--- id: CP-027 slug: ataque-abrevadero-sitio-web-comprometido lang: es title: Ataque del abrevadero description: Un sitio que usted consulta cada semana puede estar manipulado. Cómo funciona el ataque del abrevadero, qué se ve y qué gestos protegen. canonical_url: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ markdown_url: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Ataque del abrevadero», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-046 schema: G5 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ fr: https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ en: https://startbrain.io/cyberpedia/en/articles/watering-hole-attack-compromised-website/ de: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ it: https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso/ sources: - "n": 1 title: Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1189/ accessed: "2026-11-03" - "n": 2 title: "Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1608/004/ accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/006/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1203/ accessed: "2026-11-03" - "n": 5 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Ataque del abrevadero En un ataque del abrevadero (en inglés «watering hole»), el atacante no se pone en contacto con la víctima. Manipula un sitio que esta ya visita: introduce en él código malicioso y espera a que los visitantes lleguen por su cuenta. Para un empleado, el peligro nace de esa confianza. El sitio es conocido, útil para el trabajo, y nada indica que haya cambiado. Esta ficha describe el mecanismo, lo que se puede notar y lo que limita los daños. ## En 30 segundos - Dónde ocurre: en un sitio visitado por una comunidad concreta (administración, sector de actividad, región), durante una navegación normal [1]. - Lo que quiere el atacante: ejecutar código en el equipo de la víctima, lo que a menudo le da acceso a los sistemas de la red interna [1]. - El reflejo: mantener actualizados el navegador y sus extensiones, y rechazar cualquier «actualización» que ofrezca una página web, sea cual sea el sitio. - Si ya ha ocurrido: avisar sin esperar al servicio informático o de seguridad, aunque no se vea nada anormal. ## Preguntas directas ### ¿Qué es un ataque del abrevadero? Las fuentes describen el caso en que el sitio utilizado por el atacante es frecuentado a menudo por una comunidad (gobierno, sector de actividad, región). El objetivo es comprometer a un usuario o a un grupo de usuarios a partir de un interés común. Esta campaña dirigida se llama «strategic web compromise» o «watering hole attack» [1]. Pertenece a la familia más amplia del «drive-by compromise»: la víctima visita un sitio durante una navegación normal [1]. ### ¿Hay que hacer clic en algo para infectarse? No siempre. El navegador suele ser el blanco de la explotación, y esta a menudo no exige ninguna acción adicional una vez abierta la página [2]. En otros casos, el usuario debe ayudar al proceso activando scripts, notificaciones o componentes activos, o ignorando cuadros de diálogo de advertencia [1]. ### ¿Puede un sitio conocido y de confianza estar realmente manipulado? Sí, ese es el principio. El atacante compromete un sitio legítimo para inyectar en él código malicioso [1]. También puede modificar archivos de script que se sirven al sitio desde un espacio de almacenamiento en línea abierto a la escritura, o comprar publicidad manipulada a redes publicitarias legítimas [1]. ### ¿Basta con un navegador actualizado? No, pero reduce el riesgo. Actualizar todos los navegadores y complementos puede impedir la fase de explotación [1]. MITRE señala además que las protecciones contra la explotación dependen de la arquitectura y del software atacado, y que los entornos aislados (sandbox) pueden eludirse [1]. ## En la piel del atacante El atacante empieza eligiendo un lugar donde el objetivo pasa tiempo: un sitio frecuentado por un sector, un ámbito de actividad o una región [2]. Después prepara el entorno. El contenido manipulado puede alojarse en una infraestructura que ha adquirido o que ya ha comprometido [2]. También puede comprar dominios parecidos a dominios legítimos (homoglifos, errata deliberada, otra extensión) [2]. A continuación introduce código en el sitio: scripts en páginas o en contenido que los usuarios pueden modificar, como los mensajes de un foro [2]. También puede añadir scripts que examinan el navegador del visitante, para comprobar que es vulnerable antes de intentar la explotación [2]. Se describe a un grupo que integra código en sitios para comprobar la dirección IP de un visitante y explotar su navegador solo si resulta de interés [2]. Esta preparación transcurre en gran parte fuera de la vista de la organización objetivo, lo que dificulta su detección [2]. Los servicios web legítimos sirven también de relevo: así, sitios WordPress comprometidos han alojado cargas maliciosas para descargar [3]. ## Lo que ve en la pantalla Los scripts se ejecutan automáticamente [1]. En general buscan la versión del navegador y de los complementos, en busca de una versión vulnerable [1]. En algunos casos hace falta una segunda visita antes de que llegue el código de explotación [1]. Existen, con todo, algunas señales visibles. Una página puede pedir que se activen scripts o notificaciones, o empujar a ignorar una advertencia [1]. Al hacer clic en «permitir» en las notificaciones del navegador, un usuario puede dar a un sitio permiso para ejecutar JavaScript en su navegador [1]. Algunas campañas usan falsas actualizaciones del navegador como señuelo: es el caso de SocGholish, difundido por sitios comprometidos cuyo contenido se hace pasar por una actualización del navegador [1]. ## Bajo el capó A continuación se muestra una ilustración neutralizada, con una dirección ficticia en `.invalid`. No funciona. ```text [Página legítima de un sitio sectorial] ... contenido habitual del sitio ... [elemento oculto añadido por el atacante, de tamaño nulo] [carga una página de hxxps://exemple[.]invalid/ en segundo plano] ``` La cadena típica, según MITRE ATT&CK, sigue cuatro etapas. El usuario visita el sitio que aloja el contenido del atacante. Se ejecutan scripts que buscan las versiones del navegador y de los complementos. Si se encuentra una versión vulnerable, se entrega el código de explotación. Si la explotación tiene éxito, el atacante obtiene la ejecución de código en el equipo, salvo que existan otras protecciones [1]. El objetivo difiere del de un ataque contra un servidor expuesto a Internet: aquí se explota un programa del equipo, lo que a menudo da acceso a los sistemas de la red interna [1]. Los navegadores son un blanco habitual de la explotación del lado del cliente, igual que aplicaciones de terceros muy extendidas en las empresas, por ejemplo Adobe Reader y Flash [4]. En cuanto a la defensa, las fuentes citan los entornos aislados del navegador, que atenúan una parte del impacto (existen evasiones del entorno aislado) [1], los bloqueadores de publicidad y de scripts, y la desactivación de las notificaciones del navegador [1]. El NCSC británico añade que la mayoría de los navegadores modernos bloquean los sitios de phishing y de software malicioso conocidos, pero no siempre en el móvil [5]. También recomienda usar solo software compatible y actualizado, y no navegar por la web con una cuenta de administrador [5]. ## Autopsias ### Forbes.com, 2014 APT19 llevó a cabo en 2014 un ataque del abrevadero contra forbes.com para comprometer a sus objetivos [1]. Las fuentes no dan más detalles sobre este episodio. ### Operación Dust Storm, explotación de CVE-2014-0322 En la operación Dust Storm, los atacantes utilizaron un ataque del abrevadero contra un revendedor de software popular. Explotaban un fallo de Internet Explorer aún desconocido para el público (zero-day), CVE-2014-0322 [1]. La fuente no da fecha de la campaña. ### Página de acceso de una naviera israelí, hasta noviembre de 2021 En la campaña C0010, los atacantes comprometieron la página de acceso de una empresa naviera israelí legítima y probablemente establecieron un abrevadero que recopilaba información sobre los visitantes [2]. Se describe este abrevadero como activo hasta al menos noviembre de 2021 [1]. ## Fuentes 1. MITRE ATT&CK, «Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1189/ (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1608/004/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1584/006/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1203/ (consultado el 3 de noviembre de 2026) 5. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.