La Cyber Kill Chain no describe un ataque: describe una cadena, y una cadena se rompe por cualquiera de sus eslabones. Ese es todo su valor como modelo de defensa, y por eso sigue en pie tanto tiempo después. Aquí van sus siete fases, qué pasa de verdad en cada una, su equivalencia con MITRE ATT&CK y en qué punto sale más barato cortarla.
La Cyber Kill Chain es un modelo que publicó Lockheed Martin para describir un ataque dirigido como una secuencia de siete pasos encadenados. El nombre viene del vocabulario militar: una kill chain es la cadena de pasos que hay que completar para alcanzar un objetivo.
Lo importante no es la descripción. Es la consecuencia: si el atacante tiene que completar los siete pasos y al defensor le basta con romper uno, la ventaja estructural es del defensor. Ese es el argumento entero del modelo, y por eso se sigue usando para ordenar una defensa aunque la forma de atacar haya cambiado mucho desde entonces.
Conviene decir desde el principio dónde se queda corto, porque el modelo se usa a menudo como si fuera un mapa completo y no lo es. La cadena es lineal, y un ataque real va y viene. Está pensada para intrusiones desde fuera, así que se le da mal el atacante que ya está dentro, el empleado que hace algo que no debe y el proveedor comprometido que entra por la puerta buena. Y comprime en una sola caja ("acciones sobre el objetivo") la mitad más larga de cualquier intrusión de verdad.
Son siete y no seis. Es el error más repetido al resumir el modelo, y también lo era en la versión anterior de este artículo: armamentización y entrega se juntan en una sola caja porque suenan parecido, y son dos momentos distintos, con dos defensas distintas.
Un matiz que cambia cómo se lee la cadena: hoy es habitual que quien recorre las fases 1 a 4 no sea quien recorre la 7. Hay intermediarios de acceso inicial que se dedican a entrar y a vender la entrada. Así que la misma cadena puede tener dos dueños, y la fase que compras es precisamente la que peor detectan casi todas las empresas.
MITRE ATT&CK es lo que la mayoría usa hoy para lo mismo, y la pregunta razonable es si sustituye a la cadena. No: responden a preguntas distintas. La cadena cuenta una historia en orden. ATT&CK es un catálogo de tácticas y técnicas observadas en ataques reales, sin obligación de orden.
La correspondencia aproximada, para quien tenga que traducir de un vocabulario al otro:
Y ahí está lo que interesa de la comparación: seis tácticas de ATT&CK caben dentro de la última caja de la cadena. La cadena dedica seis de sus siete fases a cómo entra el atacante y una sola a todo lo que hace después, que es donde pasa la mayor parte del tiempo y donde de verdad se decide el daño. Si organizas la detección con la cadena en la mano, vas a montar seis controles en el perímetro y uno para lo demás. Ese es su punto ciego, y por eso conviene usar las dos cosas: la cadena para explicar, ATT&CK para cubrir.
Todas las fases valen para romper la cadena, pero no cuestan lo mismo ni valen lo mismo.
Cuanto más pronto, más barato y menos fiable. Frenar en la entrega (filtrado de correo, bloqueo de macros, aislamiento del navegador) es lo más barato que existe y para muchísimo ruido. Pero se lo salta cualquiera que dedique una tarde, porque solo hace falta que pase uno.
Cuanto más tarde, más caro y más decisivo. Detectar en instalación y en mando y control es donde se corta al que ya entró, que es el que te va a hacer daño. Cuesta más porque exige ver lo que pasa dentro de los equipos y en el tráfico de salida, y exige que alguien mire.
De ahí sale una forma sensata de comprobar tu cadena en vez de suponerla:
La diferencia entre las dos preguntas es la que más se confunde al contratar. "¿Se puede entrar?" casi siempre tiene la misma respuesta. "¿Cuánto tardamos en verlo?" es la que cambia de una empresa a otra.
Este ejemplo tiene cinco años y lo decimos aquí arriba a propósito, porque un caso sin fecha se lee como si fuera de ayer. Sigue siendo el mejor para explicar la cadena por una razón concreta: es un ataque cuyo daño no ocurrió en la última fase, sino en la reacción a la última fase.
Entre el 6 y el 7 de mayo de 2021, Colonial Pipeline, que transporta aproximadamente el 45 % del combustible que se consume en la costa este de Estados Unidos, sufrió un ataque de ransomware atribuido al grupo DarkSide. Los atacantes robaron cerca de 100 GB de datos y amenazaron con publicarlos, que es el patrón de doble extorsión que se generalizó por entonces: primero se llevan la información y después cifran, para que tener copias de seguridad deje de ser suficiente.
Lo que no vamos a contar, y por qué. Circula mucho detalle sobre cómo entraron y sobre cuánto se pagó. La fuente que citamos no establece ninguna de las dos cosas, así que aquí no aparecen. Un artículo sobre cadenas de ataque no es sitio para rellenar el primer eslabón con lo que se da por sabido.
Lo que sí se puede leer en clave de cadena, y es la lección: el cifrado fue la fase 7, pero para llegar ahí hubo reconocimiento, entrada, instalación, mando y control y una exfiltración de 100 GB que tuvo que salir por algún sitio durante bastante tiempo. Cien gigas no se van en un suspiro ni por un canal invisible. Cada uno de esos momentos fue una oportunidad de cortar la cadena antes del daño, y ninguna se aprovechó. Y la parada de la red de tuberías, que es lo que llegó al telediario, fue una decisión de la empresa ante la incertidumbre, no un efecto directo del malware. Cuando no sabes hasta dónde llegó el atacante, apagas. Saber hasta dónde llegó es, casi siempre, la diferencia entre un incidente y una crisis.
Si te llevas una sola cosa, que sea esta: la pregunta no es si tu empresa puede ser atacada, sino en qué eslabón se rompería la cadena si te atacaran mañana. Y esa pregunta tiene respuesta comprobable.
Un orden razonable para responderla, de menos a más esfuerzo. Primero, mira qué expones: qué hay publicado a tu nombre que no sabías que estaba ahí, y qué credenciales vuestras circulan por filtraciones ajenas. Segundo, prueba que la entrada no es trivial, desde fuera y sin credenciales. Tercero, y es el que casi nadie hace, prueba qué pasa después de la entrada: cuánto se mueve alguien que ya está dentro, y cuánto tardáis en verlo.
Los dos primeros pasos dan una lista de cosas que arreglar. El tercero da algo distinto y más incómodo: una medida de vuestro tiempo de detección. Es el número que de verdad separa a las empresas que salen de un incidente de las que salen en las noticias.
Última revisión: 3 de agosto de 2026. Publicada originalmente el 29 de noviembre de 2023.
Qué es el ciclo de vida de desarrollo seguro, qué se hace en cada fase, qué aportan SAST, DAST y SCA, y por dónde empezar si hoy no tenéis nada montado.
Qué riesgos trae la IA generativa en empresa, por qué la inyección de prompts no es el problema real y qué se prueba en un pentest de IA.
Qué es un pentest, qué fases tiene, qué recibes al final, cuánto dura y en qué se diferencia de un análisis de vulnerabilidades.
Si algo de aquí se parece a un problema que llevas encima, media hora de llamada para acotarlo con un pentester senior vale más que leer otro artículo.
Hablar con un pentester seniorElige la hora que mejor te venga. Nos cuentas qué necesitas y en qué punto estás, y te explicamos cómo trabajamos y de qué forma podemos ayudarte.
