T1567) creciendo más rápidamente a medida que los atacantes abusan de servicios legítimos como Google Drive y MEGA.La exfiltración de datos se ha convertido en el elemento definitorio de los ciberataques modernos. Según una investigación de BlackFog, el 93 % de los ataques de ransomware en la primera mitad de 2024 implicaron la exfiltración de datos, y los atacantes robaron información confidencial antes de implementar el cifrado. Esto representa un cambio fundamental en la forma de operar de los actores maliciosos, y exige un cambio correspondiente en la forma en que los equipos de seguridad detectan y responden.
La rapidez de estos ataques deja poco margen para el error. El Informe de respuesta a incidentes de 2025 de Unit 42 reveló que el tiempo medio hasta la exfiltración es ahora de solo dos días, y que en casi uno de cada cinco casos los datos se roban en la primera hora tras el compromiso. Para los profesionales de la seguridad, comprender cómo funciona la exfiltración y cómo detenerla nunca ha sido tan importante.
Esta guía ofrece un análisis exhaustivo de la exfiltración de datos: qué es, cómo la ejecutan los atacantes, las herramientas que utilizan y las estrategias de detección y prevención que realmente funcionan en 2025.
El mercado de la exfiltración de datos refleja esta creciente amenaza. Las organizaciones están realizando importantes inversiones en tecnologías de protección contra la exfiltración de datos, y se prevé que el mercado mundial de prevención de pérdida de datos supere los 6000 millones de dólares en 2026. Esta inversión está impulsada por el aumento de las sanciones reglamentarias, el incremento de los costes de las infracciones y el cambio hacia la extorsión basada en la exfiltración, que hace que las estrategias de copia de seguridad tradicionales resulten insuficientes.
La exfiltración de datos es la transferencia no autorizada de datos desde la red de una organización a una ubicación externa controlada por un agente malicioso. A diferencia de la exposición accidental de datos, la exfiltración implica un robo deliberado: los atacantes seleccionan, recopilan y extraen información confidencial con fines lucrativos, de espionaje o de extorsión. Según el Centro de Recursos de Seguridad Informática del NIST, la exfiltración se define como «la transferencia no autorizada de información desde un sistema de información».
Esta distinción es importante para los equipos de seguridad. Cuando se produce una filtración de datos, la exfiltración suele ser el método (el cómo), mientras que la filtración en sí misma es el resultado. Comprender esta relación ayuda a las organizaciones a centrar sus esfuerzos de detección en los mecanismos de transferencia que utilizan realmente los atacantes.
La magnitud del problema es considerable. La investigación de BlackFog indica que el 94 % de los ciberataques exitosos en 2024 implicaron la filtración de datos, ya fuera junto con el cifrado o en lugar de este. Los atacantes se han dado cuenta de que los datos robados proporcionan una ventaja que el cifrado por sí solo no puede ofrecer: la amenaza de divulgación pública o venta a la competencia crea una presión que persiste incluso después de que los sistemas se restauren a partir de copias de seguridad.
Los tipos de datos que suelen ser objeto de exfiltración incluyen:
Comprender la terminología ayuda a los equipos de seguridad a comunicarse con mayor precisión sobre los incidentes y a centrar adecuadamente los esfuerzos de detección.
Tabla 1: Distinción entre exfiltración, violación y fuga de datos Comparación de la intención, la causa y los ejemplos de cada tipo de incidente de seguridad de datos.
Las amenazas internas pueden pertenecer a cualquiera de estas categorías. Un empleado malintencionado que extrae datos de forma deliberada comete un robo intencionado. Un empleado negligente que envía accidentalmente archivos confidenciales por correo electrónico al destinatario equivocado comete una filtración de datos. Ambos casos suponen un riesgo, pero requieren diferentes enfoques de detección y procedimientos de respuesta.
La exfiltración de datos moderna sigue un ciclo de vida de ataque predecible, aunque la velocidad a la que los atacantes avanzan por estas fases se ha acelerado drásticamente. Comprender este ciclo de vida ayuda a los equipos de seguridad a identificar oportunidades de detección en cada etapa.
El ciclo de vida de un ataque de exfiltración:
El informe de respuesta a incidentes de la Unidad 42 documenta que el tiempo de permanencia se ha reducido a siete días en 2024, frente a los 13 días de 2023. Más importante aún, Help Net Security informa de que la filtración de datos se produce específicamente en un plazo medio de dos días y, en uno de cada cinco casos, en la primera hora tras el compromiso.
Esta línea temporal comprimida significa que los enfoques de detección tradicionales, que se basan en identificar anomalías durante períodos prolongados, pueden pasar por alto por completo la exfiltración. Los equipos de seguridad necesitan análisis de comportamiento en tiempo real que puedan identificar el robo de datos en curso.
Los atacantes utilizan varios canales para la exfiltración, elegidos en función de los requisitos de sigilo y el volumen de datos:
El túnel DNS representa uno de los métodos de exfiltración más sigilosos, ya que el tráfico DNS suele ser fiable y rara vez se inspecciona en profundidad. Según el centro de recursos de seguridad DNS de Infoblox, los atacantes codifican los datos robados en las consultas y respuestas DNS, eludiendo los controles de seguridad tradicionales que se centran en el tráfico web o de correo electrónico.
La técnica funciona dividiendo los datos en pequeños fragmentos y codificándolos como consultas de subdominio a un dominio controlado por el atacante. El servidor DNS del atacante recibe estas consultas, extrae los datos y los vuelve a ensamblar. Los registros de respuesta pueden transportar comandos o datos adicionales de vuelta al sistema comprometido.
La detección requiere analizar los patrones de consulta DNS en busca de anomalías:
El movimiento lateral suele preceder a la exfiltración de DNS, ya que los atacantes se posicionan en sistemas con acceso a almacenes de datos confidenciales. Comprender esta relación ayuda a los equipos de seguridad a correlacionar la actividad de la red a lo largo del ciclo de vida del ataque.
El abuso de los servicios Cloud se ha convertido en un método de exfiltración preferido porque se mezcla con el tráfico comercial legítimo. Los grupos APT y los operadores de ransomware utilizan cada vez más servicios cloud como Google Drive, Dropbox, OneDrive y MEGA para extraer datos robados.
La campaña Earth Kurma, dirigida a los gobiernos del sudeste asiático, demostró la eficacia de esta técnica, utilizando Dropbox y OneDrive para la exfiltración, al tiempo que mantenía un acceso persistente a través de los rootkits KRNRAT y MORIYA. El tráfico parece legítimo, ya que estos servicios se utilizan ampliamente con fines comerciales.
La infraestructura de comando y control también aprovecha cada vez más cloud , con grupos como Fog ransomware que utilizan Google Sheets para las comunicaciones C2, una técnica que es difícil de distinguir del uso normal de las herramientas de productividad.
La detección requiere:
Los ataques de ingeniería social suelen servir como vector de acceso inicial que permite la posterior filtración de datos. Los atacantes manipulan la psicología humana en lugar de las vulnerabilidades técnicas para obtener las credenciales y el acceso necesarios para el robo de datos.
Técnicas comunes de ingeniería social que conducen a la exfiltración:
Los controles de seguridad deben abordar el factor humano junto con las defensas técnicas. La formación en materia de seguridad reduce la susceptibilidad a la ingeniería social, mientras que la autenticación multifactorial limita el impacto del robo de credenciales. Las organizaciones deben implementar procedimientos de verificación para las solicitudes de datos confidenciales y los patrones de acceso inusuales.
La exfiltración de datos se puede clasificar según el agente malicioso implicado, el vector utilizado o la técnica empleada. Comprender estas categorías ayuda a las organizaciones a priorizar sus inversiones en detección en función de su panorama específico de amenazas.
Los grupos de amenazas persistentes avanzadas de los Estados-nación y las organizaciones ciberdelictivas representan las amenazas externas de exfiltración más sofisticadas.
Grupos APT activos que llevan a cabo la exfiltración de datos en 2024-2025:
Los operadores de ransomware han convertido la exfiltración de datos en una práctica habitual. BlackFog informa de que el 96 % de los ataques de ransomware en el tercer trimestre de 2025 implicaron exfiltración, la tasa más alta jamás registrada, con un volumen medio de exfiltración de 527,65 GB por víctima.
Las amenazas internas plantean retos únicos en materia de detección, ya que los empleados tienen acceso legítimo a los sistemas y datos.
Los empleados malintencionados roban deliberadamente datos para obtener beneficios personales, ventajas competitivas o sabotear la empresa. El caso de robo interno de Google en 2024 demuestra el impacto potencial: el ingeniero de software Linwei Ding sustrajo 500 archivos confidenciales que contenían más de 10 años de diseños de chips de IA y arquitectura de supercomputación patentados, según el análisis de Syteca sobre las violaciones de seguridad por parte de empleados.
Los empleados negligentes exponen datos de forma involuntaria a través de:
La detección requiere análisis de comportamiento que establezcan patrones de referencia e identifiquen desviaciones, como un empleado que de repente accede a grandes volúmenes de archivos que nunca antes había tocado o que copia datos a unidades USB cuando normalmente no lo hace.
Tabla 2: Tipos de exfiltración de datos por vector y actor Categorización de los métodos de exfiltración que muestran el vector, el actor típico de la amenaza y el enfoque de detección.
MITRE ATT&CK proporciona un enfoque estructurado para comprender y detectar la exfiltración. La táctica de exfiltración (TA0010) incluye nueve técnicas y ocho subtécnicas que los equipos de seguridad deben supervisar.
Según el análisis de Fidelis Security de los datos de Coveware, la exfiltración apareció en el 87 % de los casos observados en el cuarto trimestre de 2024, ocupando el primer lugar. MITRE ATT&CK , por delante de Command and Control», «Evasión de la defensa» y «Ejecución».
Tabla 3: Matriz de técnicas de MITRE ATT&CK Técnicas clave de exfiltración con ID, subtécnicas y recomendaciones de detección
Para los equipos de detección y búsqueda de amenazas, las siguientes estrategias de detección se ajustan a técnicas MITRE específicas:
T1041 - Exfiltración a través del canal C2:
T1048 - Exfiltración a través de un protocolo alternativo:
T1567 - Exfiltración a través del servicio web:
T1052 - Exfiltración a través de un medio físico:
Comprender las herramientas específicas que utilizan los atacantes permite crear reglas de detección y consultas de búsqueda de amenazas más eficaces. El panorama de las herramientas de exfiltración está dominado por utilidades legítimas que los atacantes reutilizan, una técnica que les ayuda a evadir la detección al mezclarse con las operaciones comerciales normales.
Según el análisis de ReliaQuest sobre las herramientas de exfiltración, Rclone se utilizó en el 57 % de los incidentes de ransomware entre septiembre de 2023 y julio de 2024, lo que la convierte en la herramienta de exfiltración dominante en el panorama actual de amenazas.
Rclone es un programa de código abierto de línea de comandos diseñado para sincronizar archivos con servicios cloud . Es compatible con más de 40 cloud , entre los que se incluyen Google Drive, Amazon S3, Dropbox y MEGA, los mismos servicios que prefieren los atacantes para recibir los datos robados.
¿Por qué los atacantes prefieren Rclone?
Indicadores de detección para Rclone:
rclone.exe o rclonemega, gdrive, s3, u otros nombres cloud--no-comprobar-certificado (comúnmente utilizado para eludir la inspección SSL)copia, sincronizar, o mover con destinos externosLas soluciones de detección y respuesta en los puntos finales deben incluir una lógica de detección específica para los patrones de la línea de comandos de Rclone.
Más allá de Rclone, los atacantes aprovechan una serie de utilidades legítimas de transferencia de archivos:
WinSCP: un cliente SFTP y FTP de Windows ampliamente utilizado en entornos empresariales. Al tratarse de una herramienta de confianza, es posible que las sesiones de WinSCP con hosts externos no activen alertas en entornos que no hayan configurado específicamente la detección.
cURL: nativo de Windows 10 y versiones posteriores, cURL no requiere implementación, por lo que los atacantes pueden utilizarlo inmediatamente en cualquier sistema Windows moderno. Este enfoque de«vivir de la tierra» evita dejar ejecutables adicionales que podrían activar malware .
Azure Storage Explorer y AzCopy: BleepingComputer informa de que grupos de ransomware como BianLian y Rhysida utilizan cada vez más las herramientas de Azure para la exfiltración, aprovechando la velocidad del almacenamiento Azure Blob y la legitimidad de la infraestructura de Microsoft.
Software RMM: Las herramientas de supervisión y gestión remotas como AnyDesk, Splashtop y Atera proporcionan capacidades de comando y control, así como funcionalidad de transferencia de datos. El ransomware Fog utiliza notablemente una combinación de estas herramientas junto con Google Sheets para C2.
Tabla 4: Comparación de herramientas de exfiltración y métodos de detección Prevalencia de las herramientas basada en datos de incidentes con enfoques de detección específicos
Los casos prácticos reales ilustran cómo se desarrollan los ataques de exfiltración y las lecciones que las organizaciones pueden aprender de ellos. Las repercusiones financieras y operativas documentadas en los incidentes de 2024-2025 demuestran por qué la exfiltración se ha convertido en la principal preocupación de los equipos de seguridad.
Según el informe «IBM Cost of a Data Breach Report 2024», el coste medio de la extorsión por filtración de datos alcanzó los 5,21 millones de dólares por incidente, superando el coste medio global de las violaciones de seguridad, que es de 4,88 millones de dólares. Esta prima refleja la ventaja adicional que obtienen los atacantes gracias a los datos robados y las medidas correctivas adicionales que se requieren cuando la información confidencial sale del control de la organización. Las organizaciones dedicadas a la ciberseguridad sanitaria y los servicios financieros se enfrentan a los costes más elevados debido a las sanciones reglamentarias y a la sensibilidad de los datos protegidos.
Violación de datos de Snowflake (2024)
La filtración de Snowflake demostró cómo el compromiso de las credenciales de un proveedor de tecnología puede afectar a cientos de organizaciones clientes. Según el análisis deCloud Alliance:
Ataque a Change Healthcare (2024)
El ataque a Change Healthcare se convirtió en una de las mayores violaciones de datos sanitarios de la historia, lo que demuestra el impacto amplificado de la exfiltración en sistemas interconectados. Documentos de análisis de ERM Protect:
Ataque a Ingram Micro SafePay (2025)
El ataque a Ingram Micro ilustra cómo el compromiso de las credenciales VPN permite el robo masivo de datos:
Según el informe Kroll Data Breach Outlook 2025 y una investigación de IBM, ciertos sectores se enfrentan a un elevado riesgo de filtración de datos:
Tabla 5: Comparación del impacto de la filtración de datos en la industria Métricas clave que muestran la prevalencia de las infracciones, los costes y los tipos de datos objetivo por sector
La industria manufacturera ha sido el sector más afectado durante cuatro años consecutivos, con un 51 % de las empresas manufactureras pagando rescates por un valor medio de un millón de dólares. La dependencia de este sector de la tecnología operativa y la propiedad intelectual lo hace especialmente vulnerable a los ataques basados en la extorsión.
Una detección eficaz requiere un enfoque por capas que combine múltiples tecnologías. No existe una solución única que detecte todos los intentos de exfiltración, ya que los atacantes utilizan deliberadamente herramientas legítimas y canales cifrados para evadir la detección.
El informe Blue Report 2025 publicado por BleepingComputer reveló que las organizaciones solo evitaron el 3 % de los intentos de exfiltración en el tercer trimestre de 2025, la tasa de prevención más baja jamás registrada. Esta estadística subraya la importancia fundamental de invertir en detección.
Las soluciones DLP proporcionan inspección basada en el contenido y aplicación de políticas para el movimiento de datos:
Capacidades:
Limitaciones:
Las soluciones de detección y respuesta de red utilizan análisis de comportamiento para detectar amenazas mediante el análisis del tráfico de red. Según la descripción general de NDR de IBM, NDR ofrece varias ventajas para la detección de exfiltración:
Capacidades:
Puntos fuertes para la detección de exfiltración:
UEBA establece puntos de referencia del comportamiento normal de los usuarios e identifica desviaciones que pueden indicar un compromiso o una amenaza interna:
Capacidades de detección:
La detección y respuesta en los puntos finales proporciona visibilidad de la actividad a nivel del host, lo cual es fundamental para detectar el uso de herramientas de exfiltración:
Capacidades de detección:
Reconocer los indicadores de exfiltración de datos de forma temprana permite una respuesta más rápida y reduce la pérdida de datos. Los equipos de seguridad deben estar atentos a estas señales de alerta:
Indicadores basados en la red:
Un análisis eficaz del tráfico de red es esencial para identificar estos patrones antes de que los datos salgan de la organización.
Indicadores basados en puntos finales:
Indicadores de comportamiento del usuario:
Una protección eficaz contra la filtración de datos requiere una supervisión continua en cloud de red, terminales y cloud . Las evaluaciones puntuales pasan por alto los indicadores en tiempo real que señalan el robo activo de datos.
Prioridades de supervisión:
Las organizaciones deben establecer comportamientos de referencia para los usuarios, los dispositivos y el tráfico de red. Las desviaciones de estos comportamientos de referencia activan alertas para su investigación, lo que permite detectar exfiltraciones sofisticadas que eluden los controles basados en firmas.
Tabla 6: Comparación de tecnologías de detección de exfiltración Capacidades, fortalezas y limitaciones de cada método de detección
Lista de verificación para una detección eficaz:
La prevención requiere una defensa en profundidad: ningún control por sí solo puede detener todos los intentos de exfiltración. Las estrategias más eficaces combinan controles técnicos con factores humanos y asumen que algunos atacantes eludirán las defensas perimetrales.
Arquitectura de confianza cero: Zero trust proporciona el marco fundamental para la prevención de la exfiltración. Los principios clave incluyen:
Segmentación de la red: una segmentación adecuada limita los datos a los que pueden acceder los atacantes, incluso después de un compromiso inicial:
Filtrado de salida: controle qué datos pueden salir de la red:
Supervisión de DNS: Detecta y previene la exfiltración basada en DNS:
Autenticación multifactorial: la autenticación multifactorial en todos los sistemas reduce el riesgo de compromiso basado en credenciales:
Implementación de CASB: los agentes de seguridad Cloud proporcionan visibilidad y control:
Las organizaciones deben implementar soluciones de prevención de exfiltración de datos por capas que aborden diferentes vectores de ataque:
Soluciones de capa de red:
Soluciones de capa de punto final:
Soluciones Cloud:
Soluciones de capa de identidad:
El enfoque más eficaz combina soluciones en todas las capas, con una integración que permite la correlación de indicadores y una respuesta coordinada.
Cuando se detecta o se sospecha una filtración de datos, las organizaciones deben seguir un manual estructurado de respuesta a incidentes:
Fase 1: Detección y evaluación inicial (0-4 horas)
Fase 2: Contención (4-24 horas) 5. Aislar los sistemas afectados manteniendo la integridad forense. 6. Revocar las credenciales y sesiones comprometidas. 7. Bloquear los canales de exfiltración identificados (direcciones IP, dominios, cloud ). 8. Implementar controles de acceso de emergencia para los almacenes de datos confidenciales.
Fase 3: Investigación y erradicación (24-72 horas) 9. Realizar un análisis forense exhaustivo para determinar la cronología del ataque. 10. Identificar el vector de acceso inicial y los mecanismos de persistencia. 11. Mapear todos los sistemas a los que ha accedido el agente malicioso. 12. Eliminar el acceso del atacante y cualquier herramienta o puerta trasera desplegada.
Fase 4: Notificación y recuperación (según sea necesario) 13. Evaluar los requisitos normativos de notificación (RGPD 72 horas, HIPAA 60 días, NIS2 24 horas) 14. Preparar el contenido de la notificación para los reguladores, las personas afectadas y las partes interesadas 15. Restaurar los sistemas a partir de copias de seguridad válidas cuando sea necesario 16. Implementar controles adicionales para evitar que se repita
Fase 5: Actividades posteriores al incidente 17. Realizar una revisión de las lecciones aprendidas en un plazo de 30 días. 18. Actualizar las reglas de detección basándose en las técnicas observadas. 19. Mejorar los controles preventivos para abordar las deficiencias identificadas. 20. Documentar el incidente para fines de cumplimiento y referencia futura.
Las organizaciones deben ensayar este manual mediante ejercicios de simulación y actualizarlo en función de la evolución de las amenazas y los requisitos normativos.
Los incidentes de exfiltración de datos activan requisitos de notificación en virtud de múltiples marcos normativos. Comprender estos plazos es esencial para la planificación de la respuesta ante incidentes y el cumplimiento normativo.
Tabla 7: Requisitos normativos de notificación para incidentes de exfiltración de datos Normativas clave con plazos de notificación, sanciones y ámbito de aplicación
Según la guía de notificación de infracciones del RGPD de Cynet, el plazo de notificación de 72 horas comienza cuando la organización tiene conocimiento de la infracción, por lo que es esencial una detección e investigación rápidas.
Los requisitos de notificación de infracciones de la HIPAA del HHS especifican sanciones escalonadas en función de la culpabilidad, desde 137 dólares por infracción en caso de infracciones involuntarias hasta 68 928 dólares en caso de negligencia deliberada que no se corrija.
La Directiva NIS2 introduce la responsabilidad ejecutiva, haciendo que la dirección sea personalmente responsable de los fallos en materia de ciberseguridad. Esto aumenta la importancia de los controles de seguridad documentados y los procedimientos de respuesta a incidentes.
Lista de verificación para la prevención:
El panorama de amenazas de exfiltración sigue evolucionando, lo que obliga a los equipos de seguridad a adaptar sus capacidades de detección y respuesta. Los enfoques tradicionales basados en firmas tienen dificultades para hacer frente a los atacantes que utilizan herramientas legítimas y canales cifrados.
La defensa moderna contra la exfiltración se basa en gran medida en la inteligencia artificial y el aprendizaje automático para detectar técnicas sofisticadas de robo de datos:
The Hacker News informa de que las herramientas de IA se han convertido en el principal canal de exfiltración de datos, con un 67 % de las sesiones de IA realizadas a través de cuentas personales que eluden los controles empresariales. Esto plantea nuevos retos de detección que requieren supervisar las acciones de pegado y carga en los servicios de IA, algo que los DLP tradicionales tienen dificultades para abordar.
Vectra AI la exfiltración de datos a través de Attack Signal Intelligence, que utiliza análisis de comportamiento impulsados por IA para detectar técnicas sofisticadas de filtración en entornos de red, cloud e identidad. En lugar de basarse únicamente en la detección basada en firmas, el enfoque se centra en identificar los patrones de comportamiento que indican la preparación de datos y las transferencias no autorizadas, independientemente de si los atacantes utilizan canales cifrados, herramientas legítimas como Rclone o cloud para la filtración.
Esta metodología se alinea con el MITRE ATT&CK para proporcionar a los equipos de seguridad visibilidad a nivel técnico de los intentos de exfiltración. Mediante el análisis de patrones de metadatos, comportamientos de conexión y movimiento de datos en entornos híbridos, es posible detectar amenazas incluso cuando los atacantes utilizan herramientas legítimas y canales cifrados diseñados para evadir los controles tradicionales.
El enfoque en el comportamiento del atacante, en lugar de en indicadores estáticos, permite detectar técnicas novedosas sin tener que esperar a que se actualicen las firmas. A medida que evolucionan las amenazas de seguridad relacionadas con la IA, este enfoque basado en el comportamiento cobra cada vez más importancia.
El panorama de amenazas de exfiltración de datos sigue evolucionando rápidamente, con varios avances clave que los equipos de seguridad deben anticipar en los próximos 12 a 24 meses.
La IA como vector de amenazas y herramienta de detección: las herramientas de IA representan el canal de exfiltración de más rápido crecimiento. Las organizaciones deben implementar una supervisión específica para la IA que aborde las acciones de copiar/pegar en los servicios de IA generativa, ya que los DLP tradicionales basados en archivos no pueden detectar esta actividad. Al mismo tiempo, la detección basada en IA será esencial para identificar técnicas sofisticadas de exfiltración en tiempo real.
Exfiltración pura frente al cifrado: Se acelerará el cambio del ransomware con cifrado a la extorsión basada exclusivamente en la exfiltración. Grupos como Cl0p y World Leaks han demostrado que los datos robados proporcionan suficiente influencia sin la complejidad operativa del cifrado. Los equipos de seguridad deben dar prioridad a la detección del robo de datos en lugar de centrarse únicamente en los indicadores de cifrado del ransomware.
Evolución normativa: El paquete digital ómnibus de la UE propone ampliar los plazos de notificación del RGPD de 72 a 96 horas y crear un punto único de entrada para la presentación de informes normativos cruzados. Las organizaciones deben prepararse para los requisitos de cumplimiento en constante evolución, al tiempo que mantienen las capacidades de notificación actuales.
Aumento de la exfiltraciónCloud: a medida que las organizaciones trasladan más cargas de trabajo a cloud , los atacantes aprovecharán cada vez más las herramientas y los servicios cloud para la exfiltración. La detección requiere una profunda integración con las API cloud y los sistemas de identidad.
PatronesZero-day : Grupos como Cl0p continúan identificando y explotando zero-day en software empresarial (MOVEit, Oracle EBS) para la exfiltración masiva de datos. Las organizaciones deben implementar procesos rápidos de aplicación de parches y controles compensatorios para las vulnerabilidades sin parchear.
Recomendaciones para la preparación:
Las prioridades de inversión deben centrarse en capacidades de detección de comportamientos que funcionen en entornos híbridos, análisis basados en inteligencia artificial que puedan seguir el ritmo de la evolución de los atacantes e integración entre herramientas de seguridad que permitan correlacionar todo el ciclo de vida del ataque, desde el acceso inicial hasta la exfiltración.
La exfiltración de datos es la transferencia no autorizada de datos desde la red de una organización a una ubicación externa controlada por un agente malicioso. Según el NIST, representa «la transferencia no autorizada de información desde un sistema de información». A diferencia de la exposición accidental de datos o el compromiso del sistema sin robo de datos, la exfiltración implica específicamente la extracción deliberada de información confidencial.
La distinción entre términos relacionados es importante para los equipos de seguridad. Una violación de datos es el resultado, el incidente de seguridad en el que se accede a los datos sin autorización. La fuga de datos es la exposición involuntaria debido a una configuración incorrecta o un error humano. La exfiltración es el método deliberado que utilizan los atacantes para robar información.
En 2024, el 93 % de los ataques de ransomware incluyeron exfiltración, según un estudio de BlackFog, lo que lo convierte en el vector de amenaza dominante en lugar de un fenómeno ocasional. El tiempo medio hasta la exfiltración es ahora de solo dos días, y en casi uno de cada cinco incidentes los datos se roban en la primera hora.
La exfiltración de datos es el método o técnica utilizado para robar datos, mientras que una violación de datos es el resultado de un incidente de seguridad en el que se accede a los datos sin autorización. Toda exfiltración crea una violación, pero no toda violación implica una exfiltración.
Por ejemplo, un atacante que obtiene acceso no autorizado a una base de datos y ve los registros de los clientes ha causado una violación, pero si no copia ni transfiere esos datos al exterior, no se ha producido una exfiltración. Por el contrario, cuando los operadores de ransomware utilizan Rclone para copiar 500 GB de archivos al cloud MEGA, se han producido tanto una exfiltración como una violación.
Esta distinción afecta a la respuesta ante incidentes. Las violaciones sin exfiltración pueden tener un impacto limitado si se interrumpe rápidamente el acceso. La exfiltración crea una exposición permanente: una vez que los datos salen del control de la organización, no se pueden recuperar y los atacantes conservan indefinidamente su poder de extorsión.
Los atacantes extraen datos a través de múltiples canales, seleccionados en función de los requisitos de volumen, las necesidades de sigilo y la infraestructura disponible:
Conexiones HTTPS cifradas: el método más habitual, que aprovecha el cifrado normal del tráfico web para ocultar las transferencias de datos. Puede utilizar servicios cloud o puntos finales personalizados.
Túnel DNS: datos codificados dentro de consultas y respuestas DNS, que eluden los controles de seguridad centrados en el tráfico web. Eficaz para volúmenes de datos más pequeños o cuando otros canales están bloqueados.
ServiciosCloud : Google Drive, Dropbox, OneDrive y MEGA proporcionan una infraestructura legítima para la transferencia de datos. El tráfico se mezcla con el uso normal de la empresa.
Canales de mando y control: datos transmitidos a través de comunicaciones C2 existentes, a menudo cifrados y difíciles de distinguir del tráfico C2 normal.
Medios físicos: unidades USB y almacenamiento extraíble para amenazas internas o cuando se detectaría la filtración de datos de la red.
Los atacantes modernos prefieren herramientas legítimas como Rclone (utilizada en el 57 % de los incidentes de ransomware) que se integran en las operaciones comerciales normales y aprovechan cloud de confianza.
Según un estudio de ReliaQuest que abarca desde septiembre de 2023 hasta julio de 2024, Rclone domina el panorama de las herramientas de exfiltración con un 57 % de los incidentes de ransomware. Otras herramientas que se observan con frecuencia son:
Rclone: sincronización cloud de código abierto mediante línea de comandos que admite más de 40 servicios, incluidos MEGA, Google Drive y S3. Rápido, programable y muy utilizado por los operadores de ransomware.
WinSCP: cliente SFTP/FTP de Windows ampliamente utilizado en empresas, lo que dificulta distinguir el uso malicioso de la actividad legítima.
cURL: Nativo de Windows 10 y versiones posteriores, no requiere implementación adicional. Permite ataques «living-off-the-land» sin necesidad de instalar ejecutables adicionales.
Azure Storage Explorer/AzCopy: cada vez más utilizado por grupos como BianLian y Rhysida para la exfiltración a Azure Blob Storage.
MEGAsync: cliente cloud MEGA que se utiliza con frecuencia junto con Rclone para la sincronización automática con cuentas controladas por atacantes.
Software RMM: AnyDesk, Splashtop y Atera proporcionan capacidades C2 y de transferencia de datos con una justificación comercial legítima.
La detección eficaz de exfiltraciones requiere tecnologías en capas que funcionen conjuntamente:
Prevención de pérdida de datos (DLP): inspección de contenido en busca de patrones de datos confidenciales, aplicación de políticas para el movimiento de datos, pero eficacia limitada frente al tráfico cifrado.
Detección y respuesta de red (NDR): análisis del comportamiento en los patrones de tráfico de red, análisis del tráfico cifrado sin necesidad de descifrado y detección de anomalías con respecto a las bases de referencia establecidas.
Análisis del comportamiento de usuarios y entidades (UEBA): Detección de comportamientos anómalos de los usuarios, incluyendo accesos fuera del horario laboral, volúmenes de datos inusuales y accesos fuera de las funciones normales.
Detección y respuesta en los puntos finales (EDR): supervisión de procesos para herramientas de exfiltración, registro de acceso a archivos y análisis de argumentos de línea de comandos.
Los indicadores clave de detección de compromisos incluyen volúmenes inusuales de datos hacia destinos externos, acceso a archivos fuera del horario laboral seguido de transferencias de red, conexiones a dominios recién registrados, creación de procesos de herramientas de exfiltración (Rclone, WinSCP, cURL) y anomalías en el acceso cloud .
Las organizaciones solo impidieron el 3 % de los intentos de exfiltración en el tercer trimestre de 2025, lo que subraya la necesidad de realizar una inversión integral en detección.
El túnel DNS codifica los datos robados dentro de las consultas y respuestas DNS para eludir los controles de seguridad tradicionales. Dado que el tráfico DNS suele ser fiable y rara vez se inspecciona en profundidad, los atacantes lo utilizan para extraer datos a través de canales que, de otro modo, estarían bloqueados.
La técnica funciona de la siguiente manera:
datos-codificados.dominio-del-atacante.com)La detección requiere analizar el tráfico DNS en busca de:
El túnel DNS es especialmente eficaz en entornos con acceso restringido a Internet pero con políticas DNS permisivas. Los equipos de seguridad deben implementar la supervisión DNS y considerar el filtrado DNS para bloquear las consultas a dominios sospechosos.
Las principales normativas con implicaciones específicas en materia de exfiltración incluyen:
RGPD (UE): exige notificar a la autoridad supervisora en un plazo de 72 horas desde que se tiene conocimiento de una infracción. Las sanciones pueden alcanzar los 20 millones de euros o el 4 % de la facturación anual global. La filtración de datos personales de residentes en la UE conlleva la obligación de notificarlo íntegramente.
HIPAA (Sistema sanitario estadounidense): La norma sobre notificación de infracciones exige notificar a las personas afectadas en un plazo de 60 días. En caso de infracciones que afecten a más de 500 personas, se debe notificar inmediatamente al Departamento de Salud y Servicios Humanos (HHS). Las sanciones oscilan entre 137 y 68 928 dólares por infracción, en función de la culpabilidad.
NIS2 (Infraestructuras críticas de la UE): Exige una alerta temprana en un plazo de 24 horas para incidentes significativos, seguida de un informe completo del incidente en un plazo de 72 horas. Sanciones de hasta 10 millones de euros o el 2 % de los ingresos globales. Introduce la responsabilidad ejecutiva para la dirección.
Las organizaciones deben mantener planes de respuesta ante incidentes que tengan en cuenta estos plazos de notificación. Los plazos reducidos entre la detección y la notificación requieren capacidades de investigación rápidas y plantillas de comunicación preestablecidas.
La exfiltración moderna se produce a una velocidad sin precedentes. Según el Informe de respuesta a incidentes de 2025 de Unit 42:
Esta línea temporal comprimida tiene importantes implicaciones para la detección y la respuesta. Los enfoques tradicionales que identifican anomalías durante períodos prolongados pueden pasar por alto por completo la exfiltración. Los equipos de seguridad necesitan análisis de comportamiento en tiempo real capaces de identificar el robo de datos en curso.
La ventaja de la velocidad favorece a los atacantes que ya han mapeado los entornos objetivo o que utilizan herramientas automatizadas para el descubrimiento y la exfiltración. Las organizaciones deben asumir que, una vez detectado el compromiso, es posible que ya se haya producido el robo de datos.
La doble extorsión es una táctica de ransomware en la que los atacantes cifran los datos y amenazan con filtrar los datos exfiltrados a menos que se pague un rescate. Este enfoque proporciona múltiples puntos de presión:
Grupos como Cl0p han evolucionado aún más, abandonando cada vez más el cifrado por completo en favor de la extorsión basada exclusivamente en la filtración de datos. Este enfoque requiere menos complejidad operativa, al tiempo que mantiene la influencia mediante amenazas de exposición de datos.
BlackFog informa de que el 96 % de los ataques de ransomware en el tercer trimestre de 2025 implicaron exfiltración, y que el 43 % de las víctimas pagaron el rescate en el segundo trimestre de 2024 (frente al 36 % en el primer trimestre). La evolución hacia ataques que dan prioridad a la exfiltración exige que los equipos de seguridad den prioridad a la detección del robo de datos frente a los indicadores centrados en el cifrado.
Según el informe «Cost of a Data Breach Report 2024» (Coste de una violación de datos 2024) de IBM:
Las inversiones en prevención varían en función del tamaño de la organización y de la postura de seguridad existente. Las categorías de costes clave incluyen:
El coste de la prevención suele ser una fracción del coste de la respuesta ante una infracción. Las organizaciones deben evaluar las inversiones en relación con los posibles costes de los incidentes y las sanciones reglamentarias, que pueden alcanzar los 20 millones de euros o el 4 % de los ingresos globales en virtud del RGPD.