De ocho horas a 22 segundos: la nueva velocidad de respuesta que exige M-Trends 2026
M-Trends 2026 muestra un ecosistema criminal más coordinado, ataques sobre identidad y SaaS, y una ventana de respuesta que ya no admite procesos manuales fragmentados.
Lectura estratégica
- Autor
- Equipo AlianzaCIM
- Publicación
- 23 de mar de 2026
- Tiempo
- 8 min
Durante años, muchas organizaciones diseñaron su respuesta a incidentes alrededor de una idea razonable: detectar una señal, abrir un caso, reunir contexto y escalarlo al equipo adecuado. Ese modelo todavía sirve, pero M-Trends 2026 muestra por qué ya no es suficiente cuando cada paso depende de una intervención manual.
El dato que mejor resume el cambio no es el volumen de amenazas ni una nueva familia de malware. Es el tiempo. Según Mandiant, la mediana entre el acceso inicial y la entrega de ese acceso a un segundo grupo criminal pasó de más de ocho horas en 2022 a solo 22 segundos en 2025. El actor que entra ya puede dejar preparado el túnel, las herramientas o el malware que otro actor necesita para comenzar una operación de mayor impacto.
No significa que cada incidente avance en 22 segundos ni que todas las empresas estén bajo el mismo nivel de riesgo. Es una observación derivada de las investigaciones de Mandiant. Pero sí ofrece una señal empresarial inequívoca: la ventana entre una alerta aparentemente menor y una intrusión activa puede ser mucho más corta que el proceso interno usado para clasificarla.
Qué observó Mandiant en las investigaciones de 2025
M-Trends 2026 se apoya en más de 500.000 horas de investigaciones de incidentes realizadas por Mandiant. La muestra no representa todo el universo de ataques, pero permite estudiar con profundidad los casos en los que el proveedor participó.
Entre sus hallazgos, la mediana global de permanencia del atacante aumentó de 11 a 14 días. En los incidentes relacionados con espionaje y con trabajadores de TI vinculados a Corea del Norte, la mediana reportada fue de 122 días. Al mismo tiempo, las organizaciones detectaron internamente actividad maliciosa en 52% de las investigaciones, frente a 43% un año antes.
Esa combinación merece atención. Hay más capacidad de detección interna, pero los actores sofisticados todavía pueden permanecer durante semanas o meses. Detectar más no equivale automáticamente a contener mejor si las alertas no tienen contexto, prioridad y una ruta clara de respuesta.
Los exploits continuaron como el vector inicial más frecuente por sexto año consecutivo y representaron 32% de las intrusiones analizadas. El vishing, o phishing por voz, llegó a 11% y se convirtió en el segundo vector más observado, mientras el phishing por correo quedó en 6%. La ingeniería social no desapareció: se trasladó a canales más interactivos, donde el atacante puede presionar a una mesa de ayuda, simular una urgencia y sortear controles de autenticación.
Por qué el salto de ocho horas a 22 segundos cambia la operación
El cibercrimen funciona cada vez más como una cadena especializada. Un grupo obtiene acceso; otro compra o recibe ese acceso; un tercero roba datos, cifra sistemas o destruye la recuperación. Cuando estos actores coordinan herramientas y procedimientos antes de la entrega, desaparece el tiempo que antes permitía investigar con calma una detección inicial.
Para una empresa, esto convierte tres demoras habituales en riesgos concretos.
La primera es la clasificación por turnos. Si una alerta espera varias horas hasta que alguien revise la bandeja, el atacante puede haber cambiado de fase antes de que empiece la investigación.
La segunda es el contexto fragmentado. Endpoint, identidad, correo, nube, SaaS y red suelen producir señales separadas. Un evento que parece rutinario en un equipo puede ser crítico cuando coincide con un reinicio de autenticación, un token OAuth nuevo y una descarga masiva.
La tercera es la aprobación secuencial. Contener una cuenta, aislar un equipo o revocar un token puede requerir validaciones de varias áreas. Esa gobernanza es necesaria, pero debe diseñarse antes del incidente, con umbrales y autorizaciones predefinidas.
Automatizar no significa entregar todas las decisiones a una herramienta. Significa permitir que controles deterministas ejecuten acciones seguras y reversibles —enriquecer una alerta, bloquear un indicador confirmado, exigir autenticación adicional o aislar temporalmente una sesión— mientras el equipo humano conserva las decisiones de mayor impacto.
La identidad y SaaS ya son parte del perímetro crítico
M-Trends 2026 destaca el crecimiento del vishing y el robo de tokens OAuth o cookies de sesión. Esto importa porque una empresa puede tener autenticación multifactor y aun así perder una sesión válida si su proceso de recuperación de cuentas, su mesa de ayuda o sus integraciones SaaS no están protegidos.
La respuesta no es añadir una verificación genérica a todo. Es fortalecer los momentos de mayor riesgo: alta de usuarios, recuperación de cuenta, cambio de método MFA, creación de aplicaciones, consentimiento OAuth, acceso administrativo y exportación masiva de información.
También conviene revisar integraciones antiguas. Una aplicación de terceros con permisos amplios puede convertirse en una ruta de acceso a correo, archivos o directorios. La empresa debe saber quién aprobó cada integración, qué permisos conserva y cuándo fue utilizada por última vez.
Los dispositivos de borde y los planos de control necesitan visibilidad
Otro hallazgo relevante es el uso de VPN, routers, plataformas de virtualización y otros dispositivos de borde para lograr persistencia. Estos activos no siempre admiten agentes tradicionales de detección y pueden conservar poca evidencia local. Si sus registros no se envían a un repositorio central, una investigación puede comenzar sin la información necesaria para reconstruir el acceso inicial.
El problema también alcanza la recuperación. Si el mismo directorio, identidad administrativa o plano de control gobierna producción y copias de seguridad, un atacante puede comprometer ambos. Separar dominios administrativos, usar almacenamiento inmutable y probar restauraciones reduce la posibilidad de que un solo incidente elimine la capacidad de volver a operar.
Cinco decisiones concretas para reducir la brecha de respuesta
1. Priorizar por contexto de negocio
Relaciona alertas con activos, propietarios y procesos críticos. Una detección en el equipo de un administrador, una cuenta financiera o un servidor de identidad requiere un tratamiento diferente al de un activo aislado.
2. Definir contenciones preautorizadas
Documenta qué puede ejecutarse automáticamente y qué requiere aprobación. Revocar una sesión anómala o aislar temporalmente un endpoint puede ser reversible; apagar un sistema de producción exige otra gobernanza.
3. Proteger la mesa de ayuda
Establece verificación resistente a suplantación para restablecimientos y cambios de MFA. Una llamada convincente no debe ser evidencia suficiente de identidad.
4. Ampliar la retención de telemetría crítica
Evalúa si 30 o 90 días permiten investigar incidentes cuya permanencia puede superar ese periodo. Prioriza registros de identidad, SaaS, VPN, virtualización, red, administración y copias de seguridad.
5. Ensayar la respuesta completa
Un ejercicio debe incluir a TI, seguridad, dirección, comunicaciones, legal y proveedores. La pregunta no es solo si el equipo detecta un ataque, sino si puede decidir, contener, comunicar y recuperar bajo presión.
Un plan de 30 días para empezar
Durante la primera semana, identifica los diez activos y cuentas cuya caída o compromiso detendría la operación. En la segunda, revisa qué telemetría existe, cuánto tiempo se conserva y quién recibe las alertas. En la tercera, define tres acciones de contención preautorizadas y prueba que sean reversibles. En la cuarta, realiza un ejercicio de mesa que empiece con una señal pequeña y evolucione hacia compromiso de identidad, SaaS y recuperación.
La lección central de M-Trends 2026 no es que las personas hayan dejado de ser necesarias. Es que el trabajo humano debe concentrarse en decisiones, validación y coordinación, mientras los sistemas se encargan de recopilar contexto y ejecutar respuestas previamente diseñadas.
Cuando el adversario puede pasar de una fase a otra en segundos, la empresa no puede empezar a decidir quién hace qué después de recibir la alerta. Esa conversación debe ocurrir antes.
Fuentes consultadas
Temas
