CISA revela que su equipo rojo comprometió dos infraestructuras críticas sin ser detectado

27 de agosto de 2026 · Por Erick Marin

Qué pasó

La Agencia de Ciberseguridad e Infraestructura de EE.UU. (CISA) publicó los resultados de dos evaluaciones de equipo rojo realizadas de forma simultánea contra dos organizaciones de infraestructura crítica, empleando tácticas, técnicas y procedimientos (TTPs) similares en ambos casos.

Según el informe, ambas organizaciones fueron comprometidas por completo a nivel de dominio, lo que demuestra que las técnicas utilizadas fueron efectivas independientemente del entorno. Sin embargo, el resultado defensivo fue muy distinto: una de las organizaciones detectó la actividad del equipo rojo, mientras que la otra no identificó ninguna señal de la intrusión durante todo el ejercicio.

El contraste entre ambos casos, usando el mismo enfoque ofensivo, sugiere que las diferencias no están en la sofisticación del atacante sino en la madurez de las capacidades de monitoreo, registro y respuesta de cada organización.

Qué significa para empresas en LatAm

Muchas empresas de infraestructura crítica en la región —energía, agua, telecomunicaciones, servicios financieros— podrían enfrentar un escenario similar: contar con controles de seguridad perimetral pero carecer de visibilidad interna suficiente para detectar movimientos laterales o escalamiento de privilegios una vez que un atacante ya está dentro de la red.

Este tipo de ejercicios de CISA refuerza la importancia de invertir no solo en prevención, sino en detección activa (EDR, monitoreo de logs, threat hunting) y en la validación periódica de esas capacidades mediante pruebas de equipo rojo o ejercicios de purple team.

Qué hacer ahora

1. Revisar y fortalecer las capacidades de registro (logging) centralizado en servidores, controladores de dominio y dispositivos de red críticos.
2. Implementar o mejorar soluciones de detección y respuesta en endpoints (EDR/XDR) con alertas correlacionadas.
3. Realizar ejercicios periódicos de red team o purple team para validar la efectividad real de la detección, no solo la prevención.
4. Establecer líneas base de comportamiento normal en la red para identificar movimientos laterales anómalos.
5. Capacitar al equipo SOC en la identificación de TTPs comunes de compromiso de dominio, como las descritas en el marco MITRE ATT&CK.