Casi todas las empresas creen saber qué tienen expuesto en internet: su web, su correo, quizá su producto. La lista mental es corta y ordenada. La lista real casi nunca lo es, porque incluye cosas que se pusieron en marcha y nunca se retiraron, servicios que alguien levantó para una demo, o credenciales que acabaron en un sitio donde no deberían. La superficie de ataque externa es esa lista real, y verla como la ve un atacante suele ser una sorpresa.
Qué es la superficie de ataque externa (y por qué no coincide con tu inventario)
La superficie de ataque externa es el conjunto de todos los puntos de tu organización accesibles desde internet: dominios y subdominios, direcciones IP, servicios y puertos abiertos, APIs, certificados, paneles de acceso y cualquier dato o credencial tuya que esté publicada fuera.
La clave es que no coincide con el inventario que gestiona tu equipo. El inventario recoge lo que la empresa sabe que tiene; la superficie de ataque recoge lo que está realmente expuesto, lo sepa alguien o no. La diferencia entre ambas listas es precisamente donde ocurren la mayoría de los incidentes: en el activo que nadie estaba vigilando porque nadie recordaba que existía.
Qué suele estar expuesto sin que nadie lo sepa
Sin recurrir a cifras alarmistas, estos son los hallazgos que aparecen una y otra vez cuando se analiza la superficie externa de una empresa:
- Subdominios olvidados, apuntando a servicios antiguos o a proveedores que ya no se usan.
- Entornos de preproducción o pruebas que se publicaron para una demo o un despliegue y nunca se retiraron, a menudo con menos protección que producción.
- Almacenamiento en la nube huérfano: un bucket de un proyecto terminado, con datos dentro y permisos demasiado abiertos.
- Certificados caducados o mal configurados, que además de romper la confianza señalan servicios sin mantenimiento.
- Paneles de administración accesibles desde internet abierto, cuando deberían estar tras VPN o restringidos por IP.
- Credenciales y secretos filtrados en repositorios de código públicos o en volcados de datos de terceros.
- APIs y servicios deprecados que siguen respondiendo aunque ya nadie los mantiene.
Ninguno de estos hallazgos requiere un ataque sofisticado para encontrarse: están a la vista de cualquiera que sepa dónde mirar.
Por qué el CVSS por sí solo no basta para priorizar
Cuando aparecen decenas de hallazgos, la reacción habitual es ordenarlos por su puntuación CVSS y empezar por los "críticos". Es un error frecuente. El CVSS mide la gravedad técnica de una vulnerabilidad en abstracto, no el riesgo que supone en tu contexto.
Una vulnerabilidad de gravedad media en un panel de administración accesible desde internet es más peligrosa que una crítica en un servicio interno que nadie puede alcanzar. El riesgo real combina tres cosas: la exposición (¿se llega desde fuera?), la explotabilidad (¿es fácil de aprovechar y hay exploits conocidos?) y el contexto de negocio (¿qué hay detrás del activo?). Priorizar por riesgo real, y no solo por CVSS, es lo que evita dedicar la primera semana a lo que menos importa.
La capa que el compliance no cubre
Aquí está el punto honesto. Una plataforma de compliance documenta que tienes controles y políticas; no vigila, de forma continua, qué está expuesto en tu perímetro en este momento. Son dos cosas distintas. Puedes tener un certificado en regla y, a la vez, un subdominio olvidado sirviendo un panel de administración abierto. Es uno de los ejemplos más claros de lo que una plataforma de compliance no hace.
No es casual que los cuestionarios de seguridad de clientes enterprise pregunten por esto de forma directa: gestión de la superficie de ataque, escaneo continuo, tiempo de detección de activos nuevos. Son preguntas que un certificado no responde por sí solo, porque describen operación, no documentación.
Cómo saber qué tienes expuesto ahora mismo
Ver tu superficie como la ve un atacante es un ejercicio concreto y repetible:
- Enumera tus dominios y descubre todos los subdominios asociados, no solo los que usas.
- Revisa qué servicios y puertos responden desde internet y cuáles no deberían.
- Inventaría el almacenamiento en la nube y sus permisos; cierra lo huérfano.
- Comprueba el estado y la validez de tus certificados.
- Busca credenciales y secretos tuyos filtrados en repositorios públicos y en filtraciones de terceros.
Y, sobre todo, hazlo de forma continua. La superficie cambia cada semana: cada despliegue, cada certificado que caduca, cada subdominio nuevo la modifica. Un análisis puntual caduca casi tan rápido como se entrega; por eso la disciplina se llama gestión de la superficie de ataque (ASM), no auditoría de la superficie de ataque.
Ver tu superficie como la ve un atacante
Descubrir todo esto una vez es útil; mantenerlo vigilado es lo que evita la sorpresa. Qalea opera la gestión de la superficie de ataque de forma continua dentro de su capa de infraestructura: descubre los activos expuestos —incluidos los olvidados—, vigila filtraciones de credenciales y prioriza cada hallazgo por riesgo real, con un plan de remediación, no con una lista de CVEs ordenada por CVSS. Es, además, la capa que una plataforma de compliance no toca y la que tus clientes te preguntan directamente. Si quieres empezar por ver qué tienes expuesto hoy, ese es el primer paso.
