La nueva táctica de phishing que explota la fatiga del SOC

En los últimos años hemos aprendido a entrenar a las personas para que detecten correos sospechosos y a desplegar filtros que bloquean amenazas conocidas. Sin embargo, hay una segunda línea de defensa que recibe menos atención y que los atacantes han convertido en objetivo: el proceso de investigación que sigue a un informe de phishing. Cuando ese proceso se vuelve lento o inconsistente, la organización deja una puerta abierta que no se ve en los diagramas de red: la atención humana.

Los atacantes ya no solo intentan engañar a un empleado; buscan agotar al equipo que investiga. En vez de apostar todo a un único correo muy sofisticado, muchas campañas combinan una marea de mensajes de baja complejidad con unos pocos correos cuidadosamente dirigidos. El objetivo aparente —hacer ruido— oculta un propósito estratégico: congestionar la cola de trabajo del centro de operaciones (SOC) hasta que los pocos mensajes valiosos pasen desapercibidos.

Este fenómeno, que investigadores y practicantes ya describen como una forma de denegación de servicio informacional (IDoS), explota una propiedad básica de cualquier sistema con recursos limitados: la atención humana no escala indefinidamente. Estudios sobre fatiga de alertas y encuestas a operaciones de seguridad muestran que cuando el volumen de reportes se dispara, la calidad del análisis tiende a bajar (ver estudio en arXiv), y encuestas de la industria revelan que una gran parte de los SOCs simplemente no puede gestionar todas las alertas entrantes con la profundidad necesaria (informe SANS 2024).

Imagina el siguiente escenario: miles de empleados reportan decenas de miles de mensajes que, en su mayoría, son molestos pero inofensivos. Cada uno de esos informes requiere cierto procesamiento: abrir el mensaje, comprobar cabeceras, validar enlaces, correlacionar telemetría de endpoints y tomar una decisión. Si los analistas están sobrecargados, adoptan atajos cognitivos útiles en el corto plazo pero peligrosos en conjunto: revisan por encima, confían en indicadores superficiales y priorizan la limpieza de la cola. Es justamente en esos atajos donde los spear-phishing bien diseñados encuentran su oportunidad.

La economía del ataque está a favor del atacante. Producir y distribuir miles de correos de baja sofisticación cuesta casi nada, especialmente con herramientas de automatización y generación de texto. Para el defensor, cada mensaje reportado consume minutos de profesionales cualificados; una investigación exhaustiva puede llegar a requerir horas. Esa asimetría —bajo coste para crear ruido, alto coste para procesarlo— convierte la saturación en una táctica rentable.

La respuesta inmediata de muchos equipos ha sido aumentar la automatización basada en reglas: cerrar automáticamente informes de dominios de confianza, desduplicar reportes idénticos o aplicar listados reputacionales. Esas medidas ayudan a reducir el volumen, pero tienen límites importantes. Las reglas fijas crean patrones explotables; si los atacantes saben o infieren que ciertas señales provocan auto-cierre, pueden alterar superficialmente sus mensajes para sortear esas defensas. Además, cuando la automatización funciona como una "caja negra" que no explica sus decisiones, el personal desconfiará, reabrirá casos o anulará acciones automáticas, eliminando las ganancias prometidas por la automatización.

Más datos y más reglas no resuelven el problema central: lo que falla es la capacidad para convertir información en decisiones rápidas y confiables. Por eso está emergiendo una nueva forma de plantearlo: no se trata solo de analizar correos, sino de entregar investigaciones preparadas para la decisión. En lugar de presentar a un analista un conjunto de indicadores crudos, la idea es que un motor de investigación produzca un veredicto motivado, con la evidencia y el razonamiento necesario para que el humano revise y valide, no que vuelva a reconstruir desde cero.

Una aproximación prometedora utiliza arquitecturas de IA "agentiva" en las que distintos agentes especializados trabajan en paralelo sobre diferentes dimensiones de la investigación. Un agente puede encargarse de verificar la autenticidad del remitente (SPF, DKIM, DMARC, historial del dominio), otro de analizar el lenguaje del mensaje en busca de señales de ingeniería social, y un tercero de correlacionar con telemetría de endpoints y actividad anómala. Lo crucial no es que la IA decida por sí sola, sino que cada agente documente qué verificó, qué encontró y cómo ello afecta la conclusión.

La transparencia y la trazabilidad cambian la relación de confianza entre humanos y máquinas. Si el sistema entrega una conclusión y además muestra la cadena de evidencia, los analistas pueden entender las razones, desafiar hipótesis y, con el tiempo, confiar en que las decisiones automatizadas son explicables. Esa confianza permite que las resoluciones rutinarias se gestionen con autonomía controlada, mientras los humanos se concentran en los incidentes que requieren juicio y creatividad.

El beneficio práctico más tangible es el tiempo. La diferencia entre una investigación que se cierra en minutos frente a otra que tarda horas no es una mejora operativa menor: es la diferencia entre una credencial revocada antes de que el atacante haga daño y una que ya ha servido para moverse lateralmente, escalar privilegios o exfiltrar información. Los informes sobre costes y tiempos de respuesta en filtraciones demuestran que cada hora cuenta cuando un actor malicioso ha conseguido acceso inicial (IBM: coste de brechas).

Este planteamiento también requiere repensar qué métricas importan. Los cuadros de mando tradicionales del SOC miden rendimiento operativo: tiempo medio de respuesta, tickets cerrados por analista, etc. Para resistir tácticas que explotan volumen, las métricas deben capturar la consistencia de la calidad investigativa bajo carga, la latencia para llegar a un veredicto confiado, la precisión de las escaladas durante picos de actividad y el porcentaje de decisiones automatizadas que incluyen un razonamiento auditable. Medir proactividad —qué tan cerca del punto de impacto se detectan las amenazas— completa la visión.

Al cambiar el foco de "más señales" a "decisiones más precisas y explicadas", la defensa altera radicalmente el panorama estratégico. Si el volumen elevado ya no degrada la profundización ni el tiempo de decisión, la táctica de inundar el SOC deja de ser efectiva: el oleaje de mensajes baratos no oculta nada y el atacante habrá gastado recursos sin ganancia. La simetría se invierte.

Este enfoque no elimina la necesidad de formación a empleados ni la importancia de capas de protección perimetral. Mantener el botón de reporte visible y fomentar la responsabilidad del personal sigue siendo crucial. La diferencia está en que ahora el motor que hay detrás de ese botón no será un cuello de botella explotable, sino una barrera resiliente: un sistema que no se fatiga y que entrega, en minutos, una evaluación con evidencia.

Para organizaciones que evalúan soluciones, es útil revisar investigaciones y guías publicadas por la comunidad de seguridad y agencias públicas, como la documentación técnica de autenticación de correo en Microsoft (Microsoft: protección del correo) o recomendaciones prácticas sobre phishing y respuesta de la agencia CISA (CISA: consejos anti-phishing). Además, los reportes anuales de incidentes ofrecen contexto sobre dónde se producen los mayores daños cuando falla la detección temprana, como los informes de la industria sobre brechas (Verizon DBIR).

No existe una solución mágica, pero hay una ruta clara: diseñar procesos y tecnologías que reduzcan la dependencia de la memoria y la resistencia humana en picos de carga, al mismo tiempo que preserven la capacidad de los analistas para intervenir con criterio. Algunas plataformas comerciales ya están aplicando arquitecturas agentivas para producir investigaciones "listas para decidir" y reducir drásticamente los tiempos de resolución; conocer las capacidades y la transparencia de estas herramientas es un paso que cada SOC debería dar ahora.

Al final, la defensa efectiva contra campañas que buscan agotar al equipo humano exige un cambio de perspectiva: dejar de ver cada correo como una unidad aislada y empezar a gestionar la investigación como una cadena de decisiones. Si el objetivo del atacante es consumir tu atención, la mejor respuesta es construir una investigación que no se canse. Para conocer soluciones que plantean esta aproximación, puede consultarse información técnica sobre plataformas que implementan agentes especializados y racionales auditables (más información sobre CognitiveSOC).