La Pirámide del Dolor de David Bianco ha moldeado la filosofía de detección durante más de una década. Su lógica central sigue siendo válida: cuanto más arriba en la pirámide detectes, más difícil será para el atacante evadirte. Aunque lo que ha cambiado es, la realidad operativa que hay debajo.
La inteligencia artificial (IA) ha colapsado el valor práctico de las capas inferiores tan rápido que las organizaciones que siguen invirtiendo en ellas se quedan atrás cada semana.
En este artículo analizamos cómo la IA ha alterado el panorama de la detección, con datos concretos extraídos del pipeline de threat hunting de Push Security (15 millones de eventos de navegador al día en aproximadamente un millón de despliegues) y qué significa esto para analistas, respondedores de incidentes y responsables de seguridad.
Un repaso rápido a la Pirámide del Dolor
La Pirámide del Dolor clasifica los indicadores de compromiso (IoC) según el esfuerzo que le supone al atacante cambiarlos. En la base están los hashes de archivos y las direcciones IP: triviales de modificar.
Subiendo, encontramos dominios, artefactos de red (como User-Agents), herramientas y en la cúspide, las técnicas, tácticas y procedimientos (TTPs). Detectar en la cima es lo más difícil para el atacante, porque cambiar de técnica implica rediseñar por completo el ataque.
Antiguamente, la estrategia recomendada era invertir en detección en las capas superiores, pero en la práctica muchas organizaciones seguían dependiendo de listas de dominios maliciosos, firmas de kits de phishing o reputación de IPs. La IA ha hecho que esas capas inferiores sean prácticamente inútiles.
¿Cómo la IA ha dinamitado las capas inferiores?
1. Infraestructura efímera: dominios que viven menos de dos días
Los datos de Push Security son contundentes: aproximadamente el 89% de los dominios de phishing están activos menos de dos días. Antes, un dominio malicioso podía permanecer operativo semanas, dando tiempo a los equipos de seguridad para bloquearlo y distribuirlo.
Ahora, los atacantes automatizan la generación y rotación de dominios con IA, dejando obsoletas las listas negras casi de inmediato.
2. Generación dinámica de páginas de phishing
Los atacantes ya no dependen de kits estáticos que dejan firmas reconocibles. Utilizan IA para generar estructuras de páginas de phishing y patrones de JavaScript completamente nuevos bajo demanda.
Esto significa que las detecciones basadas en similitud de código o en patrones conocidos de kits (como los de Evilginx o Modlishka) pierden efectividad, porque cada página es única.
3. Abuso de plataformas legítimas
Los actores maliciosos han trasladado su infraestructura a servicios confiables como ChatGPT, Google Sites y GitHub Pages. Al utilizar estos dominios legítimos, la reputación de dominio ya no es un indicador fiable: bloquear github.io o sites.google.com no es una opción viable porque afectaría a miles de sitios legítimos.
La IA facilita la creación rápida de contenido en estas plataformas, convirtiéndolas en un vector ideal para el phishing y la distribución de malware.
La compresión del ciclo innovación-commodity
Otro fenómeno clave es la aceleración brutal con la que las técnicas pasan de ser sofisticadas a estar disponibles para el cibercrimen de masas. Antes, este proceso llevaba años; ahora se mide en semanas o meses.
- ClickFix: una técnica que manipula el portapapeles del usuario (por ejemplo, para inyectar comandos maliciosos). Fue adoptada por cuatro grupos APT (estatales) en un solo trimestre. En el pasado, una técnica nueva podía tardar un año en ser adoptada por un solo grupo.
- ConsentFix: una evolución de ClickFix relacionada con el abuso de consentimientos OAuth. Pasó de ser atribuida a APT29 (grupo asociado a Rusia) a estar integrada en kits de herramientas criminales en solo seis semanas.
Esta velocidad impide que las defensas basadas en la capa de herramientas o en artefactos específicos puedan mantenerse al día. Cuando un equipo de seguridad detecta y documenta una nueva variante, ya hay decenas de clones operando.
¿Por qué las técnicas siguen siendo el objetivo de detección más persistente?
La Pirámide del Dolor ya anticipaba esto: las técnicas cambian más lentamente porque son el ataque en sí. Un kit de phishing de autorización de dispositivos (device code phishing) puede rotar su infraestructura diariamente, pero siempre termina golpeando el endpoint de OAuth Device Authorization Grant.
ClickFix siempre manipula el portapapeles. La recolección de credenciales siempre requiere un inicio de sesión del usuario. Estas mecánicas son invariables y, por tanto, el único objetivo de detección que persiste.
La IA no cambia la lógica del ataque; solo acelera la generación de ruido en las capas bajas. Por eso, las organizaciones deben reorientar sus esfuerzos hacia la detección de comportamientos y técnicas, no de artefactos efímeros.
Implicaciones para equipos de seguridad
Ante este escenario, los analistas y respondedores de incidentes necesitan adoptar nuevas estrategias:
- Priorizar detecciones basadas en técnicas (TTPs): invertir en telemetría de proceso, eventos de autenticación y análisis de comportamiento, en lugar de depender de feeds de dominios o firmas de archivos.
- Implementar detección de anomalías en flujos OAuth y de autorización: monitorizar solicitudes inusuales a endpoints como
/devicecodeo patrones de consentimiento sospechosos. - Educar a los usuarios sobre técnicas como ClickFix: la manipulación del portapapeles es difícil de detectar automáticamente; la concienciación es clave.
- Adoptar un enfoque de “assume breach”: asumir que los atacantes ya están dentro y centrarse en detectar movimientos laterales y exfiltración, que dependen de técnicas estables.
- Automatizar la correlación de eventos: con la cantidad de datos generados, la IA defensiva (SIEM, XDR, SOAR) es imprescindible para identificar patrones de ataque a nivel de técnica.
Conclusión: el juego ha cambiado, pero las reglas no
La Pirámide del Dolor de Bianco no ha muerto; simplemente ha quedado desnuda. Las capas inferiores, que antes ofrecían una falsa sensación de seguridad, ahora son irrelevantes.
La única defensa sostenible es detectar cómo atacan, no con qué. La IA ha roto la parte baja de la pirámide, pero la cima sigue intacta: las técnicas son el dolor real para el atacante.
Para profundizar en estos desafíos y conocer qué se necesita para nivelar el campo de juego, únete al webinar de Mark Orlando, Field CTO de Push Security, donde se analizarán casos reales y estrategias prácticas para la era de la IA.
Fuente: Análisis basado en datos de Push Security (15M eventos/día, ~1M despliegues) y en el modelo de la Pirámide del Dolor de David Bianco.
