MÉTODO DE ATAQUE
Explotación de vulnerabilidades — la vía de entrada número uno
Cómo explotan los atacantes fallos de software: web shells, días cero y dispositivos perimetrales (VPN). Mecanismos, datos de incidentes japoneses y los últimos informes de amenazas globales.
En 2026, la explotación de vulnerabilidades se convirtió en el principal vector de acceso inicial del mundo. El DBIR 2026 de Verizon le atribuye el 31% de todas las brechas, por delante de las credenciales robadas (el número uno del año anterior). Lo más llamativo: la explotación de dispositivos perimetrales como VPN y cortafuegos saltó de en torno al 3% al 22% — los días o semanas alrededor de la publicación de un parche deciden el resultado.
Japón muestra el mismo patrón. El equipo de investigación de Trend Micro informa de una cadena creciente en el país: vulnerabilidades conocidas de aplicaciones web → web shell → escalada de privilegios → acceso a la base de datos. La IA china «ARTEX», presuntamente usada en los ataques del otoño de 2026 contra unas 80 empresas japonesas, también se apoyaba en escaneo automático dirigido por sector combinado con explotación de vulnerabilidades.
La clave no es un «ataque nuevo», sino que se explotan agujeros conocidos y reparables. La mayoría de los incidentes involucran vulnerabilidades con parche disponible: la velocidad de parcheo y el inventario de activos expuestos a internet valen más que cualquier otra medida.
Los números
31%
Explotación de vulnerabilidades como vector inicial n.º 1 mundial (DBIR 2026)
3%→22%
Auge de la explotación de VPN y dispositivos perimetrales (DBIR 2026)
+42%
Aumento de días cero explotados antes de su divulgación (CrowdStrike GTR 2026)
Técnicas explicadas
Implantación de web shells
Tras entrar, el atacante instala un pequeño script que ejecuta comandos arbitrarios vía web. Camuflado como un archivo normal, sirve de base persistente entre la intrusión inicial y el robo final. Una ola de incidentes japoneses de este año descubrió web shells tras la intrusión.
Explotación de días cero
Ataques contra agujeros sin parche publicado. El GTR 2026 de CrowdStrike informa de un aumento interanual del 42% en días cero explotados antes de su divulgación. En la práctica, la mayoría de las víctimas sufren fallos conocidos sin parchear — los días cero son la punta del iceberg.
Vulnerabilidades de dispositivos perimetrales (VPN, appliances)
Fallos en VPN, cortafuegos y balanceadores expuestos a internet. Comprometer los propios dispositivos que custodian el perímetro abre la red interna de golpe. Es el patrón tras el salto de intrusiones vía VPN del 3%→22% del DBIR 2026; retrasar unos días los parches del fabricante amplía el daño.
Inyección SQL
Un clásico que no muere: la entrada del atacante se ejecuta como comandos de base de datos. Las contramedidas (consultas parametrizadas) están establecidas, pero sistemas heredados y herramientas internas siguen cayendo.
Escalada de privilegios y movimiento lateral
El atacante toma los privilegios de administrador que el primer punto de apoyo no otorga —mediante mala configuración o fallos locales sin parchear— y se expande entre servidores y departamentos. Esta fase precede a casi todo ransomware o robo a gran escala; la segmentación de la red interna es donde el contención rinde.
Escaneo con IA + explotación manual
Unit 42 informó de un actor de habla china que usaba IA (DeepSeek vía el framework Hermes Agent) para escanear automáticamente siete clases de vulnerabilidades, con personas explotando solo los objetivos prometedores. El coste del ataque baja: también las medianas empresas son objetivo.
Flujo del ataque (kill chain)
- Escanear servicios expuestos a internet en busca de vulnerabilidades
- Explotar una falla conocida o de día cero e implantar un web shell
- Escalar privilegios, moverse lateralmente y llegar a la base de datos
Datos objetivo: Bases de datos de clientes detrás de aplicaciones públicas
Tendencias y debate
La investigación de Trend Micro en Japón muestra una cadena creciente: vulnerabilidad conocida → web shell → escalada → base de datos. La ola de brechas del otoño de 2026 no fue exótica: fue el manual estándar mundial ejecutado a escala.
Las prioridades son claras: (1) inventariar los activos expuestos a internet, (2) parchear primero dispositivos perimetrales y aplicaciones públicas, (3) diseñar asumiendo el compromiso (mínimo privilegio, segmentación). Arreglarlo todo al instante es irreal: priorizar por exposición.
Contramedidas
Para particulares y pymes
- Como particular hay poco que parchear directamente — pero si un servicio le notifica un acceso no autorizado, cambie esa contraseña de inmediato (y deje de reutilizarla)
- Revise periódicamente las actualizaciones de firmware de routers y NAS domésticos
Para organizaciones (TI)
- Realice trimestralmente un inventario completo de activos expuestos (dominios, IP, servicios)
- Fije SLO para dispositivos perimetrales y apps públicas (p. ej., parchear en 7 días) y visualice los incumplimientos
- Además de WAF/IPS, incorpore detección de web shells (POST sospechosos y caída de archivos) a la monitorización
- Segmente la red interna para que una intrusión no se propague a toda la empresa (mínimo privilegio incluido)
Los pasos concretos por nivel están en la guía →
Incidentes de Explotación de vulnerabilidades recogidos (39, por impacto)
| Empresa / organización | Divulgado | Escala | Gravedad |
|---|---|---|---|
| Helpfeel（Gyazo） | 15 de septiembre de 2026 | 23.620.000 registros | SS |
| Eストアー(ショップサーブ) | 15 de octubre de 2026 | 23.356.000 personas | SS |
| アドベンチャー（スカイチケット） | 9 de octubre de 2026 | 14.640.000 registros | SSS |
| KDDI(ISP事業者向けメール基盤) | 22 de junio de 2026 | 12.231.954 personas | SSS |
| ムラウチドットコム | 14 de septiembre de 2026 | 7.710.000 registros | S |
| ホワイトエッセンス（予約・基幹システム） | 4 de octubre de 2026 | 1.050.000 cuentas | S |
| LEAN BODY | 14 de septiembre de 2026 | 440.000 cuentas | A |
| ユーザベース（NewsPicks） | 7 de octubre de 2026 | 362.000 registros | A |
| 加賀ソルネット（アカデミコナビ） | 16 de agosto de 2026 | 166.000 personas | A |
| タカラトミー（デュエマサポートアプリ） | 27 de julio de 2026 | 155.000 personas | A |
| 日本医科大学武蔵小杉病院 | 26 de febrero de 2026 | 130.000 personas | A |
| Fivot（IDARE） | 12 de octubre de 2026 | 129.659 personas | A |
Los otros 27 incidentes, en la base de datos →
Métodos relacionados
Métodos de ataque y tendencias (Verizon DBIR 2026, CrowdStrike GTR 2026, ANP / Kyodo, Palo Alto Networks Unit 42, entre otros). Para incidentes concretos, consulte los enlaces de fuente de cada página de incidente.