La Huida Silenciosa: Cómo se Exfiltran los Datos Sin que Nadie lo Note

La exfiltración de datos no es un fenómeno técnico. Es un síntoma profundo de algo que se rompe desde adentro: confianza, control, observación. No ocurre de un día para otro, pero cuando lo hace, rara vez se nota en tiempo real. El verdadero problema no es que existan métodos para sacar información, sino que las organizaciones insistan en buscar agujas sin conocer primero el tamaño del pajar.

Basado en experiencia respondiendo a incidentes reales, auditando redes comprometidas y reconstruyendo patrones de fuga, estas son las tácticas más utilizadas para exfiltrar información de redes corporativas. No son futuristas. No necesitan inteligencia artificial ni exploits de día cero. Son simples, efectivas y reconocibles si se sabe dónde mirar.

Transferencias fuera de horario laboral

Una proporción significativa de incidentes de exfiltración ocurre entre las 00:00 y las 05:00 horas, cuando hay menor supervisión y políticas de alerta que operan en modo diferido. Identificar estas fugas requiere establecer perfiles horarios por área funcional: si un equipo sin tareas nocturnas comienza a emitir tráfico saliente sostenido, el evento debe clasificarse como prioritario.

Uso de correo electrónico personal como vía de escape

El uso de cuentas personales para enviar información fuera del entorno corporativo evade controles automatizados, especialmente si los correos no son inspeccionados por DLP. El análisis debe enfocarse en usuarios sin historial de envío externo, archivos adjuntos comprimidos o cifrados, y correlación con fechas próximas a desvinculaciones o conflictos internos.

Acceso anómalo a recursos de otras áreas

El movimiento lateral no requiere necesariamente privilegios elevados. La mayoría de las organizaciones carecen de una matriz de acceso bien definida entre funciones y activos. Detectarlo implica aplicar reglas basadas en desvío funcional: un perfil de ventas accediendo a documentos técnicos de desarrollo es una señal clara.

Transferencias a dominios de reciente creación

Usar un dominio recién creado significa un canal fresco, sin historial malicioso, que suele pasar como benigno. Detectarlo implica combinar análisis DNS, edad del dominio y patrones de comunicación por procesos sospechosos.

Uso de navegadores con extensiones sospechosas

Las extensiones actúan como mini-aplicaciones con permisos amplios, muchas veces sin revisión de seguridad, permitiendo extraer documentos a servicios en la nube por canales HTTPS legítimos. Identificar esta táctica implica auditar extensiones instaladas y correlacionar tráfico saliente del navegador con servicios no autorizados.

Creación de archivos comprimidos o cifrados

Comprimir o cifrar permite agrupar, ocultar y dificultar la inspección: transforma miles de archivos sueltos en uno solo, protegido con contraseña. Detectar esta etapa preparatoria requiere auditar actividad de compresión en estaciones que no lo hacen habitualmente.

Conexiones cifradas no asociadas a procesos legítimos

El atacante sabe que la mayoría de las defensas confían en que TLS o HTTPS significa seguridad, y lo aprovecha para esconder sus movimientos. Detectar este comportamiento requiere monitorear el origen de las conexiones: si un ejecutable no autorizado genera un flujo TLS sostenido, hay que intervenir.

Autenticaciones repetidas y erráticas

El atacante prueba múltiples accesos con variaciones sutiles para mapear la arquitectura defensiva sin ser detectado. Si un mismo usuario aparece en logs de correo, VPN y SFTP con distintas IPs y agentes, no es multitarea: es alguien explorando.

Errores de conexión reiterados hacia el exterior

Los errores no son fracasos: son parte del proceso de ensayo hacia infraestructura de comando y control. Si se repiten en secuencias similares en hosts diferentes con mismos destinos fallidos, revelan intención.

Uso de dispositivos USB en horarios atípicos

El puerto USB sigue siendo el camino físico más común. Durante el incidente de Booz Allen Hamilton, el patrón fue claro: copias masivas entre las 22:00 y las 03:00, cuando no había personal supervisando.

Más allá de los logs: lo que la red no dice, pero insinúa

La mayoría de los ataques no llegan gritando. Llegan camuflados entre lo habitual, envueltos en permisos válidos, ejecutados por usuarios reales. El analista que detecta una exfiltración no es quien mira más alertas, sino quien recuerda cómo sonaba ese equipo cuando no estaba comprometido. Escuchar una red no significa instalar más sensores. Significa entender cuándo algo se sale del ritmo.

Una organización verdaderamente preparada no mide su éxito por cuántas alertas emitió, sino por cuántas historias supo entender antes de que se escribieran. Lo que se escapa es apenas un síntoma. Lo que no se sospecha, es el verdadero daño.