Watering hole attack: cuando sitios legítimos se convierten en trampa

Una empresa del sector financiero cierra el día con normalidad. A la mañana siguiente, el equipo de seguridad detecta tráfico sospechoso en los servidores. El origen no es un correo de phishing, ni un adjunto malicioso, ni un empleado que hizo clic en un enlace dudoso. Es el sitio del organismo regulador del sector — el mismo que los empleados visitan cada semana para consultar normas y circulares. El sitio llevaba semanas comprometido. El ataque simplemente esperó a que llegara la víctima correcta.

Esto es un watering hole attack — o "ataque del abrevadero", en una traducción literal. El nombre viene de la estrategia usada por los depredadores en la sabana: en lugar de perseguir a la presa, esperan junto al río donde los animales van a beber. En ciberseguridad, el resultado es el mismo.

Qué es un watering hole attack

¿Qué es exactamente un watering hole attack?

Es un ataque en el que el intruso compromete un sitio legítimo, frecuentado por el grupo objetivo, y lo convierte en vector de distribución de malware — sin que las víctimas hagan nada incorrecto. A diferencia del phishing, que necesita que la víctima haga clic en algo sospechoso, el watering hole explota la confianza que el objetivo ya tiene en el sitio que visita.

El término se formalizó como técnica de ataque en 2011, cuando investigadores de seguridad documentaron la metodología usada por grupos avanzados de amenaza persistente (APT). A diferencia de los ataques masivos que apuntan a cualquier usuario, el watering hole es altamente selectivo: el atacante estudia el comportamiento de la víctima, mapea qué sitios frecuenta y ataca esos sitios específicos.

Cómo funciona el ataque en la práctica

El proceso tiene cuatro etapas distintas:

1. Reconocimiento: el atacante identifica al grupo objetivo (empleados de una empresa, miembros de una comunidad religiosa, investigadores de un sector) y mapea los sitios que esas personas visitan con regularidad — foros especializados, sitios de asociaciones profesionales, páginas gubernamentales.
2. Compromiso del sitio: el intruso explota vulnerabilidades en el sitio elegido — plugins desactualizados, CMS sin parchear, credenciales de administrador débiles — e inyecta código malicioso sin alterar el contenido visible. El sitio sigue funcionando con normalidad para cualquier visitante.
3. Entrega selectiva del payload: el código inyectado muchas veces verifica la IP, el sistema operativo o el navegador del visitante antes de actuar. Si el perfil no coincide con el objetivo deseado, no pasa nada. Si coincide, el malware se entrega — vía drive-by download (sin clic del usuario) o disfrazado de actualización legítima.
4. Espera: el atacante no necesita hacer nada más. El sitio comprometido trabaja por él, infectando a las víctimas a medida que llegan de forma natural.

El malware entregado varía según el objetivo: puede ser un Remote Access Trojan (RAT) para control remoto del equipo, un malware fileless que corre directo en memoria sin dejar archivo en disco, o un spyware de robo de credenciales.

Por qué es tan difícil de detectar

La eficacia del watering hole viene de dos factores que trabajan juntos contra el defensor:

Origen confiable: el tráfico malicioso parte de un dominio que el sistema de seguridad ya clasifica como legítimo. Las herramientas de filtrado de URL, firewalls y soluciones de proxy ven solo una solicitud normal hacia un sitio conocido. No hay dominio sospechoso, no hay IP de mala reputación.

Bajo volumen: como el ataque es selectivo, el número de víctimas infectadas desde cada sitio comprometido es pequeño. Esto reduce la posibilidad de detección por anomalía de tráfico — no hay pico que dispare alertas de seguridad.

Según Malwarebytes, ataques de este tipo suelen pasar meses sin ser descubiertos. En casos documentados, el compromiso duró más de dos años antes de cualquier detección.

Casos reales: quién ya usó esta técnica

Sector bancario polaco (2017)

En uno de los casos más documentados, atacantes comprometieron el sitio oficial de un organismo regulador financiero de Polonia. Cualquier empleado de banco que accediera al sitio — una fuente que consultaban de forma rutinaria para verificar normas — recibía un dropper de malware. Decenas de instituciones financieras del país fueron afectadas antes del descubrimiento.

Comunidad uigur e iOS (2017-2019)

Investigadores de Google identificaron un conjunto de sitios comprometidos que explotaban vulnerabilidades zero-day en iOS. Los sitios eran frecuentados por miembros de la comunidad uigur. La cadena de exploits permitía acceso completo al iPhone de la víctima — mensajes, ubicación, micrófono — sin ninguna interacción más allá de visitar la página. Google estima que los sitios infectaron dispositivos durante al menos dos años antes del descubrimiento.

Operación Holy Water (2019-2020)

Documentada por Kaspersky en 2020, la campaña comprometió más de diez sitios ligados a figuras religiosas, organizaciones benéficas y grupos activistas en Asia. El objetivo era la vigilancia: el malware instalado daba acceso persistente a los dispositivos de los visitantes. La selectividad era explícita — el código verificaba el perfil del visitante antes de actuar.

APT29 y sitios del gobierno de Mongolia (2023-2024)

El grupo ruso APT29 (también conocido como Cozy Bear) comprometió múltiples sitios gubernamentales de Mongolia entre noviembre de 2023 y julio de 2024, usándolos para entregar spyware a visitantes con dispositivos iOS y Android vulnerables. El grupo es el mismo asociado a ataques de compromiso de cadena de suministro en otros contextos.

Cómo protegerte

La naturaleza pasiva del ataque — no necesitas hacer clic en nada indebido — no significa que no haya defensa. Las medidas se dividen en dos frentes:

Para usuarios y equipos

• Mantener el navegador y los plugins actualizados: la mayoría de los exploits en ataques de watering hole usa vulnerabilidades conocidas en versiones desactualizadas de Chrome, Firefox, extensiones o lectores de PDF. Una actualización que postergaste es una ventana abierta.
• Desactivar JavaScript de forma selectiva: extensiones como uBlock Origin (en modo avanzado) o NoScript permiten bloquear scripts de orígenes no confiables incluso en sitios que consideras seguros. El ataque generalmente depende de JavaScript para ejecutar el payload.
• Usar un navegador con sandboxing riguroso: los navegadores basados en Chromium aíslan las pestañas entre sí y del sistema operativo. Aunque un exploit corra en el navegador, el daño al sistema es limitado.
• La VPN no resuelve esto: una VPN protege tu tráfico contra la interceptación, pero no impide que un sitio comprometido sirva malware a tu IP — el ataque ocurre después de que ya llegaste al sitio.

Para equipos de seguridad corporativa

• Monitoreo de DNS y proxy: registrar e inspeccionar todo el tráfico saliente permite identificar patrones anómalos incluso cuando el origen es un dominio confiable.
• Browser isolation: las soluciones de aislamiento de navegador remoto (RBI) ejecutan las páginas en un entorno segregado — cualquier malware que se ejecute queda confinado, sin acceso a la red corporativa.
• Threat intelligence de terceros: los feeds de inteligencia de amenazas monitorean sitios frecuentados por grupos de riesgo conocidos y emiten alertas cuando uno de ellos es comprometido — a veces antes de que cualquier víctima sea infectada.
• Principio de mínimo privilegio: aunque un endpoint sea comprometido, restringir permisos de red limita el movimiento lateral del atacante.

Qué lo diferencia del phishing

¿El watering hole y el phishing son lo mismo?

No. El phishing va tras la víctima con un cebo — un correo o mensaje que parece legítimo. El watering hole espera a que la víctima llegue a él, en un sitio que ya considera seguro. Entender esta diferencia importa porque las defensas son distintas: los filtros antiphishing y la educación del usuario ayudan contra el phishing, pero son ineficaces contra un ataque donde el sitio visitado es genuinamente el que la víctima espera que sea.

La comparación más útil es con los ataques de phishing tradicional: mientras el phishing explota la ingenuidad o la prisa de la víctima, el watering hole explota la rutina y la confianza construida a lo largo del tiempo. Es técnicamente más sofisticado y, en general, lo usan grupos con mayores recursos — espionaje estatal, crimen organizado de alto nivel.

Conclusión

El watering hole attack es un recordatorio de que "conozco ese sitio" no es garantía de seguridad. Los atacantes experimentados saben que el eslabón más fácil de explotar no es la víctima directamente — es el entorno en el que ella confía. Mantener el software actualizado, especialmente el navegador y sus componentes, es la defensa más eficaz disponible para la mayoría de los usuarios. Para las organizaciones, el monitoreo de tráfico y el aislamiento de navegación cierran la brecha que las herramientas tradicionales dejan abierta.

Si quieres entender mejor cómo el malware moderno evade la detección después de instalarse, vale la pena leer sobre el fileless malware — el ataque que vive en la RAM. Ambos métodos suelen usarse juntos por grupos APT.