El llamado “octubre negro” de la ciberseguridad dejó al descubierto algunos de los principales riesgos que enfrentan las empresas y organizaciones de todo el mundo. El descubrimiento de dos vulnerabilidades críticas en PHP, uno de los lenguajes más utilizados para desarrollar sitios web, y el millonario hackeo a Binance expusieron las dificultades para prevenir ataques informáticos y contener sus consecuencias.
A estos episodios se suma el avance de la inteligencia artificial como herramienta de los ciberdelincuentes, que ahora pueden automatizar tareas, identificar vulnerabilidades y ejecutar ataques cada vez más rápidos. En el caso de Binance, por ejemplo, la investigación reveló que los atacantes aprovecharon una herramienta interna de IA durante una intrusión que comenzó con técnicas de ingeniería social y el compromiso de dispositivos de empleados.
La aceleración de estas amenazas quedó reflejada en el Informe Global de Amenazas 2026 de CrowdStrike, que registró un aumento interanual del 89% en la actividad de atacantes que utilizan inteligencia artificial. El estudio, basado en datos de 2025, también reveló que el tiempo promedio que tardan los ciberdelincuentes en desplazarse desde un sistema comprometido hacia otro dentro de una organización cayó a 29 minutos, con un caso extremo de apenas 27 segundos.
Los riesgos para las empresas van mucho más allá del robo de información. Una intrusión puede paralizar operaciones, impedir el acceso a sistemas esenciales, interrumpir servicios y provocar pérdidas económicas. Además, cuando los delincuentes consiguen extraer datos confidenciales, las organizaciones quedan expuestas a extorsiones y a la posible divulgación de información sensible de sus clientes.
Ante estas amenazas, las compañías necesitan herramientas que permitan detectar actividades sospechosas y responder antes de que los atacantes comprometan sus sistemas. Una de las principales soluciones para cumplir esa función son los SOC, centros de operaciones de seguridad que monitorean permanentemente la actividad digital de las organizaciones.
Para conocer cómo funcionan, qué tareas realizan y por qué son cada vez más importantes frente a los ciberataques impulsados por inteligencia artificial, TN Tecno consultó a dos especialistas en ciberseguridad: Sergio Oroña, de SparkFound, y Alan Mai, de Bloka.
Qué es un SOC, cómo funciona y qué hace ante un ciberataque
“Un SOC es un centro de operaciones de seguridad. Es un equipo de especialistas que combina tecnología, conocimiento y procedimientos para vigilar la actividad digital de una empresa, detectar amenazas y responder ante un ataque, las 24 horas, los 365 días del año”, explicó Oroña. Y lo resumió de una manera sencilla: “Es la guardia permanente de la seguridad digital de una organización. El objetivo es detectar a tiempo lo que está pasando y actuar para mitigar el daño”.
Para entender su funcionamiento, Mai propuso una comparación con los sistemas de vigilancia de los centros comerciales. “Un SOC se puede comparar con una sala de videovigilancia”, señaló. “Pero en lugar de tener cámaras monitoreando los pasillos, los locales, los baños, las salas de máquinas o el estacionamiento de un shopping, por ejemplo, los centros de operaciones de seguridad están equipados con sondas o las fuentes de información”, detalló. En lugar de imágenes, estos equipos reciben datos sobre lo que sucede en computadoras, servidores, aplicaciones y redes informáticas.
“El SOC analiza las señales que generan los sistemas, las computadoras, las cuentas de los empleados y los servicios en la nube. Relaciona esa información para identificar comportamientos sospechosos y determinar cuáles representan un riesgo real”, agregó Oroña. El especialista dio un ejemplo concreto: “Una cuenta empieza a conectarse de una manera inusual y después intenta descargar grandes cantidades de información. El SOC investiga esa secuencia y, según los protocolos acordados con la empresa, puede bloquear el acceso o aislar un equipo para contener el incidente”.
Sin embargo, las tareas de un SOC también incluyen investigar incidentes que ya ocurrieron, determinar su alcance y colaborar para que la empresa recupere sus sistemas. “También busca amenazas que todavía no generaron alertas, preserva evidencia y trabaja con el equipo de tecnología para corregir las causas y acompañar la recuperación. El valor está en convertir una señal de alerta en una acción concreta”, afirmó Oroña.
Mai comparó este trabajo con la atención de pacientes en una guardia médica, donde primero se determina la gravedad de cada caso para establecer las prioridades. “En el SOC analizamos la gravedad de la amenaza y, según el resultado, la escalamos para investigarla mejor, la derivamos al cliente para hacerle preguntas y ampliar la información o, directamente, si estamos ante una alerta roja, entramos en acción”, explicó el fundador y CEO de Bloka.
“Entrar en acción puede implicar la intervención de un equipo para tomar determinadas medidas en la red del cliente o ejecutar acciones que ya están predefinidas y que se conocen como playbooks de respuesta”, agregó. Estas medidas pueden incluir el aislamiento de dispositivos comprometidos, el bloqueo de conexiones sospechosas y la revocación de credenciales para impedir que los atacantes continúen avanzando.
Por qué los SOC son fundamentales ante los ciberataques impulsados por IA
Uno de los principales problemas que enfrentan las empresas es la velocidad con la que aparecen nuevas amenazas. La inteligencia artificial facilita la búsqueda de vulnerabilidades y permite automatizar distintas etapas de los ataques, lo que reduce el tiempo disponible para identificar una intrusión y detenerla.
“La inteligencia artificial está ayudando a los ciberdelincuentes a preparar engaños más creíbles, automatizar tareas y atacar a más objetivos en menos tiempo. Eso aumenta la presión sobre las empresas y exige una mayor capacidad de detección y respuesta”, advirtió Oroña, que también es fundador de Consulting Services.
Para Mai, el problema también está relacionado con la cantidad de vulnerabilidades que se descubren y la imposibilidad de mantener todos los sistemas permanentemente actualizados. Esa dificultad aumenta cuando las compañías dependen de programas y servicios desarrollados por terceros, sobre los que no tienen control directo.
El especialista mencionó un ejemplo: “Si tengo un cine y utilizo un sistema de reservas de asientos para vender las entradas, pero ese sistema no lo desarrollé yo, sino un tercero, también dependo de las vulnerabilidades que alguien pueda encontrar en ese proveedor. Es el famoso ataque a la cadena de suministro”, explicó. Esta modalidad permite que una brecha en un proveedor tecnológico termine afectando a las empresas que utilizan sus servicios, incluso si mantienen actualizados sus propios sistemas.
Por eso, Mai considera que la capacidad de detectar y contener amenazas resulta esencial. “Si una empresa no tiene un SOC, no hay posibilidades de que pueda estar parcheando absolutamente todo y evitar cualquier vulnerabilidad. Eso es inviable, justamente por la existencia de la IA”, afirmó. “Por eso, lo que tengo que desarrollar es capacidad de resiliencia. Y una de las formas más importantes de incrementar la resiliencia de una compañía hoy es contar con un SOC”, añadió.
La inteligencia artificial como herramienta de defensa
Ante la velocidad de los ataques y la cantidad de amenazas que deben investigar, los SOC necesitan herramientas que les permitan reducir la intervención manual y concentrar el trabajo de sus especialistas en los incidentes más importantes. “Los SOC también pueden incorporar IA y automatización para analizar grandes volúmenes de información, relacionar señales y acelerar determinadas respuestas, con supervisión de especialistas”, explicó Oroña.
Mai coincidió y destacó la importancia de sumar agentes de IA para tareas de investigación, análisis de alertas y acelerar la respuesta ante posibles ataques. Estas herramientas permiten que los especialistas reciban información organizada sobre las amenazas y puedan tomar decisiones sin tener que revisar manualmente cada evento. “Cuando hablamos de inteligencia artificial, ya no nos referimos solamente a un chatbot o un modelo de lenguaje, sino a agentes que acompañan al humano en determinadas actividades específicas”, explicó.
Esta capacidad de detección temprana es especialmente importante frente a ataques de ransomware, en los que los delincuentes pueden robar información antes de cifrar los archivos y exigir un rescate. “Si detecto la amenaza apenas comienza la cadena del ataque, puedo evitar que el atacante llegue a exfiltrar la información y después cifrar los archivos”, agregó Mai.
Para Oroña, las consecuencias de estos incidentes también deben analizarse desde el impacto sobre las operaciones de cada organización. “Como empresario, lo miro desde algo muy concreto: un ataque puede impedirte facturar, cobrar, producir o atender a tus clientes. Cada minuto que ganás para detectarlo y contenerlo puede reducir su impacto. Por eso, invertir en un SOC es invertir en la continuidad del negocio”.
Sin embargo, contar con un centro de operaciones de seguridad no garantiza por sí solo que una empresa esté preparada para responder a cualquier incidente. Los especialistas señalaron que existen diferencias importantes entre los servicios disponibles y que la efectividad depende tanto de la tecnología como de la preparación de los equipos.
“Creo que es importante hablar de que no todos los SOC son iguales. Hay varios aspectos relevantes para tener en cuenta”, advirtió Mai. Entre ellos destacó la importancia de contar con especialistas disponibles las 24 horas, los siete días de la semana, además de capacidades de análisis forense para investigar los incidentes y aprender de lo ocurrido. “A eso siempre agrego las capacidades de Threat Intelligence y Threat Hunting, dos actividades que hoy son clave para entender quién puede estar atacando y de qué manera, y tratar de estar un paso adelante”, explicó.
Otra diferencia está en el nivel de incorporación de la inteligencia artificial. Mai distinguió entre los centros donde los analistas utilizan estas herramientas por su cuenta, aquellos que cuentan con sistemas de asistencia y automatización, y los que integran agentes de IA en sus procesos de investigación y respuesta.
“Es muy fácil decir que un SOC utiliza IA, pero hay cuestiones importantes que deben analizarse”, sostuvo. Sobre los sistemas más avanzados, explicó: “Por último, está el nivel optimizado, que implica un SOC reestructurado y creado alrededor de la inteligencia artificial, donde la IA se utiliza de forma nativa en todos los procesos”.
Oroña, por su parte, remarcó que la implementación de estas medidas requiere la participación de los responsables de cada organización. “La dirección de las empresas tiene que involucrarse. Hay que conocer qué procesos son críticos, qué información necesita mayor protección y quién toma las decisiones cuando ocurre un incidente”.
El especialista también recordó que las compañías pueden contratar estos servicios sin necesidad de desarrollar un centro de operaciones propio. “También es importante saber que se puede acceder a un SOC como servicio. Eso permite contar con especialistas y cobertura permanente sin tener que construir toda esa capacidad dentro de la empresa”.
La capacidad de respuesta, además, debe poder evaluarse. “En SparkFound ponemos el foco en la capacidad de detectar, contener y responder. Esa capacidad tiene que poder demostrarse con tiempos medidos, procedimientos claros y personal preparado”, concluyó Oroña.
Fuente: TN — Ver noticia original