\/p>\n<h4><strong>Conclusiones estrat\u00e9gicas<\/strong><\/h4>\n<p>La ingenier\u00eda social sigue siendo el vector de ataque m\u00e1s eficaz porque se aprovecha del comportamiento humano, no de fallos t\u00e9cnicos. Omite sistem\u00e1ticamente los controles, independientemente de la madurez de la organizaci\u00f3n.<\/p>\n<p>Es hora de ir m\u00e1s all\u00e1 de la educaci\u00f3n del usuario como principal defensa. Trate la ingenier\u00eda social como una vulnerabilidad sist\u00e9mica que exige controles t\u00e9cnicos por capas y una verificaci\u00f3n estricta de confianza cero.<\/p>\n<h3><strong>Los vectores novedosos est\u00e1n ganando terreno<\/strong><\/h3>\n<p>Un 35% de los casos de ingenier\u00eda social combinados implicaron m\u00e9todos menos convencionales, como el envenenamiento SEO y la publicidad malintencionada, el smishing y el bombardeo MFA, as\u00ed como un conjunto cada vez mayor de otras t\u00e9cnicas (ver Figura\u00a01).<\/p>\n<p><img  class=\"alignnone wp-image-151224 lozad\"  data-src=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es_LA_figure-1-324x440.png\" alt=\"Gr\u00e1fico circular titulado \u201cDesglose de los tipos de ataques de ingenier\u00eda social\u201d en el que se muestran las distribuciones: 65% phishing, 22% otros, 12% envenenamiento SEO\/publicidad malintencionada y 1% smishing\/bombardeo MFA.\" width=\"500\" height=\"679\" srcset=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es_LA_figure-1-324x440.png 324w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es_LA_figure-1-516x700.png 516w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es_LA_figure-1.png 760w\" sizes=\"(max-width: 500px) 100vw, 500px\" \/><\/p>\n<p>Aunque el phishing sigue siendo el principal mecanismo de distribuci\u00f3n, estos m\u00e9todos emergentes demuestran que los atacantes est\u00e1n adaptando la ingenier\u00eda social para llegar a los usuarios a trav\u00e9s de plataformas, dispositivos y flujos de trabajo en los que la seguridad tradicional del correo electr\u00f3nico ya no supone una barrera.<\/p>\n<h4><strong>Informaci\u00f3n clave<\/strong><\/h4>\n<p>El predominio del phishing oculta un cambio m\u00e1s profundo: los actores de amenazas est\u00e1n ampliando su manual de estrategias.<\/p>\n<h4><strong>Conclusiones estrat\u00e9gicas<\/strong><\/h4>\n<p>La defensa contra la ingenier\u00eda social debe abarcar m\u00e1s que la bandeja de entrada. Los responsables de seguridad deben asegurarse de que la detecci\u00f3n se extienda a la mensajer\u00eda m\u00f3vil, las herramientas de colaboraci\u00f3n, los vectores basados en navegadores y las interfaces de respuesta r\u00e1pida (QR code).<\/p>\n<h3><strong>Las alertas perdidas, los controles d\u00e9biles y el exceso de permisos alimentan las intrusiones de ingenier\u00eda social<\/strong><\/h3>\n<p>\u200b\u200bEstas debilidades abarcan industrias, que incluyen:<\/p>\n<ul>\n<li>Manufactura<\/li>\n<li>Cuidado de la salud<\/li>\n<li>Finanzas<\/li>\n<li>Servicios profesionales<\/li>\n<li>Venta al por menor<\/li>\n<li>Gobierno estatal y federal<\/li>\n<\/ul>\n<p>Tambi\u00e9n afectan a organizaciones de todos los tama\u00f1os, desde peque\u00f1as empresas hasta grandes corporaciones, lo que subraya cu\u00e1n extendidos y sist\u00e9micos son estos problemas.<\/p>\n<ul>\n<li>En muchos casos, las alertas de seguridad pasaron desapercibidas. Los equipos sobrecargados pasaron por alto, restaron prioridad o descartaron inicios de sesi\u00f3n maliciosos, escaladas de privilegios o alertas activadas por accesos inusuales a dispositivos hasta que se confirm\u00f3 la vulnerabilidad.<\/li>\n<li>Los permisos excesivos aumentaron el \u00e1rea de impacto. En muchos casos, las cuentas comprometidas ten\u00edan acceso mucho m\u00e1s all\u00e1 de su funci\u00f3n operativa.<\/li>\n<li>La falta o el uso insuficiente de la MFA fue una caracter\u00edstica com\u00fan en una gran parte de las intrusiones basadas en credenciales. Los atacantes a veces pod\u00edan autenticarse sin problemas usando credenciales que hab\u00edan conseguido sin tener que pasar por ninguna verificaci\u00f3n secundaria.<\/li>\n<\/ul>\n<p>&nbsp;<\/p>\n<p><img  class=\"alignnone wp-image-151235 lozad\"  data-src=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-2-786x318.png\" alt=\"Gr\u00e1fico de barras titulado \u201cFigura\u00a02: Problemas de identidad y acceso que contribuyen al \u00e9xito de la ingenier\u00eda social.\u201d Se muestran cinco\u00a0categor\u00edas con los porcentajes correspondientes: Alertas de seguridad ignoradas: 13%, falta de MFA: 10%, permisos excesivos: 10%, registro insuficiente de los endpoints: 8%, contrase\u00f1as d\u00e9biles o predeterminadas: 7% y ausencia de AV\/EDR: tambi\u00e9n 7%.\" width=\"1000\" height=\"405\" srcset=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-2-786x318.png 786w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-2-768x311.png 768w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-2.png 1368w\" sizes=\"(max-width: 1000px) 100vw, 1000px\" \/><\/p>\n<h4><strong>Informaci\u00f3n clave<\/strong><\/h4>\n<p>Los actores de amenazas aprovecharon las vulnerabilidades de control que podr\u00edan haberse solucionado.<\/p>\n<h4><strong>Conclusiones estrat\u00e9gicas<\/strong><\/h4>\n<p>La defensa contra la ingenier\u00eda social depende de la detecci\u00f3n de indicadores en una fase temprana y de la limitaci\u00f3n del acceso tras el compromiso. Muchos indicadores tempranos se pasan por alto, no porque se ignoren, sino porque se clasifican de forma err\u00f3nea.<\/p>\n<ul>\n<li>D\u00e9 prioridad a la l\u00f3gica de alertas para se\u00f1alar como de alta prioridad los patrones de inicio de sesi\u00f3n anormales, el uso indebido de la MFA y el acceso inusual a software-as-a-service (SaaS).<\/li>\n<li>Los equipos de seguridad deben asegurarse de que las alertas cr\u00edticas se revisen y se escalen.<\/li>\n<li>La MFA obligatoria debe aplicarse a todas las cuentas privilegiadas y externas.<\/li>\n<li>Los derechos de acceso deben tener un alcance estricto y revisarse peri\u00f3dicamente.<\/li>\n<\/ul>\n<h3><strong>La tecnolog\u00eda con capacidad de detecci\u00f3n deficiente y los equipos con recursos insuficientes amplifican los riesgos de ingenier\u00eda social<\/strong><\/h3>\n<p>Las intrusiones de ingenier\u00eda social rara vez dependen \u00fanicamente de la sofisticaci\u00f3n del atacante. M\u00e1s a menudo, tienen \u00e9xito cuando las capacidades de detecci\u00f3n limitadas se cruzan con equipos sobrecargados o poco capacitados. Nuestros datos de IR destacan c\u00f3mo los puntos d\u00e9biles t\u00e9cnicos y las limitaciones de personal crean oportunidades para la intrusi\u00f3n.<\/p>\n<p>Los seis factores contribuyentes m\u00e1s citados reflejan m\u00e1s que deficiencias en las herramientas, revelan una tensi\u00f3n sist\u00e9mica. Es fundamental destacar que pocas organizaciones hab\u00edan implementado Identity Threat Detection and Response (ITDR) o an\u00e1lisis del comportamiento de usuarios y entidades (UEBA), dos capacidades que son cada vez m\u00e1s importantes para detectar ataques de ingenier\u00eda social y prevenir la apropiaci\u00f3n de cuentas. Las empresas que dependen exclusivamente del registro convencional y la telemetr\u00eda de endpoints probablemente pasen por alto los indicadores tempranos.<\/p>\n<p>Estas deficiencias se manifestaron con mayor frecuencia en cuatro \u00e1reas clave:<\/p>\n<ul>\n<li><strong>Falla al escalar las alertas: <\/strong>en varios casos, las se\u00f1ales de alerta temprana se registraron pero no se marcaron, lo que permiti\u00f3 a los atacantes avanzar sin control.<\/li>\n<li><strong>Fallo en las alertas de acci\u00f3n<\/strong>: en muchos casos, se detectaron comportamientos an\u00f3malos, pero no se escalaron debido a la fatiga de las alertas, la falta de claridad en la responsabilidad o las deficiencias en las habilidades de los equipos de seguridad.<\/li>\n<li><strong>Registro insuficiente de EDR y endpoints: <\/strong>sin indicadores claros ni puntos de referencia de comportamiento, los analistas ten\u00edan dificultades para distinguir entre la actividad rutinaria y los signos de compromiso.<\/li>\n<li><strong>La falta de un antivirus\/EDR centralizado y de protecci\u00f3n contra manipulaciones<\/strong> dej\u00f3 expuestos los activos no gestionados, lo que los actores de amenazas aprovecharon para moverse lateralmente o desactivar los controles sin ser detectados.<\/li>\n<\/ul>\n<p><img  class=\"alignnone wp-image-151246 lozad\"  data-src=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-3-786x302.png\" alt=\"Gr\u00e1fico de barras titulado \u201cFigura\u00a03: Deficiencias tecnol\u00f3gicas y de capital humano que contribuyen al \u00e9xito de la ingenier\u00eda social.\u201d En el cuadro se enumeran los tipos de deficiencias: Alerta de acci\u00f3n fallida en un 13%, registro insuficiente de endpoints en un 8%, registro insuficiente de red y ausencia AV\/EDR centralizados ambos en un 7%, y protecci\u00f3n insuficiente contra manipulaciones en un 4%.\" width=\"1000\" height=\"384\" srcset=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-3-786x302.png 786w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-3-768x295.png 768w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-3.png 1444w\" sizes=\"(max-width: 1000px) 100vw, 1000px\" \/><\/p>\n<h4><strong>Informaci\u00f3n clave<br \/>\n<\/strong><\/h4>\n<p>Las fallas de seguridad se debieron a una telemetr\u00eda deficiente, una asignaci\u00f3n de alertas poco clara y una capacidad de primera l\u00ednea sobrecargada, no a la sofisticaci\u00f3n de los atacantes.<\/p>\n<h4><strong>Conclusiones estrat\u00e9gicas <\/strong><\/h4>\n<ul>\n<li>Para fortalecer la capa humana es necesario fortalecer los sistemas que la sustentan.<\/li>\n<li>Aseg\u00farese de que las alertas se clasifiquen con una responsabilidad clara y rutas de escalamiento.<\/li>\n<li>D\u00e9 prioridad a la ampliaci\u00f3n de EDR a la detecci\u00f3n y respuesta ampliadas (XDR) para lograr una detecci\u00f3n centralizada con un contexto enriquecido.<\/li>\n<li>Abordar las brechas de herramientas que dejan expuestos los activos no administrados o los vectores de acceso.<\/li>\n<\/ul>\n<p>El acceso inicial es solo el comienzo. En muchos casos, lo que comienza como una \u00fanica interacci\u00f3n enga\u00f1osa da lugar a una exposici\u00f3n de datos de gran alcance, y los atacantes est\u00e1n optimizando sus acciones para conseguir precisamente ese resultado.<\/p>\n<h3><strong>La ingenier\u00eda social conduce a mayores \u00edndices de exposici\u00f3n de datos<\/strong><\/h3>\n<p>Los ataques de ingenier\u00eda social llevaron a la exposici\u00f3n de datos en el 60% de los casos, seg\u00fan nuestros datos de RI. Eso es 16 puntos porcentuales m\u00e1s alto cuando consideramos los casos en general que incluyen:<\/p>\n<ul>\n<li>Exfiltraci\u00f3n directa<\/li>\n<li>Exposici\u00f3n indirecta a trav\u00e9s del robo de credenciales<\/li>\n<li>Acceso no autorizado a sistemas internos<\/li>\n<li>Despliegue de infostealers y Trojans de acceso remoto<\/li>\n<\/ul>\n<p><img  class=\"alignnone wp-image-151257 lozad\"  data-src=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-4-786x369.png\" alt=\"Gr\u00e1fico de barras titulado \u201cFigura\u00a04: Tasas de exposici\u00f3n de datos: Ingenier\u00eda social vs. otros ataques.\u201d Se muestran dos\u00a0categor\u00edas: Ataques de ingenier\u00eda social con un 60% de exposici\u00f3n de datos y un 28% sin exposici\u00f3n de datos, y ataques activos con un 44% de exposici\u00f3n de datos y un 38% sin exposici\u00f3n de datos. Las tasas de exposici\u00f3n de datos se muestran en amarillo y las tasas de ausencia de exposici\u00f3n de datos en rojo.\" width=\"1000\" height=\"470\" srcset=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-4-786x369.png 786w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-4-768x361.png 768w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-4.png 1264w\" sizes=\"(max-width: 1000px) 100vw, 1000px\" \/><\/p>\n<h4><strong>Informaci\u00f3n clave<\/strong><\/h4>\n<p>Aproximadamente la mitad de los casos de ingenier\u00eda social fueron compromisos de correo electr\u00f3nico empresarial (BEC), y casi el 60% de todos los casos de BEC sufrieron exposici\u00f3n de datos, lo que demuestra que los actores de amenazas pasaron r\u00e1pidamente de obtener acceso a exfiltrar datos o recopilar credenciales durante este tipo de incidentes. Adem\u00e1s, las intrusiones generales en la red y el ransomware fueron los otros dos tipos de incidentes m\u00e1s frecuentes en los que se expusieron datos. De esos tipos de incidentes, la ingenier\u00eda social se situ\u00f3 entre los dos principales vectores de acceso inicial, lo que demuestra la popularidad de esta t\u00e9cnica en diferentes tipos de intrusiones y actores.<\/p>\n<p>La exposici\u00f3n de credenciales tambi\u00e9n fue un precursor com\u00fan de p\u00e9rdidas de datos m\u00e1s amplias. En varios casos, los atacantes reutilizaron credenciales comprometidas para acceder a recursos compartidos de archivos, sistemas de clientes o entornos de nube. Este efecto de exposici\u00f3n en cadena amplifica el impacto de un solo se\u00f1uelo exitoso, y convierte una identidad comprometida en un riesgo organizacional m\u00e1s amplio.<\/p>\n<h4><strong>Conclusiones estrat\u00e9gicas<\/strong><\/h4>\n<p>La ingenier\u00eda social no es solo un problema de acceso, sino tambi\u00e9n un riesgo significativo de p\u00e9rdida de datos. Para reducir la exposici\u00f3n, los equipos de seguridad deben mejorar la visibilidad del comportamiento de los usuarios despu\u00e9s de iniciar sesi\u00f3n, y no centrarse \u00fanicamente en prevenir el compromiso inicial. Las medidas clave incluyen lo siguiente:<\/p>\n<ul>\n<li>Restringir el acceso a activos confidenciales de forma predeterminada.<\/li>\n<li>Supervisar los movimientos laterales y el acceso a los archivos.<\/li>\n<li>Implementar el aprovisionamiento justo a tiempo para operaciones privilegiadas.<\/li>\n<li>Las pol\u00edticas de prevenci\u00f3n de p\u00e9rdida de datos (DLP) y el etiquetado de datos tambi\u00e9n deben tener en cuenta la probabilidad de acceso impulsado por ingenier\u00eda social, especialmente a trav\u00e9s de cuentas comprometidas.<\/li>\n<\/ul>\n<h3><strong>Las ganancias siguen siendo el principal motor <\/strong><\/h3>\n<p>La ganancia econ\u00f3mica es el motivo predominante en los casos de respuesta ante incidentes de la Unit\u00a042, y los ataques de ingenier\u00eda social no son una excepci\u00f3n. Casi todas las intrusiones de ingenier\u00eda social entre mayo de 2024 y mayo de 2025 tuvieron motivaciones econ\u00f3micas (ver Figura 5), y los actores de amenazas buscaban monetizar el acceso mediante el robo de datos, la extorsi\u00f3n, el ransomware o la reventa de credenciales.<\/p>\n<p><strong><img  class=\"alignnone wp-image-151268 lozad\"  data-src=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-5-330x440.png\" alt=\"Gr\u00e1fico de barras titulado \u201cFigura\u00a05: los motivos de los actores de amenazas\u201d son: 93% ganancia econ\u00f3mica, 4% comodidad\/conveniencia y 3% otros.\" width=\"500\" height=\"666\" srcset=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-5-330x440.png 330w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-5-526x700.png 526w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-LA-figure-5.png 760w\" sizes=\"(max-width: 500px) 100vw, 500px\" \/><\/strong><\/p>\n<h4><strong>Informaci\u00f3n clave<\/strong><\/h4>\n<p>Social engineering remains a preferred access method because it is easy to execute, requires little infrastructure and often avoids detection as attackers reuse proven tools such as phishing kits. The goal is to leverage trust-based access to bypass hardened controls.<\/p>\n<h4><strong>Conclusiones estrat\u00e9gicas <\/strong><\/h4>\n<p>Los atacantes contin\u00faan eligiendo la ingenier\u00eda social no por su sofisticaci\u00f3n, sino por su facilidad, velocidad y confiabilidad. La detecci\u00f3n y la respuesta deben ajustarse para detectar la preparaci\u00f3n de datos, el movimiento de archivos y el acceso anormal al sistema.<\/p>\n<table>\n<thead>\n<tr>\n<th>\n<p style=\"text-align: left;\"><strong>Por qu\u00e9 funciona la ingenier\u00eda social:<\/strong><\/p>\n<ul>\n<li style=\"text-align: left;\">Puntos d\u00e9biles de la tecnolog\u00eda: Las redes planas que carecen de segmentaci\u00f3n exponen a las empresas a un r\u00e1pido movimiento lateral despu\u00e9s de un compromiso.<\/li>\n<li style=\"text-align: left;\">Error humano y confianza: Los atacantes enga\u00f1an a las personas con estafas de devoluci\u00f3n de llamada (callback scams), suplantando la identidad de ejecutivos y usando pretextos de tareas rutinarias.<\/li>\n<li style=\"text-align: left;\">V\u00edas de privilegio: El robo de credenciales otorga a los intrusos acceso a nivel de insider.<\/li>\n<\/ul>\n<\/th>\n<\/tr>\n<\/thead>\n<\/table>\n<h2><a id=\"post-151088-_heading=h.p9akl4kjlli6\"><\/a>Recomendaciones para los defensores<\/h2>\n<p>La ingenier\u00eda social sigue superando a otros vectores de acceso, no por su sofisticaci\u00f3n t\u00e9cnica, sino por aprovechar las vulnerabilidades entre las personas, los procesos y las plataformas. Para contrarrestar esto, los defensores deben centrarse en la resiliencia de la identidad, la visibilidad en todos los flujos de trabajo y las operaciones basadas en la inteligencia. Funciones como UEBA e ITDR desempe\u00f1an un papel cada vez m\u00e1s importante en la identificaci\u00f3n de actividades an\u00f3malas y el bloqueo de intentos de apropiaci\u00f3n de cuentas.<\/p>\n<p>Las siguientes ocho recomendaciones se basan directamente en los casos de respuesta ante incidentes y la investigaci\u00f3n de amenazas de Unit\u00a042:<\/p>\n<h3><a id=\"post-151088-_heading=h.74m2eildvubs\"><\/a>Correlacionar se\u00f1ales de identidad para detectar abusos de forma m\u00e1s temprana<\/h3>\n<p>Los atacantes suelen parecer leg\u00edtimos hasta que surgen comportamientos an\u00f3malos. La correlaci\u00f3n de se\u00f1ales entre la identidad, el dispositivo y el comportamiento de la sesi\u00f3n ayuda a los equipos de operaciones de seguridad a detectar los ataques de ingenier\u00eda social antes de que se intensifiquen. Plataformas como <a href=\"https:\/\/www.paloaltonetworks.com\/cortex\/cortex-xsiam\" target=\"_blank\" rel=\"noopener\"><strong>Cortex XSIAM<\/strong><\/a> aceleran este proceso, permitiendo una detecci\u00f3n y contenci\u00f3n m\u00e1s r\u00e1pidas de las amenazas sin depender de los indicadores tradicionales de compromiso (IOC).<\/p>\n<h3><a id=\"post-151088-_heading=h.kbybews8sopy\"><\/a>Implementar el modelo de Confianza Cero en todas las v\u00edas de acceso<\/h3>\n<p>Una postura s\u00f3lida de Confianza Cero limita los movimientos del atacante despu\u00e9s del acceso inicial. Aplique pol\u00edticas de acceso condicional que eval\u00faen la confianza del dispositivo, la ubicaci\u00f3n y el comportamiento de inicio de sesi\u00f3n antes de conceder el acceso. Combine los principios de privilegios m\u00ednimos, el acceso justo a tiempo y la segmentaci\u00f3n de la red para restringir el movimiento lateral y reducir el radio de impacto.<\/p>\n<h3><a id=\"post-151088-_heading=h.4425s1kh07bl\"><\/a>Fortalecer el factor humano con detecci\u00f3n y formaci\u00f3n<\/h3>\n<p>Los empleados son parte de la superficie de detecci\u00f3n. Reforzar los puntos de ataque comunes, como correo electr\u00f3nico, navegadores y aplicaciones de mensajer\u00eda, con controles basados en inteligencia. Capacitar a los equipos de primera l\u00ednea, como RR. HH. y soporte de TI, para que reconozcan e informen sobre la suplantaci\u00f3n de identidad, los se\u00f1uelos de voz y los pretextos. Simular las t\u00e9cnicas de ataque actuales, incluida la suplantaci\u00f3n de la mesa de ayuda y la manipulaci\u00f3n de MFA.<\/p>\n<h3><a id=\"post-151088-_heading=h.8arsnn9e2bb3\"><\/a>Reforzar la detecci\u00f3n con an\u00e1lisis de identidad y comportamiento<\/h3>\n<p>La detecci\u00f3n de la ingenier\u00eda social requiere una visibilidad que va m\u00e1s all\u00e1 de los indicadores tradicionales. Correlacione las se\u00f1ales entre la identidad, los endpoints, la red y la actividad SaaS para detectar a tiempo los intentos de escalada. Funciones como UEBA e ITDR ayudan a detectar anomal\u00edas como la suplantaci\u00f3n de identidad, el abuso de sesiones y el uso indebido de credenciales.<\/p>\n<h3><a id=\"post-151088-_heading=h.na2a026zdv8v\"><\/a>Controlar y supervisar el uso ileg\u00edtimo de herramientas nativas y flujos de trabajo de procesos empresariales.<\/h3>\n<p>Los atacantes pueden utilizar utilidades integradas como PowerShell o WMI para moverse sin ser detectados. Establecer bases de referencia de comportamiento y alertar sobre anomal\u00edas. Asigne flujos de trabajo empresariales para descubrir d\u00f3nde se puede aprovechar la confianza en los procesos, en particular los puntos de escalamiento que dependen de aprobaciones r\u00e1pidas o identidades asumidas, como restablecimientos de credenciales del servicio de asistencia, anulaciones del sistema financiero o accesos privilegiados concedidos a trav\u00e9s de mensajes informales en plataformas como Slack o Microsoft Teams.<\/p>\n<h3><a id=\"post-151088-_heading=h.s2ut68t3o6fg\"><\/a>Desarrollar la resiliencia mediante la simulaci\u00f3n y la preparaci\u00f3n de manuales de estrategias<\/h3>\n<p>La preparaci\u00f3n reduce las deficiencias en la respuesta. Haga simulacros en directo basados en t\u00e1cticas actuales de ingenier\u00eda social, como la suplantaci\u00f3n de identidad o el uso encadenado de credenciales. Valide los manuales de estrategias, involucre a equipos multifuncionales e integre la inteligencia de amenazas de Unit\u00a042 tanto en los ejercicios del equipo azul como en los programas de concienciaci\u00f3n de los usuarios.<\/p>\n<h3><a id=\"post-151088-_heading=h.fon4375x7pwf\"><\/a>Aplicar controles en la capa de red<\/h3>\n<p>Implemente seguridad DNS avanzada y URL Filtering avanzado para bloquear el acceso a infraestructuras maliciosas. Estos controles ayudan a detectar y prevenir ataques de ingenier\u00eda social que se basan en dominios falsificados, typosquatting (ciberocupaci\u00f3n por errores tipogr\u00e1ficos), envenenamiento de SEO y robo de credenciales a trav\u00e9s de enlaces. La visibilidad en la capa de red aporta una l\u00ednea de defensa fundamental cuando falla la detecci\u00f3n basada en identidades o en los endpoints.<\/p>\n<h3><a id=\"post-151088-_heading=h.er3aqdoil88d\"><\/a>Bloquear las rutas de recuperaci\u00f3n de identidad<\/h3>\n<p>Los actores de amenazas se dirigen cada vez m\u00e1s a los servicios de asistencia de TI para restablecer credenciales y eludir la MFA. Refuerce los controles relacionados con la recuperaci\u00f3n de cuentas mediante la aplicaci\u00f3n de protocolos estrictos de verificaci\u00f3n de identidad, la limitaci\u00f3n de qui\u00e9n puede iniciar restablecimientos y la supervisi\u00f3n de patrones de solicitudes inusuales. El personal del servicio de asistencia debe recibir formaci\u00f3n peri\u00f3dica basada en amenazas reales.<\/p>\n<h3><a id=\"post-151088-_heading=h.nus7p99u6tcp\"><\/a>Reflexiones finales<\/h3>\n<p>La ingenier\u00eda social sigue evolucionando, pero su \u00e9xito sigue dependiendo de la confianza. Los defensores deben pensar m\u00e1s all\u00e1 del malware y los controles de infraestructura. El nuevo per\u00edmetro lo conforman las personas, los procesos y las decisiones que toman en tiempo real. Las recomendaciones de esta secci\u00f3n est\u00e1n dise\u00f1adas para reforzar esas decisiones y crear un entorno en el que la confianza no pueda aprovecharse f\u00e1cilmente.<\/p>\n<h2><a id=\"post-151088-_heading=h.596gvb9ndvsd\"><\/a>C\u00f3mo puede ayudar Palo Alto Networks<\/h2>\n<p>Palo Alto Networks ofrece plataformas de seguridad unificadas que permiten a las organizaciones defenderse tanto de amenazas de ingenier\u00eda social altamente espec\u00edficas como de amenazas generales.<\/p>\n<p><a href=\"https:\/\/www.paloaltonetworks.com\/resources\/ebooks\/cortex-xsiam\" target=\"_blank\" rel=\"noopener\"><strong>Cortex XSIAM<\/strong><\/a> y <a href=\"https:\/\/www.paloaltonetworks.com\/cortex\/cortex-xdr\" target=\"_blank\" rel=\"noopener\"><strong>Cortex XDR<\/strong><\/a> transforman el centro de operaciones de seguridad (SOC) con visibilidad y protecci\u00f3n unificadas: bloquean las amenazas a los endpoints, incorporan funciones de seguridad para el correo electr\u00f3nico y permiten la detecci\u00f3n, investigaci\u00f3n y respuesta basadas en inteligencia artificial en cualquier fuente de datos.<\/p>\n<p><a href=\"https:\/\/www.paloaltonetworks.com\/network-security\/advanced-threats\" target=\"_blank\" rel=\"noopener\"><strong>WildFire avanzado<\/strong><\/a>,<a href=\"https:\/\/www.paloaltonetworks.com\/network-security\/advanced-url-filtering\" target=\"_blank\" rel=\"noopener\"> <strong>URL Filtering avanzado<\/strong><\/a> y<a href=\"https:\/\/www.paloaltonetworks.com\/network-security\/advanced-dns-security\" target=\"_blank\" rel=\"noopener\"> <strong>Seguridad DNS avanzada<\/strong><\/a> refuerzan a\u00fan m\u00e1s las defensas mediante el uso de an\u00e1lisis basados en inteligencia artificial para bloquear el phishing, el malware y el contenido web malicioso antes de que lleguen a los usuarios.<\/p>\n<p><a href=\"https:\/\/www.paloaltonetworks.com\/sase\/access\" target=\"_blank\" rel=\"noopener\"><strong>Prisma Access<\/strong><\/a> y <a href=\"https:\/\/start.paloaltonetworks.com\/prisma-airs-demo.html?utm_source=google-jg-amer-portfolio-brnd-port&amp;utm_medium=paid_search&amp;utm_campaign=google-portfolio-portfolio-amer-multi-awareness-en-brand_ai-restructure&amp;utm_content=701Ki000000oro7IAA&amp;utm_term=prisma%20airs&amp;cq_plac=&amp;cq_net=g&amp;gad_source=1&amp;gad_campaignid=22490755190&amp;gbraid=0AAAAADHVeKkVBCsFohLa2mDIYzjbpuRK5&amp;gclid=Cj0KCQjwyvfDBhDYARIsAItzbZFBwM1TVbF3lH38L4HD4ng71RwQeqZV6GwGsz8cK4uHpt-yfUO7jXQaAutYEALw_wcB\" target=\"_blank\" rel=\"noopener\"><strong>Prisma AIRS<\/strong><\/a> ampl\u00edan la protecci\u00f3n a los trabajadores remotos, lo que permite una aplicaci\u00f3n coherente de las pol\u00edticas y la prevenci\u00f3n de amenazas en cualquier lugar. El <a href=\"https:\/\/www.paloaltonetworks.com\/sase\/prisma-access-browser\" target=\"_blank\" rel=\"noopener\"><strong>explorador Prisma Access<\/strong> <\/a>permite navegar por Internet de forma segura y lo protege de las amenazas de la red en cualquier dispositivo.<\/p>\n<p>Para ayudar a las organizaciones a mantener su resiliencia y proactividad, Palo Alto Networks<a href=\"https:\/\/www.paloaltonetworks.com\/unit42\/retainer\" target=\"_blank\" rel=\"noopener\"> <strong>Anticipo de Unit\u00a042<\/strong><\/a> y <a href=\"https:\/\/www.paloaltonetworks.com\/unit42\/about\" target=\"_blank\" rel=\"noopener\"><strong>Servicios proactivos<\/strong><\/a> ofrecen respuesta ante incidentes las 24\u00a0horas del d\u00eda, los 7\u00a0d\u00edas de la semana, y acceso a la informaci\u00f3n m\u00e1s reciente sobre amenazas. Al integrar la inteligencia de Unit\u00a042 en los programas de formaci\u00f3n de los empleados, las organizaciones pueden ayudar a mantener a su personal alerta ante las nuevas t\u00e1cticas de ingenier\u00eda social, reduciendo la brecha entre la innovaci\u00f3n de los atacantes y la concienciaci\u00f3n de los defensores. Este enfoque hol\u00edstico ayuda a poner en pr\u00e1ctica el modelo de Confianza Cero, proteger la superficie de ataque humana y permitir una respuesta r\u00e1pida ante amenazas en constante evoluci\u00f3n.<\/p>\n<h2><a id=\"post-151088-_heading=h.lguchswm6juz\"><\/a>Datos y metodolog\u00eda<\/h2>\n<p>El objetivo de este informe es proporcionar a los lectores una comprensi\u00f3n estrat\u00e9gica de los escenarios de amenazas reales y previstos, lo que les permitir\u00e1 implementar estrategias de protecci\u00f3n m\u00e1s eficaces.<\/p>\n<p>Recopilamos los datos para este informe a partir de m\u00e1s de 700\u00a0casos a los que respondi\u00f3 Unit\u00a042 entre mayo de 2024 y mayo de 2025. Nuestros clientes abarcan desde peque\u00f1as organizaciones con menos de 50\u00a0empleados hasta empresas de la lista Fortune\u00a0500 y Global\u00a02000, as\u00ed como organismos gubernamentales con m\u00e1s de 100,000\u00a0empleados.<\/p>\n<p>Las organizaciones afectadas ten\u00edan su sede en 49\u00a0pa\u00edses diferentes. Aproximadamente el 73% de las organizaciones afectadas en estos casos se encontraban en Am\u00e9rica del Norte. Los casos relacionados con organizaciones con sede en Europa, Oriente Medio y Asia-Pac\u00edfico constituyen aproximadamente el 27% del trabajo restante. Los ataques suelen tener repercusiones m\u00e1s all\u00e1 de las ubicaciones donde se encuentran las sedes de las organizaciones.<\/p>\n<p>Los resultados pueden diferir de los publicados en el <a href=\"https:\/\/www.paloaltonetworks.com\/resources\/research\/unit-42-incident-response-report?utm_source=google-jg-amer-unit42-unrc-unpt&amp;utm_medium=paid_search&amp;utm_campaign=google-unit42-unit42_port-amer-multi-lead_gen-en-brand&amp;utm_content=7014u000001ZyZbAAK&amp;utm_term=unit%2042%20incident%20response&amp;cq_plac=&amp;cq_net=g&amp;gad_source=1&amp;gad_campaignid=20369915902&amp;gbraid=0AAAAADHVeKl-iJ526vXa9_8M4CQLN7U8s&amp;gclid=CjwKCAjwprjDBhBTEiwA1m1d0jcc13ZR37ezKDbwwclTLp2OGMp0fAgfYH-OGyEcJ4AWxw6n_sdFZxoCSP8QAvD_BwE\" target=\"_blank\" rel=\"noopener\">Informe global sobre respuesta ante incidentes<\/a> de enero de 2025, que analiz\u00f3 los casos de respuesta ante incidentes entre octubre de 2023 y octubre de 2024. Las diferencias en los porcentajes reflejan tanto los distintos marcos temporales como la naturaleza espec\u00edfica de este informe, que hace hincapi\u00e9 en las intrusiones espec\u00edficas de ingenier\u00eda social en todos los sectores verticales.<\/p>\n<p>Se excluyeron algunos factores de los datos que podr\u00edan comprometer la integridad anal\u00edtica. Por ejemplo, asistimos a clientes que investigaban los posibles efectos de CVE-2024-3400, lo que provoc\u00f3 que esta vulnerabilidad apareciera con una frecuencia inusual en nuestro conjunto de datos. Cuando fue necesario, recalibramos los datos para corregir cualquier desequilibrio estad\u00edstico.<\/p>\n<h2><a id=\"post-151088-_heading=h.cyz5w7uawpvm\"><\/a>Ap\u00e9ndice<\/h2>\n<h3><strong>Sectores m\u00e1s afectados por los ataques de ingenier\u00eda social<\/strong><\/h3>\n<p>Seg\u00fan los datos del IR de Unit\u00a042 entre mayo de 2024 y mayo de 2025, el sector de la alta tecnolog\u00eda fue el m\u00e1s afectado por todas las intrusiones confirmadas. Pero al aislar los casos de ingenier\u00eda social, el sector de fabricaci\u00f3n result\u00f3 ser el m\u00e1s afectado. Este cambio resalta c\u00f3mo las t\u00e1cticas de los atacantes var\u00edan seg\u00fan el perfil de la industria. Consulte la Figura\u00a06 para ver el desglose completo por sectores.<\/p>\n<p><img  class=\"alignnone wp-image-151279 lozad\"  data-src=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-La-figure-6-489x440.png\" alt=\"Gr\u00e1fico de barras titulado \u201cFigura\u00a06: Distribuci\u00f3n de la exposici\u00f3n de datos: Ingenier\u00eda social vs. Otros ataques\u201d, donde se muestra la distribuci\u00f3n porcentual entre los distintos sectores. La fabricaci\u00f3n tiene el porcentaje m\u00e1s alto de ingenier\u00eda social, con un 15%, mientras que la industria de alta tecnolog\u00eda tiene el porcentaje m\u00e1s alto de otros ataques, con un 17%. Otros sectores incluidos son el profesional\/legal, mayorista\/minorista, servicios financieros y salud, con porcentajes que oscilan entre el 9% y el 15% para la ingenier\u00eda social y entre el 6% y el 17% para otros ataques. Los ataques de ingenier\u00eda social se indican en amarillo y los dem\u00e1s ataques en rojo. \" width=\"900\" height=\"809\" srcset=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-La-figure-6-489x440.png 489w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-La-figure-6-779x700.png 779w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-La-figure-6-768x690.png 768w, https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/08\/es-La-figure-6.png 1268w\" sizes=\"(max-width: 900px) 100vw, 900px\" \/><\/p>\n","protected":false},"excerpt":{"rendered":"<p>La ingenier\u00eda social se nutre de la confianza y ahora se ve impulsada por la inteligencia artificial. Los datos de respuesta a incidentes de la Unidad 42 explican por qu\u00e9 est\u00e1 aumentando. Detallamos ocho contramedidas fundamentales.<\/p>\n","protected":false},"author":23,"featured_media":147924,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[8739,8721,8829,8839,8793],"tags":[9270,9449,9450,9451,9452,9455,9241,9453,9454,8883],"product_categories":[8922,8924,8925,8921,8928,8932,8934,8935,8944,8890],"coauthors":[1025],"class_list":["post-151088","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybercrime-es-la","category-business-email-compromise-es-la","category-threat-actor-groups-es-la","category-trend-reports-es-la","category-malware-es-la","tag-agent-serpens-es-la","tag-agentic-ai-es-la","tag-clickfix-es-la","tag-credential-harvesting-es-la","tag-lumma-stealer-es-la","tag-mfa-es-la","tag-muddled-libra-es-la","tag-remote-access-tool-es-la","tag-seo-poisoning-es-la","tag-social-engineering-es-la","product_categories-advanced-dns-security-es-la","product_categories-advanced-url-filtering-es-la","product_categories-advanced-wildfire-es-la","product_categories-cloud-delivered-security-services-es-la","product_categories-code-to-cloud-platform-es-la","product_categories-cortex-es-la","product_categories-cortex-xdr-es-la","product_categories-cortex-xsiam-es-la","product_categories-prisma-access-es-la","product_categories-unit-42-incident-response-es-la"],"yoast_head":"<!-- This site is optimized with the Yoast SEO Premium plugin v27.0 (Yoast SEO v27.0) - https:\/\/yoast.com\/product\/yoast-seo-premium-wordpress\/ -->\n<title>Informe de respuesta ante incidentes de Unit\u00a042 de 2025: edici\u00f3n de ingenier\u00eda social<\/title>\n<meta name=\"description\" content=\"La ingenier\u00eda social se nutre de la confianza y ahora se ve impulsada por la inteligencia artificial. Los datos de respuesta a incidentes de la Unidad 42 explican por qu\u00e9 est\u00e1 aumentando. Detallamos ocho contramedidas fundamentales.\" \/>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/\" \/>\n<meta property=\"og:locale\" content=\"es_LA\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"Informe de respuesta ante incidentes de Unit\u00a042 de 2025: edici\u00f3n de ingenier\u00eda social\" \/>\n<meta property=\"og:description\" content=\"La ingenier\u00eda social se nutre de la confianza y ahora se ve impulsada por la inteligencia artificial. Los datos de respuesta a incidentes de la Unidad 42 explican por qu\u00e9 est\u00e1 aumentando. Detallamos ocho contramedidas fundamentales.\" \/>\n<meta property=\"og:url\" content=\"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/\" \/>\n<meta property=\"og:site_name\" content=\"Unit 42\" \/>\n<meta property=\"article:published_time\" content=\"2025-07-30T17:51:55+00:00\" \/>\n<meta property=\"article:modified_time\" content=\"2025-08-13T20:03:26+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/07\/cover-1920x900-no-blades.jpg\" \/>\n\t<meta property=\"og:image:width\" content=\"1920\" \/>\n\t<meta property=\"og:image:height\" content=\"900\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/jpeg\" \/>\n<meta name=\"author\" content=\"Unit 42\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<!-- \/ Yoast SEO Premium plugin. -->","yoast_head_json":{"title":"Informe de respuesta ante incidentes de Unit\u00a042 de 2025: edici\u00f3n de ingenier\u00eda social","description":"La ingenier\u00eda social se nutre de la confianza y ahora se ve impulsada por la inteligencia artificial. Los datos de respuesta a incidentes de la Unidad 42 explican por qu\u00e9 est\u00e1 aumentando. Detallamos ocho contramedidas fundamentales.","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/","og_locale":"es_LA","og_type":"article","og_title":"Informe de respuesta ante incidentes de Unit\u00a042 de 2025: edici\u00f3n de ingenier\u00eda social","og_description":"La ingenier\u00eda social se nutre de la confianza y ahora se ve impulsada por la inteligencia artificial. Los datos de respuesta a incidentes de la Unidad 42 explican por qu\u00e9 est\u00e1 aumentando. Detallamos ocho contramedidas fundamentales.","og_url":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/","og_site_name":"Unit 42","article_published_time":"2025-07-30T17:51:55+00:00","article_modified_time":"2025-08-13T20:03:26+00:00","og_image":[{"width":1920,"height":900,"url":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/07\/cover-1920x900-no-blades.jpg","type":"image\/jpeg"}],"author":"Unit 42","twitter_card":"summary_large_image","schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"Article","@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/#article","isPartOf":{"@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/"},"author":{"name":"Unit 42","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/a891f81d18648a1e0bab742238d31a63"},"headline":"Informe de respuesta ante incidentes de Unit\u00a042 de 2025: edici\u00f3n de ingenier\u00eda social","datePublished":"2025-07-30T17:51:55+00:00","dateModified":"2025-08-13T20:03:26+00:00","mainEntityOfPage":{"@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/"},"wordCount":7769,"image":{"@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/#primaryimage"},"thumbnailUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/07\/cover-1920x900-no-blades.jpg","keywords":["Agent Serpens","Agentic AI","ClickFix","Credential Harvesting","Lumma Stealer","MFA","Muddled Libra","Remote Access Tool","SEO poisoning","social engineering"],"articleSection":["Ciberdelito","correo electr\u00f3nico comercial comprometido","Grupos de actores de amenazas","Informes de tendencias","Malware"],"inLanguage":"es"},{"@type":"WebPage","@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/","url":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/","name":"Informe de respuesta ante incidentes de Unit\u00a042 de 2025: edici\u00f3n de ingenier\u00eda social","isPartOf":{"@id":"https:\/\/unit42.paloaltonetworks.com\/#website"},"primaryImageOfPage":{"@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/#primaryimage"},"image":{"@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/#primaryimage"},"thumbnailUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/07\/cover-1920x900-no-blades.jpg","datePublished":"2025-07-30T17:51:55+00:00","dateModified":"2025-08-13T20:03:26+00:00","author":{"@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/a891f81d18648a1e0bab742238d31a63"},"description":"La ingenier\u00eda social se nutre de la confianza y ahora se ve impulsada por la inteligencia artificial. Los datos de respuesta a incidentes de la Unidad 42 explican por qu\u00e9 est\u00e1 aumentando. Detallamos ocho contramedidas fundamentales.","breadcrumb":{"@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/#breadcrumb"},"inLanguage":"es","potentialAction":[{"@type":"ReadAction","target":["https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/"]}]},{"@type":"ImageObject","inLanguage":"es","@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/#primaryimage","url":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/07\/cover-1920x900-no-blades.jpg","contentUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2025\/07\/cover-1920x900-no-blades.jpg","width":1920,"height":900,"caption":"Pictorial representation of social engineering. Digital illustration of four human profiles connected by glowing neural network lines against a dark background, symbolizing connectivity and technology."},{"@type":"BreadcrumbList","@id":"https:\/\/unit42.paloaltonetworks.com\/es-la\/2025-unit-42-global-incident-response-report-social-engineering-edition\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https:\/\/unit42.paloaltonetworks.com\/"},{"@type":"ListItem","position":2,"name":"Informe de respuesta ante incidentes de Unit\u00a042 de 2025: edici\u00f3n de ingenier\u00eda social"}]},{"@type":"WebSite","@id":"https:\/\/unit42.paloaltonetworks.com\/#website","url":"https:\/\/unit42.paloaltonetworks.com\/","name":"Unit 42","description":"Palo Alto Networks","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/unit42.paloaltonetworks.com\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"es"},{"@type":"Person","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/a891f81d18648a1e0bab742238d31a63","name":"Unit 42","image":{"@type":"ImageObject","inLanguage":"es","@id":"https:\/\/unit42.paloaltonetworks.com\/#\/schema\/person\/image\/4ffb3c2d260a0150fb91b3715442f8b3","url":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2018\/11\/unit-news-meta.svg","contentUrl":"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2018\/11\/unit-news-meta.svg","caption":"Unit 42"},"url":"https:\/\/unit42.paloaltonetworks.com\/es-la\/author\/unit42\/"}]}},"_links":{"self":[{"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/posts\/151088","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/users\/23"}],"replies":[{"embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/comments?post=151088"}],"version-history":[{"count":4,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/posts\/151088\/revisions"}],"predecessor-version":[{"id":151291,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/posts\/151088\/revisions\/151291"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/media\/147924"}],"wp:attachment":[{"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/media?parent=151088"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/categories?post=151088"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/tags?post=151088"},{"taxonomy":"product_categories","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/product_categories?post=151088"},{"taxonomy":"author","embeddable":true,"href":"https:\/\/unit42.paloaltonetworks.com\/es-la\/wp-json\/wp\/v2\/coauthors?post=151088"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}