La brecha entre los ataques dirigidos por humanos y las intrusiones impulsadas por máquinas se está cerrando más rápido de lo que la mayoría de las organizaciones esperaban. Cloudforce One, el equipo de inteligencia de amenazas dedicado de Cloudflare, publicó el primer Informe de Amenazas Cloudflare 2026 el 3 de marzo de 2026, emitiendo una clara advertencia: la inteligencia artificial se ha convertido en un motor central detrás de los ciberataques modernos. 

La brecha entre los ataques liderados por humanos y las intrusiones impulsadas por máquinas se está cerrando más rápido de lo que la mayoría de las organizaciones esperaba. Cloudforce One, el equipo dedicado de inteligencia de amenazas de Cloudflare, publicó el primer Informe de Amenazas 2026 de Cloudflare el 3 de marzo de 2026, lanzando una advertencia clara: la inteligencia artificial se ha convertido en el motor principal detrás de los ciberataques modernos.

Elaborado a partir de billones de señales de red recopiladas durante el último año, el informe identifica un cambio fundamental en cómo los adversarios piensan, planean y ejecutan sus ataques —uno que exige un nuevo enfoque en la defensa.

En el centro de este cambio está un concepto llamado Medida de Eficacia (MOE), el cálculo frío que los atacantes usan para decidir dónde golpear a continuación.

Los adversarios de hoy no buscan sofisticación técnica por sí misma; miden cada acción por cuánto esfuerzo requiere frente a cuánto daño genera. Un token de sesión robado que evita la autenticación cuesta mucho menos que un exploit de día cero personalizado y proporciona el mismo acceso. La IA acelera esta lógica al reducir el tiempo entre identificar un objetivo y comprometerlo.

Los analistas de Cloudflare destacaron ocho tendencias principales que están moldeando el panorama de amenazas en 2026, todas impulsadas por cálculos de MOE.

La IA generativa está permitiendo el mapeo de redes en tiempo real, el desarrollo rápido de exploits y la creación de deepfakes convincentes, lo que permite a actores de amenazas con bajas habilidades llevar a cabo operaciones que antes requerían recursos de nivel estatal. Grupos patrocinados por estados, como Salt Typhoon y Linen Typhoon (vinculados a China), se están infiltrando en las telecomunicaciones, el gobierno y la infraestructura de TI de América del Norte, estableciendo puntos de apoyo a largo plazo destinados a servir a objetivos geopolíticos futuros. Los ataques DDoS hipervolumétricos, impulsados por botnets como Aisuru, han elevado el récord a 31,4 Tbps.

El robo de tokens se ha convertido en una de las tácticas más dañinas en la ola actual de ataques. Infostealers como LummaC2 recolectan tokens de sesión activos, permitiendo a los atacantes saltarse el proceso de inicio de sesión por completo y pasar directamente a acciones posteriores a la autenticación, haciendo que la autenticación multifactor sea irrelevante. Al mismo tiempo, bots de phishing como servicio están explotando un punto ciego en la verificación de servidores de correo, suplantando marcas de confianza para enviar emails convincentes directamente a las bandejas de entrada de los empleados. El informe encontró que casi el 46% de los emails analizados fallaron en las comprobaciones DMARC, y el 94% de todos los intentos de inicio de sesión ahora provienen de bots.

Más allá de la infraestructura digital, Corea del Norte ha llevado la amenaza de los deepfakes a un nuevo nivel. Operativos patrocinados por el estado ahora usan video generado por IA y identidades fraudulentas para pasar entrevistas de trabajo y ser contratados en empresas occidentales, infiltrando espías directamente dentro de equipos corporativos. Estos infiltrados realizan espionaje y envían fondos ilícitos de vuelta a programas estatales, representando una amenaza que los firewalls de red por sí solos no pueden detener.

Armas de confianza: herramientas en la nube

Uno de los cambios más alarmantes en las tácticas de los atacantes implica esconderse dentro de herramientas que las organizaciones ya confían. En lugar de configurar servidores maliciosos obvios, los actores de amenazas están redirigiendo su tráfico de comando y control a través de Google Drive, Microsoft Teams y Amazon S3. Este método, conocido como Living off the Land (LotX), hace que el tráfico malicioso sea casi idéntico a la actividad empresarial normal, dando a los atacantes el camuflaje que necesitan para permanecer ocultos dentro de entornos comprometidos durante semanas o incluso meses.

Cloudforce One rastreó cinco grupos patrocinados por estados que aplican esta táctica de diferentes maneras.

El grupo vinculado a China FrumpyToad oculta su actividad de C2 dentro de la lógica de plataformas SaaS de buena reputación, mientras que otro grupo afiliado a China, PunyToad, usa herramientas legítimas de desarrolladores para túneles cifrados y evadir la detección. NastyShrew, con base en Rusia, aprovecha sitios públicos de pegado como resolutores de "dead drops", permitiéndole cambiar su infraestructura sin llamar la atención. PatheticSlug, de Corea del Norte, explota la reputación de confianza de los ecosistemas en la nube para eludir por completo las defensas perimetrales, mientras que CrustyKrill, de Irán, integra operaciones de recolección de credenciales dentro de flujos de trabajo cotidianos de servicios en la nube.

Servicios como Amazon SES y SendGrid también son regularmente reutilizados para ejecutar phishing y distribuir malware a gran escala.

Para contrarrestar este modelo de amenaza cada vez más impulsado por máquinas, los investigadores de Cloudforce One recomiendan que las organizaciones adopten capacidades de defensa autónoma en lugar de depender de la detección manual y la respuesta centrada en humanos. Cuando los ataques se mueven a la velocidad de la IA, los ciclos de respuesta lentos se convierten en un lastre. Las organizaciones deberían aplicar DMARC, DKIM y SPF para cerrar la brecha de autenticación de correo, implementar controles de acceso Zero Trust en todos los entornos SaaS y auditar continuamente las integraciones de API de terceros para detectar accesos con privilegios excesivos.

Los sistemas de respuesta automatizada en tiempo real ya no son opcionales: son el estándar mínimo para mantener el ritmo frente a adversarios que nunca duermen y nunca se detienen.