Amenaza externa frente a interna
Las amenazas de seguridad se clasifican habitualmente por el origen del actor. Una amenaza externa la plantea alguien sin relación legítima con la organización: un hacker individual, un grupo criminal organizado, un actor patrocinado por un Estado o atacantes automatizados que escanean internet en busca de servicios expuestos. Una amenaza interna procede de alguien a quien la organización ya le dio acceso: un empleado, un contratista o un socio.
La distinción importa porque ambas clases superan controles distintos. El actor externo debe entrar primero, mientras que las amenazas internas ya están dentro y evitan por completo las defensas perimetrales.
Cómo operan los atacantes externos
Los atacantes externos suelen entrar por unas pocas vías conocidas. Un mensaje de phishing de clonación, copia de un correo real, es una de las formas de obtener una contraseña válida.
| Vector | Cómo funciona |
|---|---|
| Phishing e ingeniería social | Engaña a empleados para revelar credenciales o ejecutar software malicioso |
| Explotación de servicios expuestos | VPN sin parchear, portales de acceso remoto o nube mal configurada |
| Credential stuffing y fuerza bruta | Reutiliza contraseñas filtradas de otras brechas contra cuentas corporativas |
| Malware y ransomware | Cargas entregadas por correo, descargas maliciosas o sitios comprometidos |
| Ataques a la cadena de suministro | Compromete a un proveedor de confianza o una actualización de software |
La frontera difusa
La separación nítida entre interno y externo se rompe en la práctica. Cuando un atacante externo obtiene la contraseña válida de un empleado, opera a través de una cuenta interna.
Este escenario híbrido suele describirse como insider comprometido. El actor es externo, pero el acceso y la actividad parecen internos, por eso está entre los patrones de ataque más dañinos.
- 1
Obtener una contraseña válida
Mediante phishing, un registro de infostealer o un volcado de credenciales filtradas.
- 2
Entrar como un empleado
Todos los sistemas ven a un usuario legítimo y autenticado. En el perímetro no se ha roto nada.
- 3
Heredar los privilegios
Los controles perimetrales quedan sorteados y el atacante hereda los privilegios del usuario legítimo.
Cómo se ve en Anexet
El lado de detección de amenazas internas de Anexet añade al panel un widget de riesgo de usuarios. Ordena a los usuarios por riesgo y puede mostrar solo el riesgo que nadie ha revisado todavía, así que una cuenta cuyo comportamiento cambia es más fácil de detectar.
Señales de una cuenta comprometida
Ninguna señal aislada demuestra que hay un atacante externo dentro. Ordenar las señales según lo que sugieren permite al equipo de seguridad centrarse en las cuentas más importantes.
El paso final suele ser la exfiltración de datos, así que una transferencia por un canal inusual merece atención aunque el inicio de sesión parezca normal.
| Señal | Qué puede indicar | Prioridad de revisión |
|---|---|---|
| Actividad en horas inusuales | Una sesión que no encaja con el horario habitual del titular | Revisar pronto |
| Acceso a datos fuera del rol del usuario | Una cuenta usada más allá de las funciones de su titular | Revisar primero |
| Transferencia por un canal nuevo o inusual | Datos que salen por una vía que el usuario nunca había usado | Revisar primero |
| Trabajo rutinario en horario normal | Por sí solo, normalmente nada | Suele ser normal |
Defensa frente a las amenazas externas
La defensa clásica frente a los actores externos gira en torno al perímetro: cortafuegos, prevención de intrusiones, filtrado de correo, aplicación diligente de parches, autenticación multifactor y gestión de la superficie de ataque.
Como las credenciales pueden robarse por muy sólido que sea el perímetro, los programas maduros también asumen que los externos pueden entrar. Añaden controles centrados en la identidad, mínimo privilegio y monitorización interna, como la monitorización de la actividad de los usuarios, la analítica del comportamiento y la prevención de pérdida de datos. Estos controles observan lo que los usuarios autenticados hacen de verdad. El giro hacia las arquitecturas de confianza cero refleja esto: la ubicación en la red, por sí sola, ya no establece confianza.
Errores comunes
La mayoría de las brechas nacen de tomar un inicio de sesión válido como prueba de que quien actúa es un usuario legítimo. Hay que mirar lo que hace la cuenta, no solo cómo inició sesión. Compara las señales con los indicadores de amenaza interna conocidos para decidir cuáles merecen una revisión más detallada.
- Confiar solo en la defensa perimetral como única línea de defensa
- Tomar un inicio de sesión exitoso como prueba de que el titular está trabajando
- Generar alertas por cada anomalía, de modo que las señales reales se pierdan en el ruido
- Revisar el riesgo solo después de un incidente, y no cuando aparece
Por dónde empezar
Empieza por las cuentas que tienen acceso a los datos más sensibles y después por los canales a los que pueden llegar. Las alertas ligadas a esas cuentas son las que conviene investigar primero.
Lectura recomendada: Amenazas a la Seguridad de la Información; Malware: los 7 programas más peligrosos de 2025.
El atacante externo más difícil de detectar es el que entra con una contraseña válida.
Anexet TeamCómo lo resuelve Anexet
Anexet se centra en el riesgo interno, no en la defensa perimetral. No es un cortafuegos, ni una pasarela de correo, ni un escáner de vulnerabilidades, y detener a los actores externos en la frontera queda fuera de su alcance. Es directamente pertinente en el caso híbrido descrito arriba: un atacante externo que ya opera dentro con credenciales robadas.
La arquitectura on-premise mantiene todos los datos de monitorización y de investigación dentro de la infraestructura de la organización.
Detección conductual del robo de credenciales
el módulo Activity construye una línea base del comportamiento normal de cada usuario: horario, aplicaciones usadas, actividad en archivos y en la web. Así, desviaciones como horas inusuales, acceso a datos no habituales o canales atípicos destacan aunque el inicio de sesión sea «válido».
Motor de análisis de riesgo
los usuarios se puntúan en ocho categorías de riesgo predefinidas, con umbrales configurables, paneles de tendencia y notificaciones por umbral, de forma que una anomalía sostenida eleva la puntuación y llega al equipo de seguridad.
DLP en la salida
si una cuenta comprometida intenta mover datos sensibles, el módulo DLP evalúa las transferencias por contenido (tesauros, bancos de hashes, huellas digitales, etiquetas de sensibilidad) en correo, web, nube, mensajería, USB, impresión y portapapeles. Puede bloquear o poner en cuarentena la transferencia, sea quien sea el titular de la cuenta.
Pista de auditoría
cada evento se registra con usuario, marca de tiempo, canal y clasificación de contenido, lo que ayuda a determinar si detrás de la actividad estaba el titular de la cuenta o un actor externo.
Funcionalidad de Detección de Amenazas Internas
Más información