En esencia
- Los dispositivos de perímetro y las VPN pasaron del 3% al 22% de las brechas por explotación en un solo año, según el DBIR 2026 de Verizon.
- En ese mismo informe, explotar una vulnerabilidad superó por primera vez al robo de credenciales como vía de acceso inicial.
- Parchear no basta: el 42,5% de los fallos de perímetro explotados afecta a equipos sin soporte y tres de cada cuatro no figuran en el catálogo KEV de CISA.
- La respuesta no es más EDR, sino visibilidad donde el agente no puede instalarse: telemetría de red, registros fuera de banda, integridad de configuración y caza de amenazas.
Los dispositivos de perímetro y las VPN han pasado del 3% al 22% de las brechas por explotación en un solo año. Esa cifra, publicada en el DBIR 2026 de Verizon, mide algo más que una moda de los atacantes: mide una década de inversión en seguridad mirando al sitio equivocado.
Porque la última década se construyó alrededor del endpoint. Se desplegaron agentes de EDR en portátiles y servidores, se afinó la telemetría y se escribieron reglas de detección. Funcionó lo suficiente como para que el atacante se mudara a donde no le vemos: firewalls, concentradores VPN, routers, balanceadores y appliances de gestión. Equipos expuestos a Internet, con firmware propietario, sin opción de instalar un agente y con capacidad forense limitada. Pocas organizaciones los vigilan con la intensidad que dedican a sus portátiles.
Los datos que sostienen el desplazamiento
Al salto del 3% al 22% se suma otro vuelco en el mismo estudio: la explotación de vulnerabilidades superó al robo de credenciales como primer vector de acceso inicial, algo que no había ocurrido en los diecinueve años de historia del informe.
El detalle técnico lo aporta VulnCheck. De las 181 vulnerabilidades de dispositivos de red explotadas durante 2025, solo el 23,7% figuraba en el catálogo KEV de CISA, y el 42,5% afectaba a equipos en fin de vida o sin soporte. La mayor parte del riesgo real vive, por tanto, fuera de las listas que muchos equipos usan para priorizar.
Desde la respuesta a incidentes, M-Trends 2026 de Mandiant apunta en la misma dirección: la explotación de sistemas expuestos a Internet encabeza los vectores iniciales por sexto año consecutivo, con el 32% de los casos en los que pudo identificarse el origen. El informe documenta además traspasos del acceso inicial de un actor a otro en apenas 22 segundos. La actividad agrupada bajo identificadores como UNC6201 y UNC5807 se concentra en equipos de red que no generan telemetría de EDR.
Tampoco es la lectura de un único proveedor. CISA y el FBI, junto al NCSC británico y la ASD australiana, han publicado guías específicas sobre el ataque a dispositivos de perímetro y sobre el riesgo de los equipos fuera de soporte. Cuando las agencias de cuatro países coinciden en el mismo punto, conviene tomar nota.
¿Qué ha cambiado respecto a hace un año?
Hace un año el discurso dominante seguía siendo la identidad y el phishing. Ambos siguen importando, pero el DBIR marca un cambio de orden: hoy se entra más por explotar un fallo que por robar una contraseña. A la vez, el volumen de vulnerabilidades del KEV pendientes de corregir ha crecido en torno a un 50% en un año, y la mediana del tiempo de corrección ha subido de 32 a 43 días.
De ahí sale una brecha que se ensancha. Los fallos de perímetro se explotan en días, a veces antes de que exista parche, mientras los ciclos de mantenimiento de esos equipos se miden en semanas o meses. Y cuando el atacante entra por ahí no deja el rastro que dejaría en un portátil: borra y restaura de forma selectiva ficheros de configuración para dificultar el análisis, una técnica anti-forense que en un endpoint con EDR habría disparado alertas.
¿Por qué el EDR no puede proteger un firewall o un router?
La respuesta corta es que el EDR no falla, sino que no puede instalarse ahí. Un agente necesita un sistema operativo donde ejecutarse y una vía para enviar telemetría. Un firewall o un router funcionan sobre firmware cerrado, de modo que no admiten agente ni entregan los eventos de proceso, memoria y red que alimentan la detección de comportamiento. El punto ciego no es un descuido de configuración, es una propiedad del dispositivo.
Por eso sumar más EDR o más XDR no cierra el hueco. La cobertura del endpoint puede ser excelente y aun así el atacante trabajará cómodo en el perímetro, avanzando hacia hipervisores, sistemas de copia de seguridad y controladores de dominio desde un punto que tu consola nunca ve.
¿Qué controles siguen valiendo cuando el EDR no llega?
La defensa no consiste en sustituir el EDR, sino en rodearlo de las señales que el propio perímetro sí emite. Hay cinco frentes.
Telemetría de red. Donde no hay agente, queda el tráfico. El análisis de red (NDR), los flujos, el DNS y los registros del propio perímetro forman la fuente de detección primaria para todo lo que no ejecuta EDR.
Registros fuera de banda. Conviene enviar los del firewall, la VPN y el router a un destino externo e inmutable, para que borrarlos en el equipo no borre la evidencia. Eso convierte el anti-forense del atacante en una pista.
Integridad de configuración. Vigilar los cambios no autorizados en los dispositivos de red y compararlos contra una configuración de referencia detecta justamente la manipulación que caracteriza estas intrusiones.
Superficie de ataque y fin de vida. Saber qué equipos expones, en qué versión y cuáles han quedado sin soporte resuelve buena parte del problema, porque un dispositivo en fin de vida no se parchea: se sustituye o se aísla. Ese trabajo corresponde a la gestión de la superficie de ataque y a una gestión de vulnerabilidades guiada por exposición real y no solo por CVSS.
Caza y respuesta sobre activos sin agente. Un SOC gestionado y un servicio de caza de amenazas que sepan buscar en telemetría de red y registros de perímetro, con un contrato de respuesta a incidentes cuyo alcance cubra expresamente los appliances.
En entornos industriales conviven además equipos que por diseño no admiten agente, terreno propio de la ciberseguridad OT. Los casos recientes lo ilustran bien. La cadena de FortiSandbox, la entrada del UniFi OS y Lantronix en el catálogo KEV, Citrix Bleed 2 o el Splunk explotado como vía de acceso comparten un patrón: empiezan en un equipo que el EDR no cubría.
Qué mirar antes de que haya incidente
| Activo sin agente | Por qué el agente no llega | Dónde sí queda señal |
|---|---|---|
| Firewall / VPN | Firmware propietario, sin agente instalable | Registros de perímetro fuera de banda, flujos, sesiones y DNS |
| Router / switch | Sistema cerrado, telemetría limitada | Integridad de configuración y syslog centralizado |
| Appliance de gestión (RMM, SIEM) | Superficie expuesta con acceso privilegiado | Registros de acceso, correlación en SIEM y alertas de cambios |
| Hipervisor / copia de seguridad | Objetivo tras el perímetro, fuera del endpoint | Telemetría de red este-oeste y control de accesos administrativos |
| Dispositivo en fin de vida | Sin parches del fabricante | Inventario de superficie, aislamiento y sustitución planificada |
Regla práctica: si un equipo no puede ejecutar un agente, su detección vive en la red y en registros que el atacante no controla.
La pregunta que queda pendiente
La consecuencia cuesta de asumir en cualquier comité: ya no importa tanto si tu EDR es bueno como cuánta de tu superficie expuesta queda por completo fuera de su alcance. Mientras esa cifra no se mida, el perímetro seguirá siendo el camino más barato para entrar, y la organización que en 2026 solo mira sus portátiles estará vigilando una sala mientras el intruso trabaja en otra planta.
Si quieres medir esa exposición, en Hard2bit trabajamos precisamente ahí: somos una empresa de ciberseguridad con SOC propio y caza de amenazas sobre el tráfico y los registros que el endpoint nunca ve.
Este artículo tiene una finalidad divulgativa y defensiva. Las cifras proceden de informes públicos —Verizon DBIR 2026, VulnCheck, Mandiant M-Trends 2026 y avisos oficiales de CISA/FBI, NCSC y ASD— disponibles en la fecha de publicación; las recomendaciones de detección deben adaptarse a la arquitectura y al marco regulatorio de cada organización.
