La crisis económica genera un peligroso 'infraestructura fantasma' de ciberseguridad

Una crisis silenciosa de ciberseguridad se está gestando tras las amplias presiones económicas. En el Reino Unido y Estados Unidos, sectores como la hostelería y el comercio minorista están experimentando un aumento significativo de cierres empresariales. En el Reino Unido, los últimos meses de 2025 registraron un incremento abrupto en el cierre de establecimientos de hostelería, impulsado por las anticipadas subidas de impuestos y una presión general sobre el coste de la vida que también ha puesto en riesgo financiero a más de un millón de hipotecados. Paralelamente, en Estados Unidos, los planes de desarrollo urbano, como las propuestas de 'upzoning' en Berkeley, California, amenazan con desplazar a pequeños negocios consolidados debido al aumento de los costes operativos. Aunque los impactos económicos y sociales son inmediatamente visibles, una amenaza más insidiosa se está formando en las sombras digitales: la creación de vastas extensiones de infraestructura cibernética abandonada, no gestionada y vulnerable.

Este fenómeno, que los profesionales de la seguridad denominan 'infraestructura fantasma' o 'abandono cibernético', representa un punto ciego crítico para la defensa organizativa. Cuando un restaurante, hotel o tienda cierra sus puertas, su huella digital rara vez desaparece con él. Sin embargo, la superficie de ataque no se reduce; simplemente se vuelve invisible para los propietarios originales y un tentador objetivo para actores maliciosos.

La anatomía de los activos digitales abandonados

Los tipos de activos que quedan atrás son variados y a menudo críticamente inseguros. Incluyen:

• Infraestructura de TI y Nube Huérfana: Máquinas virtuales olvidadas, suscripciones SaaS (como antiguos sistemas de reservas o CRM), buckets de almacenamiento y paneles administrativos que permanecen en línea y facturados a tarjetas de crédito canceladas. Suelen estar sin parches, ejecutando software obsoleto y configurados con credenciales por defecto o débiles.
• Dispositivos de Red Abandonados: Hardware físico como routers, firewalls y sistemas habilitados para IoT (cerraduras inteligentes, controles climáticos, cartelería digital) que pueden permanecer enchufados y conectados a internet, a menudo con configuraciones de fábrica.
• Nombres de Dominio y Sitios Web Inactivos: Sitios web corporativos y servidores de correo que continúan albergando datos residuales—a veces incluyendo PII de clientes o comunicaciones internas—pero no reciben actualizaciones de seguridad.
• Sistemas Legacy de Punto de Venta (TPV): Un activo de particularly alto riesgo en el sector hostelero. Estos sistemas, que a menudo procesan datos de tarjetas de pago, frecuentemente se dejan conectados a redes sin los estrictos controles de seguridad que exige el estándar PCI DSS, convirtiéndose en objetivos prioritarios para el robo de datos financieros.

De la conmoción económica al vector de ataque cibernético

El camino desde el cierre de un negocio hasta un incidente cibernético es alarmantemente directo. Los actores de amenazas, desde 'script kiddies' oportunistas hasta grupos sofisticados de ransomware, escanean cada vez más estos activos abandonados. Sirven para múltiples propósitos en el ciclo de vida de un ataque:

1. Acceso Inicial y Puntos de Apalancamiento: Los sistemas abandonados y comprometidos pueden usarse como punto de partida confiable para atacar a otras organizaciones dentro de la misma cadena de suministro, polígono industrial o proveedor de servicios compartido (como un ISP común o región de nube).
2. Exfiltración de Datos y Minería de Residuos: Incluso después del cierre, los sistemas digitales pueden contener datos sensibles residuales—bases de datos de clientes, registros de empleados, información financiera—que pueden venderse en foros de la dark web o usarse para robo de identidad y fraude.
3. Plataformas de Lanzamiento para Campañas más Amplias: Estos sistemas no monitorizados son perfectos para alojar kits de phishing, servidores de comando y control (C2) o puntos de distribución de malware, ya que es poco probable que su actividad ilícita sea notada o reportada por un propietario inactivo.

SOCs Desbordados y el Fracaso de la Monitorización Tradicional

Este aumento de la 'infraestructura fantasma' socava directamente la premisa central de los Centros de Operaciones de Seguridad (SOC). La monitorización tradicional del SOC se basa en saber qué se tiene que proteger. Se centra en los activos gestionados dentro de un perímetro organizativo definido. Los activos abandonados quedan completamente fuera de este alcance, creando una enorme superficie de ataque externa que las herramientas internas no pueden ver.

En consecuencia, los SOCs están efectivamente operando a ciegas frente a amenazas que se originan o pivotan a través de estos sistemas abandonados, especialmente si alguna vez formaron parte de la red de un socio confiable. La relación señal-ruido en los feeds de inteligencia de amenazas empeora a medida que explota el volumen de activos orientados a internet no contextualizados y no gestionados.

Estrategias de Mitigación: Cambiando a una Visión Externa y Centrada en Activos

Abordar este riesgo sistémico requiere un cambio fundamental en la estrategia de ciberseguridad, yendo más allá del perímetro interno.

• Priorizar la Gestión de la Superficie de Ataque Externa (EASM): Las organizaciones deben adoptar soluciones de EASM que descubran e inventarien continuamente todos los activos orientados a internet—incluyendo los desconocidos, olvidados o de TI en la sombra—asociados con su marca, subsidiarias y adquisiciones o desinversiones recientes. Esto ya no es un 'extra', sino un componente crítico de la gestión de riesgos.
• Implementar Protocolos Rigurosos de Inventario de Activos Cibernéticos y Desmantelamiento: Se debe establecer un proceso formal y continuo para el inventario de activos. Crucialmente, este proceso debe incluir una lista de verificación obligatoria de 'desmantelamiento digital' como parte del cierre de cualquier unidad de negocio, fusión o desinversión. Esta lista debe garantizar la eliminación segura de datos, la terminación de servicios y la transferencia o retirada de nombres de dominio y certificados.
• Mejorar las Evaluaciones de Riesgo de la Cadena de Suministro y Terceros: Las evaluaciones de riesgo ahora deben cuestionar explícitamente a socios y proveedores sobre sus propias políticas de gestión y desmantelamiento de activos. La seguridad de su red está intrínsecamente ligada a la higiene digital de todo su ecosistema, incluidos los miembros anteriores.
• Abogar por la Concienciación Normativa y Reguladora: La industria de la ciberseguridad debe colaborar con asociaciones empresariales y reguladores para destacar el 'abandono cibernético' como un riesgo público tangible. Pautas o estándares para el cierre seguro de negocios podrían ayudar a mitigar el problema en su origen.

El clima económico actual no es solo un desafío financiero; está degradando activamente nuestra postura de seguridad digital colectiva. Los servidores abandonados y los inicios de sesión olvidados de hoy son las cabezas de playa para las brechas de mañana. El descubrimiento proactivo, el inventario y la gestión de toda la superficie de ataque externa son la única defensa efectiva contra esta creciente ola de negligencia cibernética.