Taiwán identifica 5 grandes riesgos de ciberseguridad tras 726 incidentes en el gobierno

1. Software de mensajería instantánea falsificado

El riesgo: Los empleados gubernamentales, sobre todo al recibir equipos nuevos o de reemplazo, fueron engañados para descargar versiones falsas de aplicaciones de comunicación populares como LINE o WhatsApp desde sitios web no oficiales. Estos instaladores fraudulentos implantaban programas de puerta trasera que otorgaban a los atacantes un acceso persistente al sistema .

Lo que las agencias deben hacer: La ACS exige mecanismos estrictos de gestión de cambios y control de descargas para todos los sistemas informáticos. En la práctica, esto significa que cada instalación de software —ya sea una aplicación, un controlador o un componente de hardware— debe pasar por una aprobación y auditoría formales antes de tocar cualquier máquina del gobierno .

2. Ransomware con la técnica de "Trae tu propio controlador"

El riesgo: Los atacantes utilizaron cada vez más una técnica conocida como "Bring Your Own Driver" (BYOVD, por sus siglas en inglés), que explota controladores legítimos pero vulnerables firmados digitalmente para burlar las herramientas de detección en los dispositivos finales. Al obtener acceso a nivel del núcleo del sistema (kernel), podían desactivar los productos de seguridad y desplegar ransomware sin activar ninguna alarma .

Lo que las agencias deben hacer: La ACS propone una defensa en capas. Las agencias deben realizar análisis periódicos de vulnerabilidades en sus sitios web y aplicar de inmediato los parches correspondientes. Se deben implementar firewalls de aplicaciones web (WAF) para filtrar las peticiones maliciosas antes de que lleguen a las aplicaciones. Y algo crucial: la protección de los dispositivos finales debe ser una operación continua; los productos de seguridad deben mantenerse actualizados y las reglas de detección de amenazas deben evolucionar al ritmo que surgen las nuevas tácticas .

3. Fallos en la cadena de suministro por software de escritorio remoto no aprobado

El riesgo: Los proveedores de mantenimiento de sistemas, que a menudo tienen acceso legítimo a los servidores web del gobierno, instalaban software de escritorio remoto que las agencias nunca autorizaron. Los atacante entonces aplicaban fuerza bruta sobre las débiles credenciales de esas herramientas para iniciar sesión y moverse lateralmente a través de sistemas sensibles .

Lo que las agencias deben hacer: La solución aquí es organizativa, no solo técnica. La ACS exige estándares estrictos de gestión de seguridad para proveedores que detallen controles de acceso, reglas de protección de datos, procedimientos de gestión de vulnerabilidades y la obligación de reportar incidentes. Las auditorías de seguridad y las verificaciones de cumplimiento deben realizarse periódicamente para confirmar que los proveedores siguen las reglas, y no solo en el papel .

4. Fallos en dispositivos del perímetro de la red

El riesgo: Routers, firewalls, dispositivos de VPN y otros equipos del borde de la red quedaban con firmware desactualizado o con peligrosos errores de configuración, ofreciendo a los atacantes un punto de entrada fácil en el perímetro de las redes gubernamentales .

Lo que las agencias deben hacer: La ACS recomienda un cambio simple pero poderoso: adoptar una estrategia de lista blanca para todas las conexiones salientes, bloqueando por defecto cualquier puerto de comunicación innecesario. Las agencias también deben inventariar cada dispositivo del perímetro —modelo, versión de firmware— y construir un proceso continuo de actualización y verificación, de modo que los parches no solo se apliquen, sino que se confirme su instalación .

5. Ingeniería social combinada con abuso de servicios en la nube

El riesgo: Los atacantes combinaban phishing, pretextos y otros trucos de ingeniería social con servicios en la nube comprometidos o mal configurados para robar datos confidenciales. Una vez que un empleado hacía clic en un enlace o archivo adjunto malicioso, los datos podían ser extraídos a través de un almacenamiento en la nube que parecía completamente legítimo .

Lo que las agencias deben hacer: La ACS especifica una defensa en dos partes. Primero, implementar filtrado de correo electrónico y detección en sandbox (un entorno aislado para analizar archivos sospechosos) para interceptar archivos adjuntos y enlaces maliciosos antes de que lleguen a los usuarios. Segundo, reforzar los entornos de nube: restringir los permisos de las unidades compartidas, activar el escaneo de archivos al subirlos y ejecutar controles de seguridad en los enlaces a la nube para detener la propagación de archivos maliciosos .

Un año de amenazas en evolución

Los datos de 2025 cuentan una historia más amplia. Aunque el número total de incidentes cayó en 29 con respecto a 2024, la abrumadora mayoría de las brechas —más de dos tercios— provinieron de accesos no autorizados, una categoría que abarca desde credenciales robadas hasta implantes de puertas traseras . El espectro de gravedad refleja un paisaje de acoso constante y de bajo nivel: el 87.33% de los incidentes se clasificó como Nivel 1 (el menos grave), el 9.78% como Nivel 2 y el 2.89% como Nivel 3, sin que se registraran incidentes de Nivel 4 .

Las cinco categorías de riesgo de la ACS marcan un giro en la guía oficial. Advertencias anteriores, como las de principios de 2025, hacían énfasis en la encriptación débil, la filtración deficiente de ataques de inyección y los controles de acceso rotos . La nueva lista apunta ahora a las capas humana y de cadena de suministro que las defensas de perímetro tradicionales suelen pasar por alto.

Para las agencias, el mensaje es inequívoco. La ACS ha vinculado cada riesgo a una acción específica y auditable: aprobar cada descarga, parchear cada dispositivo del perímetro, auditar a cada proveedor y tratar cada correo electrónico como potencialmente hostil. En un entorno de amenazas donde el 68.6% de los incidentes son intrusiones, la defensa ya no consiste solo en bloquear el perímetro, sino en controlar lo que sucede dentro de él .