MITRE ATT&CK v20: la intrusión con IA en México y las 15 nuevas estrategias de detección

QMA Research

El 13 de octubre de 2026 MITRE publicó la versión 20 de ATT&CK, el catálogo de tácticas y técnicas de ataque que usan como idioma común los equipos de detección, de respuesta a incidentes y de Red Team. Trae 18 técnicas y subtécnicas nuevas, 15 estrategias de detección y 38 analíticas. Para una organización mexicana, lo más relevante no es una técnica sino una campaña: la C0064, la intrusión asistida por inteligencia artificial contra instituciones del gobierno de México entre diciembre de 2025 y febrero de 2026, que llegó hasta un organismo municipal de agua.

Revisamos la versión sobre los datos que publica MITRE, no sobre los resúmenes. Lo que sigue es qué entró, qué se puede detectar con lo que una organización ya tiene y qué todavía no.

C0064: el caso mexicano ya tiene número de campaña

MITRE describe la campaña C0064 así: operadores humanos usaron Claude Code, de Anthropic, y GPT-4.1, de OpenAI, para hacer reconocimiento, explotar vulnerabilidades, escalar privilegios, cosechar credenciales y extraer información. La ficha enlista al SAT, al Gobierno del Estado de México, al Registro Civil de la Ciudad de México, al Gobierno de Jalisco, al INE, al Gobierno de Michoacán, a Servicios de Agua y Drenaje de Monterrey, al Gobierno de Tamaulipas y a la Secretaría de Salud de la Ciudad de México. La propia MITRE advierte que la información pública es parcial y que la campaña no debe tomarse como completa.

El origen es la investigación de Gambit Security, que a finales de febrero recuperó materiales del atacante y en abril publicó su informe técnico. Gambit sumó a Dragos para analizar la intrusión en Agua y Drenaje de Monterrey, y el informe de Dragos, en su versión de mayo, es la fuente que cita MITRE. Conviene tener presente la otra parte: el 25 de febrero de 2026 el SAT informó que revisó las bitácoras de sus sistemas y no identificó accesos ilegítimos ni comportamiento anómalo, y el INE también negó que sus sistemas hubieran sido vulnerados.

Lo que encontró Dragos en el organismo de agua

El informe de Dragos es el más útil para quien opera infraestructura, porque describe con detalle qué hizo la IA y qué no logró:

1. El compromiso del entorno de TI del organismo ocurrió en enero de 2026, probablemente por un servidor web vulnerable o por credenciales robadas. Dragos analizó más de 350 artefactos, en su mayoría scripts y herramientas escritos por la IA.
2. La herramienta central fue un script de Python de unas 17,000 líneas y 49 módulos, que la propia IA bautizó BACKUPOSINT v9.0 APEX PREDATOR. MITRE lo registró como el software S9045. Reúne técnicas públicas de enumeración de red, robo de credenciales, consulta de Active Directory, acceso a bases de datos, escalamiento de privilegios y movimiento lateral. El servidor de comando y control pasó de un controlador HTTP básico a uno de calidad de producción en dos días.
3. Al mapear la red interna, la IA identificó una interfaz web de vNode, una plataforma SCADA e IIoT que sirve de puente entre la operación y TI. La clasificó como objetivo de alto valor sin que nadie le diera contexto industrial y propuso un rociado de contraseñas con credenciales por defecto, combinaciones con nombres del entorno y contraseñas reutilizadas de otras dependencias. Hubo dos rondas y las dos fallaron. Dragos no encontró evidencia de acceso al entorno operativo.
4. Según los registros que recuperó Gambit, la IA dirigió cerca del 75 % de la ejecución remota de comandos. El operador sorteó los controles de los modelos presentando sus peticiones como una prueba de penetración autorizada, escribía en español y no se ha vinculado con ningún grupo conocido.

La conclusión de Dragos es la que sirve para planear. La IA no inventó técnicas nuevas ni capacidades específicas contra sistemas industriales. Lo que hizo fue reducir el tiempo, el esfuerzo y la pericia necesarios para aplicar técnicas conocidas, y el éxito dependió de fallas básicas de TI. La IA no vuelve más sofisticado al atacante, lo vuelve más rápido y más barato, y con eso las debilidades de siempre se explotan con más frecuencia. Es el mismo patrón que vimos en el ransomware construido con IA que automatiza la evasión de EDR y el descubrimiento de Active Directory.

Las 15 estrategias de detección nuevas

Desde la versión 18, ATT&CK organiza la defensa en estrategias de detección, identificadas como DET, que ligan cada técnica con los datos que hay que recolectar y con analíticas concretas que los usan. La versión 20 agrega seis para entornos corporativos y nueve para entornos industriales (ICS):

Cuatro de las seis corporativas reconocen que la víctima no lo ve

Al leer las analíticas una por una aparece algo que los resúmenes no cuentan. En la estrategia de envenenamiento de resultados de IA y en las tres de CAPTCHA, MITRE escribe de forma explícita que no existe una analítica conductual del lado de la víctima. En el envenenamiento, porque con la telemetría propia no se distingue a un adversario que siembra contenido público para manipular a la IA de una publicación normal, de una campaña de SEO o de información simplemente equivocada. En el CAPTCHA, porque un desafío resuelto no dice si lo resolvió una persona, un programa, un modelo de IA o un servicio que paga a personas por resolverlos.

Eso no vuelve inútiles esas estrategias, pero marca dónde está el límite. La señal la tiene el proveedor del CAPTCHA, la plataforma donde se publica el contenido o el buscador, y la organización tiene dos caminos: pedir esa señal por contrato o compensarla con controles después del desafío, como límites de intentos, verificación del dispositivo y vigilancia de las cuentas recién creadas.

Las dos estrategias corporativas que sí traen analíticas operables son las que más le sirven hoy a un centro de operaciones de seguridad.

La primera es la de contraseñas específicas de aplicación (DET0926). Son contraseñas que se generan para que una aplicación vieja o un dispositivo que no soporta MFA entre a la cuenta. MITRE cataloga ahora su robo como la técnica T1697 porque permiten iniciar sesión sin pasar por el segundo factor, una vía más para saltarse MFA junto a otras que ya revisamos, como el bypass de 2FA generado con IA. Las tres analíticas buscan lo mismo desde el proveedor de identidad, la suite de oficina y las aplicaciones SaaS: la creación de una de estas contraseñas seguida de un acceso desde un origen, dispositivo o cliente que la cuenta nunca había usado, o por un flujo de autenticación heredado que no hace MFA. Cualquier organización con Microsoft 365 o Google Workspace puede montarla con las bitácoras que ya tiene.

La segunda es la de exfiltración habilitada por IA (DET0927). La técnica T1700 describe cómo un adversario, por inyección de instrucciones o por otro medio, hace que un agente de IA corporativo use las herramientas que tiene autorizadas para sacar información. Sus analíticas piden algo que pocas organizaciones tienen hoy: un alcance de datos autorizado para cada agente y una lista de destinos permitidos. Sin esa definición no hay contra qué comparar. Es el mismo principio de negación por omisión para agentes que explicamos en La IA ya salió del navegador, y el inventario de servicios y agentes que pide el cumplimiento lo tratamos en IA en la sombra.

Lo que entra al catálogo sin estrategia de detección

Tres técnicas nuevas no tienen ninguna estrategia de detección asociada en los datos de la versión 20. Son la inyección directa de instrucciones (T1699), la inyección indirecta (T1698), que esconde instrucciones en páginas, documentos, correos, tickets o código que un agente va a leer, y el deterioro de defensas autónomas (T1685.007), que usa esa misma inyección para que un asistente de IA del SOC ignore un artefacto, no alerte o abandone su análisis. Las tres quedan nombradas, pero el catálogo todavía no dice cómo verlas. Para gestionarlas, la norma ISO/IEC 27090, publicada este mismo octubre, ya da guía sobre estas amenazas en sistemas de IA.

La última merece atención si su SOC ya usa IA para clasificar alertas o analizar muestras. El texto que el atacante deja dentro de su malware puede estar escrito para el modelo que lo va a revisar, no para el analista. Cualquier flujo en el que un modelo decide si algo es malicioso necesita revisión humana en las decisiones de cierre y una forma de detectar instrucciones incrustadas en los datos que procesa.

ICS: detección que respeta cómo trabaja la planta

En el dominio industrial, la versión 20 sustituye las técnicas T0807 (interfaz de línea de comandos) y T0853 (scripting) por T1701, Command and Scripting Interpreter, con seis subtécnicas: PowerShell, Windows Command Shell, Unix shell, Visual Basic, Python y JavaScript. Con eso un mapeo puede decir qué intérprete usó el adversario. También agrega dos subtécnicas de comando y control dentro de T0869: DNS y protocolos publicar/suscribir como MQTT, que el adversario usa para confundirse con el tráfico que la red industrial ya tiene.

Lo más valioso está en cómo se escribieron las 22 analíticas industriales nuevas. Están ajustadas para dejar fuera el software del fabricante, los flujos de ingeniería y el mantenimiento aprobado, y solo alertan cuando la ejecución viola una lista autorizada de firmantes, rutas, procesos padre o herramientas, o viene de un usuario no autorizado y está ligada a un activo de operación. En DNS y en MQTT la condición es parecida: no basta el volumen ni la periodicidad, tiene que haber una violación de la matriz de comunicación documentada. Las estrategias industriales indican además a qué plataformas aplican (Windows, Linux, equipos de red y sistemas embebidos) y a qué activos, para saber si sirven en una estación de ingeniería, en un PLC o en ambos.

La consecuencia práctica es que estas analíticas solo funcionan si existe la línea base: inventario de activos, lista de software y herramientas aprobadas por activo y la matriz de qué equipo habla con cuál. Sin ese trabajo previo se convierten en las mismas alertas ruidosas que los ingenieros de planta aprendieron a ignorar. En manufactura, donde el ransomware ya llegó a plantas en México, ese inventario es además la base de la respuesta.

La versión 20 trae una segunda campaña de agua, la C0066, contra más de 30 organismos de agua y saneamiento de Minnesota a partir del 27 de julio de 2026. Ahí el adversario entró a PLC expuestos a internet a través de módems celulares en tanques y cárcamos, y les cambió la dirección IP y la contraseña para dejar fuera a los operadores. No ha sido atribuida formalmente. Es la misma clase de objetivo que en los ataques contra PLC y SCADA que analizamos antes.

Qué revisar en su organización

1. La versión de ATT&CK de su mapeo. Si su SIEM, su servicio de detección gestionada o sus reportes de Red Team siguen mapeando contra la versión 18 o anterior, no tienen las tácticas Stealth y Defense Impairment que la versión 19 separó de Defense Evasion, ni nada de lo que describe este artículo. Pregunte en qué versión está cada herramienta y cada proveedor.
2. Contraseñas de aplicación. Saber quién las tiene, desactivarlas donde no hagan falta, retirar la autenticación heredada y alertar sobre su creación.
3. Agentes de IA. Definir, por agente, qué datos puede leer y a qué destinos puede enviar. Esa definición es la condición previa de la analítica de exfiltración.
4. La frontera entre TI y operación. Buscar interfaces web de supervisión con una sola contraseña alcanzables desde la red corporativa, credenciales por defecto y contraseñas reutilizadas. Es el camino que la IA propuso en Monterrey. Dragos recomienda además visibilidad del tráfico este-oeste dentro de la red de control y los cinco controles críticos de SANS para ciberseguridad industrial.
5. Evidencia. Cuando un incidente se conoce por un reporte externo, la organización necesita confirmarlo o descartarlo con sus propias bitácoras. La retención, la integridad y la cadena de custodia se preparan antes del incidente, no durante.
6. Emulación. Un ejercicio de Red Team que incluya rociado de contraseñas contra interfaces de operación, abuso de contraseñas de aplicación e inyección de instrucciones contra los agentes internos mide la detección contra lo que la versión 20 acaba de catalogar.

Preguntas frecuentes

¿Qué es MITRE ATT&CK v20?

Es la versión del 13 de octubre de 2026 del catálogo de tácticas y técnicas de adversarios que mantiene MITRE. Agrega nueve técnicas corporativas, nueve industriales, 15 estrategias de detección y 38 analíticas, además de campañas, grupos y software nuevos. MITRE mantiene otros marcos con la misma lógica, como el Fight Fraud Framework para el fraude digital.

¿Qué es una estrategia de detección en ATT&CK?

Es un objeto, identificado como DET, que liga una técnica con los datos que hay que recolectar para verla y con las analíticas que usan esos datos. Existen desde la versión 18, y en la versión 20 las de ICS indican las plataformas y los activos a los que aplican.

¿Qué es la campaña C0064?

Es la intrusión asistida por IA contra instituciones del gobierno de México entre diciembre de 2025 y febrero de 2026, documentada por Gambit Security y Dragos e incorporada por MITRE en la versión 20. El SAT y el INE negaron haber sido vulnerados.

¿La IA atacó sola?

No. MITRE y Dragos describen operadores humanos que usaron modelos comerciales para planear, programar herramientas y analizar datos. Según Gambit, cerca del 75 % de la ejecución remota de comandos la dirigió la IA, pero la operación la conducía una persona.

¿Qué es una contraseña específica de aplicación y por qué evade MFA?

Es una contraseña que se genera para que una aplicación o un dispositivo que no soporta MFA entre a una cuenta. Como no pide segundo factor, robarla o convencer al usuario de entregarla permite entrar sin pasar por MFA. MITRE la cataloga como T1697.

¿Se puede detectar la inyección de instrucciones con ATT&CK v20?

Todavía no con una estrategia de MITRE. Las técnicas T1698 y T1699 entraron al catálogo sin estrategia de detección. Hoy la defensa depende de limitar lo que un agente puede leer y hacer, y de registrar cada una de sus acciones.

En QMA operamos detección y respuesta gestionada, forensia digital y respuesta a incidentes y ejercicios de Red Team con técnicas mapeadas a MITRE ATT&CK. Si quiere saber contra qué versión de ATT&CK se mide hoy su detección y qué le falta de la versión 20, hablemos.

Fuentes: MITRE ATT&CK, notas de la versión de octubre de 2026, registro detallado de cambios y fichas de C0064, C0066 y S9045. Amy L. Robertson, ATT&CK v20: Critical Infrastructure Campaigns, Adversary Use and Abuse of AI, & Iranian Cyber Espionage, blog oficial de MITRE ATT&CK. Jay Deen, Dragos, AI-Assisted Compromise of Mexican Water Utility with OT Implications, mayo de 2026. Gambit Security, The AI-Assisted Breach of Mexico’s Government Infrastructure, abril de 2026. Comunicado del SAT del 25 de febrero de 2026, reportado por Infobae. La lectura de las analíticas se hizo sobre los datos STIX de la versión 20. Este análisis es una elaboración original de QMA Research.