La mayoría de los consejos para la prevención de vulneraciones, incluida nuestra propia guía sobre cómo prevenir vulneraciones de datos, se centran en mantener a los atacantes fuera de la red de su empresa. Usar credenciales más seguras, resistencia a la suplantación, sistemas con parches y proveedores verificados son componentes clave de esta práctica. Todas son prácticas esenciales, pero no pueden ser sus únicas tácticas de protección contra vulneraciones de datos: no le servirán de soporte si un atacante logra vulnerar su red.
Obtener acceso y el robo de datos son cosas distintas. Un atacante que compromete una bandeja de entrada, una laptop o la conexión de un proveedor aún no ha robado nada. Ha ganado un punto de apoyo, y lo que sucede entre ese punto de apoyo y el momento en que los datos salen del edificio es una fase que la mayoría de las guías de seguridad para pymes omiten por completo, porque no se trata solo de proteger su red; también se trata de notar que los datos se están moviendo fuera de ella.
Esta fase se denomina exfiltración y suele durar días o incluso prolongarse durante meses sin detectarse. Es posible debido a herramientas y canales que parecen completamente comunes para cualquiera que no esté atento a ellos de forma específica. Con frecuencia, las notificaciones de vulneraciones llegan tarde no porque las organizaciones hayan sido descuidadas con respecto al compromiso inicial, sino porque no se detectó al atacante dentro de la red empresarial.
La fase de exfiltración: qué sucede entre el acceso y el robo
Cómo es la exfiltración de datos
¿Por qué la exfiltración es difícil de detectar?
Qué deben monitorear las empresas
Cómo la detección temprana puede cambiar su situación legal
¿Qué ocurre con los datos empresariales exfiltrados?
Contenga lo que un atacante puede alcanzar
La fase de exfiltración: qué sucede entre el acceso y el robo
Una vez que un atacante obtiene el acceso inicial, ya sea a través de un correo electrónico de suplantación, una credencial robada o una conexión comprometida de un proveedor, rara vez pasa directamente a robar datos. Actuar de inmediato corre el riesgo de activar una alerta antes de haber encontrado algo que valga la pena llevarse, por lo que el patrón más común es la paciencia.
El atacante pasa tiempo mapeando el entorno, lo que incluye:
- Dónde están almacenados los registros financieros
- Evaluar qué herramientas SaaS contienen datos de clientes
- Localizar cuentas con el acceso más amplio
- Detectar si existe monitoreo de actividad, si lo hubiera.
Esta etapa de reconocimiento puede ser lenta. Algunos atacantes se mueven en cuestión de horas, en particular en casos de ransomware oportunistas donde la velocidad importa más que el sigilo. Otros, especialmente en casos orientados al robo de datos a largo plazo o el espionaje, permanecen incrustados durante semanas o meses, aprendiendo los patrones habituales de actividad lo suficientemente bien como para camuflarse con ellos.
De cualquier manera, para cuando el atacante comienza a transferir los datos hacia el exterior, por lo general ya sabe exactamente qué quiere y qué cuenta o sistema le permitirá tomarlo sin activar una alarma.
Cómo es la exfiltración de datos
La exfiltración maliciosa es difícil de detectar porque parece una actividad cotidiana. Los administradores de TI no buscan transferencias de archivos ligeramente más grandes de lo habitual ni carpetas sincronizadas en lugares donde no deberían estar.
Transferencias de datos grandes o inusuales
Esta es la forma más directa de exfiltración. Por ejemplo, una cuenta puede extraer de repente gigabytes de un servidor de archivos o base de datos a la que normalmente solo accede de forma ocasional, o exportar de forma masiva desde una plataforma de CRM o RR. HH.
En entornos con un uso intensivo de SaaS, la exfiltración suele ocurrir a través de las funciones de exportación propias de la plataforma: descargas masivas en CSV, exportaciones en PDF de registros de clientes o una secuencia de capturas de pantalla tomadas de un panel de control que no tiene un botón de exportar en absoluto.
Un caso típico podría verse así: se utiliza una cuenta de RR. HH. comprometida durante varias semanas para realizar pequeñas exportaciones escalonadas de registros de empleados en lugar de una descarga masiva y evidente. Cada exportación individual parece normal por sí sola, totalmente dentro de lo que una plataforma de RR. HH. espera que haga alguien con ese rol.
Es solo el patrón a lo largo de las semanas, la misma cuenta exportando datos similares a intervalos inusuales, lo que revelaría lo que está sucediendo, y ese patrón solo se vuelve visible para una empresa que lo está buscando.
Compromiso de la bandeja de entrada
Un atacante que compromete un buzón de correo electrónico empresarial puede configurar una regla que copie discretamente cada mensaje, o cada mensaje que coincida con ciertas palabras clave, a una dirección externa, lo que le brinda un flujo continuo de correspondencia confidencial mucho después de que se haya olvidado el correo electrónico de suplantación original.
Compromiso del almacenamiento en la nube
El almacenamiento en la nube personal es otra vía común. La laptop comprometida de un empleado o una cuenta comprometida con acceso a los archivos de la empresa pueden usarse para copiar documentos en una cuenta personal de Dropbox, Google Drive o un servicio similar, una transferencia que a menudo parece idéntica a una copia de seguridad legítima de archivos a menos que alguien revise dónde terminaron los datos.
¿Por qué la exfiltración es difícil de detectar?
La incómoda verdad sobre la exfiltración es que, por lo general, no requiere ningún tipo de malware(nueva ventana). Un atacante que utiliza una cuenta comprometida para exportar un informe, reenviar algunos correos electrónicos o subir archivos a un drive en la nube está utilizando las mismas herramientas y permisos que un empleado legítimo usa todos los días.
No hay ningún archivo ejecutable sospechoso que el software antivirus deba marcar, ni procesos inusuales que la detección de puntos finales deba capturar, porque nada en la actividad es técnicamente anormal. Solo parece incorrecto según el contexto, y el contexto es exactamente lo que la mayoría de las herramientas de seguridad para pymes no están diseñadas para evaluar.
Por eso las defensas centradas en el perímetro, por muy bien implementadas que estén, no bastan por sí solas. Una empresa puede hacer todo bien en el punto de entrada, exigir credenciales seguras, capacitar a los empleados contra la suplantación, aplicar parches a todos los sistemas y aun así no tener forma de saber que una cuenta comprometida está transfiriendo archivos de forma constante hacia un destino externo, porque esa actividad nunca se diseñó para parecer sospechosa en primer lugar.
Los investigadores de seguridad a veces llaman a esto «living off the land»: utilizar el software legítimo, las integraciones en la nube y las herramientas administrativas del propio objetivo en lugar de utilizar cualquier herramienta que un producto antivirus reconocería como ilegítima.
Un cliente de sincronización de archivos, una función de exportación integrada o una regla estándar de correo electrónico no son herramientas maliciosas en sí mismas. Por esta razón, un atacante que se basa en ellas puede operar durante tanto tiempo sin activar nada diseñado para detectar malware.
Qué deben monitorear las empresas
Detectar la exfiltración a tiempo se reduce a estar atento a un número reducido de señales específicas, en lugar de escanear ampliamente en busca de actividad sospechosa.
Tráfico y exportaciones
Los volúmenes o destinos inusuales de transferencia de datos merecen la mayor atención. Su organización debe estar atenta a picos en el tráfico saliente, exportaciones masivas desde un sistema que normalmente no las registra o cualquier transferencia dirigida a un destino que usted no reconozca.
La guía de NCSC sobre seguridad de datos(nueva ventana) recomienda específicamente registrar el acceso a datos confidenciales y monitorear consultas inusuales o intentos de exportaciones masivas, precisamente porque ese patrón es señal de que algo ha ido más allá del uso normal.
Reglas de reenvío de correo electrónico
Vale la pena auditar directamente las reglas de reenvío de correo electrónico, en especial para cualquier cuenta que haya estado involucrada en un presunto incidente de suplantación. Una regla que reenvía discretamente mensajes a una dirección desconocida puede pasar desapercibida durante meses, y es una de las cosas más sencillas de revisar una vez que se sabe qué buscar.
Inicios de sesión inusuales
La actividad de inicio de sesión desde ubicaciones u horarios inesperados es una señal que vale la pena tomar en serio. Un inicio de sesión a las 3 a. m. desde un país en el que la empresa no tiene presencia no es una prueba concluyente por sí sola, pero cuando se coteja con una transferencia de datos realizada aproximadamente al mismo tiempo, es un detalle que puede confirmar un incidente.
La actividad de las cuentas de administrador fuera del horario comercial merece un escrutinio especial, ya que las cuentas de administrador suelen tener el alcance más amplio en un sistema y son un objetivo prioritario precisamente debido a ese alcance.
La actividad en estas cuentas a altas horas de la noche, los fines de semana o durante un período en el que se sabe que el administrador real está fuera de la oficina es uno de los indicadores más confiables de que una cuenta, y no solo un dispositivo, se ha visto comprometida.
Cómo la detección temprana puede cambiar su situación legal
Tanto según el GDPR de la UE como el del Reino Unido, el artículo 33(nueva ventana) otorga a las organizaciones 72 horas para notificar a la autoridad supervisora correspondiente una vez que tengan conocimiento de que se ha producido una vulneración que afecta a los datos personales; la ICO en el Reino Unido(nueva ventana) o la autoridad nacional de protección de datos en cada Estado miembro de la UE.
El requisito es materialmente el mismo para todas las jurisdicciones: el reloj comienza a correr para su organización desde el momento en que toma conocimiento, no desde el momento en que ocurrió realmente la vulneración. Por eso un monitoreo exhaustivo de la exfiltración es tan importante para el cumplimiento normativo, y no solo para la seguridad.
Una empresa que detecta la exfiltración a tiempo, mediante auditorías de reglas de reenvío, monitoreo de transferencias o alertas de inicio de sesión inusuales, puede notificar de manera proactiva, en sus propios plazos, con un panorama razonablemente claro de lo que se sustrajo.
Una empresa que solo descubre una vulneración semanas o meses después, a menudo porque un cliente se quejó o porque los datos robados aparecieron en un foro criminal, notifica de manera reactiva, bajo presión, a menudo con un panorama incompleto del alcance y con un regulador preguntando por qué tardó tanto en notarlo.
La diferencia va más allá de cómo se ve afectada su reputación. Define la manera en que se evalúa todo el incidente y cuánta flexibilidad está dispuesto a conceder un regulador.
¿Qué ocurre con los datos empresariales exfiltrados?
El Observatorio de vulneraciones de datos de Proton rastrea lo que aparece en la dark web una vez que ocurre una vulneración, y el patrón es un útil cable a tierra sobre lo que realmente busca la exfiltración.
Según la actualización de 2026 del Observatorio de vulneraciones de datos, los nombres y las direcciones de correo electrónico aparecen en casi nueve de cada diez vulneraciones rastreadas, los detalles de contacto como números de teléfono y direcciones físicas aparecen en aproximadamente tres cuartas partes de ellas, y las contraseñas quedan expuestas en cerca de la mitad.
Categorías más confidenciales, documentos de identidad emitidos por el gobierno, historiales médicos y otra información de identificación personal, aparecen en poco más de un tercio de las vulneraciones, mientras que la información financiera directa aparece en una proporción menor, alrededor de una de cada veinte.
Las pymes representan la mayoría de las vulneraciones que rastrea el Observatorio y están desproporcionadamente representadas entre los incidentes que involucran las categorías de datos más confidenciales.
Esta combinación, ataques frecuentes y una alta tasa de exposición de datos confidenciales, es coherente con el tipo de exfiltración que describe este artículo: los ataques que ocurren durante un período prolongado dentro de los sistemas de una organización más pequeña tienden a dar más frutos, porque nadie sabía que se estaban filtrando datos y los atacantes pudieron llevárselo todo.
Contenga lo que un atacante puede alcanzar
El monitoreo de la exfiltración detecta los datos en su salida, pero la magnitud del problema se decide antes, por lo que una cuenta comprometida puede alcanzar en primer lugar. Un atacante que obtiene acceso a una cuenta con permisos amplios y sin restricciones puede sustraer información de muchos más sistemas que uno que compromete una cuenta delimitada estrictamente a lo que ese rol específico necesita.
Tener credenciales únicas en cada cuenta, junto con un acceso limitado a lo que un rol realmente requiere, reduce directamente la superficie de exfiltración. Si una cuenta de marketing comprometida solo puede acceder a los sistemas de marketing, el peor escenario posible está acotado por diseño, en lugar de depender de la moderación del atacante o de que un sistema de monitoreo lo detecte a tiempo.
Esta es la misma lógica de contención que limita el radio de impacto en una vulneración basada en credenciales en general: la cuenta que se ve comprometida solo debería poder filtrar lo que legítimamente tenía permitido manipular.
Un gestor de contraseñas empresarial como Proton Pass for Business hace que esta delimitación sea realista de mantener, ya que elimina la tentación de reutilizar un conjunto conveniente de credenciales amplias en diferentes herramientas simplemente porque gestionar contraseñas únicas a mano no es escalable.
Cuando cada cuenta tiene su propia credencial y el acceso se revisa en función de lo que realmente necesita un rol, una sola cuenta comprometida deja de ser una vía de acceso a todos los datos de la organización y se convierte, en el peor de los casos, en un incidente contenido.
Proton Pass for Business puede dar soporte a su empresa con:
- Políticas de equipo personalizables que le ayudan a aplicar su política de contraseñas con requisitos de contraseñas, autenticación de dos factores (2FA) obligatoria y reglas revocadas para compartir datos
- Registros de uso que le permiten ver la actividad dentro de su red, con soporte adicional de nuestro programa avanzado de alta seguridad Proton Sentinel
- Grupos organizados por rol, proyecto o nivel de acceso, lo que simplifica la gestión del acceso y garantiza que cada miembro del equipo solo tenga acceso a lo que necesita.
Detenga la exfiltración de datos basada en credenciales con un gestor de contraseñas empresarial.
