Ante el aumento de los ataques de día cero y las técnicas sigilosas, los operadores de telecomunicaciones deben pasar de una lógica de detección a un enfoque predictivo y resiliente.
En octubre pasado, la empresa de seguridad Darktrace confirmó lo que muchos de nosotros en la industria de las telecomunicaciones veíamos como inevitable. Un proveedor de servicios de comunicaciones (CSP) europeo fue finalmente víctima de un exploit de día cero por parte del infame grupo de amenazas persistentes avanzadas (APT), Salt Typhoon.
Se observó que el grupo explotaba una vulnerabilidad en el software Citrix Netscaler implementado por el CSP, en lo que se conoce como un ataque «Living off the Land» (LOTL). Esta es una técnica mediante la cual los piratas informáticos obtienen acceso a un sistema utilizando aplicaciones existentes, sin implementar malware adicional.
Esta fue una llamada de atención para la industria en Europa. Hasta entonces, Salt Typhoon era conocido principalmente por apuntar a proveedores de servicios públicos, operadores de telecomunicaciones y organizaciones del sector público en los Estados Unidos. Este ataque confirmó que los CSP europeos también están en el punto de mira. Para estos actores ya no se trata de saber si su red será atacada, sino cuándo.
Evaluar la preparación del sector
La gran pregunta es si el sector está preparado. El informe Nokia Threat Intelligence 2025 revela que sólo el 13% de los profesionales de seguridad y redes encuestados creen estar completamente preparados para responder a un ataque de día cero, es decir, a la explotación de una vulnerabilidad desconocida en el momento de su activación.
Históricamente, estos ataques se dirigieron principalmente a empresas que utilizaban sistemas de TI de uso general. Pero recientemente, los sectores que dependen de tecnologías más especializadas han visto aumentar estos ataques. Este es particularmente el caso en las telecomunicaciones, donde grupos como Salt Typhoon adaptan sus ataques a los protocolos y sistemas específicos del sector. Una vez que se produce una infracción inicial en la red, los atacantes pasan de un sistema a otro para robar datos, utilizando técnicas avanzadas posteriores al compromiso.
Los incidentes que involucran a CSP están aumentando. El 64% de los profesionales de seguridad de redes de telecomunicaciones experimentaron al menos un ataque LOTL en el último año, y aproximadamente un tercio experimentó cuatro o más. Estos ataques, que se basan en procesos legítimos y herramientas autorizadas, son de naturaleza sigilosa: las intrusiones se vuelven casi invisibles en el flujo normal de la actividad de la red. Su detección con herramientas tradicionales de ciberseguridad y seguimiento se vuelve extremadamente difícil.
De la detección a la predicción
Si las herramientas tradicionales tienen dificultades para identificar ataques LOTL y de día cero, la pregunta es: ¿qué hay que cambiar?
Una primera palanca tiene que ver con dónde y cómo se detectan las amenazas. En entornos de telecomunicaciones, los ataques ocurren a la velocidad de la red y, a menudo, tienen como objetivo tecnologías operativas (OT), como elementos centrales de la red, plataformas de gestión y sistemas de señalización. Por tanto, la detección debe realizarse en tiempo real, a gran escala, sin añadir latencia ni interrumpir los servicios.
En lugar de depender de firmas de ataques conocidas o reglas rígidas, los enfoques más avanzados se basan en análisis de comportamiento. Identifican desviaciones de las actividades normales de la red, incluidos los protocolos específicos de telecomunicaciones, incluso en ausencia de un exploit conocido, lo cual es crucial para proteger contra las amenazas de día cero.
Un ejemplo de este enfoque es el “motor de agrupamiento en clústeres no supervisado”, capaz de detectar de forma autónoma patrones de ataque mediante una inspección continua de paquetes. A diferencia de los métodos que se basan únicamente en firmas existentes, este análisis dinámico permite identificar técnicas de ataque nuevas o personalizadas.
Las redes de telecomunicaciones son entornos complejos y de múltiples proveedores que combinan sistemas heredados, virtualizados y nativos de la nube. Esta complejidad crea puntos ciegos que los atacantes aprovechan, especialmente cuando se mueven lateralmente dentro de la red.
Por lo tanto, es esencial una visibilidad constante en todos los entornos OT, incluido el tráfico de red, las interfaces de gestión y los sistemas de control críticos. Sin él, los equipos de seguridad deben lidiar con información fragmentada de sistemas aislados, lo que ralentiza la respuesta y aumenta el riesgo.
Reducir el ruido para generar confianza
La fatiga de alerta es otro desafío creciente. A medida que aumenta el volumen de amenazas, la proliferación de alertas de herramientas aisladas puede abrumar a los equipos y enmascarar incidentes reales.
Los enfoques de seguridad basados en la correlación y el análisis unificado ayudan a remediar esto, vinculando eventos para proporcionar una visión contextualizada de los incidentes. Este enfoque es particularmente eficaz para detectar ataques LOTL, que se esconden dentro de procesos comerciales legítimos.
Al reducir los falsos positivos, los duplicados y las señales de ruido, los equipos de seguridad pueden centrarse en las alertas verdaderamente críticas.
Búsqueda de amenazas impulsada por IA
La IA se utiliza cada vez más no sólo para la detección, sino también para la búsqueda proactiva de amenazas. Al analizar el comportamiento a lo largo del tiempo y adaptarse a los desarrollos de la red y a las nuevas técnicas de ataque, puede identificar patrones sutiles que los métodos manuales no detectan.
Esto promueve operaciones de seguridad más autónomas, reduciendo las tareas manuales y permitiendo que los equipos humanos se centren en decisiones estratégicas relacionadas con el riesgo y la resiliencia.
De la reacción a la resiliencia
En conjunto, estos avances marcan una transición hacia la ciberseguridad predictiva: anticipar ataques, limitar su impacto y garantizar la continuidad de los servicios.
Para los CSP, cada vez más involucrados en la gestión de infraestructuras críticas nacionales, este desarrollo se está volviendo esencial. Los exploits de día cero y las técnicas LOTL ya no son casos aislados, sino realidades persistentes, cuya frecuencia se espera que aumente en los próximos años.
En este contexto, ya no es la capacidad de reacción, sino la resiliencia, lo que definirá la próxima generación de redes de telecomunicaciones seguras y confiables.
____________________________
Par Geraldine ReddigDirector de Estrategia de Mercado Global de Ciberseguridad, nokia
____________________________
Lea también:
¿Cómo darán forma la IA y la automatización a las redes móviles del futuro?
Hacia un ecosistema digital abierto: gracias a las redes programables y las API
¿Cómo transformará las telecomunicaciones para siempre la simbiosis entre la IA y las redes de acceso por radio (RAN)?
IA agente: transformando la experiencia del cliente y la garantía del servicio en las telecomunicaciones
Cuando LoL se convierte en una cuestión geopolítica y de ciberseguridad
[
