La inteligencia artificial ya participa activamente en los ataques, mientras los ciclos tradicionales de actualización se vuelven obsoletos, revela el último informe de Rapid7.
La compañía de ciberseguridad Rapid7 publicó su informe trimestral y señala entre sus conclusiones que el tiempo que separa la aparición de una vulnerabilidad pública de su uso por parte de los atacantes se redujo a un promedio de apenas tres días. Esa cifra, que hasta hace poco parecía una simple estadística, hoy es un requisito de diseño para los equipos de seguridad, porque la velocidad de los agresores supera con creces los ciclos convencionales de actualización.
El 71 por ciento de las explotaciones rastreadas ocurre dentro de los primeros siete días tras la divulgación de la falla, y el 90 por ciento antes de cumplir un mes, dice el informe. Casi el 79% de las fallas aprovechadas son del tipo que la industria llama «Santo Grial»: remotas, sin autenticación y, a menudo, sin que la víctima tenga que hacer clic o interactuar. De 43 vulnerabilidades explotadas con puntuación CVSS alta, 34 cumplían esas condiciones. En otras palabras, el atacante solo necesita encontrar la puerta abierta y entrar.
El ransomware sigue cobrando víctimas
Los grupos de extorsión más activos lideraron las listas con cifras escalofriantes. The Gentlemen encabezó con 342 víctimas; Qilin lo siguió con 339; INC Ransom, con 99; DeadLock, con 98; y KryBit, con 95. Estados Unidos concentra 1.112 incidentes reportados, casi ocho veces más que Alemania, que ocupa el segundo lugar con un 7,3%. Italia y Canadá empatan con un 5,3% cada uno, seguidos por el Reino Unido con un 4,7%.
Los sectores más atacados fueron Servicios Empresariales (17%), Manufactura (16,1%), Salud (14,9%), Tecnología (10,8%) y Construcción (9,8%). Dentro del rubro gubernamental, la participación de Estados Unidos subió del 33% al 45% entre los diez países con más reportes, lo que confirma que el sector público se ha vuelto un blanco preferido.
La inteligencia artificial cambia de papel
Otro hallazgo relevante es que la inteligencia artificial dejó de ser una simple herramienta de redacción para los atacantes y pasó a operar dentro de las propias cadenas de ataque. Aproximadamente el 8% de las campañas rastreadas en el trimestre citan a la IA como un componente operativo, no como mero apoyo. Los actores maliciosos también están aprendiendo a fragmentar sus interacciones en múltiples sesiones para evadir los controles de los proveedores de modelos, una táctica que la industria denomina «prompting fragmentado».
De 63 publicaciones monitoreadas en foros clandestinos, 41 se dedicaban a vender accesos ya comprometidos a redes corporativas. La categoría más grande del trimestre fueron los intermediarios de acceso: personas que ya abrieron la puerta y la revenden al mejor postor. Muchos de los exploits anunciados en esos espacios ya estaban presentes en los boletines de los fabricantes o en la lista KEV de CISA días después de su divulgación.
Actores estatales en acción
El reporte vincula al grupo chino APT31 con ocho fallas distintas. Lazarus, atribuido a Corea del Norte, aparece asociado a otra CVE; Sandworm, vinculado a Rusia, a dos; y Void Blizzard, a una más. Además, se documenta una operación norcoreana contra organizaciones automotrices y de medios de Corea del Sur que utilizó un kit Linux previamente desconocido llamado «ted», embebido en una versión modificada de HAProxy, junto con un keylogger SSH y un programa de acceso remoto bautizado «curlRAT».
La conclusión del informe es contundente: los ciclos de actualización tradicionales ya son demasiado lentos para defenderse. Para Rapid7, «un apetito de riesgo que no se puede expresar en días de exposición es solo esperanza con presupuesto». La diferencia entre descubrir una falla y protegerse de ella ya no se mide en meses, sino en horas, y eso cambia las reglas del juego para cualquier organización.
Fuente: Rapid7
