La mayoría de las brechas comienzan en un dispositivo común: un portátil que abrió un correo de phishing, una cuenta con una contraseña reutilizada o un dispositivo desconocido que se conectó al Wi‑Fi de la oficina. Lo que convierte ese primer punto de apoyo en un incidente grave es a qué puede acceder el atacante después. Ese siguiente paso se llama movimiento lateral.
Para muchas organizaciones, un atacante puede llegar muy lejos. Informe de exposición al movimiento lateral 2026 de Zero Networks, basado en la actividad de 312 entornos empresariales, reveló que el 80 % de los servidores empresariales son accesibles desde cualquier lugar dentro de la red. Los protocolos de acceso remoto que los equipos de TI usan cada día, como RDP y SSH, funcionan igual de bien para un atacante que tenga credenciales robadas.
Esta guía explica qué es un ataque de movimiento lateral, cómo los atacantes pasan de un sistema a otro, las técnicas en las que más se apoyan y cómo se han desarrollado los ataques reales. También explica cómo detectar el movimiento lateral y los controles que limitan hasta dónde puede llegar un atacante una vez que ya está dentro.
¿Qué es un ataque de movimiento lateral?
Un ataque de movimiento lateral es el conjunto de técnicas que usa un atacante después de obtener acceso inicial para pasar del primer dispositivo comprometido a otros sistemas, cuentas y partes de la red. Los atacantes suelen apoyarse en credenciales robadas y herramientas administrativas legítimas mientras avanzan hacia objetivos de alto valor, como controladores de dominio, servidores de archivos y datos confidenciales.
MITRE ATT&CK, la base de conocimiento ampliamente utilizada sobre el comportamiento de los atacantes, cataloga el movimiento lateral como la táctica TA0008 y agrupa nueve técnicas dentro de ella. La mayoría de ellas aprovechan protocolos que ya se ejecutan en la red, incluidos RDP, SMB, SSH y WinRM. Como los equipos de TI usan los mismos protocolos todos los días, el movimiento lateral a menudo parece una actividad administrativa rutinaria.
El movimiento lateral a menudo se confunde con la escalada de privilegios, y los atacantes suelen combinar ambos. El movimiento lateral significa llegar a nuevos sistemas. La escalada de privilegios significa obtener permisos más altos en un sistema que el atacante ya controla. Un ataque típico alterna entre ambos: el atacante eleva privilegios en un host para recopilar credenciales más sólidas y luego usa esas credenciales para llegar al siguiente.
Por qué los atacantes dependen del movimiento lateral
Rara vez el primer dispositivo que compromete un atacante es el que realmente quiere. El movimiento lateral les abre un camino desde ese punto de partida hacia todo lo demás:
Acceder a sistemas de alto valor. Un portátil de marketing que ha sido víctima de phishing importa por aquello a lo que puede conectarse, como controladores de dominio, servidores de archivos, aplicaciones financieras y sistemas de copia de seguridad.
Recopilando credenciales más seguras. Cada nuevo host puede contener contraseñas, hashes o tickets en caché de otros usuarios, incluidos administradores y cuentas de servicio.
Establecer persistencia. Tener puntos de apoyo en varias máquinas permite a un atacante permanecer en el entorno incluso después de que TI limpie el primer dispositivo infectado.
Preparando un botín mayor. Los operadores de ransomware se propagan a tantos sistemas como sea posible antes de cifrar nada, mientras que las campañas de robo de datos recopilan información discretamente durante semanas o meses.
Pasar desapercibido. La actividad repartida entre protocolos de administración normales y cuentas válidas genera menos alertas que un malware que se delata a sí mismo.
Hasta dónde puede moverse un atacante después del primer compromiso determina en gran medida la gravedad que alcanza el incidente.
Cómo funciona un ataque de movimiento lateral
El movimiento lateral sigue un ciclo reconocible. Cada vez que el atacante llega a un nuevo sistema, repite las etapas intermedias hasta llegar a donde quiere ir.
Fase 1: acceso inicial
El ataque comienza con un punto de apoyo. Los puntos de entrada habituales incluyen un correo electrónico de phishing, una contraseña robada o reutilizada, un servicio de acceso remoto expuesto o un dispositivo no autorizado conectado a la red.
En este punto, el atacante suele controlar un sistema de poco valor con permisos limitados.
Etapa 2: reconocimiento interno
A continuación, el atacante mapea el entorno desde dentro. Buscan otros hosts, recursos compartidos de archivos, cuentas de usuario y de administrador, y puertos abiertos a los que puedan acceder desde el dispositivo comprometido.
Los atacantes suelen hacer esto con herramientas ya integradas en el sistema operativo, lo que deja menos archivos o procesos nuevos para que las herramientas de seguridad los señalen.
Etapa 3: acceso a credenciales
Para avanzar más, el atacante necesita credenciales. Las recopilan de la memoria del sistema comprometido, extraen contraseñas guardadas o almacenadas en caché, o capturan las credenciales que los usuarios escriben.
Las contraseñas compartidas y reutilizadas facilitan mucho esta etapa, porque un secreto robado puede abrir el acceso a muchos sistemas.
Etapa 4: pasar al siguiente sistema
Con las credenciales en la mano, el atacante se autentica en otro host, a menudo a través de un protocolo de administración estándar. Cuando las credenciales no bastan, pueden explotar en su lugar un servicio sin parchear en el objetivo.
Desde el punto de vista de la red, este paso puede parecer un inicio de sesión normal.
Etapa 5: Alcanzar el objetivo
Una vez que el atacante llega a un sistema valioso, actúa según su objetivo. Eso puede significar copiar datos confidenciales, desplegar ransomware en muchos hosts a la vez o mantener el acceso discretamente para más adelante.
Los atacantes suelen borrar registros o eliminar herramientas por el camino para dificultar la investigación.
Las fases 2 a 4 se repiten en cada nuevo host, por lo que una sola cuenta comprometida puede convertirse en acceso a todo un entorno.
Técnicas comunes de movimiento lateral
MITRE ATT&CK rastrea los métodos específicos que usan los atacantes para moverse entre sistemas. Unos pocos aparecen en la mayoría de las intrusiones del mundo real, y cada uno está limitado por un conjunto distinto de controles.
Servicios remotos (T1021)
Con servicios remotos, el atacante inicia sesión en otro host con credenciales robadas a través de un protocolo de administración normal como RDP, SMB y recursos compartidos de administración de Windows, SSH o WinRM. Herramientas como PsExec y PowerShell remoting hacen que esto sea rápido, y el tráfico parece trabajo cotidiano de TI.
La oportunidad es grande. Zero Networks descubrió que el 87% de los servidores empresariales aceptan conexiones RDP o SSH entrantes desde fuentes internas amplias, y que el 78% es accesible a través de SMB o WinRM.
Pass the hash y pass the ticket (T1550)
Estas técnicas permiten a los atacantes autenticarse con material de autenticación robado en lugar de una contraseña. Pass the hash reutiliza un hash de contraseña NTLM, y pass the ticket reutiliza un ticket de Kerberos. Herramientas como Mimikatz extraen este material directamente de la memoria de una máquina comprometida.
La autenticación heredada hace que estos ataques sigan siendo viables. Zero Networks informa de que el 43,2 % de la autenticación interna sigue ejecutándose en NTLM.
Explotación de servicios remotos (T1210)
Cuando no se dispone de credenciales válidas, un atacante puede explotar una vulnerabilidad en un servicio que se ejecuta en otro host interno. Los sistemas internos suelen recibir parches más lentamente que los expuestos a internet, lo que deja vulnerabilidades conocidas abiertas durante más tiempo.
Secuestro de sesión de servicio remoto (T1563)
En el secuestro de sesión, el atacante toma el control de una sesión SSH o RDP existente que un usuario legítimo ya había abierto. Como la sesión ya está autenticada, el atacante hereda el acceso de ese usuario sin necesitar sus credenciales.
Transferencia lateral de herramientas (T1570)
Una vez que el atacante puede acceder a un nuevo host, copia las herramientas que necesita, como malware, scripts o utilidades de administración. Esto suele ocurrir a través de SMB, el mismo canal que se usa para compartir archivos.
Spearphishing interno (T1534)
Un atacante que controla un buzón legítimo puede hacer phishing a compañeros desde dentro de la organización. Los mensajes de la cuenta de un compañero real resultan mucho más convincentes que un correo externo, lo que convierte esto en una forma eficaz de recopilar más credenciales.
La tabla siguiente resume cómo funciona cada técnica y qué controles la limitan.
Técnica (ID de MITRE) | Cómo lo usan los atacantes | Qué lo limita |
Servicios remotos (T1021) | Inicia sesión en otros hosts con credenciales robadas a través de RDP, SMB, SSH o WinRM | Segmentación de red, acceso a la red con privilegio mínimo, MFA en el acceso de administración, protocolos administrativos limitados a hosts de administración |
Pass the hash y pass the ticket (T1550) | Reutiliza hashes NTLM o tickets Kerberos robados sin necesidad de la contraseña | Protección de credenciales en memoria, reducción del uso de NTLM, limitación de dónde inician sesión las cuentas con privilegios, detección en endpoints |
Explotación de servicios remotos (T1210) | Explotar un servicio sin parchear en otro host | Aplicación de parches, además de segmentación para que los servicios vulnerables no sean accesibles desde los dispositivos de los usuarios |
Secuestro de sesión de servicio remoto (T1563) | Toma el control de una sesión SSH o RDP existente | Tiempos de espera de sesión, gestión de claves SSH, monitorización de sesiones privilegiadas |
Transferencia lateral de herramientas (T1570) | Copiar malware o herramientas al siguiente host, normalmente a través de SMB | Detección en endpoints, bloqueo de SMB de estación de trabajo a estación de trabajo |
Spearphishing interno (T1534) | Suplantar a compañeros de trabajo desde un buzón interno comprometido | Seguridad del correo electrónico, concienciación de los usuarios, MFA resistente al phishing |
Hay otra vía que merece atención porque se salta por completo el paso de phishing. Si una red acepta cualquier dispositivo que conozca una contraseña compartida de Wi‑Fi, o cualquier dispositivo conectado a un puerto cableado abierto, un atacante con esa contraseña o acceso físico empieza en la red interna sin ninguna cuenta comprometida. Controlar qué dispositivos pueden unirse a la red y dónde quedan ubicados cierra esa vía.
Ejemplos de ataques de movimiento lateral
Las técnicas anteriores aparecen una y otra vez en incidentes bien documentados. Estos tres ejemplos muestran cómo el movimiento lateral convirtió un único punto de entrada en una brecha mucho mayor.
NotPetya (2017)
NotPetya se propagó dentro de las redes robando credenciales de la memoria con una versión modificada de Mimikatz, y luego usando PsExec y WMI para ejecutarse en otras máquinas, como se describe en la alerta de CISA sobre el malware y en el análisis de Mandiant. También utilizó el exploit SMB EternalBlue contra hosts sin parchear.
Como el método basado en credenciales dependía de inicios de sesión válidos, NotPetya también podía infectar máquinas que estaban totalmente actualizadas frente a EternalBlue. Las credenciales de administrador compartidas y reutilizadas le permitieron propagarse rápidamente por las redes conectadas.
Compromiso de la cadena de suministro de SolarWinds (2020)
En la campaña de SolarWinds, los atacantes entraron a través de una actualización troyanizada del software SolarWinds Orion, según la alerta AA20-352A de CISA. Una vez dentro, CISA informó de que se movieron lateralmente usando WMI y tareas programadas remotas.
Los atacantes también escalaron privilegios en Active Directory y falsificaron tokens de autenticación, lo que les permitió pasar de redes locales a entornos en la nube como Microsoft 365.
ransomware Akira (de 2023 hasta la actualidad)
El aviso AA24-109A de CISA describe cómo los afiliados de Akira obtienen acceso inicial a través de VPNs sin MFA y luego recopilan credenciales con herramientas como Mimikatz y LaZagne. Antes de moverse lateralmente, suelen desactivar el software de seguridad para evitar la detección.
El aviso también señala que los actores de Akira usan herramientas legítimas de acceso remoto para mantener la persistencia y pasar desapercibidos, un patrón habitual entre los grupos modernos de ransomware.
En cada caso, el daño aumentó en función de hasta dónde podían moverse los atacantes y de cuántas credenciales podían reutilizar.
Cómo detectar el movimiento lateral
El movimiento lateral es difícil de detectar porque usa cuentas válidas y herramientas de administración normales, pero aun así deja patrones que destacan frente a la actividad cotidiana. Algunas señales comunes incluyen:
Una cuenta autenticándose en muchos hosts en un corto periodo de tiempo. Los usuarios habituales normalmente inician sesión en un conjunto pequeño y predecible de sistemas.
Tráfico del protocolo de administración entre estaciones de trabajo. Las conexiones RDP, SMB o WinRM entre dos portátiles de empleados rara vez tienen un motivo legítimo.
Herramientas de administración ejecutándose desde máquinas inesperadas. PsExec, PowerShell remoting o comandos WMI remotos iniciados desde un endpoint no administrativo merecen una revisión más detallada.
Inicios de sesión que rompen el patrón habitual del usuario. Presta atención a horarios inusuales, dispositivos desconocidos o acceso a sistemas fuera del rol del usuario.
Picos de autenticación fallida. Los fallos repetidos en servidores, Wi‑Fi o VPN pueden indicar intentos de adivinar contraseñas o de probar credenciales.
Dispositivos nuevos o desconocidos en la red. Un dispositivo que nadie reconoce en un segmento sensible merece ser investigado de inmediato.
Estas señales provienen de varias fuentes, así que la visibilidad depende de reunirlas. Las herramientas de detección y respuesta en endpoints (EDR) muestran la actividad de procesos y credenciales en cada host. Los registros de autenticación de Windows muestran quién inició sesión y dónde. La monitorización de red muestra qué sistemas se comunican entre sí. Los registros de autenticación de red, como los registros de RADIUS, muestran qué usuarios y dispositivos se conectaron a redes Wi‑Fi, VPN o cableadas, y cuándo.
Cómo prevenir el movimiento lateral
Ningún control por sí solo detiene todas las técnicas de movimiento lateral. El enfoque más eficaz combina dos objetivos: limitar a qué puede acceder un atacante desde un solo dispositivo y limitar las credenciales que puede robar y reutilizar.
1. Segmenta la red por función y nivel de confianza
La segmentación divide la red en zonas para que los usuarios, los invitados, los dispositivos IoT y los servidores estén en segmentos separados con rutas controladas entre ellos. Un dispositivo comprometido en un segmento de invitados o de BYOD (tráete tu dispositivo) no debería tener ninguna vía de acceso a los sistemas financieros ni a los controladores de dominio.
La segmentación funciona mejor cuando la ubicación está vinculada a la identidad en lugar de mantenerse manualmente. Nuestra guía sobre la segmentación de red explica cómo planificarla y aplicarla.
2. Autentica cada dispositivo antes de que se una a la red
Usa 802.1X en redes Wi‑Fi y cableadas para que cada usuario o dispositivo demuestre quién es antes de obtener acceso. Las credenciales por usuario o por dispositivo sustituyen una contraseña compartida que cualquiera con proximidad física o con una contraseña filtrada podría usar.
Esto cierra la vía por la que un atacante simplemente conecta un dispositivo a la red y empieza a moverse desde ahí.
3. Sustituye las contraseñas reutilizables por certificados siempre que sea posible
La autenticación de red basada en certificados, como EAP-TLS, vincula el acceso a un certificado instalado en un dispositivo gestionado. No hay ninguna contraseña de red que un atacante pueda obtener mediante phishing, adivinar o recopilar y reutilizar en otro sistema.
4. Aplica el principio de mínimo privilegio a las cuentas
Da a los administradores cuentas independientes para el trabajo administrativo y limita dónde pueden iniciar sesión las cuentas con privilegios. Añade MFA al acceso de administrador para que una contraseña robada por sí sola no pueda abrir sistemas de alto valor.
Que haya menos credenciales con privilegios almacenadas en caché en las estaciones de trabajo cotidianas significa que un atacante tendrá menos que recopilar en la fase de acceso a credenciales.
5. Restringe los protocolos administrativos
Permite RDP, SMB, WinRM y SSH solo desde los hosts que los necesiten, como las estaciones de trabajo de administración designadas. Bloquea el tráfico entre estaciones de trabajo en estos protocolos, lo que elimina muchas de las rutas utilizadas para servicios remotos y la transferencia lateral de herramientas.
6. Aplica parches a los servicios internos de forma constante
Los sistemas internos merecen la misma atención en cuanto a parches que los expuestos a internet. Combinada con la segmentación, la aplicación oportuna de parches mantiene los servicios vulnerables fuera de alcance y limita la explotación de servicios remotos.
7. Supervisa la autenticación y responde rápido
Centraliza los registros de endpoints, servidores y autenticación de red para que los patrones sospechosos sean visibles en un solo lugar. Combina esa visibilidad con EDR y un plan de respuesta probado, para que una cuenta o dispositivo comprometido pueda aislarse antes de que el atacante avance más.
Cómo Foxpass limita el movimiento lateral en el perímetro de la red
Foxpass, de Splashtop, proporciona servicios de RADIUS, PKI y LDAP alojados en la nube que controlan quién y qué puede conectarse a tu red. Ayuda a los equipos de TI a aplicar comprobaciones de identidad en cada conexión Wi‑Fi, VPN y por cable, lo que limita hasta dónde puede llegar un atacante desde un dispositivo comprometido.
1. Acceso a la red y segmentación basados en identidades
Foxpass Cloud RADIUS autentica a cada usuario o dispositivo antes de que se una a la red y luego lo asigna a una VLAN según la pertenencia a grupos de directorio en Google Workspace, Okta, Microsoft Entra ID, OneLogin o LDAP. Un dispositivo de invitado o BYOD (tráete tu dispositivo) va a un segmento restringido, mientras que los dispositivos de finanzas e ingeniería van a los suyos.
Si uno de esos dispositivos se ve comprometido, el atacante empieza en un segmento con rutas limitadas hacia el resto de la red. Más información sobre la segmentación dinámica basada en identidades con Foxpass.
2. Autenticación sin contraseñas basada en certificados
Foxpass Cloud PKI emite certificados a los dispositivos mediante integraciones MDM y SCEP, para que los dispositivos gestionados puedan conectarse con EAP-TLS. Con la autenticación basada en certificados, no hay ninguna contraseña compartida de Wi-Fi que se pueda robar y reutilizar.
Para los equipos que no están preparados para pasar todos los dispositivos a certificados, Foxpass también es compatible con EAP-TTLS con credenciales de usuario individuales, lo que sigue sustituyendo una única contraseña compartida por acceso por usuario.
3. Acceso que sigue tu directorio
Como el acceso a la red está vinculado a la pertenencia a grupos del directorio, los cambios en tu proveedor de identidad se trasladan a la red. Cuando alguien deja la organización o cambia de función, su acceso a la red y su ubicación dentro de los segmentos cambian con esa persona, lo que cierra el paso a credenciales obsoletas que los atacantes suelen tener en el punto de mira.
Foxpass también registra los intentos de acceso por VLAN y política. Esos registros muestran qué usuarios y dispositivos se conectaron, cuándo y a qué segmento, lo que respalda el trabajo de detección descrito anteriormente.
Foxpass controla quién entra en la red y dónde termina. No inspecciona el tráfico entre dispositivos que ya están en el mismo segmento, así que funciona mejor junto con EDR, controles de cuentas de mínimo privilegio y las demás prácticas mencionadas arriba.
Reduce tu radio de impacto antes de que un atacante lo encuentre
El movimiento lateral convierte un solo dispositivo comprometido en un incidente que afecta a toda la organización, y el alcance del atacante determina hasta dónde llega ese incidente. Limitar qué dispositivos pueden unirse a la red, dónde acaba cada uno y qué credenciales se pueden reutilizar deja a los atacantes muchos menos lugares a los que ir.
Foxpass ayuda a los equipos de TI a aplicar comprobaciones de identidad y certificados en cada conexión de red sin ejecutar servidores RADIUS o PKI internamente. Comenzar una prueba gratuita para ver cómo Foxpass encaja en tu red.
