APT y la nueva exposición de la cadena de confianza 

Las APT ya no son un problema lejano hace rato. Antes aparecían en conversaciones sobre gobiernos, infraestructura crítica o espionaje internacional. Hoy pueden entrar por algo mucho más cotidiano, un proveedor con acceso remoto, una integración olvidada o un software que la organización usa todos los días.

Entre 2025 y 2026 evolucionó la capacidad técnica de los atacantes y además se cambió la lógica completa del ataque. Las APT ya no necesitan ir directamente contra la organización más protegida. Les basta encontrar el punto más débil dentro de la red de relaciones que sostiene la operación del negocio.

Y casi todas las compañías tienen una. Durante años, las organizaciones invirtieron en fortalecer controles internos, segmentar redes y mejorar sus capacidades de monitoreo. Al mismo tiempo, crecieron las dependencias externas. Servicios cloud, partners tecnológicos, integraciones API, terceros con acceso privilegiado, plataformas conectadas entre sí. La operación se volvió más eficiente, pero también más dependiente de relaciones que muchas veces no se observan con suficiente detalle. 

Ese es un problema de fondo, la seguridad dejó de ser un tema puramente interno hace tiempo, aun así, muchas empresas siguen gestionando el riesgo como si todavía pudieran controlarlo todo desde su operación.

En la práctica, el atacante entiende algo que muchas organizaciones todavía subestiman, entrar por la cadena de confianza suele ser más silencioso, más barato y mucho más efectivo.

SolarWinds fue una demostración de eso. El malware no llegó disfrazado de archivo sospechoso, llegó dentro de una actualización legítima, firmada y distribuida por un proveedor confiable. Durante meses, múltiples organizaciones convivieron con el compromiso sin detectarlo porque el comportamiento parecía normal. Ese caso dejó una lección para muchos CISOs: hay ataques que no se ven peligrosos porque precisamente se apoyan en relaciones legítimas. 

La pregunta ya no es únicamente si la empresa está protegida. Tampoco si tiene un SOC maduro o herramientas avanzadas de detección. La pregunta más útil hoy es otra: ¿qué tan expuesta está la organización a través de terceros que considera confiables? Y muchas veces nadie tiene una respuesta realmente clara.

Hay compañías con inventarios detallados de activos internos, pero con poca visibilidad sobre accesos externos activos, integraciones heredadas o privilegios que terceros mantienen desde hace años. A veces pasa que un proveedor pequeño termina teniendo un nivel de acceso desproporcionado porque “siempre se trabajó así”. Ese tipo de decisiones operativas terminan convirtiéndose en rutas perfectas para movimientos laterales silenciosos.

Además, las APT actuales trabajan distinto. No necesitan generar interrupciones inmediatas. De hecho, muchas evitan hacer ruido. Permanecen dentro del entorno observando comportamientos, aprendiendo procesos y entendiendo relaciones entre sistemas y personas. El objetivo es quedarse el tiempo suficiente para entender cómo funciona el negocio desde adentro.  Eso también explica por qué el enfoque puramente tecnológico empieza a quedarse corto.

Más herramientas no corrigen automáticamente un problema de visibilidad, tampoco resuelven dependencias mal gestionadas. Hay organizaciones con stacks de seguridad enormes que siguen teniendo puntos ciegos críticos porque el problema está en la forma en que entienden el riesgo, no solo en la capacidad técnica de detección.

En las compañías en LATAM esta conversación empezó a cambiar de tono en juntas directivas y comités ejecutivos. Ya no se habla únicamente de ransomware o cumplimiento regulatorio. Empieza a aparecer una preocupación más estructural: ¿qué pasa si el incidente viene desde una relación de confianza que sostiene procesos críticos del negocio? Porque ahí el impacto deja de ser aislado.

Un compromiso en un proveedor puede afectar clientes, operaciones regionales, socios estratégicos y procesos completos de la cadena de valor. Lo que antes parecía un incidente técnico empieza a comportarse como un problema sistémico y eso obliga a mirar la seguridad de otra manera, menos enfocada en perímetros rígidos, más enfocada en dependencias, relaciones y niveles reales de exposición entre organizaciones.