El panorama del ciberataque moderno está en constante evolución, y según el primer Threat Intel Report 2026 de Cloudflare, la metamorfosis es clara: los atacantes están dejando atrás las tácticas de intrusión forzada para adoptar métodos más sigilosos, enfocándose en hacerse pasar por usuarios legítimos. Un cambio que está convirtiendo a la identidad en la nueva frontera de defensa cibernética.
El informe, producido por el equipo de investigación Cloudforce One y respaldado por la red global de Cloudflare, destaca este cambio de estrategia. En lugar de asaltos frontales, los cibercriminales buscan “iniciar sesión” utilizando credenciales robadas o falsificadas, moviéndose inadvertidamente por aplicaciones corporativas. Este nuevo enfoque se apalanca en tecnologías emergentes como los modelos de lenguaje (LLM), que están revolucionando la velocidad y eficacia de estos ataques.
Cloudflare proporciona un dato impactante para ilustrar la magnitud de esta amenaza velada: la empresa afirma bloquear 230.000 millones de amenazas diarias en su red. No obstante, el desafío no es solo cuantitativo, sino también cualitativo. Con la inteligencia artificial facilitando el acceso, los atacantes se mueven con una rapidez sin precedentes. La defensa, pues, no puede ser meramente reactiva; debe ser proactiva, centrándose en verificar continuamente la legitimidad de los accesos.
Uno de los hallazgos más perturbadores del informe es la industrialización de los ciberataques mediante LLM. Tareas que antes requerían habilidades especializadas, como el mapeo de redes y el desarrollo de exploits, ahora se realizan a mayor velocidad y escala. Un caso destacable rastreado por Cloudforce One reveló a un actor que empleó IA para comprometer cientos de entornos corporativos de aplicaciones SaaS de alto volumen, en lo que califican como uno de los ataques a la cadena de suministro más desestabilizadores registrados.
Adicionalmente, el informe subraya un cambio de táctica en actores vinculados a China, como Salt Typhoon y Linen Typhoon, quienes ahora prefieren objetivos estratégicos de alto valor, tales como telecomunicaciones y entidades gubernamentales de América del Norte. Esta táctica de “posicionamiento previo persistente” es vista como un puente entre espionaje y preparación operativa, con implicancias serias para infraestructuras críticas.
Corea del Norte, por su parte, añade un nuevo capítulo al libro de tácticas cibernéticas mediante el uso de deepfakes generados por IA. Operativos de este origen se están infiltrando en procesos de contratación utilizando identidades fraudulentas, incluso integrándose en las nóminas corporativas. Este enfoque, respaldado por las llamadas “granjas de laptops” localizadas en EE. UU., representa un nuevo tipo de insider threat, donde el atacante ya no rompe las barreras sino que se asienta cómodamente dentro de ellas.
Los ataques DDoS también han escalado a niveles sin precedentes, superando la capacidad de respuesta humana. Cloudflare destaca botnets como Aisuru, capaces de generar ataques a una velocidad de 31,4 Tbps, lo que exige una defensa armada con automatización y telemetría en tiempo real.
El informe de Cloudflare concluye con una advertencia clara: en la era de la suplantación, la seguridad no puede limitarse a bloquear a los intrusos. Ahora, el reto es evitar que se usurpen identidades legítimas para acceder a sistemas críticos. La ciberseguridad debe evolucionar hacia un enfoque basado en la validación continua de la identidad y la implementación de defensas autónomas. La carrera entre atacantes y defensores se libra en el campo de la inteligencia y la automatización, y mantenerse a la vanguardia es crucial para no quedar siempre un paso atrás.
Más información y referencias en Noticias Cloud.
