El fin del perímetro: Por qué el modelo de amenazas tradicional ya no funciona

Anteriormente, la puerta de enlace de correo electrónico corporativo era el principal escenario para el robo de identidad y la entrega de malware. Los equipos de seguridad invirtieron millones en DMARC, SPF y sandboxing de archivos adjuntos para filtrar el ruido externo antes de que llegara al usuario. Ahora, la batalla se ha trasladado al interior del perímetro, a plataformas de colaboración como Microsoft Teams. La operación Spring Ring demuestra que la seguridad percibida de las herramientas de comunicación interna es una vulnerabilidad estructural. Al pasar del correo electrónico a la interacción de voz en tiempo real dentro de Teams, los atacantes eluden los filtros tradicionales y explotan la confianza inherente que los usuarios depositan en su suite de productividad laboral. La amenaza ya no es un enlace estático en un correo electrónico sospechoso. La amenaza es una voz en vivo en un canal de confianza.

La mecánica de la operación Spring Ring

Entre enero y abril de 2026, los investigadores de Palo Alto Networks rastrearon una campaña sofisticada dirigida a al menos 150 usuarios de Microsoft Teams en 10 organizaciones distintas. Esta operación, denominada Spring Ring, utiliza el phishing de voz o vishing como su principal vector de entrada. El proceso comienza cuando un atacante, a menudo utilizando una cuenta externa de Teams comprometida o un perfil de invitado suplantado de manera convincente, inicia un chat con un empleado. Este contacto inicial elude la mayoría de las pilas de seguridad de correo electrónico heredadas porque el tráfico se origina dentro del ecosistema de Microsoft 365. Luego, el atacante transiciona el chat a una llamada de voz, asumiendo la identidad de un agente de soporte técnico de TI o un técnico de seguridad.

Durante estas llamadas, el atacante guía a la víctima a través de la instalación de herramientas de monitoreo y gestión remota (RMM). Utilidades comunes como AnyDesk, ScreenConnect o NetSupport Manager son las herramientas preferidas. Debido a que se trata de paquetes de software legítimos utilizados por departamentos de TI reales, a menudo evaden la detección basada en firmas de los programas antivirus. Una vez que la víctima instala el agente RMM, el atacante obtiene el control interactivo total sobre la estación de trabajo. Este método permite al actor de amenazas eludir los controles de seguridad automatizados al realizar acciones que parecen ser actividad de un usuario local. El componente de vishing añade una capa de presión social de la que carece el phishing tradicional. Una voz en vivo exige una acción inmediata, lo que reduce el tiempo que tiene un usuario para evaluar la legitimidad de la solicitud.

Asimetría de acceso y déficit de experiencia

La campaña Spring Ring resalta una falla crítica en la arquitectura empresarial moderna conocida como asimetría de acceso. Las organizaciones configuran frecuentemente Teams para permitir la comunicación externa por defecto para facilitar la colaboración entre empresas. Esta configuración otorga a un extraño la misma presencia digital que a un colega de confianza. El déficit de experiencia de la fuerza laboral general es un aliado silencioso para estos atacantes. La mayoría de los empleados no pueden distinguir entre una solicitud legítima de soporte de TI y un intento de ingeniería social cuando la interacción ocurre en una plataforma que consideran una zona segura.

Las estrategias tradicionales de defensa en profundidad centradas en el borde de la red son ineficaces aquí. El atacante no necesita irrumpir en la red a través de un firewall. Son invitados a entrar a través de una aplicación empresarial legítima. Este cambio representa un paso de un modelo pasivo de "clic y recolección" a una estrategia de interacción en tiempo real. El atacante adapta su guion basándose en las respuestas de la víctima, lo que hace que el ataque sea mucho más resistente a la capacitación en concienciación del usuario que las plantillas de phishing estándar. Una vez que la herramienta RMM está activa, la estación de trabajo se convierte en una cabeza de playa para la siguiente fase de la operación. El objetivo rara vez son los datos de una sola computadora portátil. El objetivo es toda la infraestructura.

Movimiento lateral y la caza de controladores de dominio

Después de establecer un punto de apoyo en la estación de trabajo de un usuario, los actores de Spring Ring se centran en el movimiento lateral. Utilizan las herramientas RMM instaladas para ejecutar scripts, recolectar credenciales y escanear la red interna en busca de objetivos de alto valor. El objetivo final en varios casos observados fue el compromiso de los controladores de dominio de la organización. Una red heredada no segmentada es una puerta abierta para un atacante con derechos de administración local en una sola máquina.

Los atacantes buscan credenciales almacenadas en caché en la memoria o cuentas de servicio mal configuradas con permisos excesivos. Si la organización carece de segmentación interna, el atacante puede moverse del departamento de marketing a la sala de servidores con una resistencia mínima. Esta progresión lateral suele ser silenciosa. Debido a que la herramienta RMM proporciona un túnel cifrado persistente, el tráfico del atacante se mezcla con la actividad administrativa normal. La brecha no es una explosión repentina, sino una infiltración lenta y deliberada en los sistemas de identidad central. Cuando un atacante compromete un controlador de dominio, obtiene la capacidad de crear nuevas cuentas, modificar permisos existentes y desplegar ransomware en toda la flota. El radio de explosión de una sola llamada de vishing exitosa puede abarcar a toda la empresa.

Implicaciones arquitectónicas del abuso de las suites de colaboración

La operación Spring Ring exige un replanteamiento fundamental de cómo se sitúan las herramientas de colaboración dentro de la pila de seguridad. Tratar a Teams o Slack como una extensión de la red de área local interna es un error. Estas plataformas se entienden mejor como puertas de enlace orientadas al público que requieren el mismo nivel de escrutinio que una DMZ. Una DMZ no es un área común, sino una celda solitaria individual. Cada interacción que se origine fuera de la organización inmediata debe tratarse como no confiable, independientemente de la plataforma utilizada para la entrega.

La arquitectura Zero Trust proporciona la única defensa viable contra esta evolución. El núcleo del cambio radica en alejarse de la confianza implícita basada en la ubicación o la aplicación. Si un empleado recibe una llamada en Teams, el sistema no debe asumir que la persona que llama es quien dice ser. Los equipos de seguridad deben implementar controles granulares que restrinjan la capacidad de los usuarios estándar para instalar software RMM o ejecutar scripts no autorizados. La dependencia del juicio del usuario es una estrategia fallida. La arquitectura debe hacer cumplir la política de seguridad independientemente de las elecciones del usuario.

La herramienta RMM como arma de doble filo

El uso de herramientas RMM por parte de actores de amenazas crea un desafío único para los centros de operaciones de seguridad (SOC). Estas herramientas son ubicuas en entornos corporativos, lo que las convierte en un dispositivo de camuflaje de facto para actividades maliciosas. Cuando un analista de SOC ve una conexión de AnyDesk, su primer instinto suele ser asumir que una sesión de soporte legítima está en curso. La lógica cambia a la necesidad de análisis de comportamiento en lugar de un simple escaneo de archivos.

Las organizaciones deben establecer una línea base para el uso autorizado de RMM. Esto implica definir estrictamente qué herramientas están permitidas y qué cuentas están autorizadas para desplegarlas. Cualquier desviación de esta línea base debe activar una alerta inmediata de alta prioridad. La gestión de parches con un ritmo mensual es un lujo que ya no existe cuando los atacantes pueden obtener el control remoto total en minutos. La detección debe ser casi en tiempo real para interceptar al atacante antes de que pueda pivotar de la estación de trabajo al controlador de dominio. La velocidad del ataque debe ser respondida con la velocidad de una respuesta automatizada.

Plan de acción para la defensa empresarial

Para mitigar el riesgo de Spring Ring y campañas similares basadas en vishing, los CISO deben ejecutar un plan de defensa estructurado durante los próximos 6 a 12 meses. El enfoque debe centrarse en controles técnicos que eliminen la carga de la detección del usuario final.

• Auditar la configuración de colaboración externa: Revisar las configuraciones de Microsoft Teams y Slack para restringir la comunicación externa. Implementar una lista blanca para dominios externos aprobados y desactivar el acceso de invitados para usuarios que no lo requieran para sus funciones laborales específicas.
• Implementar control de aplicaciones: Usar AppLocker o una solución similar para evitar la ejecución de herramientas RMM no autorizadas. Crear una lista de permitidos estricta que solo autorice el funcionamiento del software de soporte remoto oficial de la organización en los endpoints corporativos.
• Imponer MFA basado en FIDO2: Alejarse de la autenticación multifactor basada en SMS o notificaciones push. Utilizar llaves de seguridad de hardware o biometría basada en la plataforma para evitar el secuestro de sesiones y la recolección de credenciales. Esto asegura que incluso si un usuario es engañado, el atacante no pueda reutilizar fácilmente sus credenciales.
• Implementar microsegmentación: Aislar las estaciones de trabajo de los usuarios de la infraestructura crítica, como los controladores de dominio y los servidores de bases de datos. Utilizar firewalls basados en host y redes definidas por software para garantizar que el movimiento lateral requiera más que simples derechos de administrador local.
• Desplegar EDR con monitoreo de comportamiento: Asegurarse de que las herramientas de Detección y Respuesta en Endpoints estén configuradas para marcar el uso de herramientas RMM por parte de cuentas que no sean de TI. Buscar relaciones inusuales de procesos padre-hijo, como un navegador o Teams iniciando una instalación de software.
• Realizar simulacros de vishing dirigidos: Ir más allá de las pruebas de phishing estándar. Realizar ejercicios de vishing controlados a través de plataformas de colaboración para identificar qué departamentos son más susceptibles a la ingeniería social y proporcionarles capacitación específica basada en su rol.

La nueva realidad de la seguridad empresarial

La operación Spring Ring no es un incidente aislado. Es el comienzo de una tendencia donde los atacantes explotan el elemento humano abusando de las mismas herramientas diseñadas para la cooperación. El objetivo no es prevenir cada intento de vishing, sino asegurar que una sola estación de trabajo comprometida no conduzca a una pérdida catastrófica del dominio. La supervivencia depende de la arquitectura y la velocidad. Cuando el perímetro ya no es un límite físico o lógico, la seguridad debe residir dentro de la identidad y el propio endpoint. Las organizaciones que continúen confiando en la seguridad percibida de sus suites internas seguirán siendo los objetivos principales para estos ataques de alta interacción. La cruda realidad es que la confianza es una vulnerabilidad que los atacantes ahora están explotando sistemáticamente.

Fuentes:

• Palo Alto Networks Unit 42: Spring Ring Research Report
• Microsoft Security Response Center: Guidance on Collaboration Platform Abuse
• CISA: Technical Guidance on Remote Monitoring and Management Tool Risks

Descargo de responsabilidad: Este artículo es solo para fines informativos y educativos y no reemplaza una auditoría de ciberseguridad profesional o un servicio de respuesta a incidentes.