¿Qué pueden ver realmente los atacantes sobre tu empresa?
Tu superficie de ataque externa es todo lo referente a tu empresa a lo que se puede acceder desde internet: cada dominio, servidor, página de inicio de sesión, registro de correo y contraseña filtrada que un atacante puede encontrar sin necesidad de pisar tu oficina ni tocar tus portátiles. Es el mapa que un atacante traza antes de hacer cualquier otra cosa, y aquí está la parte incómoda: normalmente lo trazan mejor que la propia empresa, porque ellos están motivados y la empresa está ocupada.
Nos dedicamos a trazar ese mapa desde el lado del atacante. Esto es lo que suele contener, en un lenguaje sencillo, para un fundador o CTO que nunca ha contratado pruebas de seguridad.
Subdominios que olvidaste que existían
Tu sitio principal es www.yourcompany.com. Pero a lo largo de los años la empresa también creó staging.yourcompany.com, old-demo.yourcompany.com, un micrositio para una campaña de 2022 y un panel de control que configuró algún contratista. Todos ellos son localizables de forma pública. Los registros de transparencia de certificados, un historial público de cada certificado TLS emitido, permiten que cualquiera liste los subdominios para los que has solicitado certificados mediante herramientas gratuitas como crt.sh. No requiere ningún hackeo, es una simple consulta.
Por qué importa: los subdominios olvidados ejecutan software olvidado. Un servidor de staging con el framework sin parchear del año pasado, o una instancia de demostración con una contraseña por defecto, son vías de entrada reales. Lo que es peor, si un subdominio aún apunta a un servicio en la nube que dejaste de pagar, a veces un atacante puede reclamar ese servicio y servir su propio contenido desde tu dominio. La industria llama a esto subdomain takeover, y le ocurre a empresas de todos los tamaños.
Servicios que nunca deberían haber sido públicos
Existen motores de búsqueda para dispositivos conectados a internet. Shodan, el más conocido, indexa continuamente lo que está escuchando en la red pública: bases de datos, paneles de administración, escritorio remoto, cámaras web e impresoras. Si tu equipo expuso alguna vez una base de datos "solo por una semana" para depurar algo, o un servidor de compilación, o un panel interno, cualquiera con una casilla de búsqueda lo puede encontrar.
Los casos más habituales que vemos: puertos de bases de datos abiertos al mundo, escritorio remoto o SSH en máquinas que nadie recuerda, interfaces de administración de routers y firewalls, y herramientas de CI/CD o monitorización con credenciales débiles o por defecto. Ninguna de estas decisiones se tomó de forma deliberada. Son sobras, y de las sobras es de lo que se alimentan los atacantes.
Tus contraseñas, procedentes de filtraciones de terceros
Cuando un servicio de terceros sufre una brecha de seguridad, las direcciones de correo y las contraseñas que contiene terminan en volcados públicos y semipúblicos. Los atacantes las recopilan y las prueban en otros sitios, apostando a que la gente reutiliza las contraseñas. Y la apuesta sale rentable.
Puedes ver parte de tu propia exposición en este preciso momento: Have I Been Pwned, un servicio público gratuito, te permite comprobar qué filtraciones contienen direcciones de tu dominio. Si un empleado utilizó su correo del trabajo y una contraseña reutilizada para registrarse en una herramienta que luego sufrió una brecha, esa combinación podría abrir tus sistemas reales hoy mismo. Esto no es nada exótico. La reutilización de credenciales de antiguas filtraciones es una de las formas más habituales en las que comienzan las intrusiones reales, y no requiere ninguna habilidad técnica.
Configuraciones de correo y DNS que permiten suplantarte
El correo electrónico cuenta con tres registros de protección, SPF, DKIM y DMARC, que indican al mundo qué servidores pueden enviar correo en nombre de tu dominio y qué hacer con el correo que no supere la prueba. Son registros DNS públicos, por lo que un atacante los comprueba en cuestión de segundos. Si falta DMARC o está configurado para no hacer nada, correos que falsifican a la perfección tu dominio pueden acabar en la bandeja de entrada.
El ataque que esto permite es de una sencillez deprimente: un correo electrónico que parece proceder de tu CEO o de tu dirección de facturación, enviado a tu cliente o a tu responsable de finanzas, pidiendo cambiar los datos de pago. Ningún sistema ha sido hackeado. Simplemente han tomado prestada tu identidad porque nunca se configuró un registro DNS.
Qué significa esto en la práctica
Fíjate en lo que tienen en común las cuatro categorías. Ninguna requiere romper nada. Son observaciones, realizadas a partir de datos públicos, sobre elementos que tu empresa puso en internet y dejó de vigilar. Por eso, "¿qué pueden ver los atacantes sobre nosotros?" es una primera pregunta de seguridad mucho mejor que "¿pueden hackearnos?". La segunda es especulativa. La primera tiene una respuesta concreta y verificable.
Si quieres empezar por tu cuenta, puedes hacer lo siguiente: listar tus subdominios mediante transparencia de certificados, buscar tus dominios en Shodan, comprobar tu dominio en Have I Been Pwned y leer tus propios registros SPF y DMARC. Aprenderás algo en el proceso, y cada uno de esos pasos es gratuito.
Dónde entramos nosotros
La parte difícil no es realizar las consultas. Es saber cuál de los doscientos resultados importa, cuál es la verdadera vía de entrada y cuáles son solo ruido. Eso requiere criterio, y el criterio es lo que compras cuando contratas a personas que se ganan la vida atacando sistemas.
Nuestra revisión por $100 es exactamente este ejercicio hecho como es debido: un análisis centrado en tu superficie externa, sobre un alcance que hayas verificado que te pertenece y autorizado por escrito, revisado por un operador senior, entregado en un informe clasificado y una sesión explicativa de 30 minutos en la que una persona responderá a tus preguntas. No resolverá tu seguridad por completo. Pondrá fin a las suposiciones sobre lo que ve un atacante, y ese es el punto de partida correcto.
Superficie de ataque externa: respuestas rápidas
¿Qué es una superficie de ataque externa?
Todo lo referente a tu empresa a lo que se puede acceder desde internet: cada dominio, servidor, página de inicio de sesión, registro de correo y contraseña filtrada que un atacante puede encontrar sin necesidad de pisar tu oficina ni tocar tus portátiles. Es el primer mapa que traza un atacante.
¿Cómo encuentran los atacantes los subdominios que he olvidado?
Principalmente a través de los registros de transparencia de certificados, un historial público de cada certificado TLS emitido. Herramientas gratuitas como crt.sh permiten a cualquiera listar los subdominios para los que has solicitado certificados. Es una consulta, no un hackeo.
¿Puedo comprobar mi propia superficie de ataque externa de forma gratuita?
En parte, sí. Puedes listar subdominios mediante transparencia de certificados, buscar tus dominios en Shodan, comprobar tu dominio en Have I Been Pwned y leer tus propios registros SPF y DMARC. La parte difícil no es realizar las consultas, sino saber cuáles de los resultados importan realmente.
¿Qué es un subdomain takeover?
Cuando un subdominio aún apunta a un servicio en la nube que dejaste de pagar, a veces un atacante puede reclamar ese servicio y servir su propio contenido desde tu dominio. Es la consecuencia directa de un registro DNS olvidado y le ocurre a empresas de todos los tamaños.
Lecturas relacionadas
- ¿Hasta qué punto están expuestos a la suplantación de correo los 1.000 dominios principales? Nuestra propia medición de quién aplica DMARC en la práctica.
- ¿Cuánto cuesta una prueba de penetración?
- ¿Revisión, escaneo o pentest completo?
Observa tu superficie de ataque, como es debido.
Nuestra revisión por $100 acaba con las suposiciones sobre lo que ve un atacante desde el exterior, con un operador senior a tu disposición en la sesión explicativa. Es el punto de partida correcto.
Reserva una revisión por $100