Actores de amenaza: quién ataca y por qué
Objetivos: Al terminar este tema, podrás…
- Categorizar actores de amenaza según motivación, capacidad y recursos, a partir del análisis de casos reales.
- Reconocer los vectores de ataque más comunes al nivel de qué son y por qué funcionan, sin profundizar en su implementación técnica.
- Describir la superficie de ataque de un sistema y explicar por qué cada punto que se le agrega beneficia más al atacante que al defensor.
- Explicar por qué conocer al atacante es el primer paso de cualquier análisis de riesgo: la motivación detrás del modelado de amenazas formal, que desarrollarás por completo en la clase 04, no un adelanto de esa metodología.
Apertura: el ataque que nadie se atribuyó
En la clase pasada armaste el marco con el que se decide qué debe proteger un sistema: confidencialidad, integridad, autenticación, disponibilidad y no repudio. Ese marco nombra las propiedades que se pueden romper, pero no dice nada sobre quién querría romperlas ni qué ganaría con eso. Hoy vas a trabajar sobre esa segunda mitad.
Son las 5:50 de la mañana del 12 de septiembre de 2023. En cuestión de horas, la Rama Judicial de Colombia deja de funcionar. Más de dos millones de procesos que dependen de sistemas digitales quedan congelados, y el Consejo Superior de la Judicatura termina suspendiendo términos judiciales para evitar que los procesos prescriban mientras nadie puede trabajar. Casi al mismo tiempo, el Ministerio de Salud, el Ministerio de Cultura y la Superintendencia de Industria y Comercio reportan fallas parecidas. Ninguna de esas entidades fue atacada directamente: la atacada fue IFX Networks, la empresa que le presta a todas ellas la infraestructura donde corren sus sistemas, y el ataque alcanzó al mismo tiempo a entidades públicas y privadas de Colombia, Chile y Panamá, porque el mismo proveedor las atiende a todas (El Tiempo, 14 de septiembre de 2023; Infobae, 14 de septiembre de 2023).
El consejero presidencial de Transformación Digital, Saúl Kattan Cohen, lo resumió ante los medios con una frase que vale la pena retener: “Estamos peleando con las manos atadas. No tenemos las herramientas ni la gobernabilidad para enterarnos de esto con anticipación y hacer frente a estos ataques” (Vanguardia, 14 de septiembre de 2023).
El día del ataque nadie sabe quién lo hizo. Cinco días después, la Fiscalía General de la Nación informa que un grupo criminal podría ser responsable. Dice “podría”, y esa palabra es importante: el grupo señalado nunca lo confirmó por sus propios canales, aunque acostumbra reivindicar otros ataques (Infobae, 19 de septiembre de 2023). Es decir que ni la Fiscalía, con todos sus recursos, pudo cerrar la pregunta de quién hizo esto.
Esa pregunta tiene un nombre propio en el oficio: se llama atribución, y más adelante en este material vas a ver por qué casi nunca se cierra del todo. Que sea difícil no significa que sea inútil intentarla: cuando no sabes quién fue, poder decir qué tipo de atacante encaja mejor con lo que sí sabes ya cambia qué defiendes primero.
Hoy vas a trabajar exactamente sobre esa pregunta, que no es cómo se hace un ataque sino quién lo hace y por qué, y vas a comprobar que la respuesta casi nunca viene firmada.
Cinco atacantes distintos
En clase, cada uno de los cinco grupos investigó uno de los cinco casos que siguen, sin saber qué categoría le había tocado, porque todavía no se había nombrado ninguna. Aquí quedan los cinco con sus fuentes, porque tú solo trabajaste uno y necesitas los otros cuatro para entender la tabla que la clase construyó al final. La hoja consolidada con las cinco fichas queda compartida con todo el curso al terminar la sesión, y la vas a necesitar para varias de las preguntas de reflexión.
Los cinco grupos llenaron la misma ficha de evidencia, una fila por grupo en esa hoja compartida, y cada respuesta tenía que apoyarse en una frase citada textualmente del artículo. Estas son las cinco columnas de la hoja, porque el resto de la clase se refiere a ellas por su número:
- ¿Qué buscaba quien atacó?
- ¿Con qué contaba para lograrlo? Dinero, gente, tiempo, acceso que ya tenía, herramientas propias o herramientas de otros.
- ¿Por qué esta víctima y no otra? ¿La eligió o simplemente le tocó?
- ¿Cuánto tiempo pasó antes de que alguien lo notara?
- ¿Qué no dice el artículo que necesitarías saber para estar seguro de tu respuesta a la pregunta 1?
La quinta es la más incómoda y la más útil de las cinco, y no se queda en esta clase. Cualquier fuente que leas de aquí en adelante admite esa misma pregunta, y hacérsela es la diferencia entre citar un artículo y evaluarlo.
Grupo 1 — TalkTalk (Reino Unido, 2015)
Varios jóvenes entraron a los sistemas de una empresa británica de telecomunicaciones y se llevaron datos de cerca de 160.000 clientes. Uno de ellos, de 17 años, se declaró culpable y dijo que lo había hecho para “presumir” ante sus amigos. La autoridad británica de protección de datos multó a TalkTalk con 400.000 libras porque los datos quedaron accesibles con facilidad, es decir que la sanción no cayó sobre la habilidad del atacante sino sobre el descuido de la víctima. Fuentes: ESET WeLiveSecurity, 16 de noviembre de 2016 y ESET WeLiveSecurity, 21 de noviembre de 2018. Las dos cifras y la declaración del adolescente están repartidas entre los dos artículos, así que la cita textual puede salir de cualquiera de los dos.
Advertencia de alcance para este caso: las fuentes explican con qué técnica entró el atacante. Esa técnica pertenece a la clase 05 y no hace falta entenderla hoy. Lo que importa está en quién era el atacante y en el estado en que estaba la empresa atacada.
Grupo 2 — Keralty, EPS Sanitas y Colsanitas (Colombia, 2022)
Este es el único de los cinco casos que ya conoces: es el ataque con el que abrió la clase 01, y por eso aquí no se vuelve a contar. Lo que el grupo 2 hizo con él fue distinto de lo que hicieron los otros cuatro grupos con el suyo. Antes de abrir los artículos escribieron lo que recordaban, y después marcaron cuáles de esas afirmaciones quedaban sostenidas por una frase citada y cuáles no aparecían en ninguna de las dos fuentes. Si quieres repetir ese ejercicio por tu cuenta, las fuentes son La República, 2022 y El Tiempo, 2 de diciembre de 2022.
Grupo 3 — Guacamaya (Latinoamérica, 2022)
Un grupo que se presenta con nombre propio filtró correos y documentos internos de fuerzas militares y policiales de México, Colombia, Chile, Perú y El Salvador, y los entregó a periodistas en vez de venderlos. La escala ayuda a entender qué tipo de operación fue: solo del Estado Mayor Conjunto de Chile salieron cerca de 400.000 correos electrónicos, y del Ejército peruano más de 90 gigabytes de comunicaciones. Lo filtrado terminó publicado por medios de varios países y sirvió de base para reportajes sobre asuntos que ninguna de esas instituciones había hecho públicos. El grupo no pidió dinero en ningún momento y se define a sí mismo como “la naturaleza”. Fuentes: Infobae Colombia, 3 de octubre de 2022 y La República (Perú), 6 de octubre de 2022, que es la que documenta el volumen de lo filtrado y los motivos declarados.
Grupo 4 — Ubiquiti (Estados Unidos, 2020 a 2023)
Un ingeniero de la propia empresa copió gigabytes de información de su empleador. Después, mientras hacía parte del equipo encargado de investigar la supuesta intrusión, extorsionó a la compañía por cerca de dos millones de dólares haciéndose pasar por un atacante externo anónimo, y más tarde habló con la prensa como si fuera un denunciante anónimo. Fuente de trabajo del grupo, en español: Social Geek, “Hombre acusado de violación de datos de Ubiquiti y extorsión fue empleado para investigar hackeos”. El registro oficial del caso está en el comunicado de la Fiscalía del Distrito Sur de Nueva York, en inglés; las cinco preguntas de la ficha se responden completas con la fuente en español, así que ese documento es opcional.
El caso terminó en tribunales. El ingeniero se declaró culpable y fue condenado a seis años de prisión y a pagar cerca de 1,6 millones de dólares en restitución. Lo que había exigido a su empleador eran 50 bitcoin, unos 1,9 millones de dólares en ese momento. Y el daño mayor no vino del robo sino de las noticias falsas que él mismo alimentó desde su papel de denunciante anónimo: la acción de la empresa cayó cerca de 20% y su valor en bolsa perdió más de 4.000 millones de dólares (BleepingComputer, 12 de mayo de 2023, en inglés). Vale la pena retener esa proporción: el atacante pidió dos millones y el daño que causó fue dos mil veces mayor.
Grupo 5 — Machete (Latinoamérica, activo desde 2010)
Una operación de espionaje dirigida contra instituciones militares y de gobierno de Venezuela, Ecuador, Colombia y Nicaragua. No busca dinero ni publicidad, sino documentos de oficina, archivos de bases de datos, llaves criptográficas y archivos de sistemas de información geográfica, y además toma capturas de pantalla, registra lo que la víctima escribe en el teclado, copia el contenido del portapapeles y guarda la ubicación del equipo. Entre marzo y mayo de 2019, los investigadores que la siguieron contaron más de cincuenta computadores comprometidos que seguían enviando información a los servidores del atacante, con gigabytes de documentos robados cada semana, y más de la mitad de esos equipos pertenecía a entidades de gobierno. Tres de cada cuatro víctimas estaban en Venezuela. La operación lleva más de una década activa y nadie ha podido decir con certeza quién la financia. Fuentes: ESET WeLiveSecurity, 6 de agosto de 2019 y DPL News, “Machete, el virus que le está robando información militar”.
Advertencia de alcance para este caso: la fuente principal es un informe de investigación con una mitad técnica que no le corresponde a esta clase. Las secciones que necesitas son las de a quién apunta la operación, qué se lleva y desde cuándo está activa. La segunda fuente, periodística, cubre eso mismo en menos espacio.
Galería de hallazgos
Cuando cinco grupos reportan sobre cinco casos distintos, lo más valioso de la puesta en común no son las coincidencias sino los desacuerdos. Dos grupos pueden leer la misma evidencia y llegar a conclusiones diferentes sobre qué quería el atacante, y eso no significa que uno de los dos se haya equivocado: la clasificación de actores no es una ciencia exacta con respuestas cerradas, y profesionales reales discrepan sobre atribución y motivación con la misma evidencia incompleta que tú tuviste hoy.
¿Cuál de los cinco atacantes de hoy habría podido hacer lo que hizo otro de los cinco? Escoge un par concreto, di si sí o si no, y sostenlo con un dato de la ficha del otro grupo, no con una impresión general.
Síntesis: en qué se parecen y en qué se separan
La hoja consolidada quedó con cinco filas llenas de evidencia y ninguna categoría, y ese fue el punto donde la clase se detuvo a construir por su cuenta el criterio para separar los cinco casos, antes de que apareciera ningún nombre técnico. El resultado de ese ejercicio fueron tres preguntas escritas en el tablero por los propios grupos, y la sección siguiente es, en buena medida, ponerles nombre.
Vale la pena que retengas ese orden, porque no es un capricho de la sesión. Si el criterio hubiera llegado primero, los cinco casos habrían encajado sospechosamente bien, ya que cada grupo habría leído su artículo buscando confirmar la casilla que le tocó. Llegando después, el criterio tiene que dar cuenta de una evidencia que ya estaba escrita, y ahí es donde se ve cuáles casos encajan con holgura y cuáles quedan apretados.
Marco teórico: ponerle nombre a lo que encontraron
Hasta este punto de la clase nadie usó una sola palabra técnica para describir a los cinco atacantes, y eso fue deliberado. Las tres preguntas que quedaron en el tablero al terminar la síntesis las formuló tu propia clase leyendo cinco artículos, así que las categorías que vienen ahora no son definiciones que tengas que aceptar por autoridad, sino los nombres con que el oficio llama a distinciones que ustedes ya hicieron. Esta sección le pone nombre a cada fila de la hoja consolidada, desarrolla las tres preguntas con las que se separa a un atacante de otro y cierra dando vuelta al problema para mirarlo desde el lado de quien defiende.
Tres preguntas que separan a un atacante de otro
A lo largo de esta clase clasificaste atacantes usando tres preguntas, y vale la pena detenerse en por qué son esas tres y no otras.
La primera es la motivación: qué quiere conseguir. Dinero, información, atención pública, venganza, ventaja estratégica para un gobierno. La motivación es lo que explica a quién elige como víctima, y por eso es la primera pregunta de cualquier análisis: alguien que busca dinero rápido no invierte dos años dentro de tu sistema, y alguien que busca información estratégica no te avisa que entró.
La segunda es la capacidad: qué sabe hacer. Aquí la escala va desde quien descarga una herramienta que otro escribió y la ejecuta sin entenderla, hasta quien descubre por su cuenta una falla que el propio fabricante desconoce. Es tentador pensar que esta dimensión es la más importante, y el caso del empleado de Ubiquiti que investigó uno de los grupos de hoy es el contraejemplo más claro: hizo un daño enorme sin necesitar ninguna habilidad especial, porque ya tenía las llaves. La quinta pregunta de reflexión vuelve sobre eso.
La tercera son los recursos: con qué cuenta para sostener lo que sabe hacer. Tiempo, dinero, gente, y algo que no siempre parece un recurso pero lo es, el acceso que ya tenía legítimamente. Un empleado con credenciales válidas empieza dentro, y por eso puede lograr con capacidad técnica modesta lo que a un extraño le costaría meses.
Estas tres dimensiones no se mueven juntas, y esa es exactamente la razón de separarlas. Si solo preguntas qué tan peligroso es un atacante, obtienes un número que no sirve para decidir nada. Si preguntas las tres por separado, obtienes una defensa: contra un atacante de capacidad baja y motivación oportunista, mantener el sistema actualizado basta, porque su modelo consiste en encontrar la puerta ya abierta. Contra un atacante con recursos casi ilimitados y motivación estratégica no existe una defensa que lo detenga por completo, así que el objetivo cambia, y pasa a ser hacerle el ataque más caro y reducir el tiempo que pasa dentro sin que nadie lo note.
De estas tres dimensiones se desprende una cuarta que verás nombrada en informes y noticias, la persistencia: cuánto tiempo está dispuesto a sostener el esfuerzo. No es una dimensión independiente, es la consecuencia de tener una motivación de largo plazo y los recursos para financiarla.
Dos de los cinco casos tuvieron un atacante que quería dinero. Ve a la hoja consolidada y compara la columna 1 de esas dos filas, la frase que cada grupo citó del artículo. ¿Las dos frases dicen que querían dinero de la misma manera? Si no, cita las dos y explica en qué se separan.
La taxonomía, categoría por categoría
Categorizar a los atacantes te permite diseñar defensas apropiadas: no inviertes los mismos recursos defendiéndote de alguien que prueba herramientas por curiosidad que de un actor patrocinado por un estado.
| Actor | Motivación | Capacidad técnica | Recursos | Objetivo típico |
|---|---|---|---|---|
| Script kiddie | Curiosidad, reconocimiento entre pares | Baja, usa herramientas ajenas | Bajos | Cualquiera que esté vulnerable |
| Ciberdelincuente organizado | Ganancia económica | Media a alta | Medios a altos | Quien no puede permitirse estar caído |
| Hacktivista | Ideológica o política | Variable | Bajos a medios | Quien tiene una postura pública visible |
| Insider | Venganza, dinero, o ninguna (descuido) | Variable, a veces irrelevante | El acceso que ya tenía | Su propia organización |
| APT / Estado-nación | Ventaja estratégica, casi siempre de un Estado (inferida, no siempre confirmada) | Muy alta | Prácticamente ilimitados | Un objetivo elegido con anticipación |
Los script kiddies son atacantes con conocimiento técnico limitado que operan herramientas construidas por otros: escáneres automatizados, exploits públicos que aplican sin modificar, ataques oportunistas que no distinguen un objetivo de otro y golpean indiscriminadamente a cualquiera que resulte vulnerable. Son, en la práctica, el ruido de fondo de Internet: controles básicos bien implementados (parches al día, configuración segura, autenticación fuerte) detienen los intentos que dependen de encontrar la puerta ya abierta, que son la mayor parte de su repertorio.
Los ciberdelincuentes organizados operan con lógica empresarial: desarrollan malware a la medida, mantienen servidores repartidos en varios países desde donde le dan órdenes al malware que ya instalaron, y ejecutan campañas de phishing con la sofisticación de una operación de marketing bien financiada. Alrededor de esa actividad existe una economía completa (mercados donde se compran y venden credenciales robadas, accesos ya comprometidos a sistemas corporativos, y servicios de lavado de las criptomonedas obtenidas como rescate) que en años recientes se ha profesionalizado hasta ofrecer ransomware como servicio (RaaS), donde un grupo desarrolla la herramienta y otros la operan a cambio de una comisión. Defenderse de un actor así exige asumir que el perímetro eventualmente será vulnerado y diseñar, sobre esa base, detección y contención en profundidad.
Los hacktivistas atacan por motivación ideológica o política, no económica. Sus tácticas típicas incluyen alterar la página principal de un sitio para dejar un mensaje propio a la vista de todos, algo que en el medio se conoce por su nombre en inglés, defacement, además de la filtración de documentos internos, las campañas de denegación de servicio coordinadas entre muchos participantes y las campañas de desinformación. El perfil de riesgo frente a este actor depende menos de cuánto vale técnicamente una organización y más de cuán visible o controversial es su postura pública.
Un insider es alguien con acceso legítimo al sistema que termina abusando de ese acceso. La categoría cubre tres situaciones distintas que conviene no confundir: el insider malicioso actúa intencionalmente, casi siempre por venganza o lucro; el insider negligente causa daño por descuido, sin intención; y el insider comprometido no hizo nada malo él mismo, pero sus credenciales fueron robadas y un tercero las usa en su nombre (Insider). Frente a esta amenaza, el principio de privilegio mínimo (dar a cada persona solo el acceso estrictamente necesario para su función) es crítico, junto con el monitoreo de comportamiento anómalo, la segregación de funciones y controles de acceso granulares que dificultan que una sola credencial comprometida abra todo el sistema.
En el extremo de sofisticación están las amenazas persistentes avanzadas (APT), generalmente patrocinadas por estados. Cuentan con recursos prácticamente ilimitados, mantienen presencia dentro de un sistema durante meses o incluso años sin ser detectadas, desarrollan sus propias vulnerabilidades no conocidas públicamente (zero-days) y con frecuencia atacan no al objetivo final sino a su cadena de suministro, comprometiendo a un proveedor para llegar indirectamente a quien de verdad les interesa. La mayoría de las organizaciones no puede defenderse por completo de un actor con estos recursos; el objetivo realista frente a un APT no es la invulnerabilidad, sino aumentar el costo del ataque y reducir el tiempo que el atacante permanece dentro sin ser detectado. Vas a ver a estos grupos nombrados de formas que no coinciden entre sí, porque cada empresa de seguridad los bautiza por su cuenta: el mismo actor puede aparecer como APT28 en un informe y como Fancy Bear en otro.
Conviene aclarar qué nombra exactamente la etiqueta APT, porque el caso del grupo 5 la pone a prueba. Lo que la etiqueta describe es un comportamiento y no un patrocinio confirmado: el actor elige a su objetivo con anticipación en vez de tropezarse con él, y se queda dentro durante meses o años sin hacer ruido, en lugar de golpear una vez y salir. La expresión “patrocinada por un Estado” es la explicación más frecuente de ese comportamiento, porque pocos actores fuera de un Estado pueden financiar años de operación sin cobrar nada por el camino, pero es una inferencia y no un dato. La operación Machete se clasifica como APT por lo que hace, sigue activa contra instituciones de la región y sigue sin poder atribuirse a ningún país concreto. Las dos cosas son ciertas al mismo tiempo, y esa convivencia es lo que la columna “motivación” de la tabla no alcanza a mostrar por sí sola.
Ya tienes cinco nombres para cinco categorías. Vuelve a la fila de tu grupo en la hoja consolidada y busca en ella un dato que la etiqueta de tu caso no alcanza a explicar. Escríbelo con la cita que lo sostiene.
Superficie de ataque
Hasta aquí miraste el problema desde el lado del atacante. Ahora dale la vuelta y mira el mismo sistema desde adentro. La superficie de ataque de un sistema es el conjunto de todos los puntos por donde alguien podría intentar entrar: cada formulario que acepta datos de un desconocido, cada cuenta de usuario que existe, cada programa que quedó encendido esperando conexiones desde afuera, cada proveedor que tiene acceso, cada persona que puede ser engañada por teléfono (superficie de ataque).
La asimetría es lo que vuelve útil el concepto, porque al atacante le basta con que funcione uno solo de esos puntos mientras que a ti te tienen que aguantar todos. Cada punto que agregas al sistema, un formulario nuevo, una integración nueva, un empleado nuevo con acceso, no le suma un poco de trabajo al defensor: le suma un lugar más donde el ataque puede empezar, y le da al atacante una opción más entre las cuales elegir la más débil.
Piensa en el ataque con el que abrió esta clase. Las entidades afectadas no fueron atacadas directamente. Todas ellas tenían en su superficie de ataque un mismo punto, el proveedor de infraestructura del que dependían, y ese punto no estaba bajo el control de ninguna de ellas. Un ministerio puede tener sus propios sistemas impecables y quedar igual de caído, porque una parte de su superficie vive en la sala de servidores de otra empresa. Esa es la razón por la que un análisis de seguridad serio no se detiene en el borde de la organización.
Reducir la superficie de ataque es, en la práctica, la contracara de todo lo que vas a leer sobre vectores. Cada vector describe una familia de puntos de entrada, y la pregunta de defensa siempre es la misma: ¿este punto tiene que existir? Una cuenta que ya nadie usa, un servicio que quedó encendido después de una prueba, un permiso que se dio para un proyecto que terminó hace un año, todos siguen contando como superficie aunque nadie los esté usando. En la clase 04 vas a necesitar delimitar esta superficie antes de poder priorizar nada, porque no se puede evaluar el riesgo de un sistema cuyos bordes nadie ha dibujado.
Enumerar una superficie de ataque suena abstracto hasta que se hace una vez, así que aquí va una hecha completa. El sistema es ficticio, inventado para este ejemplo: la plataforma de citas de un consultorio odontológico con tres odontólogos y una recepcionista.
- El formulario público de agendamiento, que acepta nombre, cédula, teléfono y correo de cualquier persona en Internet.
- La página de ingreso del personal, con usuario y contraseña, accesible desde fuera del consultorio.
- Las cuatro cuentas del personal, más una cuenta de administrador que creó el proveedor al instalar el sistema y que nadie ha vuelto a tocar.
- El correo electrónico del consultorio, que recibe los mensajes automáticos del sistema y también cualquier mensaje que llegue de fuera.
- La empresa que le presta el alojamiento a la plataforma, y su personal de soporte, que puede entrar a la base de datos.
- El servicio externo que envía los recordatorios por mensajería, que necesita el teléfono de cada paciente para funcionar.
- La recepcionista, a quien un desconocido puede pedirle por teléfono que confirme los datos de un paciente.
- El computador de la recepción, que también se usa para navegar y descargar archivos.
Fíjate en dos cosas de esa lista. La primera es que solo los puntos 1 y 2 se parecen a lo que uno imagina cuando piensa en “un ataque informático”, y los otros seis son igual de utilizables. La segunda es que los puntos 5 y 6 no están bajo el control del consultorio, exactamente como les pasó a las entidades que dependían de IFX Networks. Una lista como esta es el punto de partida del método que vas a aprender en la clase 04, y conviene que la primera la hagas leyendo y no bajo presión.
Antes de irte: por dónde entran
La sesión de hoy contestó la mitad del problema. Ya sabes quién ataca y por qué, y tienes cinco casos reales con evidencia citada para sostenerlo. La otra mitad es la ruta: por dónde entra cada uno de esos atacantes. Esa ruta tiene nombre técnico, vector de ataque, y el mapa completo de los vectores está en la lectura que cierra este archivo.
Que ese mapa esté en la lectura y no en la sesión no significa que importe menos. La razón es que casi todo lo que hay en él tiene su propia clase más adelante, y trabajarlo hoy sería gastar dos veces la misma hora. La lectura te da el mapa, y cada una de esas clases te da después el territorio con el profesor adentro. Esta tabla te dice cuál es cuál:
| Familia de vectores | Dónde la trabajas en clase |
|---|---|
| Ingeniería social: phishing, spear phishing, vishing, pretexting | Clase 12, sesión completa con actividad |
| Explotación de vulnerabilidades y errores de configuración | Clase 05 |
| Ataque de intermediario | Clase 08 |
| Ransomware y doble extorsión | Clase 10 |
| Ataque a la cadena de suministro | Clase 07 |
| Gusano, spyware y rootkit | En ninguna. Solo en la lectura de abajo |
| Denegación de servicio (DoS y DDoS) | En ninguna. Solo en la lectura de abajo |
Las dos últimas filas son las que exigen tu atención completa al leer, porque ninguna clase posterior las va a retomar. Las cinco primeras puedes leerlas más rápido, sabiendo que vuelves sobre ellas con tiempo.
La lectura lleva asociada una tarea corta que se recoge al empezar la clase 04, porque esa clase necesita exactamente lo que la tarea produce.
Lee la sección "Vectores de ataque y contramedidas" que cierra este archivo. Después vuelve a la fila de tu grupo en la hoja consolidada y decide por dónde entró el atacante de tu caso. Escribe tres cosas: el vector que elegiste, la frase citada de la hoja que lo sostiene, y el segundo vector que estuviste a punto de elegir junto con la razón por la que lo descartaste. Si al revisar la hoja encuentras que ninguna de las dos fuentes dice por dónde entró, esa es una respuesta válida y probablemente la más honesta; escribe entonces cuáles dos vectores siguen siendo posibles y qué dato concreto necesitarías para separarlos. Media página, escrita a mano, para entregar al llegar a la clase 04.
Cierre
Al principio de la clase tu grupo dejó una frase en el tablero sobre quién estaba detrás del ataque a IFX Networks. Vuelve a leerla. ¿Cuál de los cinco atacantes que investigó la clase se parece más al que imaginaste esa mañana, y qué dato te faltaba entonces?
El grupo 2 comparó hoy lo que recordaba de su caso con lo que la evidencia realmente sostenía. Haz lo mismo con el tuyo antes de escribir: ¿qué diste por hecho antes de abrir el artículo? Después escribe en cinco líneas cuál de las conclusiones a las que llegó la clase hoy te parece la más discutible, y nombra qué información adicional, o qué caso distinto, te haría cambiar de posición.
Para leer después de la sesión
Esta es la lectura que la tabla del segmento anterior te dejó ubicada, y es donde vive la tarea que llevas a la clase 04. Completa lo que la sesión construyó con cinco cosas: el mapa de los vectores por donde entran estos actores, la correspondencia entre cada actor y el vector que le conviene, la razón por la que el impacto importa tanto como la amenaza, el problema de la atribución que quedó nombrado en la apertura y el puente con lo que ya viste en la clase anterior. Calcula media hora de lectura con la hoja consolidada abierta al lado, porque la vas a necesitar antes de terminar.
Vuelve a la columna 5 de la hoja consolidada, la de lo que los artículos no dicen. ¿Qué caso quedó peor documentado? ¿Y eso significa que el atacante fue más hábil, o solamente que la víctima habló menos?
Vectores de ataque y contramedidas
Un vector de ataque es la ruta o método que un atacante usa para comprometer un sistema. Repasar los vectores más comunes te da un mapa de las formas típicas en que una organización puede fallar, sin necesidad todavía de conocer cómo se implementa cada ataque a nivel técnico: eso corresponde a cursos posteriores de esta carrera.
Ningún sistema de autenticación, por robusto que sea, protege contra un empleado que le entrega su contraseña a alguien que dice llamar del área de sistemas. La ingeniería social explota algo que ningún firewall puede parchar: la tendencia humana a confiar en la autoridad y a actuar con urgencia cuando alguien lo exige. Toma distintas formas: el phishing masivo por correo, su variante dirigida (spear phishing) contra una persona o cargo específico, el vishing por teléfono, y el pretexting, que consiste en construir un escenario falso completo (una identidad, una urgencia, una autoridad aparente) para conseguir que la víctima coopere sin sospechar. La defensa depende de que la persona reconozca la manipulación mientras ocurre, no después: filtros de correo y autenticación multifactor ayudan, pero el entrenamiento y los protocolos de verificación de identidad importan tanto como cualquier control técnico. En la clase 12 volverás sobre esto con las técnicas concretas que un atacante usaría para construir ese engaño; por ahora basta con entender por qué este vector aparece en buena parte de los incidentes que vas a estudiar este semestre, incluidos dos de los cinco casos de hoy.
Un segundo vector es la explotación de vulnerabilidades: fallas conocidas y ya documentadas públicamente (los CVE), configuraciones inseguras, como un puerto abierto que no debería estarlo o credenciales que nunca se cambiaron de su valor por defecto, y vulnerabilidades zero-day, que nadie ha reportado todavía ni siquiera al fabricante. Un puerto es una de las puertas numeradas por las que un computador acepta conexiones de otros: cada servicio que ofrece escucha en la suya, y una puerta que quedó abierta para un servicio que ya nadie usa es una entrada que nadie está vigilando. CVE, por su parte, es el nombre de un catálogo público que le asigna un número a cada falla conocida, y existe precisamente para que defensores y atacantes de todo el mundo puedan hablar de la misma falla sin ambigüedad. Contra las dos primeras, la defensa es fundamentalmente disciplina: gestión de parches al día y auditorías periódicas de configuración. Contra un zero-day no hay parche posible por definición, así que la defensa se apoya en detectar el comportamiento anómalo que produce, no la vulnerabilidad en sí. Las aplicaciones web tienen, dentro de este vector, una familia propia de vulnerabilidades que estudiarás en detalle en la clase 05.
El malware es software diseñado deliberadamente para causar daño, y tiene formas con comportamientos y defensas distintas. El ransomware cifra los archivos de la víctima y exige un pago para devolverlos. Durante años la defensa contra esto fue conocida y aburrida: mantener copias de respaldo desconectadas de la red, de manera que el cifrado dejara de importar, porque restaurar salía más barato que pagar. Los grupos criminales respondieron cambiando el modelo de negocio. Antes de cifrar nada, ahora se llevan una copia de la información, y el pago que exigen ya no compra la llave para descifrar: compra el silencio. Esa combinación se llama doble extorsión, y explica por qué tener un buen respaldo dejó de ser suficiente. Una organización que restaura sus sistemas en un día sigue teniendo encima la amenaza de que publiquen los datos de sus usuarios, y esa amenaza no se resuelve con ninguna copia de seguridad. Es exactamente lo que ocurrió en el caso con el que abrió la clase 01: la organización nunca confirmó públicamente haber pagado y el grupo terminó publicando parte de la información. Si ese movimiento te parece irracional desde el punto de vista del negocio criminal, considera que su valor no está en ese caso sino en el siguiente, porque el grupo necesita que la próxima víctima crea que la amenaza es real.
El spyware no busca interrumpir nada, y esa es precisamente su ventaja. Mientras el ransomware anuncia su presencia el mismo día, el spyware necesita que nadie lo note, porque su valor está en seguir leyendo mañana. La operación Machete que investigó el grupo 5 es un ejemplo de manual: capturas de pantalla, registro de lo que la víctima escribe en el teclado, contenido del portapapeles y ubicación del equipo, saliendo semana tras semana durante años hacia los servidores del atacante. Por eso la defensa contra el spyware se apoya menos en impedir la entrada que en notar la salida. Lo que se vigila es el tráfico saliente, es decir la información que sale de la organización hacia Internet, y no solo la que entra: un equipo que envía documentos todos los días a una dirección desconocida es visible aunque el programa que lo hace no lo sea.
Un rootkit no roba ni cifra nada por sí mismo: su trabajo es esconder al atacante que ya está dentro, alterando lo que el propio sistema reporta para que el intruso no aparezca en ninguna lista. Por eso la defensa consiste en no preguntarle al sistema comprometido si está comprometido, sino en comprobar desde fuera que sus componentes esenciales siguen siendo los originales. El arranque seguro hace justamente eso cada vez que el equipo se enciende: verifica que los programas que se cargan antes que el sistema operativo sean exactamente los que el fabricante firmó, y se niega a arrancar si alguno cambió.
Un worm o gusano se propaga solo de un sistema a otro sin que ninguna persona tenga que abrir nada ni hacer clic en nada, y esa autonomía es lo que lo vuelve rápido. Ya viste uno en la clase 01: WannaCry se movió por sí mismo entre equipos vulnerables de la misma red y alcanzó organizaciones de más de 150 países en cuestión de horas. Contra un gusano las dos defensas que funcionan son conocidas y poco espectaculares. La primera es mantener los sistemas parchados, para que no encuentre la falla por la que entra. La segunda es segmentar la red (segmentación de red), es decir dividirla en zonas separadas con reglas de paso entre ellas, de modo que un equipo infectado en una zona no alcance a los de las otras.
Imagina dos personas que creen estar hablando directamente, pero en realidad cada una le habla a un tercero que retransmite (y puede alterar) el mensaje sin que ninguna de las dos lo note: eso es, en esencia, un ataque de intermediario (man-in-the-middle). En una red digital eso significa que dos sistemas que creen estar conectados directamente pueden estar pasando todo su tráfico por un punto que un atacante controló, típicamente una red inalámbrica abierta que él mismo montó y bautizó con un nombre creíble. La consecuencia práctica tiene dos caras: todo lo que viaje sin cifrar por esa conexión queda legible para él, y lo que la víctima envíe puede llegar modificado a su destino sin que ninguna de las dos partes lo note. Es la razón por la que cifrar la conexión, que verás en detalle en la clase 08, dejó de ser opcional en cualquier servicio serio.
Un ataque de denegación de servicio persigue algo distinto de leer o alterar información: busca impedir que el servicio atienda a quien tiene derecho a usarlo. El atacante envía más solicitudes de las que el sistema puede procesar, y el sistema deja de responder a todo el mundo, no solo a él (denegación de servicio). Cuando esas solicitudes salen de un solo equipo, el defensor puede bloquear ese origen y el ataque se acaba. Por eso la forma que vas a encontrar en las noticias es la distribuida, el DDoS, donde las solicitudes llegan de miles de equipos repartidos por el mundo y bloquear un origen no cambia nada porque quedan otros miles. Esa D adicional es toda la diferencia entre un problema que se resuelve con una regla y uno que exige capacidad para absorber el tráfico.
El vector tiene historia reciente en Colombia. El 4 de mayo de 2021, durante el paro nacional, el colectivo Anonymous tumbó por saturación los sitios web del Ejército Nacional, del Senado y de la Presidencia de la República, y declaró públicamente que lo hacía en rechazo a los hechos de violencia ocurridos durante las protestas (El Tiempo, 4 de mayo de 2021; Infobae, 5 de mayo de 2021). Fíjate en qué tipo de actor aparece aquí y en cuál no. Ninguna de esas tres páginas guardaba algo que valiera dinero y tumbarlas no le dio a nadie acceso a información reservada, así que lo único que el ataque produjo fue visibilidad, que es justamente lo que persigue el actor del caso que investigó el grupo 3.
Un ataque a la cadena de suministro compromete un componente o proveedor de software para llegar, a través de él, a organizaciones que confían en ese proveedor sin cuestionarlo. Uno de los casos mejor documentados de este vector es el de SolarWinds, en 2020. SolarWinds vendía un software de administración de redes que usaban miles de organizaciones, incluidas varias agencias del gobierno de Estados Unidos. Alguien logró entrar al proceso con el que la empresa preparaba sus actualizaciones y metió código propio dentro de una actualización que, para todos los efectos, parecía perfectamente legítima. Miles de organizaciones la instalaron con la misma confianza con la que se instala cualquier actualización, y el gobierno de Estados Unidos terminó ordenando a sus agencias desconectar el producto de inmediato (CISA, directiva de emergencia 21-01). Lo interesante para esta clase no es el mecanismo sino el cálculo del atacante: nadie invierte ese esfuerzo, ni espera meses en silencio, para pedir un rescate. Quien hace esto quiere leer, durante el mayor tiempo posible, información que no le corresponde, y por eso este caso se atribuye a un actor patrocinado por un Estado y no a una banda criminal.
No hace falta ir a Estados Unidos para ver este vector. El ataque con el que abrió esta clase es exactamente el mismo mecanismo: quien atacó a IFX Networks no tenía un interés particular en la Rama Judicial, y sin embargo alcanzó a la Rama Judicial, al Ministerio de Salud y a decenas de organizaciones más, porque todas ellas habían puesto una parte de su operación en la infraestructura del mismo proveedor. Lo que separa los dos casos no es el mecanismo sino la motivación, y esa diferencia se nota en el ritmo: el atacante que quería cobrar rápido se hizo notar en horas, y el que quería leer durante años pasó meses en silencio.
Defenderse de este vector se parece más a la gestión de proveedores que a la programación. Significa saber qué componentes hechos por otros estás usando, cosa que suena obvia y que en la práctica exige llevar un inventario que alguien tiene que mantener al día, y aceptar que la confianza que le das a un proveedor es parte de tu propia seguridad. En la clase 07, cuando veas cómo está armada una aplicación por dentro, vas a ver cuántas piezas hechas por terceros entran en una aplicación corriente y por qué esa lista es difícil de mantener al día.
Qué vector elige cada actor, y por qué
Tienes por un lado cinco perfiles de atacante y por otro varias familias de vectores, y hasta aquí son dos listas separadas. La parte útil aparece cuando se cruzan, porque un atacante no elige su vector al azar: elige el que su motivación justifica y sus recursos alcanzan a pagar.
El script kiddie usa lo que encuentra publicado, y esa no es una preferencia sino un límite. No puede producir nada propio, así que su repertorio es el de las herramientas que otros ya escribieron y compartieron, y su vector natural es la explotación de vulnerabilidades ya documentadas contra cualquiera que no haya aplicado el parche.
El ciberdelincuente organizado mide su trabajo en retorno por hora invertida, y esa métrica explica su repertorio mejor que cualquier consideración técnica: ingeniería social para entrar barato y ransomware para cobrar rápido. Un vector que exige seis meses de preparación no le sirve aunque sepa ejecutarlo, porque durante esos seis meses no está cobrando.
El hacktivista necesita que el ataque se vea, y eso descarta de entrada los vectores silenciosos. Alterar la página principal de un sitio, filtrar documentos internos y saturar un servicio hasta tumbarlo tienen en común que el efecto es público e inmediato, que es exactamente lo que un actor con motivación política busca.
El insider es el caso que rompe la lista, porque no necesita ningún vector de entrada. Lo que en cualquier otro actor sería la parte difícil, conseguir acceso, en este ya viene resuelto por el contrato de trabajo, y por eso el caso del grupo 4 pudo causar el daño que causó sin una sola habilidad ofensiva.
La APT es la única que se puede permitir la cadena de suministro, y la razón es aritmética. Comprometer al proveedor de un objetivo y esperar a que el objetivo instale la actualización toma meses, cuesta caro y no produce ningún ingreso por el camino. Solo un actor con presupuesto estatal y un objetivo elegido de antemano puede sostener esa espera.
Si tuvieras que quedarte con una sola idea de esta clase, que sea esta: el vector no es tanto una propiedad del ataque como una consecuencia de quién lo hace. Por eso saber quién te ataca cambia qué defiendes primero, y por eso el método que vas a aprender en la clase 04 empieza por ahí.
Por qué importa el impacto
Como ingeniero no basta con identificar amenazas: hay que evaluar también qué pasaría si se materializaran, porque eso es lo que decide dónde poner el esfuerzo. Ese impacto tiene varias dimensiones que rara vez se mueven juntas, y los casos de hoy las muestran repartidas. El costo financiero directo puede ser el menor de los problemas: en el caso del grupo 4, la extorsión pedía cerca de dos millones de dólares y el daño real terminó siendo dos mil veces mayor por la caída del valor de la empresa en bolsa. La interrupción operativa se mide en tiempo y en quién queda esperando, y en el ataque con el que abrió la clase se midió en más de dos millones de procesos judiciales congelados. El daño a la confianza no aparece en ninguna factura y es el que más tarda en repararse. Las responsabilidades legales pueden caer sobre la víctima y no sobre el atacante, como le pasó a la empresa del caso del grupo 1, multada por la autoridad británica de protección de datos porque sus datos estaban mal protegidos. Y en sistemas que tocan la salud o la seguridad física de las personas, el impacto deja de ser económico: quien queda esperando frente a un sistema caído no es un cliente sino un paciente, y eso es lo que ocurrió en el ataque que abrió la clase 01.
No todas las amenazas exigen la misma urgencia, y la razón es que la amenaza y su consecuencia no son lo mismo. Alguien intentando adivinar contraseñas débiles contra miles de cuentas todos los días es una amenaza constante de consecuencia pequeña; un actor con los recursos para pasar meses dentro de un sistema sin ser detectado, como en el caso SolarWinds, es una amenaza rara de consecuencia enorme. Tratar las dos igual gasta el presupuesto de defensa en la primera o deja la segunda sin atender. Cómo se ordenan formalmente esas dos cosas para decidir qué se atiende primero es el contenido de la clase 04. Esta clase se detiene justo antes de ese paso, porque su trabajo era darte el quién.
Atribución: por qué casi nunca hay una respuesta cerrada
Toda esta clase giró alrededor de una palabra que conviene mirar de frente antes de terminar. La atribución es la afirmación, sostenida con evidencia, de que un incidente concreto fue obra de un actor concreto, y es difícil por tres razones que ya viste en acción hoy. La primera es que la evidencia técnica se puede imitar, y un atacante con tiempo puede dejar a propósito rastros que apunten a otro. La segunda es que la evidencia que existe rara vez es pública, porque quien la tiene es la víctima o el Estado, y ninguno de los dos publica todo lo que sabe. La tercera es que el único que podría confirmar la respuesta, el propio atacante, casi nunca tiene incentivos para hacerlo, salvo cuando reivindicar es parte de su modelo de negocio, como en los grupos que necesitan que la próxima víctima crea que la amenaza es real.
Por eso el lenguaje profesional de la atribución es un lenguaje de grados y no de certezas. Cuando la Fiscalía dijo que un grupo podría ser responsable del ataque a IFX Networks, no estaba siendo evasiva: estaba diciendo con precisión lo que su evidencia sostenía y nada más. Aprender a distinguir lo que una fuente afirma de lo que solamente insinúa es lo que practicaste al llenar la quinta pregunta de la ficha, y lo vas a volver a necesitar en la clase 11, cuando el material de trabajo sean fuentes abiertas y nadie garantice que dicen la verdad.
La coincidencia que cierra el círculo
Al principio de la clase quedó abierta la pregunta de quién estaba detrás del ataque a IFX Networks, y la apertura no dio el nombre a propósito. La Fiscalía General de la Nación señaló como responsable tentativo a RansomHouse, que es el mismo grupo del ataque que abrió la clase 01 y que le tocó investigar al grupo 2. Ninguna autoridad lo confirmó con certeza absoluta, y el propio grupo nunca lo reivindicó como acostumbra hacer con otros ataques, así que la coincidencia es una hipótesis fuerte y no un hecho probado.
Si la sospecha es correcta, un mismo actor atacó en años consecutivos a una aseguradora de salud y, presuntamente, a un proveedor cuyos clientes incluían la Rama Judicial completa de un país. Fíjate en algo que las dos víctimas comparten: ninguna se puede dar el lujo de estar días sin operar, ni una EPS con millones de afiliados que dependen de sus sistemas para pedir una cita médica, ni un proveedor del que dependían cortes y ministerios enteros. Esa urgencia operativa, más que el sector en sí, es lo que un grupo de ransomware con fines financieros busca explotar, y es exactamente lo que la columna “objetivo típico” de la tabla resume como “quien no puede permitirse estar caído”.
De “qué” a “quién”: el puente con la clase 02
En la clase pasada viste la confidencialidad, la integridad, la disponibilidad, la autenticación y el no repudio como el marco completo (CIAAN) para pensar qué debe proteger un sistema. Hoy diste un paso distinto: en vez de preguntar qué puede fallar, preguntaste quién querría hacerlo fallar y por qué. Son las dos mitades de la misma pregunta, y los cinco casos de hoy lo muestran. Machete es, ante todo, una violación sostenida de confidencialidad: alguien con paciencia y recursos quiere leer información que no le corresponde. El ataque que abrió la clase 01, el mismo que investigó el grupo 2, fue sobre todo una violación de disponibilidad, con una amenaza añadida contra la confidencialidad de los datos de los pacientes. Guacamaya atacó la confidencialidad de instituciones militares, pero con una motivación que no tiene nada que ver con la de Machete, aunque el principio violado sea el mismo. La taxonomía de actores que construiste no reemplaza el marco CIAAN de la clase 02: lo completa, respondiendo la pregunta de quién está detrás de cada violación y por qué le interesa justamente ese principio y no otro.
Conceptos clave
| Término | Definición |
|---|---|
| Actor de amenaza | Persona o grupo que podría atacar un sistema, caracterizado por lo que quiere, lo que sabe hacer y con qué cuenta |
| Motivación | Qué busca conseguir el atacante; explica a quién elige como víctima |
| Capacidad | Qué sabe hacer técnicamente el atacante, desde ejecutar herramientas ajenas hasta descubrir fallas desconocidas |
| Recursos | Con qué cuenta para sostener el ataque: tiempo, dinero, gente y el acceso que ya tenía |
| Script kiddie | Atacante sin capacidad propia que ejecuta herramientas hechas por otros, contra quien resulte vulnerable |
| Ciberdelincuente organizado | Actor con motivación económica que opera con lógica de negocio y mide su trabajo en retorno por esfuerzo |
| Hacktivista | Actor con motivación política o ideológica, que necesita que su ataque sea visible para cumplir su objetivo |
| Superficie de ataque | Conjunto de todos los puntos por donde alguien podría intentar entrar a un sistema |
| Vector de ataque | Método o ruta que un atacante usa para comprometer un sistema |
| Doble extorsión | Robar la información antes de cifrarla, para cobrar por el silencio y no solo por la llave |
| Gusano | Malware que se propaga solo de un sistema a otro sin que nadie abra ni haga clic en nada |
| Spyware | Malware cuyo valor está en pasar desapercibido y seguir enviando información hacia afuera durante meses o años |
| Rootkit | Malware que no roba ni cifra nada por sí mismo: altera lo que el sistema reporta para esconder al atacante que ya está dentro |
| Denegación de servicio (DoS y DDoS) | Ataque que no busca leer ni alterar información sino impedir que el servicio atienda a quien tiene derecho a usarlo |
| Ataque a la cadena de suministro | Comprometer a un proveedor para llegar, a través de él, a las organizaciones que confían en él |
| Atribución | Afirmación, sostenida con evidencia, de que un incidente fue obra de un actor concreto; casi siempre se expresa en grados y no en certezas |
| APT | Actor sofisticado con recursos significativos y objetivos estratégicos |
| Insider | Amenaza interna con acceso legítimo al sistema |
| Zero-day | Vulnerabilidad desconocida para el fabricante |
| Modelado de amenazas | Razonar de forma ordenada sobre quién podría atacar un sistema, por dónde y con qué consecuencia. Esta clase te da la primera mitad, el quién; la clase 04 te da el método completo |
Preguntas de reflexión
-
Entra a la política de privacidad o a los términos de servicio de una aplicación que uses a diario y nómbrala explícitamente. Busca la sección sobre “terceros”, “socios comerciales” o “proveedores de servicio” con quienes comparten tus datos, y cópiala textualmente en tu respuesta. Con esa información concreta y no con generalidades: ¿cuál de los cinco actores que la clase investigó tendría más interés en obtener esos datos compartidos, y qué le permitirían hacer específicamente los datos que tu aplicación menciona en esa sección? Compara después esa sección con la de una segunda aplicación del mismo tipo, cópiala también, y explica en qué se diferencian las dos.
-
Busca la política de tratamiento de datos personales de la EPS o de la aseguradora de salud a la que estás afiliado. Nómbrala, incluye el enlace al documento que revisaste, y copia textualmente la parte donde dice qué hace con tus datos si ocurre un incidente de seguridad, o escribe “no dice nada al respecto” si después de revisarla no encuentras esa parte. Con ese texto delante, y no con generalidades: ¿debería una organización de salud colombiana pagar el rescate que le exige un grupo de ransomware? Toma una posición explícita.
-
Busca una noticia colombiana o latinoamericana publicada en los últimos 12 meses sobre un ciberataque a una organización, distinta de cualquiera de los casos citados en esta clase. Incluye el enlace directo. Con la evidencia que el artículo sí ofrece: ¿a cuál de los cinco actores de la taxonomía se parece más el atacante? Justifica con dos datos concretos del artículo, señala un aspecto en el que el caso no encaje bien en esa categoría, y termina con la quinta pregunta de la ficha aplicada a esa noticia: ¿qué no dice el artículo que necesitarías saber para estar seguro de tu clasificación?
-
Escoge un edificio o una instalación a la que entres al menos una vez por semana y nómbrala. Solo observa lo que cualquier visitante ve, sin probar nada, sin pedirle nada a nadie y sin intentar entrar por ningún lado: qué se pide en la puerta, quién lo verifica, qué has visto que pasa cuando alguien llega acompañado, por dónde entran los domicilios y el personal de aseo, qué puertas quedan abiertas a ciertas horas. Escribe la superficie de ataque de ese control de acceso como una lista de los puntos de entrada que observaste, con lo que viste en cada uno. Después responde: ¿cuál de los cinco actores de la clase sería más probable que lo intentara, y por qué ese y no otro?
-
De los cinco casos que la clase investigó, toma el atacante con menos capacidad técnica y el que tiene más. Usando datos de la hoja compartida de la clase, citados por número de fila y de columna, y no de tu memoria ni del texto de este archivo, sostén esta afirmación: la víctima del atacante con menos capacidad estaba en peor posición que la del atacante con más capacidad. Después nombra qué supuesto de la idea “a mayor capacidad del atacante, mayor riesgo” se rompe en ese contraste, y di en qué situación esa idea sí funcionaría.
Navegación: ← Anterior | Inicio | Siguiente: Taller de proyecto →