Ataque del abrevadero
Un sitio que usted consulta cada semana puede estar manipulado. Cómo funciona el ataque del abrevadero, qué se ve y qué gestos protegen.
En 30 segundos
- Dónde ocurre
- En un sitio visitado por una comunidad concreta (administración, sector de actividad, región), durante una navegación normal1.
- Lo que quiere el atacante
- Ejecutar código en el equipo de la víctima, lo que a menudo le da acceso a los sistemas de la red interna1.
- El reflejo
- Mantener actualizados el navegador y sus extensiones, y rechazar cualquier «actualización» que ofrezca una página web, sea cual sea el sitio.
- Si ya ha ocurrido
- Avisar sin esperar al servicio informático o de seguridad, aunque no se vea nada anormal.
De qué se trata
En un ataque del abrevadero (en inglés «watering hole»), el atacante no se pone en contacto con la víctima. Manipula un sitio que esta ya visita: introduce en él código malicioso y espera a que los visitantes lleguen por su cuenta.
Para un empleado, el peligro nace de esa confianza. El sitio es conocido, útil para el trabajo, y nada indica que haya cambiado. Esta ficha describe el mecanismo, lo que se puede notar y lo que limita los daños.
Preguntas directas
¿Qué es un ataque del abrevadero?
Las fuentes describen el caso en que el sitio utilizado por el atacante es frecuentado a menudo por una comunidad (gobierno, sector de actividad, región). El objetivo es comprometer a un usuario o a un grupo de usuarios a partir de un interés común. Esta campaña dirigida se llama «strategic web compromise» o «watering hole attack»1. Pertenece a la familia más amplia del «drive-by compromise»: la víctima visita un sitio durante una navegación normal1.
¿Hay que hacer clic en algo para infectarse?
No siempre. El navegador suele ser el blanco de la explotación, y esta a menudo no exige ninguna acción adicional una vez abierta la página2. En otros casos, el usuario debe ayudar al proceso activando scripts, notificaciones o componentes activos, o ignorando cuadros de diálogo de advertencia1.
¿Puede un sitio conocido y de confianza estar realmente manipulado?
Sí, ese es el principio. El atacante compromete un sitio legítimo para inyectar en él código malicioso1. También puede modificar archivos de script que se sirven al sitio desde un espacio de almacenamiento en línea abierto a la escritura, o comprar publicidad manipulada a redes publicitarias legítimas1.
¿Basta con un navegador actualizado?
No, pero reduce el riesgo. Actualizar todos los navegadores y complementos puede impedir la fase de explotación1. MITRE señala además que las protecciones contra la explotación dependen de la arquitectura y del software atacado, y que los entornos aislados (sandbox) pueden eludirse1.
1En la piel del atacante1 min
El atacante empieza eligiendo un lugar donde el objetivo pasa tiempo: un sitio frecuentado por un sector, un ámbito de actividad o una región2. Después prepara el entorno. El contenido manipulado puede alojarse en una infraestructura que ha adquirido o que ya ha comprometido2. También puede comprar dominios parecidos a dominios legítimos (homoglifos, errata deliberada, otra extensión)2.
A continuación introduce código en el sitio: scripts en páginas o en contenido que los usuarios pueden modificar, como los mensajes de un foro2. También puede añadir scripts que examinan el navegador del visitante, para comprobar que es vulnerable antes de intentar la explotación2. Se describe a un grupo que integra código en sitios para comprobar la dirección IP de un visitante y explotar su navegador solo si resulta de interés2.
Esta preparación transcurre en gran parte fuera de la vista de la organización objetivo, lo que dificulta su detección2. Los servicios web legítimos sirven también de relevo: así, sitios WordPress comprometidos han alojado cargas maliciosas para descargar3.
2Lo que ve en la pantalla1 min
Los scripts se ejecutan automáticamente1. En general buscan la versión del navegador y de los complementos, en busca de una versión vulnerable1. En algunos casos hace falta una segunda visita antes de que llegue el código de explotación1.
Existen, con todo, algunas señales visibles. Una página puede pedir que se activen scripts o notificaciones, o empujar a ignorar una advertencia1. Al hacer clic en «permitir» en las notificaciones del navegador, un usuario puede dar a un sitio permiso para ejecutar JavaScript en su navegador1. Algunas campañas usan falsas actualizaciones del navegador como señuelo: es el caso de SocGholish, difundido por sitios comprometidos cuyo contenido se hace pasar por una actualización del navegador1.
3Bajo el capóEquipos de TI2 min
A continuación se muestra una ilustración neutralizada, con una dirección ficticia en .invalid. No funciona.
[Página legítima de un sitio sectorial]
... contenido habitual del sitio ...
[elemento oculto añadido por el atacante, de tamaño nulo]
[carga una página de hxxps://exemple[.]invalid/ en segundo plano]La cadena típica, según MITRE ATT&CK, sigue cuatro etapas. El usuario visita el sitio que aloja el contenido del atacante. Se ejecutan scripts que buscan las versiones del navegador y de los complementos. Si se encuentra una versión vulnerable, se entrega el código de explotación. Si la explotación tiene éxito, el atacante obtiene la ejecución de código en el equipo, salvo que existan otras protecciones1.
El objetivo difiere del de un ataque contra un servidor expuesto a Internet: aquí se explota un programa del equipo, lo que a menudo da acceso a los sistemas de la red interna1. Los navegadores son un blanco habitual de la explotación del lado del cliente, igual que aplicaciones de terceros muy extendidas en las empresas, por ejemplo Adobe Reader y Flash4.
En cuanto a la defensa, las fuentes citan los entornos aislados del navegador, que atenúan una parte del impacto (existen evasiones del entorno aislado)1, los bloqueadores de publicidad y de scripts, y la desactivación de las notificaciones del navegador1. El NCSC británico añade que la mayoría de los navegadores modernos bloquean los sitios de phishing y de software malicioso conocidos, pero no siempre en el móvil5. También recomienda usar solo software compatible y actualizado, y no navegar por la web con una cuenta de administrador5.
4AutopsiasCasos reales1 min
Forbes.com, 2014
APT19 llevó a cabo en 2014 un ataque del abrevadero contra forbes.com para comprometer a sus objetivos1. Las fuentes no dan más detalles sobre este episodio.
Operación Dust Storm, explotación de CVE-2014-0322
En la operación Dust Storm, los atacantes utilizaron un ataque del abrevadero contra un revendedor de software popular. Explotaban un fallo de Internet Explorer aún desconocido para el público (zero-day), CVE-2014-03221. La fuente no da fecha de la campaña.
Página de acceso de una naviera israelí, hasta noviembre de 2021
En la campaña C0010, los atacantes comprometieron la página de acceso de una empresa naviera israelí legítima y probablemente establecieron un abrevadero que recopilaba información sobre los visitantes2. Se describe este abrevadero como activo hasta al menos noviembre de 20211.
Ficha
- Identificador
- CP-027
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Frenar la ingeniería social (outsmart_social_engineering)
- Reflejo Brain
- cr-046
- Esquema
- G5 · Árbol de decisión del reflejo
- Idiomas
- de, en, es, fr
- Fuentes
- 5 fuentes verificadas el 3 de noviembre de 2026
Fuentes5 fuentes
- MITRE ATT&CK, «Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1189/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1608/004/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1584/006/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1203/ (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Ataque del abrevadero», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp027_es_2026,
author = {Brain},
title = {Ataque del abrevadero},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/},
note = {CC BY 4.0}
}