Un nuevo informe de inteligencia de amenazas revela que los ciberdelincuentes han industrializado los ataques a la nube, convirtiendo credenciales robadas en compromisos completos mediante flujos automatizados que superan cada vez más la capacidad de respuesta humana.
Los ciberdelincuentes ya no tratan las vulnerabilidades en la nube como problemas que se evalúan durante días o semanas: las introducen en canalizaciones automatizadas que convierten la exposición en compromiso en cuestión de horas. Esa es la conclusión central del recién publicado «2026 Cloud-Native Threat Landscape Report» de Fortinet, elaborado a partir de la telemetría de su plataforma de seguridad en la nube FortiCNAPP.
Según la empresa, el tiempo transcurrido entre la divulgación pública de una vulnerabilidad y su primera explotación observada —el llamado tiempo hasta la explotación o TTE— se ha reducido de aproximadamente una semana a una ventana constante de entre 24 y 48 horas, con algunos casos ya por debajo de las 24 horas. Fortinet atribuye este cambio principalmente al reconocimiento, desarrollo de exploits y automatización asistidos por IA, que según la compañía definen hoy el funcionamiento de los atacantes a gran escala, en lugar de campañas manuales a medida.
Reconocimiento a velocidad de máquina y escala global
La telemetría de Fortinet registró, según la empresa, 150 millones de eventos de reconocimiento, 2.300 millones de intentos de fuerza bruta y 1.700 millones de conexiones procedentes de fuentes maliciosas conocidas en entornos de nube monitorizados. La compañía interpreta estas cifras como evidencia de un mapeo continuo de la exposición a velocidad de máquina, independiente de los ciclos tradicionales de campaña.
El informe identifica el compromiso de identidades como el vector de intrusión dominante en todas las regiones analizadas. Los atacantes obtienen acceso inicial cada vez más a través de credenciales robadas, filtradas o mal utilizadas, en lugar de malware o exploits, una técnica que, según la empresa, con frecuencia elude los controles de seguridad centrados en la red porque la actividad resultante se confunde con el uso legítimo de la nube.
Fortinet ilustra esto con lo que denomina el patrón de ataque en la nube más observado: de credenciales a secuestro de recursos, ejemplificado por la denominada campaña TruffleNet. En este patrón, los atacantes localizan primero claves de acceso filtradas mediante el escaneo automatizado de repositorios de código, validan las credenciales a través de llamadas a la API como GetCallerIdentity, enumeran la infraestructura y los servicios en la nube, escalan privilegios mediante técnicas como AttachUserPolicy y CreateUser, y finalmente monetizan el acceso, comúnmente mediante el abuso de servicios de correo electrónico en la nube para fraude de compromiso de correo empresarial.
Un segundo patrón frecuentemente observado va directamente de la explotación de una vulnerabilidad al cryptomining: los atacantes explotan una aplicación de cara al público, establecen un punto de apoyo dentro de un contenedor, desactivan los agentes de seguridad, instalan mecanismos de persistencia como tareas cron y despliegan cargas útiles de cryptomining, incluidas XMRig y H2Miner, según el informe.
Las configuraciones incorrectas aceleran, pero rara vez originan, el compromiso
Aunque las configuraciones incorrectas por sí solas no suelen constituir un incidente, el informe señala que aumentan sustancialmente la velocidad del atacante una vez que una identidad ha sido comprometida. Fortinet enumera diez controles de seguridad que, según la empresa, faltan con mayor frecuencia en entornos de nube, incluida la rotación poco frecuente de claves de acceso, listas de control de acceso de red sin restricciones, almacenamiento expuesto públicamente y cuentas root sin autenticación multifactor.
Entre las vulnerabilidades que Fortinet observó bajo explotación activa, el informe menciona tres de especial gravedad: una falla de ejecución remota de código que afecta a aplicaciones React y Next.js, una vulnerabilidad de escape de sandbox de Redis Lua con la puntuación CVSS máxima de 10,0, y una vulnerabilidad de ejecución remota de código no autenticada en el controlador Ingress-NGINX de Kubernetes, conocida popularmente como IngressNightmare.
El reconocimiento como señal de alerta temprana
El informe describe el reconocimiento automatizado —la enumeración de recursos en la nube, el mapeo de permisos de identidad y la validación de rutas de escalación de privilegios— como la última ventana significativa en la que los defensores pueden interrumpir una intrusión antes de que comiencen la escalación de privilegios y la monetización. Una vez concluida esa fase, señala Fortinet, la investigación suele volverse retrospectiva en lugar de preventiva, mientras las ventanas de contención se reducen de horas a minutos.
A nivel regional, Fortinet observó el compromiso de identidades más alto en la región de Asia-Pacífico, seguida de cerca por América y Latinoamérica, mientras que los compromisos basados en hosts se mantuvieron comparativamente constantes a nivel mundial, afectando entre el 11 % y el 13 % de los entornos monitorizados. La empresa también informa de una relación inversa entre la frecuencia de las pruebas de penetración proactivas y el éxito del compromiso de identidades, lo que sugiere que las organizaciones que realizan ejercicios regulares de equipo rojo experimentan tasas de compromiso mensurablemente más bajas. América mostró la mayor prevalencia relativa de este tipo de pruebas, seguida de EMEA.
Recomendaciones: hacia una defensa continua e impulsada por IA
Fortinet sostiene que defenderse de un modelo de ataque industrializado requiere una postura defensiva igualmente sistemática. Sus recomendaciones incluyen adoptar la Gestión Continua de Exposición a Amenazas (CTEM) para priorizar la remediación, integrar controles de seguridad directamente en el código a medida que se escribe, aplicar el principio de mínimo privilegio tanto para identidades humanas como no humanas, y desplegar detección de comportamiento impulsada por IA capaz de correlacionar señales débiles en alertas de alta fiabilidad, en lugar de depender únicamente de reglas y firmas estáticas.
La compañía también señala la tecnología de decepción como una forma de detectar intrusos antes de la fase de monetización, junto con el filtrado de salida para limitar la exfiltración de datos y ejercicios regulares de respuesta a incidentes que incorporen equipos rojos asistidos por IA.
«El compromiso no es un evento. Es una condición operativa», concluye el informe, que sostiene que la velocidad defensiva —y no solo la sofisticación de las herramientas— es hoy el principal determinante del riesgo organizacional en entornos de nube.
El Dr. Jakob Jung es redactor jefe de Security Storage y Channel Germany. Lleva más de 20 años trabajando en el periodismo especializado en TI. A lo largo de su carrera ha colaborado con Computer Reseller News, Heise Resale, Informationweek, Techtarget (almacenamiento y centros de datos) y ChannelBiz. Además, colabora como freelance con numerosas publicaciones del sector de las TI, entre las que se incluyen Computerwoche, Channelpartner, IT-Business, Storage-Insider y ZDnet. Sus temas principales son el canal, el almacenamiento, la seguridad, los centros de datos, los sistemas ERP y CRM.
Contacto – Contacto por correo electrónico: jakob.jung@security-storage-und-channel-germany.de