Radar de amenazas

Los ataques de ingeniería social han dado un salto cualitativo: voces clonadas de directivos, vídeos falsos y correos indistinguibles de los legítimos. El eslabón humano vuelve a ser el vector número uno, ahora contra empleados entrenados para detectar el phishing clásico.

Recomendación SYRA360: Protocolos de verificación fuera de banda para pagos y órdenes sensibles, simulacros con deepfakes reales y formación específica para dirección y finanzas.

El modelo ha mutado de cifrar a extorsionar: exfiltración silenciosa y amenaza de publicación. Las pymes proveedoras de grandes compañías son la puerta de entrada preferida.

Recomendación SYRA360: Copias inmutables verificadas, segmentación de red, plan de respuesta ensayado y decisión previa (y por escrito) sobre política de negociación.

Ataques a través de proveedores de software y servicios con acceso privilegiado. NIS2 traslada la responsabilidad al órgano de dirección, incluyendo el riesgo de terceros.

Recomendación SYRA360: Inventario de terceros con acceso, cláusulas de seguridad en contratos y evaluación continua de los proveedores críticos.

Campañas de denegación de servicio ligadas a tensión geopolítica contra banca, energía, transporte y administraciones. Baratas de lanzar, caras de sufrir.

Recomendación SYRA360: Mitigación DDoS contratada antes del incidente, no durante; y ejercicio de continuidad con el escenario 'web caída 48h'.

Sobrevuelos de instalaciones críticas, eventos y perímetros corporativos con fines de vigilancia hostil o intrusión. La normativa avanza más despacio que la amenaza.

Recomendación SYRA360: Evaluación de exposición aérea del perímetro, protocolo de detección y respuesta, y coordinación con AESA y FCSE donde proceda.

Empleados y colaboradores con acceso legítimo siguen siendo el origen de una parte sustancial de los incidentes graves, por malicia o por descuido.

Recomendación SYRA360: Mínimo privilegio real (no teórico), monitorización de accesos a información sensible y proceso de salida que revoque accesos el mismo día.