El Google Cloud Threat Horizons Report H1 2026 documenta un giro sin precedente, la explotación de software de terceros pasó del 2,9% al 44,5% de los incidentes en un solo año, desplazando por primera vez a las credenciales débiles como principal vector de acceso inicial. La ventana entre divulgación pública y explotación masiva colapsó de semanas a días. Los actores desplegaron miners de criptomonedas en menos de 48 horas desde la publicación de un CVE.

El panorama de amenazas en la nube no cambió de forma gradual. Cambió de golpe.

Los Exploits Toman la Delantera

Durante años la recomendación era la misma, aplica MFA, elimina contraseñas débiles, audita tus configuraciones. El reporte de este semestre invalida esa jerarquía. La explotación de software gestionado por el usuario, que en H1 2025 apenas representaba el 2,9% de los vectores de acceso inicial, saltó al 44,5% de los incidentes en H1 2026. Supera ya a las credenciales débiles (27,2%) y a los errores de configuración (21%).

El Remote Code Execution (RCE) creció casi cinco veces, del 2,9% al 13,6%. No son números de tendencia gradual. Es un giro de categoría.

La explicación está en el tiempo. El reporte documenta que la ventana entre la divulgación pública de una vulnerabilidad y la explotación masiva "colapsó por un orden de magnitud, de semanas a días." El patching manual, como disciplina de defensa central, ya no corre a esa velocidad. Los equipos que siguen dependiendo de ciclos de parcheo mensuales o bisemanales están operando con un calendario que el adversario dejó de respetar.

Identidad Comprometida: el Núcleo del 83%

Que los exploits lideren el acceso inicial no significa que la identidad dejó de importar. Al contrario. En entornos cloud y SaaS, el 83% de los incidentes tuvo como núcleo el compromiso de identidad. Lo que cambió fue cómo los actores llegan a esa identidad.

El phishing por email cayó al 12%. El vishing (ingeniería social por voz) subió al 17%, superando al email como vector de identidad. UNC3944 y UNC6040 operaron de forma sistemática llamando directamente a help desks corporativos, engañando a agentes de soporte para resetear credenciales y MFA, o para autorizar herramientas legítimas como Salesforce Data Loader, desde donde exfiltraron datos masivos hacia buckets S3 bajo su control.

Los compromisos a través de terceros y cadena de suministro representan el 24% de los accesos por identidad, 21% a través de relaciones de confianza con terceros, 3% vía software supply chain. El 21% restante provino de credenciales robadas usadas directamente. Ninguna de esas rutas requirió un zero-day.

UNC6426: De un Paquete NPM a Administrador de AWS en 72 Horas

El caso más documentado del reporte es técnicamente sofisticado en cada etapa. UNC6426 inyectó el malware QUIETVAULT en el framework NPM Nx. Cuando un desarrollador actualizó el paquete, el malware usó un prompt de búsqueda asistido por LLM para cazar credenciales en el endpoint y robó un Personal Access Token (PAT) de GitHub.

Con ese token, desplegaron NORDSTREAM para extraer secretos de CI/CD y abusaron de la relación de confianza OIDC entre GitHub y AWS para crear un nuevo rol con permisos de administrador vía CloudFormation. Menos de 72 horas después del robo del token inicial, destruyeron instancias EC2, bases de datos RDS y exfiltraron datos de S3.

Este ataque ilustra el patrón Living-Off-The-Cloud (LOTC) en su forma más elaborada, no usaron herramientas que generaran alertas obvias, usaron las propias herramientas de automatización del equipo de desarrollo. La OIDC trust entre el repositorio y el proveedor cloud, configurada con scopes excesivos, fue la puerta. Para entender cómo estos vectores evolucionaron desde compromisos más simples, el análisis de ataques a la cadena de suministro y el caso XZ ofrece contexto directo sobre los patrones que los preceden.

Corea del Norte Aprendió Kubernetes

UNC4899 apunta a organizaciones de criptomonedas con una cadena de compromiso que combina ingeniería social, malware multiplataforma y conocimiento operativo profundo de infraestructura cloud.

El ataque documentado comenzó con un desarrollador que descargó una aplicación Python troyanizada desde un proyecto open source falso. La transfirió de su dispositivo personal al laptop corporativo vía AirDrop. El malware desplegó un backdoor disfrazado de herramienta CLI de Kubernetes. Desde ahí, UNC4899 modificó configuraciones de deployment para instalar backdoors en cada pod nuevo como mecanismo de persistencia nativa, explotó el modo de contenedor privilegiado para escapar al nodo host, extrajo credenciales y robó varios millones de dólares en criptomonedas.

UNC5267, otro cluster norcoreano, operó en el extremo opuesto del espectro, se infiltró en organizaciones como empleados IT, usando identidades robadas y documentación falsificada para generar ingresos directamente desde el interior. El reporte registra que el 3% de los incidentes de fraude financiero corresponde a este patrón de "insider" manufacturado.

UNC1549 (Iran-linked) mantuvo acceso a un entorno víctima durante más de dos años usando credenciales VPN robadas y el backdoor MINIBIKE, exfiltrando casi un terabyte de datos propietarios sin ser detectado. UNC5221 (China-sponsored) desplegó el backdoor BRICKSTORM en servidores VMware vCenter para robar código fuente y permaneció sin ser detectado al menos 18 meses.

Los Grupos de Ransomware Aprendieron a Borrar las Huellas

Akira, Qilin y Storm-0501 convergieron en una táctica que el reporte describe como "la guerra contra la evidencia forense." No solo cifran o exfiltran datos. Eliminan activamente logs, volcados de memoria, snapshots y backups antes de ejecutar el payload final.

Qilin apuntó específicamente a la infraestructura Veeam para robar credenciales y destruir capacidades de disaster recovery. Storm-0501 comprometió entornos híbridos y borró datos de Azure junto con la exfiltración. Akira desinstalaba EDR y terminaba procesos antivirus antes de la fase de cifrado.

El objetivo es doble: ocultar la actividad durante la investigación post-incidente y maximizar la presión sobre las víctimas para pagar, dado que la recuperación sin ransom se vuelve técnicamente inviable cuando los backups han sido destruidos. Esta aceleración del comportamiento destructivo ya fue señalada en el M-Trends 2026 de Mandiant; el Threat Horizons H1 2026 confirma que se volvió norma operativa.

El Insider Amenaza Ya No Usa USB

El reporte dedica una sección completa a un cambio que muchos equipos de seguridad todavía no tienen en su modelo de amenazas, los empleados maliciosos dejaron de llevarse datos en pendrives o reenviarlos por email. Ahora usan los mismos servicios cloud que la organización ya autorizó.

En un estudio de 1.002 casos de amenaza interna documentados, la exfiltración de datos ocurrió en el 91% de ellos, 909 casos. El canal preferido ya no es el correo corporativo ni el almacenamiento físico. Los servicios cloud agnósticos a la plataforma, Google Drive, Dropbox, OneDrive y similares, se convirtieron en el vector dominante porque generan muy poco ruido en los sistemas de monitoreo diseñados para detectar actividad de atacantes externos.

En el 35% de los casos, los insiders combinaron varios canales simultáneamente, email personal más almacenamiento cloud, o dispositivos móviles personales más servicios de sincronización. El reporte anticipa que estas plataformas cloud van a eclipsar al email como canal principal de exfiltración interna. El perímetro técnico que muchas organizaciones construyeron asumiendo que el dato sale por email o USB ya no refleja cómo sale el dato en 2026.

La Defensa Tiene que Ser Automática o No Será

Frente a actores que pasan de un token robado a administrador de AWS en menos de tres días, o que despliegan miners en 48 horas desde un CVE público, la triage manual es obsoleta. El reporte no hace recomendaciones graduales. Define una transición hacia arquitecturas automatizadas y seguras por defecto.

Las prioridades que establece para defensores:

• MFA resistente a phishing: migrar a llaves hardware físicas (Titan Security Keys) o passkeys FIDO2. El MFA basado en OTP ya no neutraliza vishing ni ataques de fatiga de MFA en organizaciones con help desks de alto volumen.
• Eliminación de credenciales estáticas: reemplazar por credenciales efímeras, acceso Just-in-Time (JIT) y arquitecturas secretless usando Workload Identity Federation. Cada PAT clásico de GitHub con scope amplio es una superficie de ataque para el patrón UNC6426.
• Pipelines de respuesta automatizados: configurar snapshots de disco y captura de memoria volátil como respuesta automática ante detecciones, antes de que los actores inicien su fase de destrucción de evidencia. El concepto de "four-eyes approval" para operaciones administrativas sensibles (eliminar snapshots, vaciar logs, terminar instancias) aparece como control explícito contra el sabotaje forense.
• Gobierno estricto de OAuth y OIDC trust: auditar y restringir los scopes de integraciones de terceros; revisar toda relación OIDC entre repositorios CI/CD y proveedores cloud; monitorear volumen anómalo de llamadas API y egreso masivo de datos como señales tempranas.

La exfiltración silenciosa, sin extorsión inmediata, constituyó el 45% de los incidentes cloud documentados. El 28% combinó robo de datos con extorsión directa. El fraude financiero, principalmente Business Email Compromise (BEC), representó el 15% de los objetivos.

El ransomware tradicional con cifrado de sistemas, históricamente el titular de la industria, apenas alcanza el 3% de los incidentes. Los actores están priorizando la persistencia y el robo prolongado de datos por encima del impacto operacional visible. El 73% de los incidentes tiene como objetivo robar datos, pero casi la mitad no generará ninguna alerta de extorsión que avise al equipo de seguridad de que algo está pasando.

Las organizaciones que quieran entender la velocidad real del problema pueden leer el análisis de cómo los ataques acelerados por IA desafían la defensa humana: el colapso del patching window documentado en este reporte es consecuencia directa de los ciclos de automatización ofensiva que ese análisis describe.

Si mañana un actor comprometiera un paquete NPM que tu pipeline consume en producción, ¿cuánto tardarías en detectarlo, y cuánto tiempo le quedaría a tu entorno cloud antes de que el daño fuera irreversible?