Resumen ejecutivo
Okta Threat Intelligence (OTI) alcanzó recientemente un hito importante: enviamos nuestra notificación número 10 000 sobre dominios sospechosos a un cliente.
Quise conmemorar este momento explicando cómo y por qué realizamos este importante trabajo.
También quiero compartir algunas investigaciones que hemos realizado para demostrar lo únicas que son estas notificaciones. La gran mayoría (más del 80 %) de los indicadores de compromiso que identificamos y compartimos en estas notificaciones a los clientes no fueron marcados como sospechosos por otros proveedores de servicios en ese momento.
Por qué hacemos un esfuerzo adicional
La visión de Okta es que todo el mundo pueda utilizar cualquier tecnología de forma segura, y OTI desempeña un papel activo en el avance de ese objetivo. Okta es el mayor proveedor de identidades del mundo y nos tomamos muy en serio las obligaciones que conlleva esa posición.
OTI es un equipo multidisciplinario de profesionales de la seguridad dedicado a investigar, rastrear y mitigar las amenazas. Ofrecemos información, asesoramiento experto y soporte a nuestros clientes y a la Comunidad en general.
Cada minuto de cada día, los actores de amenazas de todo el mundo intentan atacar a organizaciones que pertenecen a sectores de alto riesgo. Sus motivos varían enormemente, desde el beneficio económico hasta el espionaje patrocinado por el Estado. Como proveedor de identidades elegido por algunas de las organizaciones más seguras y sensibles del mundo, Okta está bien posicionada para detectar, dar seguimiento y mitigar las amenazas centradas en la identidad.
Nuestras investigaciones suelen comenzar rastreando la infraestructura de internet que los actores de amenazas instalan como parte de campañas más amplias para manipular socialmente a los usuarios. También obtenemos información valiosa y avisos de nuestros clientes y Organizations afines, compartiendo y recibiendo Threat Intelligence para construir una comprensión colectiva de las mismas. Ninguna organización puede hacer esto sola. Cada uno de nosotros posee una pieza del panorama general sobre cómo operan los actores de amenazas, y compartirla es de vital importancia.
Nuestras investigaciones publicadas sobre paneles de phishing novedosos controlados por operadores como Work Panel y plataformas de phishing AitM como VoidProxy son dos ejemplos que vienen a la mente donde nuestro trabajo no solo enumeró la infraestructura del atacante, sino que también ayudó a explicar al mundo cómo funcionan estas amenazas.
Notificaciones de seguridad
Nuestras notificaciones de actividad sospechosa más comunes se refieren a la actividad sospechosa en dominios y a la actividad sospechosa en cuentas de usuario.
Actividad sospechosa en el dominio
Enviamos notificaciones de actividad sospechosa en dominios cuando identificamos registros de dominio o configuraciones de infraestructura que, según nuestra evaluación, indican con certeza la intención de atacar a una organización protegida por Okta. Supervisamos diversas fuentes de inteligencia, tanto abiertas como comerciales, junto con la telemetría de nuestra propia plataforma, para dar seguimiento a nueva infraestructura a medida que los actores de amenazas se preparan para lanzar campañas. Cuando se dan las condiciones ideales, podemos avisar con antelación a los clientes antes de que se lance una campaña.
En ocasiones, el vínculo entre un dominio o subdominio es explícito. En otros casos, el vínculo con la organización del cliente es más sutil, como por ejemplo el contenido visible en el sitio web o el que se encuentra dentro del DOM de la página de phishing. Siempre que sea posible, proporcionamos enlaces a los resultados de URLScan para una página, de modo que el equipo de seguridad del cliente pueda analizar el sitio por sí mismo.
Actividad sospechosa en la cuenta
Enviamos una notificación por separado si Okta Threat Intelligence identifica alguna interacción del usuario con la infraestructura que asociamos con actores de amenazas. El uso de la palabra “sospechoso” es muy deliberado: nuestra capacidad para saber qué se considera sospechoso en el entorno de un cliente es limitada. Dicho esto, los comentarios de los clientes a lo largo de los años han generado confianza en que estas notificaciones marcan una verdadera diferencia, ya sea como el aviso inicial que da comienzo a una investigación o como una señal adicional que informa la respuesta en curso ante un incidente. Los clientes nos comentan con frecuencia que nuestro sistema de alerta temprana les permitió actuar antes de que un actor de amenazas pudiera causar daños. ¡A nuestro equipo no hay nada que le guste más oír!
Estas notificaciones llegan a los clientes a través de sus contactos principales de seguridad, un rol que los clientes pueden definir en el Centro de Soporte de Okta. Estos correos electrónicos proporcionan información útil, indicadores de compromiso (IoC) y consejos para que un equipo de seguridad o de identidad actúe para protegerse e investigar actividades sospechosas. Cuando están disponibles, proporcionamos enlaces a avisos sobre amenazas con información más detallada sobre el actor de amenazas, la campaña o las tácticas, técnicas y procedimientos (TTP) involucrados.
Una fuente de inteligencia única
Una pregunta que nos hacen con frecuencia es por qué creemos que los indicadores que identificamos son maliciosos, ya que los dominios y las direcciones IP a menudo no se reportan como maliciosos en VirusTotal, una plataforma confiable de Threat Intelligence que se basa en una amplia gama de proveedores de seguridad e Threat Intelligence.
Todos los indicadores identificados y monitoreados por OTI se identifican en el curso de nuestras propias investigaciones y estudios sobre amenazas. Realizamos este análisis de forma continua, identificando y rastreando los grupos de actividad amenazante a medida que van surgiendo. El resultado es un flujo distintivo de Threat Intelligence centrada en la identidad.
Recientemente realizamos un análisis sobre la singularidad de nuestros IoC comparándolos con los datos disponibles sobre ellos en VirusTotal. Queríamos saber qué porcentaje de los indicadores que identificamos ya estaban marcados como maliciosos en VirusTotal en el momento en que notificamos a los clientes.
Los resultados fueron sorprendentes: el 83 % de los indicadores que confirmamos como maliciosos no se habían detectado previamente en ningún otro lugar. Del resto, el 14 % tenía solo entre una y cuatro fuentes, y apenas el 3 % tenía más de cuatro.
Los indicadores identificados por nuestros investigadores se incorporan a Okta Identity Threat Protection (ITP), lo que brinda a los clientes de Okta la oportunidad de establecer saneamiento en línea (generar incidencias en el SOC, restablecer contraseñas, revocar sesiones, etc.) para las interacciones de los usuarios con infraestructuras maliciosas conocidas.
Pero no nos detenemos ahí. La seguridad de cada cliente de Okta es importante para nosotros. Notificamos a los contactos de seguridad principales de cualquier cliente de Okta que veamos que está siendo atacado, o del que tengamos motivos para creer que los actores de amenazas se están preparando para atacar, independientemente del producto de Okta que compren. Enviamos 736 de estas notificaciones solo en julio de 2026.
Estamos aquí para ayudar
Al igual que muchos de los mayores proveedores de plataformas del mundo, Okta articula un modelo de responsabilidad compartida para comunicar claramente la línea divisoria entre nuestras responsabilidades de seguridad y las de nuestros clientes. Somos responsables de la seguridad de Okta Platform, mientras que nuestros clientes son responsables de la seguridad de sus organizaciones (inquilinos).
Nuestras notificaciones proactivas rozan ese límite, pero no creemos que lo hayamos traspasado por completo. Estas detecciones tienen una alta tasa de verdaderos positivos y han contribuido directamente a mitigar las amenazas contra un gran número de clientes durante cinco años, algo de lo que seguimos estando inmensamente orgullosos.
Y aunque no siempre podemos revelar la metodología que utilizamos para dar seguimiento a estos actores de amenazas, tenga en cuenta que si recibe una de nuestras notificaciones de actividad sospechosa, es el resultado del trabajo diligente de un equipo humano que se esfuerza por proteger lo más importante para Okta: nuestros clientes.
Daniel López contribuyó a esta investigación.
