Actor de la amenaza

En ciberseguridad y evaluación de riesgos , un actor de amenazas (o agentes de amenazas , atacantes o adversarios ^{[ 1 ]} ) es una persona, grupo, organización, estado u otra entidad con la capacidad de causar, transportar, transmitir, apoyar o explotar una amenaza. ^{[ 1 ] [ 2 ]}

Los actores de amenazas se analizan comúnmente según sus motivaciones, recursos, capacidad técnica, acceso a sistemas, relación con un objetivo y grado de conexión con la autoridad estatal. Pueden explotar vulnerabilidades , realizar ingeniería social , robar o monetizar datos, interrumpir operaciones o apoyar a otros actores que realizan tales actividades. ^{[ 3 ] [ 4 ]} Debido a que el término abarca una amplia gama de actores, los investigadores y las organizaciones de seguridad utilizan taxonomías que distinguen entre grupos como ciberdelincuentes , actores vinculados al Estado , actores con motivaciones ideológicas, buscadores de emociones fuertes o trolls, personas con información privilegiada y competidores. ^{[ 5 ]}

Las clasificaciones de actores de amenazas se utilizan en la gestión de riesgos, la inteligencia sobre amenazas cibernéticas y la respuesta a incidentes para relacionar el comportamiento observado con posibles objetivos y probables actividades futuras. Las categorías no siempre son mutuamente excluyentes: un mismo actor puede combinar motivaciones criminales, ideológicas, comerciales o vinculadas al Estado, y diferentes organizaciones pueden usar nombres distintos para actores similares.

En la evaluación de riesgos, el análisis de actores de amenazas se utiliza para identificar quién o qué puede crear, transportar, transmitir, apoyar o explotar una amenaza, y cómo ese actor se relaciona con el sistema que se está evaluando. Rausand y Haugen clasifican a los actores de amenazas según su relación con el sistema, distinguiendo entre actores internos y externos, y según su intención, distinguiendo entre actores intencionales y no intencionales. ^{[ 1 ]} La clasificación de actores de amenazas también puede apoyar la investigación de incidentes. Rogers argumentó que las categorías de actores podrían inferirse a partir de puntos observables del caso, como las herramientas utilizadas, los mensajes dejados, los datos objetivo, el conocimiento forense y el grado de daño, lo que permite a los investigadores evaluar la probable motivación y el nivel de habilidad. ^{[ 6 ]}

Trabajos posteriores vincularon de manera similar la clasificación de actores con el análisis operacional. Chng, Lu, Kumar y Yau propusieron un marco que conecta los tipos de hackers, las motivaciones y las estrategias típicas, argumentando que el comportamiento observado antes o durante un ataque puede ayudar a los analistas a inferir el tipo probable de actor involucrado. ^{[ 5 ]}

A nivel estratégico, el análisis de los actores puede considerar los recursos, las capacidades, el grado de participación estatal, las motivaciones y los objetivos de un actor. ^{[ 7 ]}

El Instituto de las Naciones Unidas para la Investigación del Desarme ha descrito el panorama actual de las ciberamenazas como un conjunto de actores cada vez más diversos e interconectados, que incluyen operaciones dirigidas por estados, organizaciones ciberdelincuentes, activistas informáticos ideológicos, mercenarios cibernéticos comerciales, empresas privadas y voluntarios civiles. Su informe de 2026 argumentó que estos actores varían en recursos, sofisticación técnica y relaciones con los estados, lo que dificulta la aplicación de las distinciones tradicionales entre el papel del estado, el de los combatientes civiles y la conducta legítima e ilegítima. ^{[ 7 ]}

Las primeras taxonomías clasificaban a los hackers por actividad, habilidad, motivación o perfil criminal. Landreth propuso seis categorías basadas en la actividad: novato, estudiante, turista, intruso y ladrón. ^{[ 8 ]} Hollinger clasificó el mal uso de la computadora en piratas, navegadores y crackers, describiendo una progresión desde la actividad menos hábil hasta delitos técnicamente más graves. ^{[ 8 ]} Chantler utilizó atributos que incluían actividad, habilidad, conocimiento, motivación y duración de la participación para distinguir entre un grupo de élite, neófitos y "perdedores y cobardes". ^{[ 8 ]} Parker propuso siete perfiles de ciberdelincuentes: bromistas, hackers, hackers maliciosos, solucionadores de problemas personales, delincuentes profesionales, defensores extremos y personas descontentas, adictas e irracionales o incompetentes. ^{[ 8 ]}

In 2000, Marc Rogers proposed a taxonomy of hackers with seven, non-mutually-exclusive categories: newbie/tool kit users, cyber-punks, internals, coders, old guard hackers, professional criminals, and cyber-terrorists.^[8]

Rausand and Haugen distinguish between internal and external threat actors, and between intentional and unintentional threat actors. Internal actors have some relationship with, access to, or position inside the system or organisation, while external actors operate from outside it. Intentional actors seek to create, exploit, or support a threat event, whereas unintentional actors may cause or enable a threat event through error, negligence, accident, or lack of awareness.^[1]

Rogers later revised his hacker taxonomy into Novices, Cyber-punks, Internals, Petty Thieves, Virus Writers, Old Guard hackers, Professional Criminals, Information Warriors, and, more tentatively, Political Activists. In the model, motivation is grouped into four broad domains: curiosity, notoriety, revenge, and financial gain.^[9]

A 2022 review by Chng, Lu, Kumar and Yau examined 11 hacker typologies published over three decades and proposed a unified framework linking hacker types, motivations, and strategies. The framework identified 13 hacker types and seven motivations, and argued that observed strategies during an attack can help analysts infer the likely type of actor involved.^[10]

Taxonomies of threat actors by governments are much more likely to include state-level threat actors.

In the United States the National Institute of Standards and Technology (NIST) uses the term threat source in its risk-assessment guidance: organisations are directed to identify and characterise threat sources of concern, including capability, intent and targeting for adversarial threat sources, and the range of effects for non-adversarial threat sources.^[11] NIST treats threat-source identification as part of the risk-assessment process, alongside identifying threat events, vulnerabilities, likelihood and impact.^[11]

In the EU, European Union Agency for Cybersecurity publishes the annual ENISA Threat Landscape, which analyses cyber incidents and adversary behaviour affecting the European Union. The 2025 report analysed selected incidents from the previous year and grouped activity around cybercrime, state-aligned activity, foreign information manipulation and interference, and hacktivism.^[12]

En el análisis de ENISA de 2025, la actividad de los hacktivistas dominó los informes, representando casi el 80 % de los incidentes registrados y consistiendo principalmente en operaciones de denegación de servicio distribuidas de bajo nivel. ^{[ 12 ]} ENISA también informó de una creciente convergencia entre el hacktivismo, el cibercrimen y la actividad vinculada al Estado, incluido el uso de identidades de hacktivistas por parte de estados, la adopción de ransomware por parte de hacktivistas y actividades de falsa bandera o suplantación de identidad. ^{[ 12 ]}

En el ámbito de las Naciones Unidas, un informe de 2026 del Instituto de las Naciones Unidas para la Investigación del Desarme describió el panorama de las ciberamenazas como un conjunto de operaciones dirigidas por estados, sindicatos cibercriminales, activistas informáticos ideológicos, mercenarios cibernéticos comerciales y voluntarios civiles, con actores que varían en recursos, sofisticación técnica y vínculos con los estados. ^{[ 13 ]}

Canadá define a los actores de amenazas como estados, grupos o individuos que buscan causar daño explotando una vulnerabilidad con intención maliciosa. Un actor de amenazas debe intentar obtener acceso a sistemas de información para acceder o alterar datos, dispositivos, sistemas o redes. ^{[ 14 ]}

El Centro Nacional de Preparación y Estrategia ante Incidentes (NISC) del gobierno japonés se estableció en 2015 para crear un "ciberespacio libre, justo y seguro" en Japón. ^{[ 15 ]} El NICS creó una estrategia de ciberseguridad en 2018 que señala a los estados nación y el cibercrimen como algunas de las amenazas más importantes. ^{[ 16 ]} También indica que es necesario monitorear y comprender el uso del ciberespacio por parte de terroristas. ^{[ 16 ]}

El Consejo de Seguridad de la Federación Rusa publicó la doctrina de estrategia de ciberseguridad en 2016. ^{[ 17 ]} Esta estrategia destaca a los siguientes actores de amenazas como un riesgo para las medidas de ciberseguridad: actores estatales, ciberdelincuentes y terroristas. ^{[ 18 ] [ 17 ]}

Los ciberdelincuentes utilizan técnicas como la ingeniería social (seguridad) y el phishing , junto con exploits técnicos como el cross-site scripting , la inyección SQL y los ataques de denegación de servicio . ^{[ 19 ]}

En la práctica, las categorías de actores pueden superponerse ( Edward Snowden, por ejemplo), y una misma actividad puede combinar características asociadas con el hacktivismo, el cibercrimen y las operaciones vinculadas al Estado. Las fronteras entre el hacktivismo, el cibercrimen y la actividad vinculada al Estado se han ido difuminando, con conjuntos de herramientas compartidas, métodos superpuestos, identidades falsas, la adopción de ransomware por parte de hacktivistas y actores ciberdelincuentes o vinculados al Estado que se hacen pasar por otros grupos. ^{[ 12 ]}

El análisis de actores de amenazas también tiene limitaciones como método de gestión de riesgos. El NIST señala que las evaluaciones de riesgos dependen de su propósito, alcance, supuestos, restricciones, fuentes de información, modelo de riesgo y enfoque analítico, y que están vinculadas a plazos y contextos organizativos específicos. ^{[ 11 ]} El NIST también advierte que la simple asociación entre amenazas y vulnerabilidades puede ser indeseable o problemática cuando existen muchas amenazas y vulnerabilidades, y recomienda utilizar escenarios de riesgo para abordar algunas de esas limitaciones. ^{[ 11 ]}