La mayoría de los consejos para prevenir vulneraciones, incluida nuestra propia guía para prevenir vulneraciones de datos, se centran en mantener a los atacantes fuera de la red de tu empresa. El uso de credenciales más seguras, la protección contra la suplantación, los sistemas parcheados y los proveedores verificados son componentes clave de esta práctica. Todas son prácticas esenciales, pero no pueden ser tus únicas tácticas de protección frente a vulneraciones de datos: no te servirán de ayuda si un atacante consigue vulnerar tu red.
Obtener acceso y robar datos son cosas distintas. Un atacante que compromete una bandeja de entrada, un portátil o la conexión de un proveedor todavía no ha robado nada. Ha ganado un punto de apoyo, y lo que ocurre entre ese punto de apoyo y el momento en que los datos salen de la empresa es una fase que la mayoría de las guías de seguridad para pymes omiten por completo, porque no se trata solo de proteger tu red; también se trata de advertir que los datos se están transfiriendo fuera de ella.
Esta fase se denomina exfiltración y suele durar días o incluso extenderse durante meses sin ser detectada. Es posible gracias a herramientas y canales que parecen completamente normales para cualquiera que no esté buscándolos específicamente. Las notificaciones de vulneraciones suelen llegar tarde no porque las organizaciones hayan sido descuidadas ante el compromiso inicial, sino porque no se detectó al atacante dentro de la red corporativa.
La fase de exfiltración: qué ocurre entre el acceso y el robo
Cómo es la exfiltración de datos
¿Por qué es difícil detectar la exfiltración?
Qué deben monitorizar las empresas
Cómo una detección temprana puede cambiar tu posición legal
¿Qué ocurre con los datos empresariales exfiltrados?
Contén el alcance de un atacante
La fase de exfiltración: qué ocurre entre el acceso y el robo
Una vez que un atacante obtiene acceso inicial, ya sea a través de un correo electrónico de suplantación, una credencial robada o una conexión de proveedor comprometida, rara vez pasa directamente a robar datos. Actuar de inmediato corre el riesgo de activar una alerta antes de encontrar algo de valor, por lo que el patrón más común es la paciencia.
El atacante dedica tiempo a mapear el entorno, lo que incluye:
- Dónde se encuentran almacenados los registros financieros
- Evaluar qué herramientas SaaS contienen datos de clientes
- Localizar las cuentas con el acceso más amplio
- Detectar si hay alguna monitorización de la actividad en marcha.
Esta fase de reconocimiento puede ser lenta. Algunos atacantes actúan en cuestión de horas, especialmente en casos de ransomware oportunistas donde la velocidad importa más que el sigilo. Otros, sobre todo en casos basados en el robo de datos o el espionaje a largo plazo, permanecen incrustados durante semanas o meses, aprendiendo los patrones habituales de actividad lo suficientemente bien como para mimetizarse con ellos.
De cualquier modo, para cuando el atacante comienza a transferir los datos fuera, normalmente ya sabe con exactitud qué quiere y qué cuenta o sistema le permitirá llevárselo sin activar ninguna alarma.
Cómo es la exfiltración de datos
La exfiltración maliciosa es difícil de detectar porque parece una actividad cotidiana. Los administradores de TI no suelen buscar transferencias de archivos ligeramente más grandes de lo habitual ni carpetas sincronizadas en lugares donde no deberían estar.
Transferencias de datos grandes o inusuales
Esta es la forma más directa de exfiltración. Por ejemplo, una cuenta puede extraer repentinamente gigabytes de un servidor de archivos o de una base de datos a la que normalmente solo accede de forma ocasional, o bien exportar en masa datos de una plataforma de CRM o de RR. HH.
En entornos con un uso intensivo de SaaS, la exfiltración a menudo se produce a través de las propias funciones de exportación de la plataforma: descargas masivas en CSV, exportaciones en PDF de registros de clientes o una secuencia de capturas de pantalla tomadas de un panel de control que ni siquiera cuenta con un botón de exportar.
Un caso típico podría ser este: una cuenta de RR. HH. comprometida se utiliza, a lo largo de varias semanas, para realizar pequeñas exportaciones escalonadas de registros de empleados en lugar de una única y evidente descarga masiva. Cada exportación individual parece normal por sí sola, dentro de lo que una plataforma de RR. HH. espera que haga alguien con ese rol.
Solo el patrón a lo largo de las semanas, la misma cuenta exportando datos similares a intervalos inusuales, revelaría lo que está sucediendo, y ese patrón solo se hace visible para una empresa que lo está buscando.
Compromiso de la bandeja de entrada
Un atacante que compromete un buzón de correo electrónico profesional puede configurar una regla que copie discretamente cada mensaje, o cada mensaje que coincida con determinadas palabras clave, a una dirección externa, lo que le proporciona un flujo continuo de correspondencia confidencial mucho después de que se haya olvidado el correo electrónico de suplantación original.
Compromiso del almacenamiento en la nube
El almacenamiento en la nube personal es otra vía habitual. El portátil comprometido de un empleado, o una cuenta comprometida con acceso a archivos de la empresa, se puede utilizar para copiar documentos en una cuenta personal de Dropbox, Google Drive o un servicio similar, una transferencia que a menudo parece idéntica a una copia de seguridad de archivos legítima, a menos que alguien compruebe dónde han ido a parar los datos.
¿Por qué es difícil detectar la exfiltración?
La incómoda verdad sobre la exfiltración es que, por lo general, no requiere ningún tipo de malware(ventana nueva). Un atacante que utiliza una cuenta comprometida para exportar un informe, reenviar correos electrónicos o cargar archivos a una unidad en la nube está empleando las mismas herramientas y permisos que un empleado legítimo utiliza a diario.
No hay ningún ejecutable sospechoso que el software antivirus deba señalar, ni ningún proceso inusual que la detección en puntos de conexión deba interceptar, porque nada en la actividad es técnicamente anormal. Solo parece indebida en contexto, y el contexto es exactamente lo que la mayoría de las herramientas de seguridad para pymes no están diseñadas para evaluar.
Por eso las defensas perimetrales, por muy bien implementadas que estén, no bastan por sí solas. Una empresa puede hacer todo correctamente en el punto de entrada, exigir credenciales seguras, capacitar a los empleados contra la suplantación de identidad y parchear todos los sistemas, y aun así no tener forma de saber que una cuenta comprometida está transfiriendo archivos constantemente a un destino externo, porque esa actividad nunca estuvo diseñada para parecer sospechosa en primer lugar.
Los investigadores de seguridad a veces llaman a esto «vivir de lo que da la tierra»: utilizar el software legítimo, las integraciones en la nube y las herramientas administrativas del propio objetivo en lugar de emplear herramientas que un producto antivirus reconocería como ilegítimas.
Un cliente de sincronización de archivos, una función de exportación integrada o una regla de correo electrónico estándar no son herramientas maliciosas en sí mismas. Por eso, un atacante que depende de ellas puede operar durante tanto tiempo sin activar nada diseñado para detectar malware.
Qué deben monitorizar las empresas
Detectar la exfiltración a tiempo se reduce a estar atento a un pequeño número de señales específicas, en lugar de escanear ampliamente en busca de actividad sospechosa.
Tráfico y exportaciones
Los volúmenes o destinos inusuales de transferencia de datos merecen la máxima atención. Tu organización debe estar atenta a picos en el tráfico saliente, exportaciones masivas desde sistemas que normalmente no las registran o cualquier transferencia dirigida a un destino que no reconozcas.
La guía del NCSC sobre seguridad de datos(ventana nueva) recomienda específicamente registrar el acceso a datos confidenciales y monitorizar consultas inusuales o intentos de exportación masiva, precisamente porque ese patrón es una señal de que algo ha sobrepasado el uso normal.
Reglas de reenvío de correo electrónico
Vale la pena auditar directamente las reglas de reenvío de correo electrónico, especialmente en cualquier cuenta que haya estado involucrada en un presunto incidente de suplantación. Una regla que reenvía mensajes discretamente a una dirección desconocida puede pasar inadvertida durante meses, y es una de las cosas más sencillas de comprobar una vez que sabes qué buscar.
Inicios de sesión inusuales
La actividad de inicio de sesión desde ubicaciones u horarios inesperados es una señal que merece tomarse en serio. Un inicio de sesión a las 3 de la madrugada desde un país en el que la empresa no tiene presencia no es una prueba concluyente por sí sola, pero cuando se coteja con una transferencia de datos en torno a esa misma hora, es un detalle que puede confirmar un incidente.
La actividad de las cuentas de administrador fuera del horario comercial merece un escrutinio especial, ya que estas suelen tener el alcance más amplio dentro de un sistema y son un objetivo prioritario precisamente debido a ese alcance.
La actividad en estas cuentas a altas horas de la noche, durante los fines de semana o en periodos en los que se sabe que el administrador real está fuera de la oficina es uno de los indicadores más fiables de que una cuenta, y no solo un dispositivo, ha sido comprometida.
Cómo una detección temprana puede cambiar tu posición legal
Tanto según el GDPR de la UE como el del Reino Unido, el Artículo 33(ventana nueva) otorga a las organizaciones 72 horas para notificar a la autoridad de control pertinente una vez que tengan conocimiento de que se ha producido una vulneración que afecta a datos personales; la ICO en el Reino Unido(ventana nueva) o la autoridad nacional de protección de datos de cada Estado miembro de la UE.
El requisito es sustancialmente el mismo en todas las jurisdicciones: el reloj se pone en marcha para tu organización en el momento en que se tiene conocimiento del hecho, no desde el momento en que ocurrió realmente la vulneración. Por este motivo, una monitorización exhaustiva de la exfiltración es tan importante para el cumplimiento normativo, y no solo para la seguridad.
Una empresa que detecta la exfiltración de forma temprana, mediante auditorías de reglas de reenvío, monitorización de transferencias o alertas de inicio de sesión inusuales, puede notificar de manera proactiva, en sus propios plazos y con una idea razonablemente clara de lo que se ha sustraído.
Una empresa que no descubre una vulneración hasta semanas o meses después, a menudo porque un cliente se quejó o los datos robados aparecieron en un foro delictivo, notifica de forma reactiva, bajo presión, a menudo con una visión incompleta del alcance y con un organismo regulador preguntando por qué tardó tanto en darse cuenta.
La diferencia va más allá de cómo se ve afectada tu reputación. Determina la forma en que se evalúa todo el incidente y el grado de flexibilidad que un regulador está dispuesto a conceder.
¿Qué ocurre con los datos empresariales exfiltrados?
El Observatorio de vulneraciones de datos de Proton realiza un seguimiento de lo que aparece en la dark web tras producirse una vulneración, y este patrón ofrece una perspectiva muy útil sobre lo que realmente busca la exfiltración.
Según la actualización de 2026 del Observatorio de vulneraciones de datos, los nombres y las direcciones de correo electrónico aparecen en casi nueve de cada diez vulneraciones rastreadas, los detalles de contacto como números de teléfono y direcciones físicas se muestran en aproximadamente tres cuartas partes de ellas, y las contraseñas quedan expuestas en cerca de la mitad.
Categorías más confidenciales, como documentos de identidad oficiales, historiales médicos y otra información de identificación personal, aparecen en algo más de un tercio de las vulneraciones, mientras que la información financiera directa se muestra en una proporción menor, alrededor de una de cada veinte.
Las pymes representan la mayoría de las vulneraciones que rastrea el Observatorio, y están desproporcionadamente representadas entre los incidentes que involucran las categorías de datos más confidenciales.
Esta combinación, ser un objetivo frecuente y presentar una alta tasa de exposición de datos confidenciales, es coherente con el tipo de exfiltración que describe este artículo: los ataques que se producen durante un largo período de tiempo dentro de los sistemas de una organización más pequeña suelen reportar mayores beneficios, porque nadie sabía que se estaba produciendo una filtración de datos y los atacantes pudieron llevárselo todo.
Contén el alcance de un atacante
La monitorización de la exfiltración detecta los datos cuando están saliendo, pero la magnitud del problema se decide antes, en función de lo que una cuenta comprometida pueda alcanzar en primer lugar. Un atacante que consigue acceder a una cuenta con permisos amplios y sin restricciones puede extraer información de muchos más sistemas que uno que compromete una cuenta estrictamente delimitada a lo que ese rol específico necesita.
Tener credenciales únicas en cada cuenta, junto con un acceso limitado a lo que un rol requiere genuinamente, reduce de forma directa la superficie de exfiltración. Si una cuenta de marketing comprometida solo puede acceder a los sistemas de marketing, el peor escenario posible queda acotado por diseño, en lugar de depender de la moderación del atacante o de que un sistema de monitorización lo detecte a tiempo.
Esta es la misma lógica de contención que limita el radio de impacto en una vulneración basada en credenciales en general: la cuenta que se ve comprometida solo debería poder filtrar aquello a lo que legítimamente se le permitía acceder.
Un gestor de contraseñas para empresas como Proton Pass for Business hace que este acotamiento sea factible de mantener, ya que elimina la tentación de reutilizar un conjunto cómodo de credenciales amplias en varias herramientas solo porque administrar contraseñas únicas a mano no resulta escalable.
Cuando cada cuenta tiene su propia credencial y el acceso se revisa en función de lo que un rol realmente necesita, una sola cuenta comprometida deja de ser una vía de acceso a todos los datos de la organización y se convierte, en el peor de los casos, en un incidente contenido.
Proton Pass for Business puede ayudar a tu empresa con:
- Políticas de equipo personalizables que te ayudan a aplicar tu política de contraseñas con requisitos de contraseña, autenticación de dos factores (2FA) obligatoria y reglas de revocación del uso compartido de datos
- Registros de uso que te permiten ver la actividad dentro de tu red, con soporte adicional de nuestro programa avanzado de alta seguridad Proton Sentinel
- Grupos organizados por rol, proyecto o nivel de acceso, lo que simplifica la gestión del acceso y garantiza que cada miembro del equipo solo tenga acceso a lo que necesita.
Detén la exfiltración de datos basada en credenciales con un gestor de contraseñas para empresas.
