Actor de la amenaza

En ciberseguridad y evaluación de riesgos, un actor de amenazas (o agentes de amenazas , atacantes o adversarios ^{[ 1 ]} ) es una persona, grupo, organización, estado u otra entidad con la capacidad de causar, transportar, transmitir, apoyar o explotar una amenaza. ^{[ 1 ] [ 2 ]}

Los actores de amenazas se analizan comúnmente según sus motivaciones, recursos, capacidad técnica, acceso a sistemas, relación con un objetivo y grado de conexión con la autoridad estatal. Pueden explotar vulnerabilidades , realizar ingeniería social , robar o monetizar datos, interrumpir operaciones o apoyar a otros actores que realizan tales actividades. ^{[ 3 ] [ 4 ]} Debido a que el término abarca una amplia gama de actores, los investigadores y las organizaciones de seguridad utilizan taxonomías que distinguen entre grupos como ciberdelincuentes , actores vinculados al Estado , actores con motivaciones ideológicas, buscadores de emociones fuertes o trolls, personas con información privilegiada y competidores. ^{[ 5 ]}

Las clasificaciones de actores de amenazas se utilizan en la gestión de riesgos, la inteligencia sobre amenazas cibernéticas y la respuesta a incidentes para relacionar el comportamiento observado con posibles objetivos y probables actividades futuras. Las categorías no siempre son mutuamente excluyentes: un mismo actor puede combinar motivaciones criminales, ideológicas, comerciales o vinculadas al Estado, y diferentes organizaciones pueden usar nombres distintos para actores similares.

En la evaluación de riesgos, el análisis de actores de amenazas se utiliza para identificar quién o qué puede crear, transportar, transmitir, apoyar o explotar una amenaza, y cómo ese actor se relaciona con el sistema que se está evaluando. Rausand y Haugen clasifican a los actores de amenazas según su relación con el sistema, distinguiendo entre actores internos y externos, y según su intención, distinguiendo entre actores intencionales y no intencionales. ^{[ 1 ]} La clasificación de actores de amenazas también puede apoyar la investigación de incidentes. Rogers argumentó que las categorías de actores podrían inferirse a partir de puntos observables del caso, como las herramientas utilizadas, los mensajes dejados, los datos objetivo, el conocimiento forense y el grado de daño, lo que permite a los investigadores evaluar la probable motivación y el nivel de habilidad. ^{[ 6 ]}

Trabajos posteriores vincularon de manera similar la clasificación de actores con el análisis operacional. Chng, Lu, Kumar y Yau propusieron un marco que conecta los tipos de hackers, las motivaciones y las estrategias típicas, argumentando que el comportamiento observado antes o durante un ataque puede ayudar a los analistas a inferir el tipo probable de actor involucrado. ^{[ 5 ]}

A nivel estratégico, el análisis de los actores puede considerar los recursos, las capacidades, el grado de participación estatal, las motivaciones y los objetivos de un actor. ^{[ 7 ]}

El Instituto de las Naciones Unidas para la Investigación del Desarme ha descrito el panorama actual de las ciberamenazas como un conjunto de actores cada vez más diversos e interconectados, que incluyen operaciones dirigidas por estados, organizaciones ciberdelincuentes, activistas informáticos ideológicos, mercenarios cibernéticos comerciales, empresas privadas y voluntarios civiles. Su informe de 2026 argumentó que estos actores varían en recursos, sofisticación técnica y relaciones con los estados, lo que dificulta la aplicación de las distinciones tradicionales entre el papel del estado, el de los combatientes civiles y la conducta legítima e ilegítima. ^{[ 7 ]}

Las primeras taxonomías clasificaban a los hackers por actividad, habilidad, motivación o perfil criminal. Landreth propuso seis categorías basadas en la actividad: novato, estudiante, turista, intruso y ladrón. ^{[ 8 ]} Hollinger clasificó el mal uso de la computadora en piratas, navegadores y crackers, describiendo una progresión desde la actividad menos hábil hasta delitos técnicamente más graves. ^{[ 8 ]} Chantler utilizó atributos que incluían actividad, habilidad, conocimiento, motivación y duración de la participación para distinguir entre un grupo de élite, neófitos y "perdedores y cobardes". ^{[ 8 ]} Parker propuso siete perfiles de ciberdelincuentes: bromistas, hackers, hackers maliciosos, solucionadores de problemas personales, delincuentes profesionales, defensores extremos y personas descontentas, adictas e irracionales o incompetentes. ^{[ 8 ]}

En 2000, Marc Rogers propuso una taxonomía de hackers con siete categorías no mutuamente excluyentes: usuarios novatos/de herramientas, ciberpunks, hackers internos, programadores, hackers de la vieja guardia, delincuentes profesionales y ciberterroristas. ^{[ 8 ]}

Rausand y Haugen distinguen entre actores de amenazas internos y externos, y entre actores de amenazas intencionales y no intencionales. Los actores internos tienen alguna relación con el sistema u organización, acceso a ella o posición dentro de ella, mientras que los actores externos operan desde fuera. Los actores intencionales buscan crear, explotar o apoyar un evento de amenaza, mientras que los actores no intencionales pueden causar o permitir un evento de amenaza por error, negligencia, accidente o falta de conocimiento. ^{[ 1 ]}

Posteriormente, Rogers revisó su taxonomía de hackers y la clasificó en Novatos, Ciberpunks, Infiltrados, Pequeños Ladrones, Creadores de Virus, Hackers de la Vieja Guardia, Criminales Profesionales, Guerreros de la Información y, de forma más tentativa, Activistas Políticos. En el modelo, la motivación se agrupa en cuatro grandes dominios: curiosidad, notoriedad, venganza y beneficio económico. ^{[ 9 ]}

Una revisión realizada en 2022 por Chng, Lu, Kumar y Yau examinó 11 tipologías de hackers publicadas a lo largo de tres décadas y propuso un marco unificado que vincula los tipos de hackers, sus motivaciones y sus estrategias. El marco identificó 13 tipos de hackers y siete motivaciones, y argumentó que las estrategias observadas durante un ataque pueden ayudar a los analistas a inferir el tipo probable de actor involucrado. ^{[ 10 ]}

Es mucho más probable que las taxonomías de actores que representan una amenaza elaboradas por los gobiernos incluyan a actores que representan una amenaza a nivel estatal.

En Estados Unidos, el Instituto Nacional de Estándares y Tecnología (NIST) utiliza el término «fuente de amenaza» en su guía de evaluación de riesgos: se insta a las organizaciones a identificar y caracterizar las fuentes de amenaza preocupantes, incluyendo la capacidad, la intención y el objetivo de las fuentes de amenaza adversarias, y el rango de efectos de las fuentes de amenaza no adversarias. ^{[ 11 ]} El NIST considera la identificación de la fuente de amenaza como parte del proceso de evaluación de riesgos, junto con la identificación de eventos de amenaza, vulnerabilidades, probabilidad e impacto. ^{[ 11 ]}

En la UE, la Agencia de Ciberseguridad de la Unión Europea ( ENISA ) publica anualmente el informe Panorama de Amenazas (ENISA Threat Landscape ), que analiza los incidentes cibernéticos y el comportamiento de los adversarios que afectan a la Unión Europea. El informe de 2025 analizó incidentes seleccionados del año anterior y agrupó la actividad en torno a la ciberdelincuencia, la actividad alineada con el Estado, la manipulación e injerencia de información extranjera y el hacktivismo. ^{[ 12 ]}

En el análisis de ENISA de 2025, la actividad de los hacktivistas dominó los informes, representando casi el 80 % de los incidentes registrados y consistiendo principalmente en operaciones de denegación de servicio distribuidas de bajo nivel. ^{[ 12 ]} ENISA también informó de una creciente convergencia entre el hacktivismo, el cibercrimen y la actividad vinculada al Estado, incluido el uso de identidades de hacktivistas por parte de estados, la adopción de ransomware por parte de hacktivistas y actividades de falsa bandera o suplantación de identidad. ^{[ 12 ]}

En el ámbito de las Naciones Unidas, un informe de 2026 del Instituto de las Naciones Unidas para la Investigación del Desarme describió el panorama de las ciberamenazas como un conjunto de operaciones dirigidas por estados, sindicatos cibercriminales, activistas informáticos ideológicos, mercenarios cibernéticos comerciales y voluntarios civiles, con actores que varían en recursos, sofisticación técnica y vínculos con los estados. ^{[ 13 ]}

Canadá define a los actores de amenazas como estados, grupos o individuos que buscan causar daño explotando una vulnerabilidad con intención maliciosa. Un actor de amenazas debe intentar obtener acceso a sistemas de información para acceder o alterar datos, dispositivos, sistemas o redes. ^{[ 14 ]}

El Centro Nacional de Preparación y Estrategia ante Incidentes (NISC) del gobierno japonés se estableció en 2015 para crear un "ciberespacio libre, justo y seguro" en Japón. ^{[ 15 ]} El NICS creó una estrategia de ciberseguridad en 2018 que señala a los estados nación y el cibercrimen como algunas de las amenazas más importantes. ^{[ 16 ]} También indica que es necesario monitorear y comprender el uso del ciberespacio por parte de terroristas. ^{[ 16 ]}

El Consejo de Seguridad de la Federación Rusa publicó la doctrina de estrategia de ciberseguridad en 2016. ^{[ 17 ]} Esta estrategia destaca a los siguientes actores de amenazas como un riesgo para las medidas de ciberseguridad: actores estatales, ciberdelincuentes y terroristas. ^{[ 18 ] [ 17 ]}

Los ciberdelincuentes utilizan técnicas como la ingeniería social (seguridad) y el phishing , junto con exploits técnicos como el cross-site scripting , la inyección SQL y los ataques de denegación de servicio . ^{[ 19 ]}

En la práctica, las categorías de actores pueden superponerse ( Edward Snowden, por ejemplo), y una misma actividad puede combinar características asociadas con el hacktivismo, el cibercrimen y las operaciones vinculadas al Estado. Las fronteras entre el hacktivismo, el cibercrimen y la actividad vinculada al Estado se han ido difuminando, con conjuntos de herramientas compartidas, métodos superpuestos, identidades falsas, la adopción de ransomware por parte de hacktivistas y actores ciberdelincuentes o vinculados al Estado que se hacen pasar por otros grupos. ^{[ 12 ]}

El análisis de actores de amenazas también tiene limitaciones como método de gestión de riesgos. El NIST señala que las evaluaciones de riesgos dependen de su propósito, alcance, supuestos, restricciones, fuentes de información, modelo de riesgo y enfoque analítico, y que están vinculadas a plazos y contextos organizativos específicos. ^{[ 11 ]} El NIST también advierte que la simple asociación entre amenazas y vulnerabilidades puede ser indeseable o problemática cuando existen muchas amenazas y vulnerabilidades, y recomienda utilizar escenarios de riesgo para abordar algunas de esas limitaciones. ^{[ 11 ]}