Los ataques watering hole consisten en infectar webs legítimas que la víctima visita habitualmente, en lugar de atacarla directamente. Durante 2026 esta técnica ha vuelto al primer plano: grupos como APT29 y Lazarus han comprometido portales sectoriales, foros profesionales y páginas institucionales para distribuir malware mediante drive by download. El término watering hole 2026 describe un cambio de paradigma: basta con visitar un medio de confianza para acabar infectado, sin pinchar ningún enlace sospechoso. El compromiso de web legítima se ha convertido en la vía preferida para llegar a perfiles concretos sin levantar sospechas, porque la web legítima infectada mantiene su certificado, su dominio y su reputación intactos. Así funciona el ataque abrevadero: el depredador no persigue a la presa, espera en la fuente.
Qué es un ataque watering hole y por qué funciona tan bien
Un ataque watering hole (literalmente, "abrevadero") imita la estrategia del cocodrilo que espera junto a la charca a que las gacelas vayan a beber. El atacante identifica qué webs visita su objetivo —un ministerio, una asociación profesional, un foro de desarrolladores— y compromete esos sitios para servir código malicioso solo a ciertos visitantes.
El método funciona por economía. Comprometer una web sectorial poco vigilada permite alcanzar a cientos de usuarios cualificados sin enviar un solo email de phishing. Si el objetivo trabaja en defensa, infectarás la web del colegio profesional. Si es periodista, la del sindicato de prensa. La selectividad la añade un script que filtra por IP corporativa, user-agent o geolocalización.
Frente al phishing tradicional, donde el usuario debe hacer clic en algo sospechoso, aquí no hay nada que examinar. El dominio es real, el HTTPS es válido, el contenido es el de siempre. La carga maliciosa vive en un iframe oculto, un script inyectado o un archivo JavaScript modificado.
Cómo se compromete una web legítima en 2026
Las vías de compromiso no han cambiado tanto como cabría esperar. Los grupos APT siguen aprovechando las mismas debilidades que ya documentaba el ENISA en sus informes anuales:
- Plugins y temas WordPress desactualizados: CVE-2024-10924 (plugin Really Simple Security) y la familia de fallos en File Manager siguen explotándose.
- Cadena de suministro JavaScript: librerías cargadas desde CDN externas que el propietario no audita. El caso Polyfill.io de 2024 marcó el camino.
- Credenciales filtradas de paneles de administración reutilizadas de filtraciones anteriores. Comprueba siempre las tuyas en Have I Been Pwned.
- Servidores con paneles expuestos (cPanel, Plesk, phpMyAdmin) sin doble factor.
- Subdominios olvidados con software antiguo apuntando al mismo origen.
Una vez dentro, el atacante inyecta un script ofuscado que solo se activa para visitantes que cumplen un perfil concreto. El resto de usuarios verá la web normal. Por eso muchos compromisos pasan semanas sin detectarse: el propietario nunca ve el payload porque el script lo excluye explícitamente.
El drive by download moderno: ya no necesita Flash
El drive by download clásico explotaba Flash, Java o ActiveX. Esos vectores murieron, pero la técnica sobrevive. Durante 2026 el payload llega por tres vías principales:
- Exploits de navegador: vulnerabilidades en V8 (Chrome) o JavaScriptCore (Safari). CVE-2025-2783, CVE-2024-7971 y otras de la familia type confusion permitieron ejecución remota antes del parche.
- Ingeniería social camuflada: el sitio muestra un falso CAPTCHA tipo "ClickFix" que pide pegar un comando en PowerShell. El usuario lo ejecuta voluntariamente. Es la técnica estrella desde 2024.
- Descargas de aspecto legítimo: la web ofrece "actualizar el navegador" o un "lector PDF necesario" con apariencia profesional.
El segundo vector ha desplazado a los exploits puros porque es más barato y no quema vulnerabilidades zero-day. Comprobar antes el destino real con VirusTotal sigue siendo el primer reflejo útil. Si quieres entender mejor cómo distinguir un dominio fiable, repasa la guía sobre cómo verificar si un enlace es seguro antes de hacer clic.
Casos reales: del 2012 a 2026
El término lo acuñó RSA en 2012 al analizar la operación VOHO, donde grupos chinos comprometieron webs de gobiernos locales estadounidenses. Desde entonces, los hitos han sido constantes:
| Año | Caso | Vector |
|---|---|---|
| 2017 | NotPetya (M.E.Doc) | Software contable ucraniano comprometido |
| 2019 | Operación Sea Turtle | Hijacking DNS de webs gubernamentales |
| 2020 | SolarWinds Orion | Cadena de suministro corporativa |
| 2024 | Polyfill.io | CDN JavaScript comprometida tras venta |
| 2025-26 | Campañas APT29 y Lazarus | Webs de think tanks y diplomáticos |
El patrón se mantiene: identificar la "charca" donde bebe el objetivo, contaminarla y esperar. La diferencia es que ahora los actores también son grupos de cibercrimen pagados por estados, no solo servicios de inteligencia. La frontera se difumina, como ya analizamos al hablar de amenazas persistentes avanzadas.
Cómo proteger tu web (si eres dueño) y a tus usuarios
Si gestionas un sitio público, especialmente uno con audiencia profesional concreta, eres un blanco potencial. Las medidas mínimas:
- Content Security Policy (CSP) estricta con nonce y lista blanca de orígenes. Sin esto, un script inyectado se ejecuta sin trabas.
- Subresource Integrity (SRI) para todos los scripts cargados desde CDN externos.
- Doble factor obligatorio en todos los paneles de administración y SSH.
- WAF y monitorización de integridad de archivos (Wordfence, Sucuri, Patchstack para WordPress).
- Auditoría periódica de plugins y dependencias: si no usas algo, bórralo. No lo desactives.
- Logs centralizados con alertas de cambios no autorizados en JS y archivos críticos.
Si necesitas levantar una web profesional con estos controles aplicados desde el principio, conviene apoyarse en un equipo que entienda la parte de seguridad y no solo la estética: por ejemplo el servicio de WordPress profesional o el desarrollo de páginas web. Para empresas con comunicaciones sensibles, también recomendamos revisar cómo cifrar las comunicaciones de la empresa.
Cómo te proteges como visitante
Como usuario no puedes auditar cada web que abres, pero sí reducir la superficie:
- Navegador siempre actualizado. La mayoría de exploits se parchean en cuestión de días si dejas que se actualice.
- Bloqueador de scripts como uBlock Origin o NoScript en perfiles sensibles.
- Perfil separado del navegador para banca y trabajo crítico. Otro para navegación general.
- EDR o antivirus de nueva generación con análisis de comportamiento, no solo firmas.
- Desconfía de cualquier web que te pida pegar un comando en PowerShell, Terminal o Ejecutar de Windows. No existe ningún caso legítimo.
- DNS con filtrado (NextDNS, Cloudflare 1.1.1.1 for Families, Quad9) que bloquea dominios de mando y control conocidos.
Si te interesa profundizar en herramientas y trucos prácticos del día a día, en facilparatodos publican guías accesibles, y para temas de hardware doméstico tienes domoticaya.
Marco legal y obligaciones del propietario en España y UE
Si tu web es comprometida y se distribuye malware desde tu dominio, no solo tienes un problema técnico. La normativa aplicable incluye:
- RGPD y LOPDGDD: notificación a la AEPD en 72 horas si hay datos personales afectados.
- Directiva NIS2 (transpuesta en 2024-25): obligaciones reforzadas para sectores esenciales e importantes, con sanciones de hasta 10 millones de euros o el 2% de la facturación.
- Reglamento DORA para entidades financieras desde enero de 2025.
- Esquema Nacional de Seguridad (ENS) para administraciones públicas y proveedores.
El INCIBE-CERT y el CCN-CERT publican alertas y guías sectoriales que conviene seguir. Ignorarlas no es opción: la diligencia debida es exigible aunque seas pyme.
Preguntas frecuentes
¿En qué se diferencia un ataque watering hole de un ataque de cadena de suministro?
El watering hole infecta una web que la víctima visita; el ataque de cadena de suministro contamina el software o componente que la víctima instala. Comparten lógica (atacar a un intermediario de confianza) pero el vector y la persistencia son distintos.
¿Puede un antivirus detectar un drive by download moderno?
Depende. Los EDR con análisis de comportamiento sí detectan ejecuciones sospechosas de PowerShell, mshta o rundll32. Los antivirus basados solo en firmas suelen llegar tarde, especialmente si el payload es polimórfico o usa Living off the Land Binaries.
Si visito una web infectada, ¿siempre me infecto?
No. El compromiso suele filtrar por país, navegador, sistema operativo o rangos de IP corporativa. Muchos visitantes verán la web normal mientras solo unos pocos perfiles concretos reciben el payload.
¿Cómo sé si mi WordPress ha sido comprometido?
Síntomas habituales: archivos PHP modificados sin causa, cuentas administrador desconocidas, redirecciones intermitentes, scripts JavaScript en el footer que no recuerdas haber añadido y picos de tráfico anómalo. Herramientas como Wordfence, MalCare o el escaneo del CCN-CERT ayudan a confirmarlo.
¿Tengo obligación legal de avisar si mi web infecta a usuarios?
Si hay datos personales comprometidos, sí: la AEPD debe ser notificada en 72 horas y los afectados cuando exista riesgo alto para sus derechos. Aunque solo se distribuya malware, la directiva NIS2 obliga a comunicar incidentes significativos a la autoridad competente en sectores regulados.
El siguiente paso
Abre ahora el panel de administración de tu web y revisa si tienes habilitado el segundo factor de autenticación. Si no, actívalo en los próximos diez minutos. Es la medida individual que más cierra la puerta a un compromiso silencioso, y la única que no requiere presupuesto, comité ni proveedor externo.
