El documento que la ley te obliga a tener puede ser tu mayor pasivo
Tres reclamos de ransomware en tres días y en tres continentes. En uno de ellos, entre lo exfiltrado están los planes de continuidad y de ciberseguridad de la propia víctima: el manual que describe cómo pensaba defenderse.
- Entre el 16 y el 18 de julio de 2026 se registraron tres reclamos independientes de grupos de ransomware contra organizaciones en tres continentes: DragonForce contra un casino en Egipto (~1,25 TB), Everest contra Emirates Flight Catering (~24 GB en 13.823 archivos) e INC Ransom contra una manufacturera japonesa.
- Lo que distingue al caso de EKFC no es el volumen: es que entre lo reclamado están los planes de continuidad de negocio y de ciberseguridad de la propia organización.
- Esa documentación detalla procedimientos de escalamiento, contactos de crisis, ubicación de respaldos, proveedores de respuesta y hasta configuraciones de arquitectura. Filtrarla no expone datos: entrega una hoja de ruta de cómo la organización va a reaccionar.
Qué pasó
Tres reclamos independientes en setenta y dos horas, de tres grupos distintos y sin relación entre sí:
- 16 de julio — DragonForce publicó el reclamo contra el Sinai Grand Casino en Egipto, afirmando la exfiltración de ~1,25 TB de información, sin especificar el tipo de datos.
- 17 de julio — Everest reclamó un ataque contra Emirates Flight Catering, proveedor de servicios de catering aéreo en Emiratos Árabes, con ~24 GB distribuidos en ~13.823 archivos.
- 18 de julio — INC Ransom reclamó el cifrado de sistemas de Kyokuto Kaihatsu Kogyo, manufacturera japonesa, sin detallar volumen de datos robados.
Ninguno de los tres incidentes ha sido confirmado oficialmente por las víctimas, por lo que se mantienen en estado de verificación pendiente.
El detalle que cambia el análisis está en el listado publicado por Everest. Entre los documentos exfiltrados de EKFC se incluyen archivos corporativos, financieros, de recursos humanos, operacionales y de tecnología, pero especialmente relevantes son los planes de continuidad de negocio y los planes de ciberseguridad de la propia organización.
Ese mismo caso lo analizamos desde otro ángulo en la pieza sobre proveedores: allí lo que importaba era a quién atacaron. Acá importa qué se llevaron.
Por qué importa acá
El impacto de esta filtración va más allá de la exposición de datos personales o financieros. Cuando se compromete la documentación de respuesta a incidentes, la organización afectada pierde su ventaja de anticipación: los protocolos que debían activarse en secreto ya son conocidos por el adversario.
Eso se traduce en tiempos de respuesta más largos, renegociación forzada de contratos de ciberseguro, y en escenarios más graves, en ataques de seguimiento diseñados específicamente para eludir las contramedidas descritas en los propios planes filtrados.
Y acá está lo que hace que esto importe particularmente en Chile. La Ley 21.663 establece que los Operadores de Importancia Vital deben contar con planes de continuidad operativa y ciberseguridad, además de reportarlos y actualizarlos ante la ANCI.
Es decir: el documento que la ley te obliga a crear puede convertirse en tu mayor pasivo si no se protege con el mismo rigor que los sistemas productivos. Cumplir la norma genera un activo de altísimo valor para un atacante, y casi ninguna organización lo trata como tal.
Las empresas chilenas clasificadas como OIV —telecomunicaciones, energía, banca, salud, entre otras— deberían revisar no solo si tienen estos planes, sino dónde y cómo están almacenados, quién puede acceder a ellos, y si existen controles de cifrado y segmentación equivalentes a los exigidos para datos personales bajo la Ley 21.719.
Tres grupos distintos, tres continentes, tres sectores sin nada en común: casino, catering aéreo y manufactura. Lo que los ordena no es el blanco, es el modelo de negocio.
Los tres operan bajo el esquema de ransomware como servicio, donde afiliados independientes ejecutan la intrusión y los operadores del malware reciben un porcentaje del rescate. Ese modelo explica la velocidad y el volumen de ataques simultáneos en sectores tan dispares: no hay una estrategia sectorial detrás, hay muchos afiliados operando en paralelo con la misma infraestructura.
Pero el hallazgo que importa está en el contenido de lo robado, no en el patrón de los actores. Evaluamos con confianza media —el indicio es el listado publicado, no una declaración del grupo— que la documentación de continuidad y respuesta está pasando de ser daño colateral a ser objetivo buscado.
El razonamiento es económico. Para un grupo que opera con doble extorsión, saber cómo va a reaccionar la víctima tiene valor operativo directo: permite anticipar si va a pagar, cuánto tarda en restaurar, a qué proveedor de respuesta va a llamar, y dónde están los respaldos que harían innecesario el pago. Un plan de continuidad filtrado le dice al atacante cuál es tu verdadero punto de quiebre.
Y hay una ironía estructural que conviene nombrar. En la mayoría de las organizaciones esa documentación vive en una carpeta compartida del dominio corporativo, sin cifrado propio, accesible a todo el equipo de TI, y respaldada en el mismo dominio que el ransomware va a cifrar. Se protege peor que la base de datos de clientes, y describe cómo se defiende la base de datos de clientes.
planes de continuidad y ciberseguridad entre lo exfiltrado — Es el detalle que distingue este reclamo de uno de ransomware genericotres reclamos en setenta y dos horas — Consecuencia del modelo de afiliados, no de una campana coordinadaSi la documentación de crisis se consolida como objetivo, cambia una premisa del diseño de planes de respuesta: hay que escribirlos asumiendo que el adversario podría leerlos.
Eso no significa dejar de tenerlos —la ley los exige y son necesarios— sino cambiar cómo se estructuran. Los contactos de crisis, la ubicación exacta de los respaldos y los detalles de arquitectura no tienen por qué vivir en el mismo archivo que el procedimiento general. Separar el *qué hacemos* del *dónde está todo* reduce mucho el valor de una filtración sin reducir la utilidad del plan.
Para sectores que dependen de terceros y cadenas de suministro extensas, el efecto reputacional y contractual de esta exposición puede terminar siendo tan costoso como el rescate mismo.
Anatomía del ataque
Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.
T1566— Vector documentado historicamente en los tres grupos. No confirmado en estos casos.T1078— Credenciales validas expuestas en brechas previas, compradas en mercados clandestinos.T1021— Movimiento lateral mediante protocolos remotos como RDP hacia servidores de archivos.T1213— El repositorio documental corporativo, que rara vez esta bajo vigilancia especifica.T1567— Exfiltracion hacia infraestructura controlada por el atacante antes del cifrado.
Estructurado sobre las seis funciones del NIST CSF 2.0, según el ciclo de respuesta a incidentes de NIST SP 800-61r3 (abril 2025, reemplaza al r2). Proteger y Detectar vienen abiertas.
GV GobernarQuien decide, que se reporta y a quien
Si eres OIV, la Ley 21.663 ya te obliga a tener planes de continuidad y ciberseguridad, y a reportarlos y actualizarlos ante la ANCI. La pregunta que la norma no responde es quién protege ese documento.
Conviene tomar una decisión explícita y dejarla escrita: la documentación de crisis se clasifica al mismo nivel que los datos personales sensibles, y su custodia tiene un responsable nombrado. Sin eso, el plan termina en una carpeta compartida porque nadie decidió lo contrario.
- Clasificar la documentación de continuidad y respuesta al nivel de dato sensible.
- Nombrar un responsable de su custodia, distinto de quien la redacta.
- Revisar si el reporte a la ANCI incluye copias que también deban protegerse.
ID IdentificarSi esto me toca, por donde me toca
Tres preguntas concretas. ¿Dónde vive hoy tu plan de continuidad? Si la respuesta es una carpeta compartida del dominio corporativo, ya tienes el hallazgo.
¿Quién puede leerlo? Suele ser «todo el equipo de TI», que es bastante más gente de la que necesita leerlo.
Y la tercera, que casi nadie se hace: ¿existe una copia alcanzable si el dominio completo está cifrado? Un plan de continuidad guardado solo en la red que el ransomware cifró no es un plan.
- Localizar todas las copias de la documentación de continuidad y respuesta.
- Listar quién tiene acceso de lectura efectivo, no quién debería tenerlo.
- Verificar que existe una copia offline o inmutable, y probar que se puede abrir.
PR ProtegerComo evito que ocurra
La lista de verificación completa está en la sección de detección, pero hay tres puntos que concentran el beneficio: separar y cifrar la documentación fuera del dominio corporativo principal, mantener una copia offline o inmutable, y restringir el acceso por privilegio mínimo con segundo factor obligatorio.
Y uno menos obvio, que sale directo de este caso: no distribuir el documento maestro completo en los simulacros. Cada participante recibe solo su parte. Eso reduce la superficie de filtración interna sin restarle valor al ejercicio.
Controles priorizados
P1: esta semana · P2: este mes · P3: este trimestre
| Prio | Control | Esfuerzo | Mapeo |
|---|---|---|---|
| P1 | Segmentar y cifrar en reposo toda la documentación de continuidad, respuesta a incidentes y ciberseguridad, separándola del dominio corporativo principal y con clave distinta de la del resto de los documentos. | medio | CIS Controls v8 3.11 ISO 27001 A.8.24 |
| P1 | Mantener una copia offline o en almacenamiento inmutable, para garantizar disponibilidad ante un cifrado masivo. Un plan de continuidad guardado solo en la red cifrada no sirve de nada. | bajo | MITRE ATT&CK M1053 CIS Controls v8 11.2 ISO 27001 A.8.13 |
| P1 | Restringir el acceso mediante privilegio mínimo y segundo factor obligatorio, auditando trimestralmente quién los consulta. «Todo el equipo de TI» no es privilegio mínimo. | bajo | MITRE ATT&CK M1018 CIS Controls v8 6.8 ISO 27001 A.5.15 |
| P2 | Habilitar alertas de integridad y de acceso sobre estos archivos, correlacionadas con actividad de red inusual en servidores de ficheros. | medio | CIS Controls v8 3.14 ISO 27001 A.8.16 |
| P2 | Ejercitar los planes con simulacros sin exponer el documento maestro completo a todos los participantes, reduciendo la superficie de filtración interna. | bajo | CIS Controls v8 17.6 ISO 27001 A.5.24 |
| P3 | Reescribir el plan separando el procedimiento general de los anexos con contactos, ubicación de respaldos y detalles de arquitectura, cada uno con control de acceso propio. | medio | CIS Controls v8 3.7 ISO 27001 A.5.12 |
Los tres P1 se pueden cerrar en una semana y no requieren comprar nada. Vale la pena notar la asimetría que dejan al descubierto: en la mayoría de las organizaciones esta documentación está peor protegida que la base de datos de clientes, y describe exactamente cómo se defiende la base de datos de clientes.
DE DetectarComo me doy cuenta de que ya ocurrio
El acceso anómalo a repositorios que contienen documentación de crisis es un indicador de alta prioridad que muchos SOC no priorizan adecuadamente, porque esos archivos no son un sistema productivo y no generan alertas por sí solos.
Las señales concretas: consultas fuera de horario laboral, descargas masivas desde cuentas de servicio o de administrador, y transferencias hacia servicios de almacenamiento en la nube no autorizados. También conviene habilitar alertas de integridad sobre estos archivos: su modificación o acceso inusual suele preceder a la fase de cifrado en ataques con doble extorsión.
La correlación que vale oro y que casi nadie tiene armada: alerta de acceso a documentación sensible cruzada con actividad de red inusual en servidores de archivos. Por separado, cada una es ruido. Juntas, son el aviso previo.
Qué necesitas tener logueado
- Auditoría de acceso a archivos en servidores de ficheros (evento 4663 de Windows)
- Registros de SharePoint y OneDrive: descargas y sincronizaciones masivas
- Registros de proxy: transferencias hacia servicios de almacenamiento no autorizados
- Monitoreo de integridad sobre los archivos de continuidad y respuesta
Reglas y consultas de detección
title: Acceso masivo a documentacion de continuidad y respuesta a incidentes
id: 6a9f3d84-2e71-4c58-9b03-7f4e2a6d5c19
status: experimental
description: >
Los planes de continuidad y de respuesta a incidentes suelen vivir en un repositorio
que nadie vigila, porque no es un sistema productivo. Esta regla busca su lectura o
descarga masiva, que en ataques de doble extorsion suele preceder al cifrado.
author: Vantis Chile SpA
date: 2026/07/18
logsource:
product: windows
service: security
detection:
acceso_a_archivo:
EventID: 4663
ObjectType: File
documentacion_de_crisis:
ObjectName|contains:
- 'continuidad'
- 'contingencia'
- 'plan_de_crisis'
- 'respuesta_a_incidentes'
- 'playbook'
- 'DRP'
- 'BCP'
- 'ciberseguridad'
cuentas_de_servicio:
SubjectUserName|startswith:
- 'svc_'
- 'srv_'
- 'backup'
condition: acceso_a_archivo and documentacion_de_crisis and cuentas_de_servicio
falsepositives:
- Respaldo programado que recorre el repositorio completo. Debe estar inventariado
y excluido por nombre de cuenta, no por desactivar la regla.
level: high
tags:
- attack.collection
- attack.t1213
- attack.exfiltration
// Descarga masiva desde bibliotecas que contienen documentacion de crisis
let ventana = 90d;
let umbral_archivos = 20;
CloudAppEvents
| where Timestamp > ago(ventana)
| where ActionType in ("FileDownloaded", "FileSyncDownloadedFull", "FileAccessed")
| extend Archivo = tostring(RawEventData.SourceFileName)
| extend Ruta = tostring(RawEventData.SourceRelativeUrl)
| where Archivo has_any ("continuidad","contingencia","BCP","DRP","playbook",
"respuesta a incidentes","plan de crisis","ciberseguridad")
or Ruta has_any ("Continuidad","Crisis","Seguridad","IR")
| extend Hora = hourofday(datetime_add('hour', -4, Timestamp))
| summarize Archivos = dcount(Archivo), Ejemplos = make_set(Archivo, 12),
FueraDeHorario = countif(Hora < 7 or Hora > 20),
IPs = make_set(IPAddress, 5)
by AccountDisplayName, bin(Timestamp, 1d)
| where Archivos >= umbral_archivos or FueraDeHorario > 0
| order by Archivos desc
PROTECCION DE LA DOCUMENTACION DE CRISIS
Lista de verificacion. Cada punto se responde SI o NO, sin matices.
UBICACION
[ ] La documentacion de continuidad y respuesta vive SEPARADA del dominio
corporativo principal, no en una carpeta compartida cualquiera.
[ ] Esta cifrada en reposo, con clave distinta de la del resto de los documentos.
[ ] Existe una copia offline o en almacenamiento inmutable, alcanzable si el
dominio completo esta cifrado. Un plan de continuidad guardado solo en la red
que el ransomware cifro no es un plan: es un archivo perdido.
ACCESO
[ ] El acceso esta restringido por privilegio minimo, no por "todo el equipo de TI".
[ ] Exige segundo factor, incluso desde dentro de la red.
[ ] Se audita trimestralmente quien lo consulto, y ese registro lo revisa alguien.
[ ] Las cuentas de servicio y de respaldo estan explicitamente excluidas o
inventariadas como excepcion documentada.
CONTENIDO
[ ] El documento maestro NO se distribuye completo en los simulacros. Cada
participante recibe solo su parte.
[ ] Los contactos de crisis y proveedores de respuesta estan en un anexo aparte,
con control de acceso propio.
[ ] No contiene credenciales, claves, ni diagramas de arquitectura con direcciones IP.
SUPUESTO A VALIDAR
[ ] Si manana este documento apareciera publicado, sabriamos exactamente que
informacion quedo expuesta y que procedimientos hay que rediseniar.
La regla del evento 4663 va a marcar el respaldo programado que recorre el repositorio completo. Esa cuenta debe estar inventariada y excluida por nombre, no desactivando la regla. Si no sabes qué cuenta de servicio recorre esos archivos cada noche, ese es el primer hallazgo.
La de descargas en la nube requiere calibrar el umbral: veinte archivos es un punto de partida razonable para un repositorio de continuidad, que normalmente se consulta de a uno.
RS ResponderContencion y erradicacion
Si tu documentación de crisis fue exfiltrada, el plan deja de ser confiable como estaba escrito. Los procedimientos siguen siendo válidos, pero los supuestos de secreto ya no: contactos, ubicación de respaldos y detalles de arquitectura hay que considerarlos conocidos por el adversario.
La respuesta incluye rediseñar esos elementos, no solo contener el incidente. Y hacerlo rápido, porque un ataque de seguimiento diseñado sobre tu propio plan es una posibilidad concreta, no teórica.
- Asumir comprometidos todos los contactos, rutas de escalamiento y ubicaciones descritas.
- Cambiar la ubicación de los respaldos si estaba documentada en el archivo filtrado.
- Notificar a los proveedores de respuesta mencionados: también quedaron expuestos.
- Rediseñar el plan separando el procedimiento general de los datos sensibles de ejecución.
RC RecuperarVolver a operar y no repetirlo
Reconstruir el plan es la parte fácil. La difícil es cambiar el supuesto con que se escribió: de ahora en adelante, escribirlo asumiendo que puede ser leído por el adversario.
En la práctica eso significa un documento maestro con el procedimiento, y anexos separados y con control de acceso propio para contactos, ubicaciones y arquitectura. El plan sigue siendo utilizable; la filtración deja de ser un mapa.
- Reescribir separando procedimiento general de anexos con datos sensibles de ejecución.
- Ejercitar el plan reconstruido con un simulacro, sin repartir el maestro completo.
- Dejar la auditoría trimestral de accesos como control permanente.
Llévatelo
Lo de arriba explica. Esto se ejecuta. Son archivos, no capturas de pantalla: se abren, se pegan y funcionan.
La regla Sigma es la canónica: es el formato neutral del que se derivan las demás. Si tu SIEM no aparece en la lista, esa se convierte con pySigma. Las traducciones a motores concretos van sin validar contra tu modelo de datos — revisa los nombres de tabla y campo antes de subirlas a producción.
Fuentes
- BCNLey 21.663, Ley Marco de Ciberseguridad e Infraestructura Crítica de la Información
- MITRE ATT&CKT1213 — Data from Information Repositories
- MITRE ATT&CKT1567 — Exfiltration Over Web Service
- BCNLey 21.719 sobre protección de datos personales
¿Esto te aplica y no sabes por dónde partir?
Revisamos tu exposición real frente a lo que describe este análisis: superficie expuesta, cobertura de detección y brechas frente a la Ley 21.663. Diagnóstico de 15 minutos, sin costo.
Agendar diagnósticoRelacionado
Ocho campañas contra GTD Telsur en un mes salieron de tres servidores
ANCI publicó ocho alertas distintas por suplantación de la telco entre el 3 y el 31 de agosto. Al cruzar los indicadores…
Los 90 millones de registros que terminan siendo un SMS en tu teléfono
Exfilsquad reclamó 874 GB de un banco africano. Cl0p reapareció con 42 víctimas de nombres tachados. Ninguno de los dos…
ShinyHunters no rompió ningún control: usó la confianza que ya estaba concedida
EY confirmó una intrusión a través de una plataforma de soporte de terceros. Días después, el mismo grupo reclamó tres b…