Aumento del ciberriesgo ante el conflicto entre EE. UU., Israel e Irán

Esta es una situación en constante evolución. El análisis que figura a continuación refleja la información disponible públicamente y la inteligencia histórica sobre amenazas a fecha de 1 de marzo de 2026.

El 28 de febrero de 2026, Estados Unidos e Israel llevaron a cabo ataques militares coordinados contra objetivos en Irán. Fuentes de medios de comunicación internacionales han confirmado que el líder supremo de Irán, el ayatolá Alí Jamenei, murió en los ataques. Informes posteriores indican que Irán ha lanzado acciones de represalia, incluidos ataques con misiles en la región.

Históricamente, los periodos de escalada militar directa en Oriente Medio han estado relacionados con una mayor preocupación por la actividad cibernética de actores maliciosos alineados con el Estado y motivados ideológicamente. Durante los periodos de mayor tensión, los actores vinculados a Irán han mostrado su disposición a llevar a cabo operaciones disruptivas y orientadas a causar daño psicológico. Las organizaciones deben revisar las medidas de detección, respuesta a incidentes y resiliencia en consecuencia.

Los investigadores de la Counter Threat Unit (CTU) de Sophos X-Ops creen que la probabilidad de que se produzcan actividades cibernéticas oportunistas y potencialmente disruptivas ha aumentado a corto plazo y ofrecen orientación a las organizaciones durante este periodo.

Valoración

• Nivel de amenaza: Elevado
• Ventana de riesgo principal: Inmediata a corto plazo (días a semanas)
• Actividad más probable: Operaciones disruptivas, oportunistas u orientadas a la influencia
• Sectores potencialmente afectados: Gobierno, infraestructuras críticas, servicios financieros, entidades comerciales relacionadas con la defensa

Contexto del panorama de amenazas

Los actores maliciosos, atribuidos públicamente por múltiples gobiernos e investigadores de seguridad a los intereses del Estado iraní, han llevado a cabo anteriormente operaciones a través de grupos proxy o personas en línea. Estas entidades han reivindicado la autoría de los ataques, han difundido datos robados y han amplificado narrativas destinadas a imponer costes reputacionales u operativos. Por ejemplo:

• La identidad «HomeLand Justice» se ha relacionado públicamente con operaciones de borrado y «hackeo y filtración» por motivos políticos contra entidades gubernamentales albanesas desde 2022.
• El 28 de febrero de 2026, Handla Hack, una identidad hacktivista vinculada al Ministerio de Inteligencia y Seguridad de Irán (MOIS), reivindicó ataques en Jordania y amenazó a otros países de la región. Este grupo suele exagerar su capacidad y el impacto de sus ataques, pero en ocasiones ha sido capaz de llevar a cabo robos de datos y ataques de borrado.

A medida que la situación evoluciona, aumenta la probabilidad de que grupos proxy o actores motivados ideológicamente (hacktivistas) emprendan acciones, incluidos ciberataques, contra objetivos militares, comerciales o civiles afiliados a Israel y Estados Unidos. Es muy probable que estas actividades incluyan:

• Campañas de desfiguración de sitios web
• Ataques distribuidos de denegación de servicio (DDoS)
• Despliegue de ransomware
• Despliegue de malware destructivo
• Ataques de hackeo y filtración bajo la apariencia de un intento de extorsión por robo de datos
• Reempaquetado o amplificación de violaciones de datos anteriores
• Ataques oportunistas a sistemas expuestos a Internet
• Ataques basados en credenciales, como el phishing y el password spraying

Aunque algunos grupos militares y vinculados a los servicios de inteligencia iraníes han exagerado históricamente el éxito de sus operaciones, siguen siendo actores capaces. Las actividades documentadas atribuidas a actores vinculados a Irán incluyen el robo de datos, el despliegue de ransomware, el malware wiper y la divulgación pública de información robada. Entre los objetivos históricos se incluyen entidades gubernamentales, operadores de infraestructuras críticas y organizaciones del sector financiero.

Medidas defensivas recomendadas

Sophos X-Ops (CTU) recomienda una mayor vigilancia en todas las organizaciones. Las medidas clave de preparación defensiva incluyen:

Controles de identidad y acceso

• Aplicar la autenticación multifactorial (MFA) en el acceso remoto y las cuentas con privilegios.
• Supervisar el password spraying y la actividad de autenticación anómala.
• Revisar el acceso privilegiado y aplicar los principios de privilegios mínimos.

Reducción de la exposición

• Aplicar parches a los sistemas conectados a Internet contra vulnerabilidades conocidas.
• Realizar revisiones de la superficie de ataque externa, minimizando los servicios expuestos.
• Validar las configuraciones de VPN y acceso remoto.

Detección y respuesta

• Asegurar que las soluciones EDR/XDR estén plenamente operativas y supervisadas.
• Aumentar la sensibilidad de la clasificación de alertas para las campañas de phishing y abuso de credenciales.
• Revisar el registro y la cobertura de telemetría en entornos cloud y locales.
• Proporcionar un mecanismo para que los empleados informen de las solicitudes sospechosas recibidas por correo electrónico, teléfono, redes sociales y aplicaciones de mensajería.

Resiliencia y recuperación

• Validar la integridad de las copias de seguridad, incluidas las copias offline o inmutables.
• Revisar los manuales de respuesta a incidentes y los flujos de trabajo de notificación a los ejecutivos.
• Poner en práctica procedimientos de continuidad del negocio frente a escenarios de ransomware o malware destructivo.

Las organizaciones deben dar prioridad a la defensa en profundidad, la mejora de las capacidades de detección, la preparación ante incidentes y la concienciación de los usuarios. La actividad cibernética asociada a los acontecimientos geopolíticos puede persistir más allá de los ciclos de noticias inmediatos, por lo que es importante mantener una vigilancia constante.

Observaciones y técnicas previstas de MITRE ATT&CK

Basándose en la actividad histórica atribuida públicamente a actores maliciosos alineados con Irán, se considera que las siguientes técnicas de MITRE ATT&CK son las más relevantes durante los periodos de escalada geopolítica.

Aunque en el momento de la publicación no se ha confirmado ninguna campaña específica relacionada con los acontecimientos actuales, las organizaciones deben vigilar los siguientes comportamientos:

Acceso inicial

• T1566 – Phishing (incluidos archivos adjuntos y enlaces de spearphishing)
• T1190 – Explotación de aplicaciones de cara al público
• T1133 – Servicios remotos externos (explotación de VPN y acceso remoto)

Acceso a credenciales

• T1110 – Fuerza bruta (incluido el password spraying)
• T1555 – Credenciales de almacenes de contraseñas
• T1003 – Volcado de credenciales del sistema operativo

Persistencia y escalada de privilegios

• T1098 – Manipulación de cuentas
• T1055 – Inyección de procesos

Evasión de defensas

• T1562 – Deterioro de las defensas
• T1070 – Eliminación de indicadores en el host
• T1027 – Archivos e información ofuscados o comprimidos

Comando y control

• T1071 – Protocolo de capa de aplicación
• T1105 – Transferencia de herramientas de ingreso
• T1573 – Canal cifrado

Impacto

T1486 – Datos cifrados para causar impacto (ransomware)

T1485 – Destrucción de datos (actividad de borrado)

T1490 – Inhibición de la recuperación del sistema

T1491 – Desfiguración

Las campañas observadas históricamente a menudo han combinado el acceso basado en credenciales, el movimiento lateral y el despliegue de cargas destructivas con operaciones de información simultáneas, como fugas de datos robados o mensajes de desfiguración.

Las organizaciones deben asegurarse de que las capacidades de detección y respuesta estén ajustadas para identificar los comportamientos asociados a estas técnicas, especialmente en la infraestructura de identidad, los servicios expuestos externamente y los sistemas de copia de seguridad.

Sophos X-Ops CTU sigue supervisando la evolución de la telemetría técnica, los informes de código abierto y los canales de inteligencia de los socios. Publicaremos actualizaciones si se observan cambios significativos en la actividad cibernética. Por favor, supervisa nuestro GitHub para conocer los indicadores de compromiso.

---

Para obtener recursos adicionales de apoyo, visita:

• CISA Shields Up: https://www.cisa.gov/shields-up
• Resumen de amenazas y avisos sobre Irán (CISA): https://www.cisa.gov/topics/cyber-threats-and-advisories/advanced-persistent-threats/iran
• Medidas recomendadas por el NCSC durante periodos de amenaza elevada: https://www.ncsc.gov.uk/guidance/actions-to-take-when-the-cyber-threat-is-heightened
• Guía de resiliencia cibernética de la ENISA: https://www.enisa.europa.eu/publications/boosting-your-organisations-cyber-resilience