La CISA publica este martes un informe de red team demoledor: el sector público no detectó el ataque simulado y el agua sí respondió.
Lo dejo claro desde el arranque. La agencia norteamericana de ciberseguridad sometió a dos organizaciones a un ejercicio voluntario y por petición: una, gubernamental; otra, del sector del agua. En ambas el equipo rojo consiguió acceso inicial. Solo la segunda lo detectó y se defendió.
Le pongo en contexto de inmediato. El informe es raro: CISA no suele publicar los detalles de sus actividades de red team. Lo hace en un momento especialmente sensible, con el sector del agua bajo la lupa por ataques reales y advertencias oficiales en el último mes. Usted puede consultar los avisos en la web oficial de CISA.
El organismo no identifica a las entidades evaluadas. Las denomina Organización A y Organización B. Elijo verlo así: es una prueba de estrés al oficio de la defensa, no una cacería de fallos ajenos. Lo que el informe describe es, palabra por palabra, un manual de tradecraft ofensivo.
Un ejercicio voluntario, dos resultados opuestos
La Organización A fue un organismo federal. El equipo rojo utilizó una dirección de correo electrónico interna para lanzar una campaña de phishing. Consiguió acceso inicial a varias estaciones de trabajo. A partir de ahí escaló privilegios de dominio y se movió lateralmente hacia sistemas de negocio sensibles y recursos cloud sin ser detectado.
La laxitud defensiva no fue un accidente. En el centro de operaciones de seguridad vieron las alertas EDR de gravedad baja y media, pero no hicieron nada. Miles de falsos positivos —algunos incluso de severidad alta— oscurecieron las alertas que sí había provocado el equipo rojo. La propia CISA culpa también a los silos organizativos.
La diferencia no fue tecnológica: fue de cultura operativa. Una organización vio, priorizó y aisló; la otra, miró y no tocó.
En cambio, la Organización B, una entidad del sector del agua, fue otra historia. También cayó en un spearphishing: tres usuarios hicieron clic en un enlace malicioso. Pero el centro de operaciones trió las alertas y aisló las estaciones comprometidas en 2, 10 y 20 minutos, respectivamente.
El red team intentó un segundo asalto con ayuda de contactos de TI de la organización que sí sabían del ejercicio. Se frustró. CISA pasó entonces a un modelo de ‘assume breach’: dieron acceso a un host que replicaba el nivel de acceso que habría tenido el atacante sin detección. Escalaron privilegios y se movieron lateralmente a sistemas de negocio, recursos cloud y un bastion host en la DMZ de tecnología operativa (OT). Los defensores volvieron a detectar la actividad y aislaron el sistema.
Ninguna de las dos organizaciones sale limpia. Ambas subestimaron los riesgos cloud. Ninguna tenía Conditional Access —la herramienta de seguridad de Microsoft— para identidades de carga de trabajo. Y ninguna tenía procesos para revocar tokens de acceso o de refresco comprometidos.
Reconozco que me sorprende la segunda parte tanto como la primera. El fallo no estuvo en las herramientas, sino en la gobernanza de las alertas. Si el SOC mira las alarmas y no actúa, de poco sirve el mejor EDR del mercado.
Los precedentes no son nuevos. En 2023 CISA publicó su primer informe de red team. Desde entonces, pocos. El año pasado la agencia aclaró que no había recortado su red team tras revelaciones sobre la salida de contratistas, incluidos algunos de sus miembros. Eso da más valor a esta publicación.
Anatomía del fallo: alertas ignoradas y silos organizativos
El vector de entrada fue el mismo en ambos casos: correo electrónico. En la Organización A, el ataque partió de una dirección interna, lo que reduce la fricción y eleva la credibilidad. Se trata de un patrón clásico de suplantación de identidad. La diferencia radicó en la respuesta: la capacidad de discriminar bajo ruido.
CISA no culpa a la tecnología. Culpa a los silos. Si el SOC no habla con el equipo de identidades, si los miles de falsos positivos no se priorizan, el sistema colapsa. Es un problema de oficio más que de presupuesto. El sector del agua, con menos recursos, demostró que se puede actuar con rapidez si hay procedimientos claros y una cadena de mando sin fricciones.
Lo veo en el oficio todos los días: los servicios de inteligencia y las agencias de ciberseguridad dedican más tiempo a la atribución que a la higiene básica. En este informe, la higiene básica lo fue todo.
Ya advertí en El quinto elemento que el próximo 11S no se anunciará con un avión, sino con un clic. Este ejercicio de CISA confirma el diagnóstico completo.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza. Estamos ante un ciberataque simulado de tipo APT: spearphishing dirigido, elevación de privilegios, movimiento lateral y compromiso de recursos cloud. No hubo ransomware ni sabotaje. Fue una prueba de oficio, ejecutada por el red team de CISA con un alcance que imita a un adversario real.
Agencias implicadas. El atacante es el propio Gobierno estadounidense a través de CISA; el defensor en el caso A fue un organismo federal, y en el caso B una entidad del sector del agua. Terceros: el CNI, el CCN-CERT y las agencias aliadas miran de reojo. En España, el agua y las infraestructuras críticas son objetivos prioritarios por la tensión con Marruecos y por el historial de ciberespionaje ruso. Nada de lo descrito es ajeno a nuestro perímetro.
Nivel de clasificación estimado. El informe es público, pero la sensibilidad de lo revelado —tácticas, tiempos de detección, fallas en gobernanza— lo equipara a material de uso restringido. Es una estimación profesional mía: CISA no clasifica este tipo de avisos, pero cualquier servicio de contrainteligencia extraerá lecciones directas.
El precedente histórico es claro. En SolarWinds, el SVR ruso se movió lateralmente durante meses sin que los defensores lo detectaran. No fue falta de alertas, fue falta de respuesta. La organización A de CISA repite hoy ese patrón en un ensayo controlado. Es la lección más incómoda del informe.
No me crea a mí solo. Usted puede ver el informe y sacar sus propias conclusiones. Yo me quedo con la fragilidad de la gobernanza interna: silos, alertas no priorizadas, tokens sin revocar. No hay sofisticación que sobreviva a una mesa de operaciones que no se comunica.
El hito que vigilo ahora: el siguiente informe anual de CISA sobre red team, si llega. Y en España, cómo el CCN-CERT incorpora estas conclusiones a sus guías para el sector del agua. El silencio ahí también sería una señal.
