En 2024, las amenazas cibernéticas dirigidas a SaaS aumentaron, con 7.000 ataques a contraseñas bloqueados por segundo (solo en Entra ID), un aumento del 75 % con respecto al año pasado, y los intentos de phishing aumentaron en un 58 %, lo que provocó pérdidas por 3.500 millones de dólares (fuente: Informe de defensa digital de Microsoft 2024). Los ataques SaaS están aumentando y los piratas informáticos a menudo evaden la detección mediante patrones de uso legítimos. En el campo de las amenazas cibernéticas, jugadores destacados, perdedores inesperados y anotadores implacables dejaron su huella en el campo de juego de seguridad SaaS.
Al entrar en 2025, los equipos de seguridad deben priorizar Evaluaciones de riesgos de seguridad de SaaS para descubrir vulnerabilidades, adoptar herramientas SSPM para un monitoreo continuo y defender proactivamente sus sistemas.
Aquí están las estrellas de Cyber Threat a las que hay que prestar atención: los MVP, las estrellas en ascenso y los maestros estrategas que dieron forma al juego.
1. ShinyHunters: el jugador más valioso
- Estilo de juego: Tiros de precisión (Organización Cibercriminal)
- Mayores victorias: Copo de nieve, Ticketmaster y Authy
- Dramas notables: Se aprovechó un error de configuración para violar más de 165 organizaciones.
cazadoresbrillantes Llegó a 2024 con una ola implacable de violaciones de SaaS, exponiendo datos confidenciales en plataformas como Authy y Ticketmaster. Su campaña no pretendía explotar la vulnerabilidad de un proveedor, sino sacar provecho de un error de configuración que los clientes de Snowflake pasaron por alto. Como resultado, ShinyHunters podría infiltrarse, exfiltrarse y chantajear a estos usuarios de copos de nieve sin aplicar MFA y proteger adecuadamente sus entornos SaaS.
🏀 Detrás de la obra: ShinyHunters funcionó como estrellas de la web oscura, aprovechando sin esfuerzo las configuraciones erróneas de SaaS. Sus volcados de datos robados no fueron asuntos silenciosos: fueron estrenos atrevidos en cines que presentaban guerras de ofertas y filtraciones exclusivas. La filtración de Snowflake por sí sola provocó un pánico generalizado a medida que las credenciales se convirtieron en vulnerabilidades generalizadas en los sistemas críticos.
💡Lecciones de seguridad SaaS: La campaña Snowflake expuso descuidos críticos de seguridad del lado del cliente, no fallas de los proveedores. Las organizaciones no implementaron MFA, rotaron las credenciales con regularidad ni implementaron listas de permisos, lo que dejó los sistemas vulnerables al acceso no autorizado.
2. ALPHV (BlackCat): El maestro del engaño
- Estilo de juego: Maniobras estratégicas (Ransomware como servicio, RaaS)
- Mayores victorias: Cambiar atención médica, Prudential (Salud y Finanzas)
- Dramas notables: El escándalo de la estafa de salida de 22 millones de dólares con RansomHub.
ALPHV, también conocido como gato negrorealizó uno de los movimientos más audaces del año en 2024. Después de extorsionar 22 millones de dólares a Cambiar la atención médica a través de credenciales comprometidas, el grupo, en un movimiento muy atrevido, fingió una Derribo del FBI en su sitio de filtración para engañar tanto a las autoridades como a sus afiliados. Pero el verdadero drama comenzó cuando RansomHub, un afiliado, acusó públicamente a ALPHV de aceptar el rescate y dejarlos con las manos vacías, incluso compartiendo un transacción de bitcoins como prueba. Incluso con la traición, el afiliado publicó los datos robados, dejando a Change Healthcare con el rescate pagado y los datos perdidos.
🏀 Detrás de la obra: Las consecuencias entre ALPHV y RansomHub se desarrollaron como una telenovela sobre delitos cibernéticos, con historias contradictorias y acusaciones acaloradas en los foros de la web oscura. A pesar del caos, los ataques de ALPHV a Prudential y otros solidificaron su reputación como uno de los actores de ransomware más formidables del año.
💡Lecciones de seguridad SaaS: Para prevenir, realice un seguimiento de las fugas de credenciales con monitoreo de la red oscura y aplique el inicio de sesión único (SSO) para agilizar la autenticación y reducir los riesgos de las credenciales. Para la detección y respuesta, siga las actividades de autenticación, detecte tempranamente las credenciales comprometidas y aplique políticas de suspensión de cuentas para evitar ataques de fuerza bruta.
3. RansomHub: Novato del año
- Estilo de juego: Ofensa oportunista (Ransomware como servicio, RaaS)
- Mayor victoria: Comunicaciones fronterizas (Telecomunicaciones e infraestructura)
- Dramas notables: Atrapado en las consecuencias de la estafa de 22 millones de dólares de ALPHV.
RansomHub surgió de las cenizas de Knight Ransomware a principios de 2024 como uno de los actores de ransomware más activos. Conocidos por sus tácticas oportunistas, aparecieron en los titulares por su afiliación a ALPHV (BlackCat). Su papel en la violación de Change Healthcare afectó a más de 100 millones de ciudadanos estadounidenses, destacando su capacidad para explotar las vulnerabilidades de SaaS, incluidas configuraciones erróneas, autenticación débil e integraciones de terceros, maximizando su alcance e impacto.
🏀 Detrás de la obra: Después de ser enviado a la banca por ALPHV y perder su parte del rescate de $22 millones por la violación de Change Healthcare, RansomHub aún conservaba los datos robados, una jugada poderosa que los mantuvo en el juego. A pesar de la traición, este actor de amenazas novato llegó a la cancha con determinación renovada, cometiendo violaciones de alto perfil durante todo el año, incluida Frontier Communications. Se muestran firmes en cuanto a permanecer en la liga del ransomware, incluso después de una primera temporada difícil.
💡Lecciones de seguridad SaaS: Manténgase alerta ante intentos de phishing que explotan información personal robada para crear ataques más convincentes. Implemente herramientas de detección de amenazas de identidad para monitorear signos de apropiación de cuentas y anomalías en las actividades de los usuarios, lo que permitirá la identificación y respuesta oportuna a posibles infracciones.
4. LockBit: Jugador Clutch del Año
- Estilo de juego: Ofensa implacable (Ransomware como servicio, RaaS)
- Mayores victorias: Efecto de la cadena de suministro de Evolve Bank & Trust (Fintech)
- Dramas notables: La Operación Cronos del FBI no logró acabar con ellos por completo.
BloquearBit domina el campo del ransomware, anotando implacablemente infracción tras infracción a pesar de los continuos esfuerzos del FBI y la NCA para desmantelar su infraestructura, algo así como Steph Curry, con un buen desempeño constante cuando hay mucho en juego. Las jugadas de alto perfil contra empresas de tecnología financiera, como Evolve Bank & Trust, con la cadena de suministro afectando a más empresas como Affirm y Wise, solidificaron el estatus de LockBit como el jugador ofensivo más consistente en la liga de ataque SaaS.
🏀 Detrás de la obra: Aunque la Operación ‘Cronos’ interrumpió sus servidores y se apoderó de infraestructura crítica, el grupo se recuperó con determinación, burlándose de las autoridades en su sitio de filtración con afirmaciones audaces como: “No pueden detenerme”. En diciembre de 2024, vimos actualizaciones sobre un arresto anterior de un presunto desarrollador de LockBit, lo que destaca la naturaleza continua de la Operación ‘Cronos’, lo que indica que esta operación global está lejos de terminar.
💡Lecciones de seguridad SaaS: Priorice las evaluaciones de riesgos de proveedores externos y mantenga la visibilidad de la conectividad de la aplicación SaaS para detectar vías de explotación tempranamente. Utilice herramientas de monitoreo de actividad con detección de amenazas, UEBA (Análisis de comportamiento de usuarios y entidades) y detección de anomalías para detectar comportamientos sospechosos en tiempo real.
5. Midnight Blizzard (APT29): El operador silencioso
- Estilo de juego: Infiltración defensiva (Amenaza persistente avanzada, APT)
- Mayor victoria: Visor de equipo (Herramienta de acceso remoto)
- Dramas notables: Una brecha como puerta de entrada al espionaje silencioso.
Cuando se trata de espionaje patrocinado por el estado, Ventisca de medianoche—también conocido como APT29— juega como Kawhi Leonard ejecutando una jugada defensiva impecable, interceptando datos silenciosamente y realizando movimientos estratégicos sin llamar la atención. Este grupo, respaldado por recursos estatales rusos, se especializa en piratear sistemas críticos, con Visor de equipo destacándose en 2024. Este grupo no es llamativo: no dejan notas de rescate ni se jactan en foros de la web oscura. En cambio, extraen silenciosamente datos confidenciales, dejando huellas digitales tan débiles que son casi imposibles de rastrear. A diferencia de los grupos de ransomware, los actores patrocinados por el estado como Midnight Blizzard se centran en el ciberespionaje y trabajan discretamente para recopilar inteligencia sin activar ninguna alarma.
🏀 Detrás de la obra: Midnight Blizzard no busca victorias rápidas: se infiltran, esperan y observan. Utilizando tácticas a nivel estatal, permanecen ocultos dentro de las redes durante meses, si no años, extrayendo información valiosa sin generar alarma. Si bien la compañía finalmente contuvo la violación de TeamViewer, la naturaleza del objetivo revela la intención de Midnight Blizzard: centrarse en organizaciones de alto valor con uso extensivo, con el objetivo de explotar estos puntos de apoyo como plataformas de lanzamiento para ataques más amplios contra objetivos posteriores.
💡Lecciones de seguridad SaaS: Esté atento a las infracciones en aplicaciones SaaS críticas, a menudo atacadas por actores estatales. Realice auditorías de configuración periódicas para reducir los riesgos y garantizar controles de acceso seguros, como la autenticación multifactor (MFA). La auditoría proactiva ayuda a minimizar el impacto de las infracciones y limita las vías de explotación.
El sexto hombre: el que hay que vigilar y el talento en la banca
- Hellcat (Los que hay que vigilar): Un grupo de ransomware que irrumpió en escena en finales de 2024logrando un éxito confirmado en Schneider Electric. Su rápido surgimiento y éxito inicial indican potencial para un manual de estrategias más agresivo en 2025.
- Araña dispersa (talento en banca): Este híbrido, que alguna vez fue un actor importante en el cibercrimen, grupo de ingeniería social ahora se sienta en el banquillo tras arrestos y medidas represivas legales. Si bien su actividad se desaceleró, los expertos advierten que es demasiado pronto para descartarlos.
Vale la pena vigilar a ambos grupos: uno por su impulso, el otro por su reputación y su posible historia de regreso.
🔑 Conclusiones clave para 2025:
- Las configuraciones erróneas siguen siendo un objetivo principal: Los actores de amenazas continúan explotando configuraciones erróneas de SaaS que se pasan por alto, obteniendo acceso a sistemas críticos y datos confidenciales. Las auditorías periódicas, la aplicación de la MFA y la rotación de credenciales son defensas esenciales.
- Infraestructura de identidad bajo ataque: Los atacantes aprovechan las credenciales robadas, las manipulaciones de API y la filtración sigilosa para eludir las defensas. La supervisión de credenciales filtradas, una estricta aplicación de MFA, la detección de anomalías y la supervisión de identidad son fundamentales para prevenir infracciones.
- TI en la sombra y cadena de suministro como puntos de entrada: Las aplicaciones SaaS no autorizadas y las integraciones de aplicación a aplicación crean vulnerabilidades ocultas. El monitoreo continuo, la supervisión proactiva y la remediación automatizada son esenciales para reducir la exposición al riesgo.
La base de una solución de seguridad SaaS multicapa comienza con evaluaciones de riesgos continuas y automatizadas y la integración de herramientas de monitoreo continuo en su gestión de seguridad.
Este no es su último baile. Los equipos de seguridad deben mantenerse informados, vigilantes y preparados para un año más de defensa contra los actores de amenazas más prolíficos del mundo.
No espere a la próxima infracción.
Consigue tu SaaS Evaluación de riesgos de seguridad hoy.
About the Author
