La seguridad tradicional se ha enfocado históricamente en construir muros: poner candados, bloquear accesos y reaccionar cuando el peligro ya está encima. Es una estrategia puramente reactiva. Bloqueas una dirección IP, el atacante rota sus recursos, muta su código y vuelve a intentar el ataque en cuestión de segundos. Este ciclo de juego del gato y el ratón drena la energía de tus equipos de ingeniería.
¿Qué pasaría si cambiaras las reglas del juego? En el reciente webinar de Fastly, Gabriela Luna (Latam Lead) y Guillermo Guardián (Solutions Engineer) compartieron un enfoque completamente distinto: Deception (engaño estratégico). En lugar de solo bloquear, esta técnica introduce fricción deliberada para envenenar los procesos de toma de decisiones del atacante.
El factor humano detrás del ataque
Cuando defiendes una aplicación web, es fácil concentrarte únicamente en los scripts, la automatización o los vectores de ataque conocidos. Sin embargo, detrás de cada pantalla hay un cerebro humano. Los atacantes toman decisiones basadas en aprendizajes y experiencias pasadas, igual que tú.
Si entiendes esto, puedes usar su propia psicología en su contra. La ciberseguridad moderna no tiene por qué limitarse a un simple "bloqueo con error 406". Puedes hacerles creer que están teniendo éxito para que sigan gastando recursos en un callejón sin salida.
Aquí es donde entran dos conceptos clave de la ciencia del comportamiento:
Nudge: Incentiva o facilita una acción positiva dentro de un sistema (por ejemplo, cuando un formulario te guía para crear una contraseña segura).
Sludge: Introduce fricción deliberada para dificultar un proceso o hacer que el individuo cambie de opinión (como cuando intentas cancelar una suscripción en línea y te encuentras con cinco pantallas de confirmación y ofertas de último minuto).
La estrategia de Deception consiste en aplicar Sludge directamente contra el atacante.
Rompiendo la economía del atacante
Los atacantes ya no son simples entusiastas; operan como empresas. Tienen presupuestos, costos de infraestructura, herramientas automatizadas y esperan un retorno de inversión (ROI). Si elevas sus costos operativos, los desmotivas y los obligas a buscar un objetivo más fácil.
Al introducir la técnica de engaño, les generas tres tipos de costos:
Tipo de Costo | ¿Cómo impacta al atacante? |
Cuantitativo | Desperdicio de infraestructura, tiempo de cómputo y bases de datos que compraron en el mercado negro y que realmente no les van a servir. |
Cualitativo / Reputacional | Si los datos que recolectan de tu sitio son falsos o sus herramientas fallan continuamente, su tasa de aciertos baja, dañando su reputación interna. |
Psicológico | Generas frustración, confusión y estrés. Su plan no funciona, no detectan que los descubriste, pero nada de lo que intentan da frutos. |
Deception en la práctica: Bloqueo tradicional vs. Engaño
¿Cómo se traduce esto en la consola de administración de tu WAF? Imagina un ataque clásico de Apropiación de Cuentas (ATO - Account Takeover) mediante el relleno de credenciales (credential stuffing). Esto es sumamente común en plataformas de comercio electrónico (e-commerce) debido a que los usuarios suelen reciclar contraseñas en múltiples sitios.
En un escenario tradicional, cuando tu solución detecta el comportamiento automatizado, lo bloquea de inmediato. El bot registra el error e inmediatamente muta sus parámetros.
Con el Next-Generation WAF (NGWAF) de Fastly, en lugar de seleccionar la acción de Block, puedes seleccionar la acción de Deception con la variante Invalid Login Response.
Detección del comportamiento:Capa de Edge.
El motor de reglas o el sistema de gestión de bots identifica una ráfaga sospechosa de intentos de inicio de sesión o un bot automatizado que intenta imitar a un navegador legítimo.Intercepción de la petición:Acción instantánea.
En lugar de rechazar la conexión con un código de error de bloqueo, el WAF intercepta la petición HTTP antes de que afecte la lógica real de tu servidor.Alteración del payload:Modificación de variables.
El sistema altera dinámicamente el campo de la contraseña por un valor aleatorio inválido antes de procesarlo o simula la respuesta exacta del backend.Respuesta legítima de error:Cierre del engaño.
Se le retorna al atacante un código estándar (como un 401 Unauthorized). Para el script del atacante, la petición se procesó normalmente, concluyendo que la credencial de su base de datos simplemente es incorrecta.
Incluso si el atacante introduce una credencial que casualmente es real y válida, al estar bajo el umbral de la regla de engaño, el sistema forzará el fallo. El atacante asumirá que toda su lista de contraseñas filtradas no sirve, apagará su script y se irá a molestar a otra parte.
Las preguntas frecuentes de los equipos de ingeniería
Implementar técnicas de engaño suele levantar dudas operativas legítimas en los equipos de infraestructura. Guillermo Guardián aclaró los mitos principales durante la sesión:
¿Esto añade latencia o degrada la experiencia de navegación de los usuarios reales?
No. Funciona exactamente como una regla de bloqueo tradicional en el Edge de Fastly. La inspección de la petición HTTP ocurre en milisegundos y no añade ninguna carga extra en la entrega de contenido para tus clientes legítimos.
¿Tengo que modificar el código de mi aplicación o alterar mis bases de datos?
Para nada. Toda la magia ocurre a nivel de WAF. No necesitas crear usuarios falsos en tu base de datos ni programar respuestas simuladas en tus microservicios. Tu aplicación permanece intacta y protegida por diseño.
Deception vs. Honeypots tradicionales
Es común confundir Deception con un Honeypot (tarro de miel), pero operativamente pertenecen a ligas distintas:
Honeypot tradicional: Requiere inversiones altas en infraestructura porque necesitas duplicar servidores, crear entornos espejo falsos aislados y mantenerlos para atraer y analizar atacantes.
Deception en Fastly: No requiere elementos ni servidores adicionales. Es una funcionalidad de software nativa integrada directamente dentro de la suscripción de tu Next-Generation WAF. Vive en la misma infraestructura que ya utilizas.
Hacia una seguridad avanzada impulsada por el comportamiento
La evolución de los ataques mediante Inteligencia Artificial exige que nuestras defensas dejen de ser estáticas. El engaño en la autenticación es solo el inicio. Fastly está expandiendo estas capacidades para simular parches virtuales. Por ejemplo, podrás responder a los escáneres de vulnerabilidades haciéndoles creer que tu aplicación sigue siendo vulnerable a un exploit específico, distrayendo al atacante mientras tus sistemas reales están completamente protegidos.
Si ya cuentas con el NGWAF de Fastly implementado en tu organización, te invitamos a explorar el creador de reglas y comenzar a sustituir los bloqueos rígidos por estrategias de engaño dinámicas. Es hora de pasar a la ofensiva y hacer que los atacantes consuman sus propios recursos.
Aquí puedes ver el webinar sobre Deception: Webinar on Demand