Félix Estrada Matamala es coronel de Infantería del Ejército de Tierra (r) con una amplia trayectoria en inteligencia, seguridad y ciberseguridad, tanto en el ámbito militar como en entornos corporativos internacionales. Ha desarrollado funciones de alta responsabilidad en la evaluación de riesgos, la gestión de crisis, la protección de infraestructuras críticas, la seguridad en zonas de conflicto y la dirección de equipos multidisciplinares.
Actualmente trabaja como CEO y Security Manager en Gades Security Consulting, con responsabilidad sobre proyectos en Oriente Medio y África, donde impulsa iniciativas de formación, planificación y gestión de seguridad integral. Anteriormente fue Field Security Advisor en el campo petrolífero de El Sharara, en Libia, y asesor senior en ciberespacio en el Estado Mayor de la Defensa, además de ocupar puestos de relevancia en el Mando Conjunto del Ciberespacio, el CERT de Defensa y la Unidad Militar de Emergencias.
Su perfil combina experiencia operativa, capacidad analítica y visión estratégica, con especialización en inteligencia, ciberamenazas, seguridad de la información, gestión de vulnerabilidades y desarrollo de políticas y procedimientos de seguridad. También ha participado en grupos de trabajo de la OTAN y países aliados, aportando una sólida perspectiva internacional en seguridad e inteligencia.
En el ámbito académico, es profesor de OSINT, inteligencia, ciberseguridad y protección de la información en programas universitarios y de posgrado. Su formación incluye un máster en Evidencia Digital y Ciberdelito, estudios superiores en inteligencia y seguridad, y formación especializada en tecnologías de la información, criptología y gestión de emergencias. Le entrevistamos en Delta13News.
Félix, en un contexto de creciente complejidad digital, ¿cómo ha evolucionado la monitorización de amenazas cibernéticas y qué tipo de riesgos son hoy prioritarios para empresas e instituciones?
Varios factores han influido y afectado a la monitorización de amenazas cibernéticas, como son la creciente adopción de infraestructuras en la nube; la mejora de TTP (tácticas, técnicas y procedimientos) de los atacantes, y la irrupción de IA (inteligencia artificial) en atacantes y en infraestructuras de defensa. Hasta hace poco se contaba con modelos de gestión centralizada de registros de actividad del sistema (los comúnmente conocidos como “logs”) y su contraste contra reglas de compromiso mediante plataformas SIEM (Security Information and Event Management) que generaban un elevado número de falsas alarmas, además de no asegurar los falsos negativos. Estos sistemas dependían de su actualización manual generando una importante carga operativa.
Actualmente, los agentes de IA pueden combinar telemetría de los dispositivos finales, las redes y las plataformas en la nube, de forma que se puedan analizar comportamientos en tiempo real para identificar posibles anomalías que indiquen posibles intrusiones y actividades maliciosas. El concepto de “confianza cero”, independientemente del origen de la petición de acceso a cada servicio, forma parte de los sistemas de ciberdefensa actuales. En la práctica “operar como si el sistema estuviera comprometido” y como si todo usuario fuese un atacante.
La gestión continua de exposición a amenazas para evaluar la superficie de ataque supera la gestión de vulnerabilidades tradicional, de remediar “lo conocido”, escondiendo la cabeza ante aquellas vulnerabilidades “desconocidas”. Implementar remedios a las vulnerabilidades conocidas no es más que una forma de reacción, mientras que la prevención de posibles ataques que utilicen TTP desconocidos, implica un detallado estudio y análisis de amenazas y, por tanto, desarrollar inteligencia, incluyendo las capacidades e intenciones de los actores potencialmente hostiles.
En cuanto a los riesgos de mayor impacto para las organizaciones, destacaría lo siguientes: empezaría por el ransomware, que, además de exigir un rescate por la recuperación de los datos, incluyen la amenaza de filtrarlos y la extorsión a socios y clientes. Luego están el robo de datos de identidad digital, tanto credenciales de acceso como datos de carácter personal; el ataque a la cadena de suministro, esto es, proveedores de servicios de todo tipo, exigiendo el control de socios y terceros en la nube; y las redes operacionales, puesto que en infraestructuras criticas y servicios esenciales, la convergencia entre las redes IT (tecnologías de la informción) y OT, (tecnologias de operación), posibilita los ataques con efectos cinéticos a través del ciberespacio.
También destacaría los ataques de ingeniería social. La IA está permitiendo mejorar la calidad y sofisticación de este tipo de ataques. Las “deepfakes” contribuyen a ello, junto con el robo de cuentas de correos y credenciales. Para iniciar la vulneración de un equipo es necesario que el usuario ejecute una acción. Y no hay que olvidar la democratización de la inteligencia artificial: El uso de herramientas de IA generativa permite a atacantes menos experimentados crear malware que cambia constantemente sus características identificables para evadir la detección de las herramientas de ciberseguridad tradicionales y campañas de “phishing” mediante ingeniería social altamente persuasivas.
No se deben desdeñar otros riesgos procedentes de actores maliciosos como los grupos hacktivistas, cuyo objetivo es generar impacto mediático o promover cambios sociales. Suelen coordinarse entre sí para amplificar el alcance de sus acciones. Sus actividades principales suelen ser la DoS (denegación de servicio), la desfiguración de sitios web, “defacement”, para publicar mensajes, y la filtración de datos personales, “doxing”. Actualmente muchos de estos grupos se han alineado con intereses geopolíticos específicos. Y en último término, están los actores de desinformación, que crean y difunden deliberadamente informaciones falsas o engañosas para causar daño, influir en la opinión pública o desestabilizar instituciones.
¿Qué diferencia existe entre la ciberseguridad tradicional y la ciberinteligencia, y cómo se traduce esa diferencia en la toma de decisiones estratégicas?
La ciberseguridad y la ciberinteligencia representan dos conceptos distintos dentro de la gestión de riesgos digitales. Mientras la primera se enfoca en la protección técnica, la segunda proporciona contexto estratégico sobre los adversarios. Ambos contribuyen a la protección de los activos en el ciberespacio, pero desde un foco distinto. La ciberseguridad tradicional se orienta hacia la defensa de los activos de la organización. Esta disciplina implementa controles técnicos para proteger las redes corporativos y sus activos de información. Su enfoque es principalmente reactivo y pretende mitigar vulnerabilidades conocidas.
Por el contrario, la ciberinteligencia obtiene y analiza información, de todo tipo de fuentes incluyendo las propias redes, sobre amenazas externas específicas. Esta práctica busca entender quién es el atacante y cuáles son sus motivaciones. Utiliza datos sobre TTP para anticipar actividades del adversario. Requiere del estudio y análisis del ciberespacio, espacio artificial compuesto por redes y sistemas de información donde se relacionan usuarios, el entorno operativo propio, amenazas, TTP, tendencias, etcétera.
En la ciberinteligencia podemos distinguir los siguientes niveles. En primer lugar, el Táctico, que es el nivel más técnico. Incluye el estudio y análisis las herramientas para atacar los sistemas, moverse en las redes, adquirir privilegios, exfitrar la información o cifrar los datos, etcétera. Luego está el Operacional: En este nivel se encuadran las TTP utilizadas por los distintos actores hostiles; y en tercer lugar, el Estratégico, donde se tratan las capacidades e intenciones de las potenciales amenazas a las que se puede estar expuesto. Requiere un mayor conocimiento del ciclo de inteligencia y sus técnicas de análisis para entender las alianzas entre distintos actores y sus intereses estratégicos.
En cuanto al impacto en la toma de decisiones estratégicas, incrementar la seguridad reactiva con la inteligencia estratégica permite una gestión más eficiente de los recursos corporativos. La diferencia se traduce en tres áreas fundamentales para la dirección como son la priorización de inversiones, dado que la ciberinteligencia permite a los directivos invertir en defensas contra amenazas reales para su sector específico. Esto evita el gasto innecesario en soluciones genéricas que no cubren los riesgos críticos de la empresa.
Después está la gestión proactiva del riesgo, donde las organizaciones dejan de esperar un incidente para actuar. La inteligencia facilita la adaptación de los controles antes de que un grupo de amenazas realice un ataque y, por último, la comunicación de alto nivel, en cuyo marco los responsables de seguridad de la información disponen de informes de inteligencia para explicar riesgos de negocio a la junta directiva. Esto sustituye los tecnicismos por datos sobre actores y probabilidad de impacto financiero.
¿Qué papel juega la inteligencia estratégica en la anticipación de riesgos, especialmente en un escenario marcado por tensiones geopolíticas y ataques híbridos?
La inteligencia estratégica actúa como un sensor de largo alcance para las organizaciones en los entornos VUCA (volátiles, inciertos, complejos y ambiguos) actuales. Su función principal es conectar los eventos globales con las posibles amenazas digitales directas.
En en el ámbito de la inteligencia estratégica y geopolítica, en el contexto actual, los conflictos territoriales y las sanciones económicas dictan los objetivos de los grupos APT (amenazas persistentes avanzadas). La inteligencia estratégica permite a las instituciones comprender el «porqué» detrás de un ataque. Este conocimiento ayuda a prever qué sectores serán atacados en función de las alianzas internacionales. Las organizaciones ya no analizan el código malicioso de forma aislada. Ahora estudian la política exterior de las naciones para anticipar campañas de espionaje o sabotaje contra infraestructuras críticas.
Aunque pensemos que nuestro sector está exenta de riesgo por no ser un sector estratégico, los ataques a la cadena de suministro son eficaces precisamente por esa simplificación. Es muy extraño que proveedores y clientes de todo tipo no estén conectados con algún sector esencial, estratégico o crítico.
En cuanto a la identificación de ataques híbridos, hay que señalar que los ataques híbridos difuminan la frontera entre las acciones militares, económicas y digitales. La inteligencia estratégica es fundamental para detectar estas maniobras complejas que suelen incluir operaciones de influencia, que supone el uso de desinformación para desestabilizar la confianza en las organizaciones; la interrupción de suministros, por medio de ataques coordinados contra proveedores logísticos; y los ataques de falsa bandera, que constituyen operaciones diseñadas para parecer ejecutadas por otros actores.
La monitorización constante de foros en la “deep web”, en la “dark web” y en canales de propaganda permite identificar los preparativos de estas campañas coordinadas. La actual guerra de Ucrania sirve como ejemplo para este tipo de acciones, que se ejecutan contra todo tipo de intereses, no solo los militares y estatales.
Con relación a la anticipación y robustez institucional, la inteligencia estratégica permite pasar de una postura defensiva a una de fortaleza adaptativa. Esta información es susceptible de ser utilizada para realizar simulacros de crisis basados en escenarios geopolíticos probables. Esta preparación asegura que los planes de continuidad de negocio contemplen no solo fallos técnicos, sino también bloqueos comerciales o crisis reputacionales a gran escala. La toma de decisiones ya no se debe basar en el historial de ataques pasados. Se hace necesario fundamentarlo en el análisis prospectivo de las tensiones globales y su traducción al riesgo operativo.
¿Qué cambios están detectando en el perfil de los actores que lanzan ciberataques —Estados, grupos criminales, hacktivistas— y cómo condiciona eso las estrategias de defensa?
El perfil actual de los atacantes muestra una profesionalización extrema y una convergencia de objetivos entre diferentes categorías de actores. Esta evolución obliga a las organizaciones a abandonar las defensas estáticas por modelos de fortaleza adaptativa.
Así, en cuanto a la eEvolución de los perfiles de los atacantes, la distinción tradicional entre grupos criminales y actores estatales se ha vuelto difusa. Actualmente, los perfiles se caracterizan por las siguientes tendencias. En primer lugar, actores estado, que son los gobiernos que emplean a grupos de cibercrimen como “proxies” para ejecutar operaciones de espionaje o sabotaje. Esta estrategia facilita la negación plausible y complica la atribución de las agresiones. Luego, los actores no-estado, grupo que comprende una amalgama diversa que abarca desde organizaciones criminales transnacionales hasta organizaciones terroristas. A diferencia de los actores estatales, estos grupos operan con una estructura a menudo descentralizada, lo que dificulta tanto su atribución como su neutralización jurídica. Los grupos terroristas, en particular, utilizan el entorno digital para la captación, la financiación y el desarrollo de capacidades disruptivas contra infraestructuras críticas.
En este escenario, se produce una profesionalización del cibercrimen: Las organizaciones criminales operan ahora con estructuras corporativas. Incluyen departamentos de soporte técnico, marketing y desarrollo de software especializado para maximizar el retorno de inversión. Y luego está el hacktivismo alineado. Los hacktivistas han abandonado las acciones aisladas para integrarse en estrategias de guerra híbrida. Sus ataques suelen estar coordinados con campañas de desinformación para desestabilizar instituciones en contextos de tensión geopolítica.
Hablando de condicionantes para las estrategias de defensa, el cambio en los atacantes ha transformado los marcos de protección institucional. Las estrategias actuales priorizan los siguientes pilares: en primer lugar la consolidación de la arquitectura de confianza cero: La identidad del usuario ha sustituido al perímetro de red como foco de seguridad. Se asume que el atacante ya está presente en el sistema. En segundo lugar, la defensa automatizada e inteligencia artificial: Las organizaciones emplean IA defensiva para identificar anomalías en milisegundos. Esta tecnología es esencial para contrarrestar los ataques autónomos que planifican y ejecutan fases del ciclo de intrusión sin intervención humana. En tercer lugar, la gestión del riesgo de terceros: La protección se extiende a toda la cadena de suministro. Las vulnerabilidades en proveedores pequeños son ahora el vector preferido para comprometer a grandes corporaciones e infraestructuras críticas. Y en cuatro lugar, la ciberresiliencia y continuidad operativa, donde el objetivo estratégico ya no es evitar el ataque, sino garantizar que la organización siga funcionando durante y después de un incidente grave, aun en condiciones degradadas.
Este escenario exige una colaboración estrecha entre el sector privado y las agencias gubernamentales para compartir inteligencia sobre amenazas en tiempo real.
En materia de formación, ¿cuáles son las principales carencias que detectan en empresas y administraciones a la hora de prepararse frente a amenazas cibernéticas?
Las corporaciones enfrentan brechas críticas en la capacitación para mitigar riesgos digitales. Estas carencias afectan tanto a la operatividad técnica como a la gobernanza institucional. En cuanto a brechas en la alta dirección y cumplimiento normativo, la principal carencia se identifica en los órganos de administración y directivos de alto nivel. Históricamente, la ciberseguridad se percibía como una tarea exclusivamente técnica. Esta visión ignora la responsabilidad legal y operativa de la gerencia.
La directiva europea NIS2 (Network and Information Systems Directive 2) exige formación obligatoria para los directivos. De este modo, los miembros de los órganos de administración están obligados a seguir una formación específica. Deben adquirir los conocimientos necesarios para evaluar riesgos cibernéticos y comprender su impacto en la organización. Así mismo, la alta dirección debe fomentar una cultura de ciberseguridad, asegurando que la estrategia de protección esté integrada en los objetivos globales de negocio.
Muchas organizaciones aún no han implementado programas que vinculen el riesgo digital con la continuidad del negocio. Existe una falta de comprensión sobre cómo un incidente afecta a la reputación y a la estabilidad financiera, porque los directivos deben aprobar las medidas de gestión de riesgos de ciberseguridad y supervisar su implementación. Ya no es posible delegar la responsabilidad íntegra al personal técnico.
España ha completado la transposición de la directiva mediante el Real Decreto-ley 7/2023, el cual modifica y amplía el marco establecido por la Ley 43/2021 de seguridad de las redes y sistemas de información. Si me pregunta por las limitaciones en la simulación de escenarios reales, le diré que la formación suele basarse en contenidos teóricos y estáticos. Las administraciones públicas presentan dificultades para realizar simulaciones realistas de ataques híbridos o de “ransomware”. La formación puntual no es suficiente para generar una cultura de seguridad flexible ante contingencias. Las entidades precisan entrenamientos prácticos basados en la metodología de “supuesta brecha”. Este enfoque prepara al personal para actuar cuando las defensas ya han sido superadas. La ausencia de protocolos claros de respuesta ante crisis operativas ralentiza la recuperación de servicios esenciales.
No olvidemos el factor humano ante la ingeniería social avanzada. El personal administrativo sigue siendo el vector de entrada principal para los ataques. Los programas actuales no cubren adecuadamente el uso de la inteligencia artificial por parte de los criminales. Los empleados suelen estar desprotegidos frente a técnicas de suplantación de identidad mediante «deepfakes». Las carencias detectadas incluyen la falta de formación en higiene digital diaria y gestión de credenciales; la incapacidad para identificar correos electrónicos generados por modelos de lenguaje avanzados, y el desconocimiento sobre los riesgos asociados al uso de herramientas de IA no supervisadas en el entorno laboral.
En este marco del que hablamos, lo cierto es que hay escasez de talento especializado y gestión de terceros. Existe un déficit global de profesionales con competencias en inteligencia artificial defensiva. Las empresas tienen problemas para contratar expertos capaces de monitorizar ecosistemas de proveedores complejos -subcontratistas, proveedores de software, servicios en la nube-. Las organizaciones identifican la falta de especialistas como su mayor vulnerabilidad estructural. Esta carencia impide realizar auditorías de seguridad efectivas sobre terceros. Las administraciones públicas con recursos limitados sufren una madurez desigual que compromete la cadena de suministro nacional. La inversión financiera no siempre se traduce en el desarrollo de capacidades humanas internas.
Más allá de la tecnología, ¿hasta qué punto la cultura organizativa y la concienciación de los empleados son determinantes para prevenir incidentes de ciberseguridad?
La cultura organizativa y la concienciación constituyen el factor determinante más crítico en la prevención de brechas de seguridad. La tecnología por sí sola resulta insuficiente para mitigar riesgos derivados del comportamiento humano. En este punto, surge la idea de el personal como vector de riesgo y defensa. El análisis de incidentes globales indica que más del 80% de las intrusiones exitosas involucran un componente humano. De este 80%, otro 80% no es mal intencionado. Los atacantes explotan la psicología del usuario mediante técnicas de ingeniería social, como el «phishing», técnica de engaño que consiste en el envío de comunicaciones fraudulentas donde el atacante suplanta la identidad de una entidad de confianza para manipular a la víctima, o el «pretexting», forma de ingeniería social más elaborada donde el atacante crea un escenario falso, un pretexto, para engañar a la víctima-. La eficacia de las herramientas técnicas depende de la interacción correcta del empleado con los sistemas. Un usuario concienciado actúa como un sensor capaz de identificar anomalías que los algoritmos automáticos pueden ignorar.
Por eso es tan importante la cultura de seguridad como pilar estratégico. La cultura organizativa define las normas no escritas sobre el manejo de la información. Una organización con una cultura de seguridad robusta fomenta la responsabilidad compartida en todos los niveles jerárquicos. Los elementos fundamentales de esta cultura incluyen compromiso de la dirección, de modo que el liderazgo debe modelar conductas seguras y asignar recursos suficientes a la capacitación; también comunicación abierta que garantice que los empleados se sientan seguros al reportar errores o posibles incidentes sin temor a represalias, y la responsabilidad individual, donde cada integrante entiende que la protección de los datos forma parte de sus funciones habituales.
Y pasamos de la concienciación al cambio conductual. La formación tradicional a menudo falla al centrarse únicamente en la transmisión de conocimientos teóricos. Las instituciones exitosas se mueven hacia modelos de cambio conductual, donde la seguridad se convierte en un hábito, una forma de desempañar sus cometidos. La concienciación efectiva requiere entrenamientos dinámicos y repetitivos. El uso de simulacros de ataque ayuda a los empleados a desarrollar una respuesta instintiva frente a las amenazas. La cultura de «confianza cero» debe integrarse en la mentalidad operativa para reducir la superficie de ataque interna.
La mejora de la concienciación requiere trascender los entrenamientos estáticos mediante la integración de factores contextuales y programas continuos. Más allá de las sesiones formativas, es fundamental implementar campañas de refuerzo positivo, así como el uso de simulacros no anunciados de ingeniería social que permitan evaluar la capacidad de respuesta real del personal. Asimismo, resulta clave integrar la seguridad en el diseño de los procesos operativos mediante el uso de recordatorios sutiles en las herramientas de trabajo cotidianas y “píldoras” con consejos de seguridad, cartelería, etc. consolidando así una arquitectura de decisión que facilite la adopción de hábitos seguros sin fricción innecesaria.
La sensibilización de los directivos es un requisito crítico para la supervivencia institucional. La importancia de este concepto radica en tres pilares fundamentales que vinculan la seguridad digital con la estrategia corporativa: la seguridad como responsabilidad de gobierno; el cumplimiento normativo y responsabilidad legal, y la asignación de recursos y la cultura organizacional.
No obstante, la gestión de riesgos contemporánea exige la superación de los compartimentos estancos entre la seguridad física, la lógica y los procesos de inteligencia -tanto clásica como digital-. Al adoptar un enfoque integral, las organizaciones unifican la protección de sus activos tangibles e intangibles bajo una estrategia coherente, permitiendo que la información estratégica sobre las intenciones del adversario informe directamente a las medidas de defensa técnica y física. Esta visión integral garantiza una resiliencia superior, donde la anticipación de amenazas híbridas se traduce en una capacidad de respuesta coordinada, minimizando así las vulnerabilidades transversales frente a un panorama de riesgos en constante evolución.
La convergencia de la seguridad física tradicional y la ciberseguridad bajo un enfoque holístico es imperativa para la protección de las organizaciones modernas. Gestionar ambos dominios de manera fragmentada genera puntos ciegos críticos, dado que cualquier intrusión física puede facilitar una brecha digital y viceversa. Esta visión unificada garantiza una protección total, permitiendo que la respuesta ante incidentes contemple la integridad del entorno físico, la continuidad operativa y la confidencialidad de la información de forma simultánea. Del mismo modo, la integración de la ciberinteligencia en la inteligencia clásica permite realizar un análisis completo del panorama de amenazas. Mientras la inteligencia tradicional aporta contexto sobre las intenciones de actores hostiles y la estabilidad del entorno, la ciberinteligencia identifica las capacidades técnicas, las tácticas de ataque y las vulnerabilidades explotables en el plano digital. Esta sinergia estratégica trasciende la simple monitorización de alertas técnicas, habilitando una toma de decisiones informada que anticipa los riesgos híbridos y permite proteger a la organización frente a amenazas multidimensionales antes de que estas impacten en los objetivos estratégicos.
