Qué muestra este mapa de ciberataques
El 21 de octubre de 2016 una red de cámaras y routers domésticos infectados con Mirai atacó al proveedor de DNS Dyn y dejó inaccesibles varios sitios conocidos. Ninguno de esos aparatos era de un delincuente. Esa es la idea que conviene tener presente al mirar este mapa de ciberataques: muestra dónde está la infraestructura maliciosa, no quién la dirige.
El color de cada país depende del número de direcciones IP distintas que alojaron malware o infraestructura de botnets y fueron reportadas en los últimos siete días. Un país en tono intenso tuvo muchos servidores señalados; uno pálido, pocos o ninguno. Los pulsos animados marcan los países con al menos un reporte nuevo en las últimas 24 horas.
Debajo del mapa están las cifras de Ecuador para los últimos 30 días: cuántos servidores aparecieron en el espacio de direcciones ecuatoriano, cuántos reportes se asociaron a ellos y el total de América Latina y el Caribe. La tabla de titulares de red indica qué empresas u organizaciones tienen registradas las direcciones donde se encontró cada servidor.
La segunda tabla compara los países de la región en esos mismos 30 días, con el número de servidores, de reportes y las familias de malware más vistas en cada uno. El gráfico de barras final cuenta, día por día, los servidores reportados en América Latina, lo que permite distinguir una campaña puntual de una presencia constante.
De dónde salen los datos: abuse.ch y los registros regionales
Los datos proceden de abuse.ch, un proyecto comunitario de inteligencia sobre amenazas que trabaja con Spamhaus y reúne aportes de unos 15.000 investigadores. Se usan tres de sus listados públicos: URLhaus, que recoge las direcciones web usadas para distribuir malware; ThreatFox, que reúne indicadores de compromiso asociados a malware; y Feodo Tracker, dedicado a servidores de control de botnets.
Feodo Tracker merece una aclaración. Seguía a familias como Emotet, Dridex, TrickBot, QakBot y BazarLoader, y su propia página informa que sus conjuntos de datos están vacíos. La causa son las operaciones policiales contra Emotet en 2021 y la Operación Endgame en 2024. Que esa fuente esté vacía es, en este caso, una buena noticia.
Para asignar cada servidor a un país se cruza su IP con las asignaciones IPv4 publicadas por los cinco registros regionales de internet: LACNIC para América Latina y el Caribe, ARIN para Norteamérica, RIPE NCC para Europa y Oriente Medio, APNIC para Asia y el Pacífico y AFRINIC para África. Cada uno publica qué bloques entregó y a qué país.
Este mapa de ciberataques tiene un límite deliberado: solo cuentan las entradas que incluyen una dirección IP; los reportes que señalan únicamente un nombre de dominio quedan fuera, porque un dominio puede cambiar de servidor varias veces al día. Los datos se recalculan cada día, así que el mapa resume la situación reciente.
Cómo leer un mapa de ciberataques sin sacar conclusiones falsas
La primera trampa es confundir alojamiento con nacionalidad. Un grupo de ransomware puede operar desde un país y alquilar servidores en otro, pagar con criptomonedas y cambiar de proveedor cada semana. Que un país aparezca intenso indica que en sus redes hay muchos equipos señalados, a menudo en grandes centros de datos, no que sus ciudadanos ataquen más.
La segunda trampa es suponer que el país del registro es el lugar físico del equipo. Un bloque de direcciones se registra a nombre de una organización con sede en un país, que puede usarlo en centros de datos de otros continentes. Con los grandes proveedores de nube ocurre a menudo.
La tercera es olvidar quién reporta. URLhaus y ThreatFox dependen de lo que investigadores y empresas envían, y algunos sistemas automáticos vigilan ciertos tipos de malware mejor que otros. Una familia muy perseguida aparece mucho; una que pasa inadvertida puede no aparecer. El mapa refleja la infraestructura conocida, que siempre es una parte de la real.
Ecuador en el mapa: pocos servidores no significa pocos ataques
Ecuador suele aparecer con pocos servidores reportados frente a los países donde se concentra el alojamiento comercial de internet. Tiene sentido: el país cuenta con pocos centros de datos en comparación, y muchas empresas ecuatorianas contratan su alojamiento en proveedores extranjeros. El mapa de ciberataques mide la oferta de infraestructura, no la demanda de víctimas.
Las cifras de ataques recibidos dicen otra cosa. Kaspersky contó 402 mil bloqueos de ataques contra celulares en Ecuador entre agosto de 2023 y julio de 2024, tercer puesto de América Latina. ESET situó al país como el primero de la región en detecciones de phishing en su informe de 2023. Ecuador recibe mucho más de lo que aloja.
Un servidor en Ecuador no suele ser una máquina alquilada por un delincuente. Es habitual que las entradas de Mirai o Mozi correspondan a routers, cámaras o grabadores infectados que reparten el archivo a otros equipos. Por eso no sorprende ver en la tabla de titulares a proveedores de internet residencial en lugar de empresas de alojamiento.
Una observación al margen: los proveedores con más clientes aparecen más por pura estadística, porque tienen más equipos conectados. Comparar a un operador grande con uno pequeño por el número bruto de servidores lleva a conclusiones injustas. Para ver qué bloques tiene cada titular en el país, el mapa de direcciones IP de Ecuador los dibuja uno por uno.
Los mapas de ciberataques en tiempo real de los fabricantes
Quien busca un mapa de ciberataques en tiempo real suele llegar a las versiones de los fabricantes. Kaspersky mantiene Cybermap, Fortinet publica el Outbreak Threat Map de FortiGuard Labs, Check Point tiene su Live Cyber Threat Map y Radware el suyo. Todos dibujan líneas luminosas entre países sobre un globo oscuro, y todos siguen en línea en 2026.
Lo que muestran depende de cada fabricante. Kaspersky detalla sus fuentes: detecciones al abrir o guardar archivos, análisis manuales, antivirus de correo y web, detección de intrusiones, vulnerabilidades, antispam y ransomware, contadas desde las 00:00 GMT. Es decir, ataques que vio su propio software instalado en equipos de clientes, no el total de ataques que circulan por internet.
Las líneas animadas son lo más engañoso. El origen es la IP de la máquina que lanzó el intento, casi siempre un equipo comprometido, un proxy o un servidor alquilado. Dibujar una flecha de un país a otro sugiere una atribución que los datos no permiten. Como ilustración del volumen funcionan bien; como mapa de responsables, no.
El ejemplo histórico es Norse, cuyo mapa animado fue durante años el más citado del sector. En enero de 2016 Brian Krebs informó que la empresa se estaba desmoronando y describió su mapa como un atractivo visual que pretendía seguir ataques casi en tiempo real. La lección vale para todos: un mapa espectacular no garantiza datos sólidos.
Familias de malware que aparecen en la tabla
Mirai apareció en agosto de 2016 e infecta dispositivos con Linux, sobre todo cámaras IP y routers domésticos. Busca equipos con Telnet abierto en los puertos 23 y 2323 y prueba más de sesenta combinaciones de usuario y contraseña de fábrica. Su código se publicó en un foro ese mismo año, y desde entonces existen numerosas variantes con otros nombres.
Mozi es una botnet que 360 Netlab detectó en septiembre de 2019 y describió en diciembre. Funciona de igual a igual sobre el protocolo DHT, así que no depende de un servidor central, y se propaga mediante contraseñas débiles de Telnet y fallos conocidos de routers Netgear, D-Link, Huawei y GPON. Reutiliza código de Gafgyt.
Las familias que llegan desde ThreatFox suelen ser distintas: troyanos de acceso remoto, ladrones de contraseñas y herramientas de control como Cobalt Strike, un programa comercial de pruebas de intrusión que los delincuentes usan en versiones pirateadas. Estas entradas sí suelen ser servidores alquilados, y su presencia en una red indica un problema más serio que un router infectado.
Emotet, QakBot, Dridex y TrickBot son las familias bancarias que seguía Feodo Tracker y que se usaron durante años como puerta de entrada al ransomware en empresas. Si alguna vuelve a aparecer en la tabla, conviene prestarle atención: significa que alguien reconstruyó infraestructura después de las operaciones policiales que la habían desmantelado.
Qué hacer si una dirección de su organización aparece
El primer paso es identificar el equipo. Cada reporte de URLhaus incluye la IP y normalmente el puerto y la ruta del archivo malicioso, lo que orienta sobre si se trata de un router, una cámara o un servidor web. El registro de asignaciones DHCP o la tabla de traducción de direcciones del firewall indican qué equipo tenía esa IP.
Después hay que limpiar y cerrar la puerta. Un router o una cámara se restauran con firmware oficial actualizado y contraseñas nuevas, y Telnet se desactiva. Un servidor web comprometido se aísla y se restaura desde una copia limpia. Si el acceso se logró por un escritorio remoto expuesto, conviene revisar la guía de acceso remoto seguro.
Por último, conviene avisar. El proveedor de internet tiene un contacto de abuso que figura en los datos de registro de LACNIC, y EcuCERT, el equipo nacional de respuesta adscrito a ARCOTEL, recibe incidentes en el teléfono 593-2 227-2179. Si el equipo guardaba datos personales, la LOPDP obliga a notificar la vulneración en el término de cinco días.
Para quien gestiona una red, abuse.ch ofrece consultas por dirección y los listados se pueden revisar cada mañana como parte de la rutina. Las herramientas de seguridad informática de monitoreo pueden automatizar esa revisión, y una regla sencilla ayuda mucho: ninguna cámara o grabador debería tener el puerto 23 accesible desde internet.