Las 7 etapas de la Cyber Kill Chain
Resume este artículo con tu IA
La Cyber Kill Chain es un modelo que descompone un ciberataque en siete fases sucesivas, desde que el atacante investiga a su objetivo hasta que consigue su meta final. Lo publicó Lockheed Martin en 2011 y su utilidad no está en describir el ataque, sino en lo contrario: cada fase es una oportunidad para detectarlo y detenerlo antes de que llegue a la siguiente.
Puntos clave
- El modelo es de Lockheed Martin (2011) y nació del análisis de campañas de amenazas persistentes avanzadas, no de ataques oportunistas.
- Las siete fases son: reconocimiento, preparación del artefacto, distribución, explotación, instalación, mando y control, y acciones sobre el objetivo.
- Romper la cadena en cualquier eslabón detiene el ataque. No hace falta acertar en todos: hace falta acertar en uno, cuanto antes mejor.
- El trabajo original incluye una matriz de cursos de acción —detectar, denegar, interrumpir, degradar, engañar y destruir— que es la parte realmente accionable del modelo y la que casi nunca se cuenta.
- Tiene limitaciones conocidas. Está centrado en malware y perímetro, y encaja mal con los ataques que solo usan credenciales válidas, con las amenazas internas y con los entornos cloud. Por eso hoy se usa junto a MITRE ATT&CK y a la Unified Kill Chain.
Qué es la Cyber Kill Chain y de dónde viene
La Cyber Kill Chain es un marco de análisis de intrusiones que representa un ciberataque como una secuencia de siete fases encadenadas. La premisa es sencilla: para que un ataque tenga éxito, el adversario debe completar todas las fases. Al defensor le basta con romper una.
El modelo lo formularon Eric M. Hutchins, Michael J. Cloppert y Rohan M. Amin, de Lockheed Martin, en el trabajo Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains, publicado en 2011. El contexto importa: se escribió para explicar cómo defenderse de adversarios bien financiados que ejecutan campañas de intrusión de larga duración contra información sensible, no para describir el correo fraudulento del día a día.
El término kill chain procede del ámbito militar, donde describe la secuencia estructurada de acciones para identificar y neutralizar un objetivo. Hutchins, Cloppert y Amin invirtieron la lógica: en lugar de usar la cadena para atacar, la usaron para que el defensor pueda actuar contra cada paso del adversario.
Si necesitas repasar los conceptos previos, tenemos un artículo sobre la relación entre amenazas, vulnerabilidades y vectores de ataque que sirve de base para lo que viene.
Las 7 fases de la Cyber Kill Chain, explicadas
1. Reconocimiento
Qué ocurre. El atacante investiga y selecciona su objetivo. Recopila dominios y subdominios, rangos de direcciones IP, tecnologías expuestas, direcciones de correo corporativas, organigramas y perfiles públicos de empleados. En el trabajo original esta fase se describe como el rastreo de sitios web, actas de congresos y listas de correo en busca de direcciones de correo, relaciones sociales e información sobre tecnologías concretas.
Casi todo se obtiene de fuentes abiertas, sin tocar tus sistemas: LinkedIn, la propia web corporativa, registros de dominios, buscadores de dispositivos conectados. Una parte se hace también de forma activa, escaneando lo que tienes publicado.
Qué puedes hacer. Reducir la superficie expuesta es lo más eficaz: apagar servicios que ya no se usan, retirar entornos de pruebas accesibles desde internet, revisar qué información técnica publican las ofertas de empleo. Añade vigilancia de credenciales corporativas filtradas y una evaluación del estado real de tu exposición para ver lo que ve el atacante.
2. Preparación del artefacto (weaponization)
Qué ocurre. El adversario construye el arma: acopla un exploit a un documento aparentemente legítimo, prepara una página de acceso falsa, empaqueta un cargador de malware o compra acceso a un panel de ransomware como servicio.
Esta fase transcurre íntegramente en la infraestructura del atacante. No es observable desde tu red, y conviene decirlo con claridad: aquí no hay nada que detectar.
Qué puedes hacer. Trabajar con inteligencia de amenazas: conocer qué familias de malware y qué señuelos están usando los grupos activos en tu sector permite anticipar las dos fases siguientes. Es un trabajo de anticipación, no de detección.
3. Distribución
Qué ocurre. El artefacto llega a la víctima. Los canales habituales son el correo electrónico con adjunto o enlace, la explotación directa de un servicio publicado, un dispositivo USB, un anuncio malicioso o el compromiso de un proveedor que ya tiene acceso a tus sistemas.
Este último canal ya no es marginal. Según el informe Data Breach Investigations Report (DBIR) 2026 de Verizon, publicado el 19 de mayo de 2026 con datos de incidentes entre noviembre de 2024 y octubre de 2025, el compromiso a través de terceros aparece en el 48 % de las brechas, con un crecimiento interanual del 60 %.
Qué puedes hacer. Es la primera fase donde el defensor tiene ventaja real. Filtrado de correo con análisis de adjuntos y enlaces, autenticación de dominios de remitente, control de dispositivos extraíbles y, sobre todo, formación y simulaciones de phishing para el equipo. El DBIR 2026 sitúa el phishing como vía de entrada en el 16 % de las brechas.
4. Explotación
Qué ocurre. El artefacto se ejecuta y aprovecha una vulnerabilidad para conseguir ejecución de código o acceso. Puede ser una vulnerabilidad técnica sin parchear, una configuración débil o, con frecuencia, la decisión de una persona que habilita las macros de un documento.
Los datos de 2026 son contundentes: la explotación de vulnerabilidades es la primera vía de entrada, con el 31 % de las brechas, y la mediana de tiempo hasta aplicar un parche ha subido a 43 días.
Qué puedes hacer. Gestión de vulnerabilidades con plazos comprometidos y priorización por explotación real, no solo por puntuación técnica. Añade protección de endpoint con detección de comportamiento y pruebas de intrusión periódicas, que es lo que revela las combinaciones de fallos menores que un escáner no encadena.
5. Instalación
Qué ocurre. El atacante se asegura de poder volver aunque reinicies el equipo o cierres la sesión. Instala una puerta trasera, crea una tarea programada, registra un servicio, añade una clave SSH o —cada vez más habitual— se limita a crear una cuenta nueva con privilegios y a registrar su propio dispositivo en el segundo factor.
Qué puedes hacer. Es una fase con señales muy reconocibles si estás mirando: creación de servicios y tareas programadas, modificaciones en las claves de arranque, altas de cuentas fuera del proceso normal. Requiere registro centralizado de eventos y alguien —o algo— vigilando.
6. Mando y control
Qué ocurre. El sistema comprometido establece comunicación con la infraestructura del atacante y queda a su disposición. A partir de aquí empieza el trabajo manual: reconocimiento interno, movimiento lateral, escalada de privilegios y localización de los datos valiosos.
Qué puedes hacer. Es el último punto donde puedes evitar el daño, y por eso concentra tanto esfuerzo defensivo. Inspección del tráfico saliente, filtrado de DNS, detección de conexiones periódicas anómalas, segmentación de red para que un equipo comprometido no vea todo el dominio, y detección y respuesta gestionada 24×7, porque estas comunicaciones no respetan el horario de oficina.
7. Acciones sobre el objetivo
Qué ocurre. El adversario ejecuta lo que vino a hacer: exfiltrar información, cifrar sistemas y pedir rescate, manipular transferencias o interrumpir la operación. En el DBIR 2026, el ransomware aparece en el 48 % de las brechas.
Qué puedes hacer. En esta fase ya no hablamos de prevención, sino de contención y recuperación: copias de seguridad aisladas y probadas, plan de respuesta a incidentes con responsables y plazos, detección de exfiltraciones voluminosas y capacidad de aislar equipos con rapidez.
Tabla: fase, señal observable y control defensivo
| Fase | Señal observable | Control principal |
|---|---|---|
| 1. Reconocimiento | Escaneos contra activos publicados, credenciales tuyas en filtraciones | Reducción de superficie, vigilancia externa |
| 2. Preparación | Ninguna en tu red | Inteligencia de amenazas |
| 3. Distribución | Correos con adjuntos o enlaces sospechosos | Filtrado de correo, concienciación, control de proveedores |
| 4. Explotación | Procesos hijos anómalos, fallos de aplicación | Parcheo priorizado, EDR, pentesting |
| 5. Instalación | Servicios y tareas nuevas, cuentas fuera de proceso | Registro centralizado y alertas de persistencia |
| 6. Mando y control | Tráfico saliente periódico a destinos desconocidos | Filtrado DNS, segmentación, SOC 24×7 |
| 7. Acción sobre el objetivo | Transferencias de datos inusuales, cifrado masivo | Copias aisladas, plan de respuesta, aislamiento rápido |
La parte que casi nadie cuenta: la matriz de cursos de acción
Aquí está el verdadero valor del trabajo de 2011, y es lo que separa un póster decorativo de una herramienta de decisión. Los autores no se limitaron a enumerar fases: propusieron cruzarlas con seis tipos de acción defensiva, tomados de la doctrina militar de operaciones de información:
- Detectar: saber que está ocurriendo.
- Denegar: impedir que ocurra.
- Interrumpir: cortarlo a mitad.
- Degradar: reducir su eficacia.
- Engañar: desviar al adversario con información falsa, como los señuelos y las cuentas trampa.
- Destruir: neutralizar el recurso del atacante.
El ejercicio práctico consiste en dibujar una matriz de siete filas por seis columnas y rellenar qué control tienes en cada celda. Las celdas vacías son tu plan de trabajo, y suelen concentrarse en las mismas zonas: casi todo el mundo tiene «denegar» en la fase 3 y nada en absoluto en las fases 5 y 6.
Cuanto antes rompas la cadena, más barato sale
El coste de un incidente no crece de forma lineal, sino a saltos, y cada salto coincide con una fase superada:
- Detenido en distribución: un correo bloqueado. Coste operativo cero.
- Detenido en explotación: un equipo reinstalado y una jornada de análisis.
- Detenido en mando y control: contención, análisis forense y revisión de credenciales. Días de trabajo del equipo.
- No detenido: parón productivo, notificación a la autoridad de protección de datos, comunicación a clientes, posible negociación y recuperación completa. Semanas y una cifra que ya no controlas.
Esa progresión explica por qué el esfuerzo debe concentrarse en las fases intermedias, y por qué la capacidad de detección importa tanto como la de prevención. Nadie evita el 100 % de las entradas; lo que marca la diferencia es cuánto tardas en darte cuenta.
Limitaciones: qué no cubre bien un modelo de 2011
Presentar la Cyber Kill Chain sin sus críticas sería hacerle un flaco favor al lector. El modelo se diseñó para un tipo de ataque muy concreto y arrastra tres sesgos:
1. Está centrado en el malware y en el perímetro. Las fases de preparación, distribución e instalación presuponen un artefacto que entra desde fuera. Pero una parte creciente de los ataques no instala nada: usa credenciales válidas y herramientas legítimas del propio sistema. El DBIR 2026 lo ilustra bien: el abuso de credenciales cae al 13 % como vía de entrada inicial, pero aparece en el 39 % de las brechas cuando se analiza la cadena completa, lo que lo convierte en la técnica más presente del informe. En esos casos, las fases 2 y 5 se difuminan o desaparecen.
2. No modela bien la amenaza interna. Si el adversario ya está dentro y tiene acceso legítimo, las cinco primeras fases sobran. Es la crítica más antigua al modelo y sigue vigente.
3. Es lineal y poco detallado después del compromiso. Los ataques reales no avanzan en línea recta: retroceden, prueban rutas alternativas y repiten fases. Y todo lo que ocurre entre el mando y control y el objetivo final —movimiento lateral, escalada, recolección, exfiltración— queda comprimido en dos casillas, cuando en la práctica es donde el adversario pasa la mayor parte del tiempo.
Añade a esto que en entornos cloud y SaaS muchos ataques consisten en abusar de permisos mal configurados, sin que exista «instalación» en ningún sentido reconocible.
Conclusión razonable: la Cyber Kill Chain sigue siendo excelente para explicar la lógica de una intrusión y para ordenar dónde colocar controles. No es suficiente como único marco de análisis operativo.
Cyber Kill Chain frente a MITRE ATT&CK
Es la comparación más buscada y la que más confusión genera. No compiten: operan a niveles distintos.
| Cyber Kill Chain | MITRE ATT&CK | |
|---|---|---|
| Qué aporta | La secuencia estratégica de un ataque | Un catálogo de tácticas y técnicas observadas en la realidad |
| Nivel | Alto, conceptual | Operativo, muy granular |
| Estructura | 7 fases lineales | Matriz de tácticas con centenares de técnicas documentadas |
| Para qué se usa | Explicar, priorizar inversión, ordenar controles | Detección, threat hunting, evaluación de cobertura |
| A quién le sirve | Dirección, responsables de IT | Analistas de SOC, equipos de detección |
En la práctica se usan juntas: la Kill Chain para la conversación con el comité de dirección y para decidir dónde invertir; ATT&CK para escribir reglas de detección y medir qué técnicas concretas eres capaz de ver.
Unified Kill Chain: la evolución de 18 fases
En 2017, Paul Pols desarrolló la Unified Kill Chain en colaboración con Fox-IT y la Universidad de Leiden, precisamente para resolver las limitaciones anteriores. El modelo combina y extiende la Cyber Kill Chain de Lockheed Martin y la matriz ATT&CK de MITRE en 18 fases, agrupadas en tres bloques:
- Conseguir el punto de apoyo inicial: desde el reconocimiento hasta el establecimiento del mando y control, incluyendo ingeniería social, persistencia y evasión de defensas.
- Propagación por la red: reconocimiento interno, movimiento lateral, escalada de privilegios. Todo lo que la versión de siete fases resumía en una casilla.
- Acciones sobre los objetivos: recolección, exfiltración e impacto, con los objetivos del adversario explicitados.
La ventaja principal es que no asume linealidad: reconoce que un ataque es un proceso iterativo en el que el adversario se adapta a lo que encuentra.
Criterio práctico: para explicar un ataque a dirección o para estructurar un plan de controles, siete fases son suficientes y se entienden. Para analizar una intrusión real o diseñar detección, quédate con la Unified Kill Chain y ATT&CK.
Cómo aplicar la Cyber Kill Chain sin tener un SOC propio
Este es el punto donde el modelo suele quedarse en teoría para una empresa mediana. Tres pasos realistas:
1. Dibuja tu matriz y sé honesto. Siete fases, seis cursos de acción, y marca solo lo que puedes demostrar que funciona. No lo que está comprado: lo que está configurado, monitorizado y probado.
2. Ataca primero las fases 5 y 6. Es donde casi todas las organizaciones sin equipo de seguridad tienen la matriz vacía, y donde más se tarda en detectar. Un ataque contenido en la fase 6 es un incidente; el mismo ataque en la fase 7 es una crisis.
3. Decide qué haces con el horario. La detección en las fases 5, 6 y 7 exige vigilancia continua, y los adversarios eligen deliberadamente las noches, los fines de semana y los puentes. Montar y sostener un equipo interno 24×7 no es viable para la mayoría de las empresas medianas, y ahí es donde tiene sentido evaluar un servicio gestionado.
Si quieres empezar por saber qué ve un atacante de tu organización en la fase 1, el informe de cibervigilancia de Cylum revisa tu exposición externa y te da un punto de partida concreto.
Preguntas frecuentes sobre la Cyber Kill Chain
¿Quién creó la Cyber Kill Chain? La desarrolló Lockheed Martin. Sus autores son Eric M. Hutchins, Michael J. Cloppert y Rohan M. Amin, que la publicaron en 2011 en el trabajo Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains. El concepto de kill chain procede de la doctrina militar estadounidense.
¿Cuáles son las 7 fases de la Cyber Kill Chain? Reconocimiento, preparación del artefacto, distribución, explotación, instalación, mando y control, y acciones sobre el objetivo. El modelo asume que el atacante debe completarlas todas, mientras que al defensor le basta con romper una sola para detener la intrusión.
¿En qué se diferencia la Cyber Kill Chain de MITRE ATT&CK? La Cyber Kill Chain describe la secuencia estratégica de un ataque en siete fases y sirve para ordenar controles y explicar el riesgo a dirección. MITRE ATT&CK es un catálogo granular de tácticas y técnicas reales que se usa para construir detección y hacer threat hunting. Se complementan.
¿Sigue siendo útil un modelo publicado en 2011? Sí, como marco explicativo y de priorización. Sus limitaciones aparecen ante ataques que usan credenciales válidas sin malware, amenazas internas y entornos cloud. Por eso conviene combinarlo con MITRE ATT&CK y con la Unified Kill Chain, que detalla mucho mejor la fase posterior al compromiso.
¿Qué es la Unified Kill Chain? Es un modelo de 18 fases desarrollado por Paul Pols en 2017, junto con Fox-IT y la Universidad de Leiden, que combina la Cyber Kill Chain con MITRE ATT&CK. Se organiza en tres bloques —punto de apoyo inicial, propagación por la red y acciones sobre los objetivos— y no asume que el ataque sea lineal.
¿En qué fase conviene detener un ataque? Cuanto antes, más barato. La distribución y la explotación son las fases donde el defensor tiene más capacidad de prevención. Las fases de instalación y mando y control son las últimas oportunidades de evitar el daño, y suelen ser las peor cubiertas en empresas sin vigilancia continua.
Fuentes
- Hutchins, E. M.; Cloppert, M. J.; Amin, R. M. (2011). Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains. Lockheed Martin. https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf
- Pols, P. (2017). The Unified Kill Chain, en colaboración con Fox-IT y la Universidad de Leiden. https://www.unifiedkillchain.com/
- MITRE, ATT&CK for Enterprise. https://attack.mitre.org/
- Verizon, 2026 Data Breach Investigations Report, publicado el 19 de mayo de 2026 (incidentes entre el 1 de noviembre de 2024 y el 31 de octubre de 2025). [VERIFICAR: enlazar a la página oficial del informe antes de publicar]
