Exfiltración

Fase final de muchos ataques: el atacante extrae los datos sensibles del sistema ya comprometido. Es el momento en que el incidente deja de ser técnico y se convierte en daño financiero, regulatorio y reputacional.

En el curso

Módulo 4 — corresponde a la fase 7 de la Cadena de ataque cibernético, que el marco de Lockheed Martin llama "acciones sobre los objetivos": se extraen datos, se manipulan sistemas internos o se provoca daño financiero y reputacional.

En el caso Lisa Mendez, la exfiltración es lo que da magnitud al incidente. Tras una semana de movimiento lateral, los atacantes localizaron una carpeta compartida con documentación de incorporación archivada —identificaciones escaneadas e información bancaria de clientes de alto patrimonio— y usaron el acceso interno de Lisa para generar una solicitud de servicio aparentemente legítima con la que engañaron al departamento financiero. Cuando el equipo de ciberseguridad detectó un inicio de sesión anómalo desde una IP extranjera, ya se habían desviado más de 4,3 millones de dólares de cuentas de inversionistas. Siguieron fuga de clientes y escrutinio regulatorio.

Las contramedidas que el módulo asigna a esta fase: MFA y alertas de transacciones, segmentación del acceso a los sistemas financieros y, en el plano de IA, agentes con Acceso con privilegios mínimos, interfaces restringidas por rol y monitoreo continuo del comportamiento. En la fase previa de comando y control, la señal temprana es la vigilancia del tráfico saliente y de patrones inusuales de los agentes de IA: solicitudes de datos repetidas o intentos de comunicación externa.

Relacionado

Cadena de ataque cibernético · Reconocimiento (ciberseguridad) · Armamentización · Inyección de prompt · Prevención de pérdida de datos (DLP) · Acceso con privilegios mínimos · Troyano de acceso remoto (RAT) · IA en la sombra