La cadena de ciberataques: Comprender las 7 etapas de los ciberataques modernos

La cadena de ataque cibernético es un marco de ciberseguridad que desglosa los ciberataques en etapas secuenciales, desde la investigación inicial del objetivo hasta el robo de datos o la interrupción del sistema. Adaptado originalmente de la doctrina militar de selección de objetivos por Lockheed Martin en 2011, este marco ayuda a los equipos de seguridad a comprender cómo se desarrollan los ataques y dónde pueden frenarlos.

El modelo sigue siendo muy utilizado porque pone de manifiesto una dependencia fundamental del atacante: cada fase depende del éxito de la anterior. Esto genera múltiples puntos de intervención en los que una sola acción defensiva puede hacer fracasar toda la operación de ataque.

Esta guía explica cómo funciona la cadena de ataque cibernético, en qué consiste cada una de las siete etapas, cuáles son las limitaciones de este marco y cómo los equipos de seguridad, los analistas de los centros de operaciones de seguridad (SOC) y los directores de seguridad de la información (CISO) pueden aplicarlo junto con enfoques modernos como MITRE ATT&CK la detección basada en IA conductual.

Cómo funciona la cadena de ataque cibernético

La cadena de ataque cibernético se basa en un principio sencillo: los atacantes deben completar cada etapa de forma secuencial para alcanzar su objetivo. Esta progresión lineal crea puntos de estrangulamiento naturales en los que los defensores pueden detectar, impedir, interrumpir o contener las operaciones del adversario antes de que se produzcan daños.

Los expertos suelen dividir la defensa de la cadena de ataque en dos zonas estratégicas, en función del momento en que se produce la intervención con respecto a la fase de explotación, es decir, el momento en que se produce la intrusión propiamente dicha.

La defensa en profundidad encaja perfectamente con esta metodología. En lugar de basarse en un único control, las organizaciones implementan defensas que se complementan entre sí y se centran en diferentes etapas:

• La seguridad del correo electrónico afecta a la entrega
• La protección de los puntos finales bloquea los ataques
• La supervisión de la red detecta actividades de comando y control
• La prevención de pérdida de datos detecta la filtración de datos

Si falla un control, los demás pueden seguir rompiendo la cadena. Este enfoque por capas es lo que hace que la defensa de la cadena de ataque sea práctica, ya que no es necesario que ninguna herramienta sea perfecta.

Las siete etapas de la cadena de ataque cibernético

La «cadena de ataque cibernético» de Lockheed Martin define siete etapas que siguen la mayoría de los ciberataques. Cada etapa representa una fase distinta de la actividad del atacante y una oportunidad correspondiente para que los defensores intervengan. Aunque los atacantes se han vuelto más sofisticados desde 2011, siguen sin poder saltarse etapas, sino que solo pueden acortarlas o camuflarlas.

Fase 1: Reconocimiento

El reconocimiento es la fase inicial en la que los atacantes recopilan información sobre posibles objetivos. Esto incluye tanto la recopilación pasiva —el análisis de redes sociales, sitios web corporativos y bases de datos públicas— como la exploración activa mediante análisis de redes e ingeniería social. El reconocimiento moderno utiliza herramientas automatizadas capaces de trazar un perfil completo de una organización en cuestión de minutos.

Defensa clave: reducción de la superficie de ataque, auditoría de la huella digital, seguridad operativa (OPSEC) y tecnologías de engaño

Fase 2: Utilización como arma

Durante la fase de preparación del ataque, los atacantes crean o adquieren su carga útil ofensiva combinando vulnerabilidades con herramientas de acceso remoto. Esta etapa se desarrolla íntegramente en el entorno del atacante, lo que hace imposible su detección directa. La preparación de ataques moderna recurre cada vez más a herramientas legítimas y a técnicas de «living-off-the-land», mientras que las plataformas de «ransomware como servicio» ofrecen paquetes de ataque listos para usar.

Defensa clave: inteligencia sobre amenazas, seguimiento de las tendencias en materia de vulnerabilidades, comunidades de intercambio de información

Fase 3: Entrega

La entrega es la fase de transmisión en la que los atacantes envían su carga maliciosa al objetivo. El correo electrónico sigue siendo el vector predominante, pero los atacantes diversifican sus métodos a través de descargas web, vulnerabilidades en la cadena de suministro, uso indebido cloud y dispositivos USB. El envenenamiento de SEO, que manipula los resultados de los motores de búsqueda para que las páginas de descarga maliciosas aparezcan por encima de las legítimas, se ha convertido en un canal de entrega web cada vez más habitual, que aprovecha el comportamiento de búsqueda de los usuarios de confianza para eludir por completo los filtros de correo electrónico. Phishing y phishing de voz siguen aumentando a medida que la ingeniería social mejora la entrega técnica. Las organizaciones deben asumir que algunos intentos de entrega tendrán éxito.

Medidas de seguridad clave: filtrado de correo electrónico, proxies web, protección de terminales, formación en concienciación de los usuarios

Etapa 4: Explotación

La explotación activa la vulnerabilidad que ejecuta el código del atacante, el momento en el que el riesgo teórico se convierte en una violación real de la seguridad. Los objetivos incluyen software sin parches, configuraciones erróneas, credenciales predeterminadas y la psicología humana. La apropiación de cuentas mediante phishing de credenciales phishing la fuerza bruta proporciona un acceso autenticado que elude por completo la detección tradicional de exploits, ya que el atacante simplemente inicia sesión con credenciales válidas en lugar de activar una vulnerabilidad. Cloud introducen vectores adicionales a través del abuso de API, las fugas de contenedores y la manipulación de funciones sin servidor.

Defensas clave: gestión de parches, aplicación de parches virtuales, refuerzo de la configuración, prevención de vulnerabilidades

Etapa 5: Instalación

La instalación establece una presencia persistente en el entorno de la víctima, lo que garantiza un acceso continuo incluso si se cierra el punto de entrada original. Los atacantes crean puertas traseras, tareas programadas, shells web o aprovechan las funciones cloud para lograr la persistencia. A continuación, las técnicas de movimiento lateral permiten a los atacantes extenderse desde su punto de acceso inicial.

Medidas de defensa clave: EDR, análisis de comportamiento, control de aplicaciones, auditorías del sistema

Etapa 6: Mando y control

El comando y control (C2) establece el canal de comunicación entre los sistemas comprometidos y la infraestructura del atacante. Los sistemas C2 modernos utilizan canales cifrados, algoritmos de generación de dominios, túneles DNS y cloud legítimos para eludir la supervisión. El análisis de comportamiento y el aprendizaje automático complementan cada vez más la supervisión tradicional para identificar indicadores C2 sutiles ocultos en tráfico cifrado o de apariencia legítima.

Medidas de defensa clave: análisis del tráfico de red, supervisión del DNS, análisis de comportamiento, fuentes de inteligencia sobre amenazas

Etapa 7: Medidas relacionadas con los objetivos

Las acciones dirigidas a los objetivos constituyen la fase final en la que los atacantes logran su objetivo: el robo de datos, la instalación de ransomware, la destrucción del sistema o el establecimiento de un acceso a largo plazo con fines de espionaje. Una vez que los atacantes llegan a esta fase, el daño suele ser considerable, por lo que romper la cadena en fases anteriores resulta mucho más eficaz y menos costoso.

Medidas de seguridad clave: prevención de pérdida de datos, copias de seguridad inmutables, segmentación de la red, planes de respuesta ante incidentes

¿Existe una octava fase en la cadena de ataque cibernético?

Muchos expertos en seguridad incluyen ahora la monetización como una octava etapa, lo que refleja la evolución de la ciberdelincuencia hacia una industria orientada a los beneficios. Los atacantes convierten el acceso en ingresos mediante el pago de rescates por ransomware, la venta de datos robados en mercados de la dark web, el robo de criptomonedas o la venta de acceso a redes a otros grupos delictivos a través de intermediarios de acceso inicial. El auge de las plataformas de «ransomware como servicio», en las que desarrolladores, afiliados, negociadores y blanqueadores de dinero se especializan cada uno en funciones diferentes, ejemplifica cómo la monetización se ha convertido en una cadena de suministro delictiva estructurada.

Ejemplos reales de la cadena de ataque cibernético

Al relacionar los incidentes del mundo real con las etapas de la cadena de ataque, se pone de manifiesto cómo este marco pasa de la teoría a la práctica. Los ataques modernos acortan cada vez más la línea temporal; los incidentes cloud pueden completar toda la progresión de la cadena de ataque en cuestión de minutos, en lugar de horas, lo que deja a los defensores prácticamente sin tiempo para una respuesta manual.

El grupo de ransomware Qilin es un ejemplo de cómo los hackers de seguridad modernos acortan la cadena de ataque. En lugar de llevar a cabo ellos mismos el reconocimiento y la distribución, los operadores de Qilin compran acceso a la red a intermediarios de acceso inicial, saltándose por completo las primeras etapas. Una vez dentro, utilizan herramientas legítimas como PowerShell y WMI para realizar un reconocimiento interno, destruyen sistemáticamente las copias de seguridad y, a continuación, despliegan el ransomware, completando a menudo toda la secuencia en cuestión de horas.

Estos ejemplos ponen de manifiesto una tendencia constante: los atacantes aprovechan deliberadamente las brechas entre las herramientas de seguridad, centrándose en aquellos puntos en los que la detección en los puntos finales, la supervisión de identidades y la visibilidad de la red no se solapan.

¿Cuáles son las limitaciones de la cadena de ataque cibernético?

La cadena de ataque cibernético presenta importantes limitaciones que los equipos de seguridad deben comprender antes de recurrir a ella como único marco defensivo. Identificar estas deficiencias ayuda a las organizaciones a determinar en qué ámbitos se necesitan enfoques complementarios.

• Supuesto lineal: el modelo secuencial no tiene en cuenta los ataques que se saltan etapas, las repiten o las ejecutan simultáneamente. Los ataques Cloud y los ataques a la cadena de suministro suelen eludir por completo las primeras etapas.
• malware el perímetro y malware : El marco original se diseñó para hacer frente a intrusiones malware. No aborda adecuadamente los ataques basados en la identidad, en los que los atacantes se autentican con credenciales robadas y se desplazan lateralmente sin desplegar cargas útiles.
• Punto ciego de las amenazas internas: los usuarios de confianza con acceso legítimo eluden por completo las fases de reconocimiento, preparación y ejecución, lo que hace que la mayor parte de la cadena de ataque resulte irrelevante para la detección de amenazas internas.
• LagunasCloud: la infraestructura efímera, los vectores de ataque basados en API y los modelos de responsabilidad compartida crean vías de ataque que el marco original no estaba diseñado para cubrir.

A pesar de estas limitaciones, la cadena de ataque sigue siendo una herramienta de comunicación estratégica valiosa y un punto de partida para la planificación de la defensa. La mayoría de las organizaciones con mayor experiencia subsanan sus carencias combinándola con MITRE ATT&CK profundidad táctica y detección basada en el comportamiento, lo que les proporciona visibilidad tanto a nivel de identidad como de la capa de red.

La cadena de ataque cibernético frente a MITRE ATT&CK

La cadena de ataque cibernético y MITRE ATT&CK son marcos complementarios que sirven para fines distintos. La cadena de ataque ofrece una visión estratégica de alto nivel de la progresión del ataque a través de siete etapas secuenciales, lo que la hace útil para la comunicación ejecutiva y la asignación de recursos. MITRE ATT&CK detalles tácticos granulares con 14 tácticas y más de 200 técnicas basadas en el comportamiento observado de los atacantes en el mundo real, sin asumir una progresión lineal.

La diferencia de nivel de detalle queda patente al establecer una correspondencia entre una fase concreta de la cadena de ataque y su equivalente en el modelo ATT&CK:

Cuando la cadena de ataque detecta que se está llevando a cabo un reconocimiento, MITRE ATT&CK la técnica exacta, lo que permite diseñar sistemas de detección precisos y realizar un seguimiento cuantificable de la cobertura.

La «Unified Kill Chain», presentada en 2017 por Paul Pols, pretende combinar los puntos fuertes de ambos marcos a lo largo de 18 etapas con trayectorias de progresión no lineales. La mayoría de los expertos recomiendan comenzar con el modelo original de siete etapas para la alineación estratégica y, a continuación, incorporar MITRE ATT&CK la implementación táctica.

La cadena de ataque de la IA: cómo la IA modifica el desarrollo de los ataques

La inteligencia artificial ha reducido la cadena de ataque cibernético de semanas a minutos. Los atacantes utilizan la IA para el reconocimiento automatizado, la generación phishing , malware polimórfico y las comunicaciones de mando y control adaptativas que se camuflan entre el tráfico legítimo. El resultado es un ciclo de ataque considerablemente más corto, en el que cada fase se ejecuta con mayor rapidez de lo que tarda en responder una defensa gestionada por humanos.

La IA defensiva aporta mejoras igualmente significativas:

• El aprendizaje automático detecta actividades de reconocimiento identificando desviaciones respecto a los patrones de comportamiento de referencia
• El procesamiento del lenguaje natural detecta documentos maliciosos antes de su envío
• El análisis del comportamiento detecta los ataques y los movimientos laterales que las herramientas basadas en firmas no detectan
• Las superficies de correlación de señales entre etapas ocultan la progresión de la enfermedad cuando las etapas se analizan de forma aislada

A medida que los ataques basados en la inteligencia artificial se convierten en la norma, las organizaciones que dependen exclusivamente de la clasificación manual y la detección basada en reglas se enfrentan a una desventaja inherente en cuanto a velocidad. La detección y la respuesta automatizadas en todas las etapas de la cadena de ataque se están convirtiendo en un requisito básico, y no en un factor diferenciador.

Detección y prevención de la progresión de la cadena mortal

Una defensa eficaz de la cadena de ataque requiere capacidades de detección adaptadas a cada fase, acciones de respuesta automatizadas y una búsqueda continua de amenazas. El paso de unas operaciones reactivas a otras proactivas es la razón por la que la detección y respuesta en red, los servicios gestionados de detección y respuesta, y las plataformas ampliadas de detección y respuesta se han convertido en elementos fundamentales de las arquitecturas de seguridad modernas.

En la siguiente tabla se relacionan las distintas fases de la cadena de ataque con las acciones específicas que los defensores deben esperar por parte de los atacantes y las contramedidas diseñadas para frustrarlas.

La detección basada en el comportamiento se ha revelado como un elemento esencial para identificar los ataques que eluden las herramientas basadas en firmas. Al establecer una referencia de la actividad normal y correlacionar las desviaciones a lo largo de múltiples etapas, las plataformas de comportamiento —que detectan a usuarios que acceden a recursos compartidos inusuales, se conectan a direcciones IP externas poco habituales y transfieren grandes volúmenes de datos— revelan la progresión de la cadena de ataque, invisible para las herramientas de seguridad individuales.

Para romper la cadena es necesario aplicar tanto medidas de interrupción táctica (controles técnicos en cada etapa) como medidas de interrupción estratégica (incrementar los costes para el atacante mediante el engaño, el intercambio de información sobre amenazas y una respuesta coordinada). Las medidas de interrupción en las primeras etapas resultan considerablemente menos costosas que las medidas correctivas tras el compromiso del sistema.

Detección basada en el comportamiento a lo largo de la cadena de ataque cibernético

Vectra AI detecta el comportamiento de los atacantes en todas las fases de la cadena de ataque mediante el análisis cloud de la red, las identidades y cloud , en lugar de buscar indicadores de compromiso conocidos. Este enfoque basado en el comportamiento parte de la base de que, aunque las herramientas y técnicas específicas cambian constantemente, las acciones subyacentes que los atacantes deben llevar a cabo en cada fase se mantienen constantes.

La IA híbrida, que combina el aprendizaje automático supervisado y no supervisado, ofrece cobertura en toda la cadena de ataque. Los modelos supervisados detectan patrones conocidos con gran precisión. Los modelos no supervisados revelan ataques novedosos al identificar comportamientos anómalos que ninguna firma podría anticipar. La correlación entre las alertas del SIEM, las detecciones en los puntos finales y las señales de red pone de manifiesto las progresiones completas de los ataques que las herramientas individuales pasan por alto.

Fuentes y metodología

Esta guía se basa en marcos de ciberseguridad consolidados, información publicada sobre amenazas e incidentes reales documentados. Las siguientes fuentes sirven de base para las definiciones, las estadísticas y las recomendaciones de defensa que aparecen a lo largo de la página.

• Marcos de referencia: Intelligence Driven Defense® y Cyber Kill Chain® de Lockheed Martin (2011), base MITRE ATT&CK , MITRE D3FEND , modelo Unified Kill Chain de Paul Pols (2017)
• Información sobre amenazas: Unit 42 (Palo Alto Networks) — Respuesta a incidentes e investigación de amenazas; informes de inteligencia sobre amenazas publicados por el proveedor (2024-2025)
• Ejemplos de ataques: operaciones de grupos de ransomware documentadas públicamente (incluido Qilin) e incidentes cloud notificados durante el periodo 2024-2025

Estructura defensiva: funciones del Marco de Ciberseguridad del NIST (Identificar, Proteger, Detectar, Responder, Recuperar)