Una fuga de datos rara vez es "repentina". Desde fuera parece un estallido llamativo: en un foro aparece un archivo con la base de clientes, en un canal de Telegram — una "filtración de contabilidad", y en el sitio de los extorsionadores — un ultimátum con un reloj regresivo. Pero en el interior casi siempre se oculta una larga cadena —desde el primer punto de entrada hasta el torrent final— con decenas de decisiones pequeñas, trucos técnicos y errores humanos.
En este artículo analizaremos cómo exactamente los datos acaban expuestos, quién se beneficia, dónde y cómo aparece la información, y qué deben hacer las empresas y las personas cuando surge la palabra "filtración".
Qué es una filtración y en qué se diferencia de un simple "ataque"
"Ataque" es el hecho del acceso no autorizado. "Filtración" son las consecuencias, cuando la información confidencial sale del control del propietario. Pueden darse distintos escenarios:
- Compromiso externo — la intrusión clásica vía una vulnerabilidad, phishing o fuerza bruta de contraseñas, seguida de recolección y extracción de datos.
- Empleado interno — un trabajador o contratista copia información y la extrae deliberada o descuidadamente.
- Exposición accidental — un bucket en la nube público, un NAS abierto, permisos compartidos mal configurados, o el registro de secretos en logs públicos.
- Fugas a través de la cadena de suministro — los datos se filtran en un socio, integrador, centro de llamadas o proveedor: al propietario a menudo solo le queda gestionar las consecuencias.
En todos los casos son críticos dos aspectos: el volumen (cuánto y de qué calidad se ha llevado) y el control de la difusión (qué tan rápido terceros pueden copiar y volver a empaquetar la información).
Economía del mercado oscuro: quién gana dinero y con qué
Las filtraciones hace tiempo que se convirtieron en una "línea de producción". Participan distintos roles:
- IAB (Initial Access Brokers) — corredores de acceso inicial. Se especializan en encontrar puntos de entrada (VPN comprometidas, RDP, aplicaciones web vulnerables) y revenden el acceso a grupos que lo monetizan.
- Operadores de extorsión — grupos que realizan extorsiones dobles o triples. Cifran la infraestructura, roban datos y chantajean con publicarlos, presionando además a clientes y socios de la compañía afectada.
- Revendedores de bases — reempaquetan la información robada, la limpian, la etiquetan, añaden interfaces de búsqueda y venden suscripciones.
- Spammers y estafadores — compran conjuntos frescos de correos/telefonos para phishing, vishing, SIM-swap y otras campañas.
La demanda es estable: identificadores frescos, secretos comerciales, listas de clientes, accesos a nubes, código fuente, maquetas de productos — todo tiene precio, por lo que casi siempre hay comprador para cualquier "filtración".
Puntos de entrada: cómo acceden los atacantes
El primer paso es el acceso. Las rutas más frecuentes:
- Phishing y fatiga de MFA — suplantación de páginas de acceso, solicitudes push "cansinas", intercepción de sesiones mediante proxies maliciosos.
- Errores en servicios externos — SQLi, RCE, path traversal, deserialización, SSRF en servicios de intercambio de archivos, portales de clientes y CMS.
- Contraseñas débiles y reutilizadas — credential stuffing con bases filtradas, fuerza bruta, cuentas heredadas sin MFA.
- Errores de configuración en la nube — buckets S3 públicos, claves de servicio expuestas, permisos IAM excesivos.
- Integraciones de terceros — a través de un plugin vulnerable, un conector o la clave API de un socio.
Ayudan medidas sencillas: MFA robusto, tokens resistentes al phishing, reducción de la superficie de ataque externa, revisiones periódicas de permisos y secretos.
Qué ocurre después del acceso: movimiento lateral y recolección
Una vez obtenido el acceso, el atacante actúa de la forma más "silenciosa" posible y siguiendo el enfoque living-off-the-land — usando herramientas estándar del sistema operativo y utilidades administrativas. Desarrollo típico:
- Reconocimiento — inventario del dominio, redes, nubes, almacenamientos, CI/CD y correo; búsqueda de documentos "un paso" como "contraseñas.xlsx" o "prod_k8s.yaml".
- Escalada de privilegios — explotación de vulnerabilidades, tokens en caché, abuso de relaciones de confianza, puentes SSO.
- Captura de cuentas — secuestro de cookies de sesión, refresh tokens, claves de servicios, variables de entorno sin protección.
- Identificación del "oro" — datos personales identificables (PII) de clientes, registros de pago, SLA, código fuente, planes de lanzamiento, negociaciones comerciales, correspondencia legal.
Un matiz importante es la "acumulación": antes de sacar los datos, se reúnen en directorios de staging, se comprimen y cifran en archivos, se fragmentan en volúmenes y se prueba la recuperación. Es esta fase la que suele dejar más trazas.
Cómo se extraen los datos: técnicas de exfiltración
La exfiltración es el cuello de botella de la operación. Cuanto más "ruidoso" es el canal, mayor el riesgo de ser detectado. Formas populares:
- Puentes en la nube — subida a nubes personales (Google Drive, Dropbox, Mega), buckets temporales, hostings P2P.
- Esteganografía y "dispersión" — repartir en numerosas solicitudes pequeñas, tunelización por DNS, camuflaje como actualizaciones.
- Transporte por canales "legítimos" — mensajería corporativa, pasarelas de correo, artefactos de desarrollo.
- Rutas de archivos — SFTP "hacia ningún lado", VPS temporales, IPFS/BitTorrent para la distribución masiva posterior.
Los modernos sistemas DLP y NDR buscan anomalías en volúmenes, entropía y direcciones de tráfico. Pero los atacantes ajustan cada vez más el perfil al ruido medio: ventanas nocturnas, backups programados, replicaciones de BD — pantallas convenientes.
Monetización: chantaje, subastas y "calentamiento" del interés
Los datos crudos se convierten en dinero de varias maneras:
- Extorsión doble/triple — exigen rescate por claves de descifrado, prometen borrar los conjuntos robados y contactan a clientes y socios para aumentar la presión.
- Subastas cerradas — venden la exclusividad a un círculo fijado de compradores antes de la publicación pública.
- Suscripciones "minoristas" — ofrecen acceso a buscadores sobre bases de datos mediante paneles de pago.
- Ventas puntuales — código fuente, zero-days, accesos a nubes — todo esto se vende en transacciones únicas y costosas.
Para acelerar las negociaciones, los atacantes publican "muestras de prueba": capturas del CRM, fragmentos de datos de identidad, extractos de comunicaciones. Si no hay reacción, comienza el "marketing de contenidos del lado oscuro": temporizadores, comunicados en la dark web y envíos agresivos a periodistas.
Dónde "emergen" los datos: rutas de publicación
La etapa final es la publicación o la "semipublicación" en varios lugares:
- Sitios de filtraciones de extorsionadores — escaparates en Tor con anuncios y archivos.
- Foros y mercados del dark web — plataformas temáticas con hilos de venta y retroalimentación.
- Hostings públicos — artefactos en servicios de intercambio de archivos, espejos, servicios Git con repositorios aparentemente "inocentes".
- Telegram/IRC — "filtraciones" rápidas, espejos de archivos, envíos de enlaces a torrentes.
- Torrent/IPFS — canales descentralizados difíciles de apagar.
A partir de ahí comienza la segunda vida de la filtración: reempaquetados, "enriquecimiento" con otras fuentes, aparición de interfaces de búsqueda y agregadores. Incluso si la fuente inicial desaparece, las copias suelen permanecer.
Cómo validan las filtraciones los investigadores y periodistas
Validar no es "creer en un pantallazo". La práctica incluye:
- Muestras — cotejar registros aleatorios con la realidad, comprobar fechas, formatos, dominios e identificadores internos.
- Indicadores técnicos — estructura de la BD, entidades, esquemas, sumas hash de los archivos, etiquetas de antivirus.
- Correlación de canales — coincidencia de detalles entre publicaciones en el sitio de filtraciones, foros y canales de difusión.
- Contacto con la empresa — solicitar comentarios, contrastar con los registros de incidentes o anuncios de interrupciones.
Para comprobaciones básicas son útiles: enlace (corroborar si un correo aparece en filtraciones conocidas), enlace (recomendaciones de respuesta), enlace (técnicas MITRE ATT&CK), además de utilidades para calcular hashes y ver metadatos.
Línea temporal típica de una filtración: desde el día cero hasta los titulares
Un escenario que se repite con inquietante frecuencia:
- Día 0–1: acceso inicial (phishing / vulnerabilidad / compra a IAB).
- Día 1–7: reconocimiento, escalada, recolección del "oro", preparación de archivos.
- Día 5–10: exfiltración "entre el ruido" de procesos regulares.
- Día 7–14: carta de chantaje, muestras "pruebas", negociación.
- Día 10–20: ante la negativa — anuncio de publicación, espejos, envío a medios, presión sobre clientes.
- Después: reenvíos, reventas, aparición de vitrinas de búsqueda.
Qué debe hacer una empresa en las primeras 72 horas
La panacea no ayuda. Se necesita un plan de respuesta a incidentes (IR) ensayado. Si no existe, actúe con pasos clave:
- Reúna un puesto de mando — seguridad, TI, abogados, PR, propietarios de negocio de los sistemas. Designe un coordinador.
- Aísle con criterio — desconecte cuentas y segmentos sospechosos, servicios críticos, sin "desenchufar" todo el negocio.
- Obtenga imágenes forenses — análisis forense de nodos prioritarios, recolección de logs, hashes de archivos sospechosos, registro de tiempos.
- Verifique canales de exfiltración — volúmenes de tráfico saliente, anomalías, rastros de subidas a la nube, tokens y conexiones externas.
- Comunicación — un tono único: honesto, sin detalles innecesarios, y frecuente. Actualice las preguntas frecuentes para clientes y socios.
- Marco legal — evaluación de obligaciones de leyes de protección de datos y plazos de notificación a reguladores/usuarios según su jurisdicción.
Guías útiles: enlace (NIST SP 800-61), enlace (plantillas de comunicación CSIRT/FIRST).
Prevención técnica: cómo reducir la probabilidad y el alcance del daño
No existe protección perfecta, pero es posible "padecer menos". Prioridades:
- Identidad y acceso — MFA resistente al phishing, mínimo de privilegios (principio de menor privilegio), rotación periódica de claves y secretos, prohibir tokens "perpetuos".
- Superficie de ataque — inventario y cierre de servicios externos innecesarios, WAF/WAAP, pruebas de penetración regulares.
- Segmentación — separación de producción/staging/desarrollo, aislamiento de redes administrativas, control del tráfico este-oeste.
- Observabilidad — logs centralizados, EDR/XDR, alertas por anomalías en volúmenes y direcciones de tráfico, trampas (honeytokens).
- Cifrado y gestión de datos — cifrado en reposo y en tránsito, tokenización de campos sensibles, etiquetado y "saneamiento" de datos en entornos de prueba.
- Copias de seguridad — copias offline y desconectadas ("air-gapped") con restauraciones periódicas de prueba.
- DLP y CASB — control de la salida de datos en el perímetro, políticas para nubes y SaaS, prohibición de nubes personales para información corporativa.
No olvide la formación: simulaciones de phishing periódicas y ejercicios de IR con PR y abogados son inversiones que se pagan en el "día negro".
Comunicaciones y aspectos legales: cómo hablar cuando hay miedo
Una comunicación adecuada ahorra dinero y reputación. Algunas reglas:
- Hablen con hechos — "sabemos X", "investigamos Y", "hemos hecho Z", sin conjeturas ni emociones.
- Regularidad — mejor actualizaciones breves y previsibles que una semana de silencio.
- Empatía — los usuarios quieren saber que se les apoya: ofrezca pasos concretos (cambio de contraseñas, monitorización, asistencia).
- Sincronización — PR y el área legal deben hablar con una sola voz; los comunicados de prensa deben coordinarse con el equipo IR.
En distintas jurisdicciones existen plazos y niveles de divulgación diferentes. Consulte con abogados especializados y documente las decisiones por escrito para evitar contradicciones posteriores.
Qué deben hacer los usuarios: higiene digital personal
Si las noticias informan de una filtración de un servicio que usa, el algoritmo es sencillo:
- Cambie la contraseña y no la reutilice en otros sitios. Los gestores de contraseñas son aliados.
- Active MFA (preferiblemente con llaves físicas). Las confirmaciones push solo deben aceptarse conscientemente.
- Verifique su correo en filtraciones conocidas en enlace.
- Vigile las operaciones en bancos y marketplaces; active notificaciones.
- Desconfíe de correos supuestamente "de la empresa": tras una filtración aumentan las estafas con phishing personalizado convincente.
Mitos frecuentes sobre filtraciones — y cómo lidiar con ellos
- "Si no cifraron nada, no hubo filtración". Lamentablemente, los datos pueden haberse robado "en silencio", sin ransomware.
- "Si pagamos, lo eliminarán". Nadie garantiza nada; las copias pueden haber sido vendidas a revendedores.
- "Es un ataque solo contra nosotros". A menudo es un efecto colateral de un proveedor o agregador comprometido, donde usted es una entre muchas víctimas.
- "DLP lo detectará todo". Es útil, pero no infalible: una exfiltración hábil se disfraza de tráfico legítimo.
Herramientas y recursos útiles
- enlace — MITRE ATT&CK: catálogo de técnicas del adversario, útil para diseñar detecciones y planes de defensa.
- enlace — recomendaciones de CISA para defenderse de extorsiones y responder.
- enlace — navegador Tor para la investigación legítima de espacios con filtraciones (siempre dentro de la ley y la política de la organización).
- enlace — OWASP Top-10 como lista de verificación básica para aplicaciones web.
Mini lista de comprobación para el "día negro"
Para no improvisar el plan durante la tormenta, tenga a mano:
- Contactos del equipo IR y de socios externos (forense, PR, abogados).
- Diagramas de infraestructura actualizados y propietarios de sistemas.
- Ubicación y retención de logs: dónde están y cómo recopilarlos rápidamente.
- Plantillas de comunicación internas y externas.
- Escenarios para "cerrar grifos" (accesos, rotación de claves, aislamiento de segmentos).
- Planes de recuperación y copias de seguridad verificadas periódicamente.
Casos prácticos breves
1) Bucket público con backups
Síntomas: buscadores encuentran archivos con volcado de bases de datos. Acciones: cerrar el acceso de inmediato, rotar todas las claves/contraseñas, auditar el contenido, notificar a los usuarios. Conclusión: los escáneres automáticos de configuraciones en la nube y una política de "por defecto cerrado" ahorran tiempo y reputación.
2) Phishing a un administrador con bombardeo de push
Síntomas: actividad anómala nocturna, accesos desde nuevos ASN, oleada de solicitudes push de MFA. Acciones: bloqueo temporal de la cuenta, verificación de tokens, cálculo de volúmenes de tráfico saliente, análisis de sesiones en la nube. Conclusión: MFA resistente al phishing con llaves, límites y formación.
3) Compromiso de un contratista
Síntomas: todo parece "limpio" para usted, pero el socio ha perdido logs y su sitio de filtraciones muestra temporizadores. Acciones: revisión de accesos otorgados a socios, rotación de secretos, replanteamiento de integraciones. Conclusión: Zero Trust para integraciones externas y contratos con requisitos de seguridad son una póliza, no burocracia.
A dónde avanzar: madurez de procesos en lugar de heroísmo
Cualquier filtración es una prueba de madurez. La madurez es cuando la empresa no "apaga el fuego", sino que ejecuta procedimientos ensayados: detecta la anomalía, la localiza, comunica, ayuda a usuarios y aprende. Es aburrido —pero esa "aburrida" disciplina reduce la dramatización en los titulares.
Conclusión: cómo convivir con lo inevitable
La mala noticia: las filtraciones no desaparecerán. Los datos se multiplican, los sistemas se complican y las cadenas de suministro se entrelazan. La buena noticia: muchos pasos en la cadena son mitigables: reducir puntos de entrada, dificultar el movimiento lateral, detectar la recolección, bloquear la extracción, desactivar el chantaje y manejar bien las consecuencias.
Una filtración no es una sentencia para la empresa ni el "fin del mundo" para el usuario. Es una prueba de estrés de procesos, tras la cual conviene no solo "volver al trabajo", sino reorganizar la seguridad en torno a los datos. Cada brecha detectada es una auditoría gratuita, pagada desafortunadamente con nervios. La próxima vez ese precio puede ser menor si se empieza a cambiar hábitos hoy.
