Cuando la cuenta es legítima y el comportamiento parece normal, la IA debe ser capaz de detectar la intención
Los ataques más peligrosos de hoy en día no provienen de desconocidos. Proceden de cuentas reales y aparecen en conversaciones habituales, con solicitudes del mismo tipo que esas cuentas suelen realizar. Una cuenta realmente comprometida supera la autenticación sin problemas, envía mensajes desde su infraestructura habitual y se comporta como siempre, porque sigue siendo la misma cuenta. La IA termina de cerrar esa brecha: permite a los ciberdelincuentes imitar con tal precisión el estilo de escritura de una persona y sus relaciones con los proveedores que incluso el contenido deja de parecer sospechoso. Solo queda algo que no se puede copiar del historial: el objetivo que persigue el mensaje.
Los ciberdelincuentes ya utilizan la IA para seleccionar objetivos y diseñar y multiplicar ataques que escapan por completo a la detección basada en patrones. Una sola campaña puede dirigirse a 50 víctimas con 50 correos distintos, cada uno redactado y personalizado para su destinatario, y adaptarse a medida que el atacante interactúa con él y se gana su confianza. No hay dos mensajes iguales. Sin embargo, todos persiguen exactamente lo mismo: una misma petición y una misma intención, repetidas 50 veces bajo 50 apariencias diferentes.
Por eso, la detección debe funcionar simultáneamente en dos niveles. En primer lugar, debe comprender el significado del mensaje, independientemente de cómo esté redactado, para identificar como una misma amenaza 50 correos diferentes que persiguen idéntico objetivo. En segundo lugar, debe comprender el contexto en el que se recibe: las relaciones, el historial y el grafo de conocimiento del remitente y el destinatario. Una misma solicitud puede ser habitual o maliciosa según quién la haga y con qué intención.
La seguridad basada únicamente en el comportamiento detecta las desviaciones respecto a un patrón habitual. Pero no puede detectar una secuencia en la que todos los pasos parecen normales y lo único malicioso es la intención que los mueve. Esta nueva era exige identificar las intenciones: no basta con saber si algo es inusual, sino que hay que entender qué se pretende conseguir.
Hoy anunciamos la nueva generación de Proofpoint Nexus, diseñada precisamente para responder a esa pregunta: el modelo de detección basado en la intención de Nexus y en la protección de usuarios con privilegios. La primera amplía el análisis de las intenciones a todos los mensajes y puntos de control. La segunda aplica ese análisis a las personas expuestas a los ataques más personalizados.
Presentamos la protección basada en la intención de Nexus
La protección basada en la intención de Nexus va más allá del comportamiento para analizar las intenciones: qué objetivo persigue un mensaje, si ese objetivo resulta creíble en su contexto y qué técnica se utiliza para alcanzarlo. Esta combinación permite detectar solicitudes fraudulentas que no encajan con la relación entre las partes, ciberdelincuentes delatados por sus técnicas y amenazas internas que utilizan accesos legítimos con fines indebidos.
Funciona en línea, antes y después de la entrega, en todos los puntos de control. Con ello, Proofpoint se convierte en el primer proveedor que combina el análisis de intenciones y del comportamiento tanto a nivel de gateway como de API. Ambas soluciones comparten información y adaptan sus detecciones de forma coordinada para identificar mensajes aparentemente normales que, de otro modo, pasarían desapercibidos pese a ocultar intenciones maliciosas.
Análisis de la intención en varios niveles, a la velocidad que exige cada decisión
Los modelos basados en el comportamiento se hacen una pregunta: ¿se sale esto de lo habitual? Ese enfoque falla ante ataques que reproducen fielmente los patrones del remitente y genera falsos positivos cuando algo es nuevo y aún no existe un patrón de referencia. El motor de IA adaptativa Nexus evalúa las intenciones en tres niveles de profundidad creciente, concebidos para aumentar el número de casos que pueden resolverse de forma autónoma, sin intervención humana:
- El nivel Flash (menos de 500 milisegundos) comprueba rápidamente si el contexto empresarial resulta creíble, contrasta el mensaje con firmas conocidas de infraestructuras y técnicas de ataque y verifica el perfil de riesgo del usuario. Los casos con un alto grado de certeza se resuelven de inmediato y en línea.
- El nivel Extended Thinking (hasta unos minutos, en una zona de aislamiento) analiza aproximadamente el 1 % de los mensajes que no pueden clasificarse con suficiente certeza en tiempo real, pero resultan lo bastante sospechosos como para justificar un examen más exhaustivo fuera de la bandeja de entrada. Examina el historial de relaciones y comunicaciones para evaluar la credibilidad del contexto empresarial, contrasta esa información con datos más amplios de inteligencia sobre amenazas para identificar patrones de campañas y tiene en cuenta el comportamiento para evaluar posibles riesgos internos que un análisis rápido no permitiría identificar con suficiente rigor.
- El nivel Deep Thinking (se activa después de la entrega cuando se denuncia un mensaje o este ha eludido la detección) reconstruye toda la interacción, incluidos el historial de comunicaciones, el alcance del posible impacto y las cuentas relacionadas, para determinar con precisión la intención que había detrás del mensaje.
Los tres niveles aprenden unos de otros. Cada amenaza identificada en un nivel más profundo plantea una pregunta: ¿se podría haber detectado antes? Si es así, los niveles más rápidos se ajustan en consecuencia. El uso conjunto del gateway y la API permite que ese aprendizaje sea bidireccional. El gateway evalúa las intenciones antes de la entrega, mientras que la API supervisa las bandejas de entrada y el tráfico este-oeste para detectar las amenazas que hayan logrado entrar y comenzado a desplazarse lateralmente. Los hallazgos se analizan durante la investigación y se utilizan para perfeccionar la detección previa a la entrega. Es un ciclo de mejora que ningún proveedor que ofrezca únicamente una API o un gateway puede completar por sí solo.
Análisis en varios niveles
Cuando los modelos de análisis de intenciones detectan una amenaza, el análisis no se limita al mensaje en cuestión. Los hallazgos se enriquecen automáticamente desde cinco perspectivas para responder a una pregunta que ninguna detección aislada puede resolver: ¿a quién más afecta?
- Individual. Se contrasta con las relaciones y el historial de cada persona, con el grado de precisión que exigen los ataques muy dirigidos o personalizados.
- Organización. Se contrasta con los patrones de la empresa afectada: quién se comunica con quién y sobre qué asuntos.
- Sector. Se compara con organizaciones del mismo sector, donde las normativas, los flujos de trabajo y los proveedores compartidos hacen que ciertas técnicas resulten mucho más fáciles de reconocer entre empresas similares que a escala mundial. Una campaña dirigida a bancos regionales puede pasar inadvertida en el tráfico mundial y, sin embargo, destacar claramente al compararla con otros bancos regionales.
Otros proveedores pueden enriquecer sus detecciones utilizando un modelo global. Sin una comunidad multinquilino, carecen de información sectorial, organizativa, grupal o individual con la que enriquecer las detecciones y no pueden ofrecer a los usuarios de alto riesgo la protección personalizada que necesitan.
Un grafo de conocimiento basado en la mayor diversidad de señales del sector
Estamos ampliando nuestro grafo de comportamiento para crear Proofpoint Knowledge Graph, que extiende la elaboración de perfiles desde los dominios hasta los grupos y usuarios individuales e incorpora modelos de temas y tono de las comunicaciones para trasladar nuevos conocimientos directamente al gateway. Su alcance se extenderá más allá de la seguridad de la colaboración al conjunto de la plataforma, incorporando señales de riesgo de los usuarios, seguridad de los datos y seguridad de la IA. Así podrá responder a preguntas que ninguna solución de seguridad del correo electrónico puede resolver por sí sola: ¿representa realmente esta persona una amenaza interna y a qué datos tiene acceso? Un mensaje aparentemente rutinario se evalúa de otra manera cuando el sistema sabe que su destinatario presenta un riesgo elevado y tiene acceso a los activos más valiosos de la organización: precisamente los usuarios asociados a una proporción desmesurada de los daños reales.
Una comunidad que detecta las amenazas antes que nadie y las bloquea en todas partes
A esto lo llamamos bucle de protección comunitaria: la red de Proofpoint abarca 3,4 millones de clientes y procesa 2,37 billones de mensajes al año mediante más de 13 000 sensores de detección de intrusiones en 105 países. Como la mayoría de las grandes empresas del mundo envían correos a nuestros clientes, podemos detectar cuentas comprometidas incluso en organizaciones que no son clientes nuestras, incluidos sus proveedores. Ningún competidor puede igualar este nivel de visibilidad. Cada detección, investigación o notificación de un usuario se evalúa para determinar si puede proteger al conjunto de la comunidad. En cuestión de minutos, y no de días, los resultados se aplican a toda la red para mejorar la detección sin que los clientes tengan que configurar, ajustar ni mantener nada.
El motor de IA adaptativa de Nexus está incluido en la solución de seguridad del correo electrónico que los clientes de Proofpoint ya tienen contratada. Su despliegue comenzará en el primer trimestre de 2027, con algunas excepciones para clientes con requisitos específicos de residencia de datos.
Presentación de la protección de usuarios con privilegios
Los objetivos de alto valor se enfrentan a ataques distintos: tan personalizados que eluden la detección y diseñados para no repetirse, de modo que los modelos basados en grandes poblaciones de usuarios carecen de patrones de los que aprender. Un intento de suplantación dirigido a un director financiero puede no parecerse a ningún otro mensaje del tráfico mundial de correo electrónico. Solo al examinar de cerca la relación concreta entre las partes se puede descubrir que ese mensaje no encaja.
Precisamente para eso se ha diseñado la protección de usuarios con privilegios. Esta nueva funcionalidad crea un modelo de amenazas individual para cada usuario de alto riesgo a partir de sus relaciones, flujos de trabajo y patrones de comunicación reales, en lugar de compararlo con el conjunto de los usuarios. Detecta ataques personalizados y multimodales concebidos para eludir los métodos tradicionales de detección. Además, va más allá del fraude por correo electrónico para bloquear comunicaciones no deseadas dirigidas a personas concretas, mediante el análisis conjunto de texto, voz, vídeo e imágenes.
Presentación del agente de investigación de amenazas
El agente Proofpoint Satori Investigation Agent puede activarse automáticamente cuando algo requiere un examen más detallado. Analiza la telemetría de Proofpoint y datos de terceros, incluidos sistemas de identidad, endpoints, navegadores, SIEM, proxies web y otras herramientas conectadas mediante MCP, para reconstruir el ataque, establecer su cronología y alcance y recomendar o ejecutar una respuesta. Los analistas reciben una investigación completa, en lugar de tener que correlacionar por su cuenta un conjunto de alertas. Cada investigación alimenta también un proceso de mejora continua: lo aprendido de los falsos positivos, los falsos negativos y las notificaciones de los propios clientes se incorpora a la lógica de detección para reducir la probabilidad de que se repitan los mismos fallos.
Satori investiga y actúa al mismo tiempo. Las medidas de contención de menor riesgo se ejecutan automáticamente: retirar los mensajes de phishing ya enviados desde una cuenta comprometida, eliminar los mensajes maliciosos que permanecen en las bandejas de entrada, borrar las reglas de correo creadas por el atacante e incluir las URL maliciosas en una lista de bloqueo. Las acciones de mayor riesgo (como restablecer credenciales, revocar sesiones, añadir cuentas a una lista de vigilancia, asignar formación de seguimiento o reforzar la inspección del correo saliente) quedan pendientes de aprobación con un solo clic. Así, las decisiones que requieren criterio siguen contando con supervisión humana.
Es el mismo razonamiento basado en las intenciones, pero aplicado a la inversa: en lugar de decidir si debe entregarse un mensaje, Satori determina qué ha hecho el atacante que consiguió superar las defensas y utiliza lo aprendido para mejorar la detección de futuros ataques.
Otra forma de medir el éxito
Durante años, la eficacia de la detección se ha medido por los falsos positivos y los falsos negativos. Pero ese criterio ya no basta para evaluar un sistema concebido para reducir la distancia entre lo que los ciberdelincuentes son capaces de hacer y lo que los equipos de seguridad pueden detectar. Ahora importan otras métricas: cuántos casos se resuelven de forma autónoma, cuánto tarda una amenaza detectada en cualquier punto en convertirse en protección para todos, qué proporción de la superficie de ataque real puede supervisarse tanto en el correo electrónico como en el navegador y si los usuarios que concentran más riesgo reciben también una protección proporcionalmente mayor.
La detección basada en el comportamiento y la detección basada en las intenciones no son enfoques incompatibles, pero solo el segundo puede responder a gran escala a los ataques que definen esta nueva etapa. La cuenta es real. El comportamiento es normal. La intención, no. Eso es lo que comparten todas las variantes de estos ataques, desde una solicitud fraudulenta de transferencia bancaria en una conversación habitual hasta un script que extrae discretamente credenciales de una sesión del navegador. Proofpoint está desarrollando una IA capaz de interpretar las intenciones allí donde importa: en el gateway, en la bandeja de entrada y, ahora también, de forma individualizada para quienes más lo necesitan.
¿Quiere descubrir cuántas de estas amenazas están consiguiendo superar sus defensas? Solicite una evaluación rápida y gratuita de los riesgos del correo electrónico y descubra qué amenazas pasan inadvertidas con su configuración actual.