Watering Hole Attack: qué es, cómo funciona y casos reales

Un watering hole attack (en español, ataque de abrevadero) es una técnica de ataque dirigido en la que el atacante compromete un sitio web legítimo que su víctima visita habitualmente, planta código malicioso allí y espera. Cuando alguien de la organización objetivo entra en el sitio comprometido, se descarga e instala malware automáticamente o se le redirige a un kit de explotación que aprovecha alguna vulnerabilidad en su navegador. La analogía con los depredadores es deliberada: en lugar de cazar a la presa, se contamina el sitio al que la presa va a beber y se espera a que llegue sola. Es uno de los vectores favoritos de grupos APT con orientación a espionaje sectorial, porque combina selectividad alta (solo afecta a quienes visitan el sitio escogido) con invisibilidad (la víctima no recibe ningún correo sospechoso ni hace nada inusual). Esta entrada explica qué es un watering hole attack, cómo funciona técnicamente, qué casos públicos lo han popularizado y cómo defenderse.

Qué es un watering hole attack

Un watering hole attack es un ataque indirecto y selectivo: en lugar de enviar correos de phishing a la organización objetivo (vector ruidoso, fácil de detectar), el atacante escoge sitios web que esa organización ya visita y los compromete. Esos sitios suelen ser portales sectoriales, blogs especializados, foros profesionales, asociaciones empresariales, prensa nicho o herramientas online que el objetivo usa con frecuencia. Cuando un usuario del target entra al sitio (acción rutinaria), recibe la carga maliciosa sin enterarse.

La técnica se conoce desde la primera década de los 2000, pero el nombre "watering hole" se popularizó en informes de RSA y Symantec a partir de 2012, con varios casos públicos de gran impacto. Aparece en el marco MITRE ATT&CK como T1189 Drive-by Compromise.

Tres ideas para fijar el concepto:

1. Es dirigido, no masivo. El atacante elige el sitio porque sabe quién lo visita.
2. La víctima no hace nada inusual. Solo abre un sitio que ya conocía.
3. El atacante asume que la mayoría de visitantes no le interesa. Filtra por IP, user agent, idioma o cookies para entregar el payload solo a quienes le interesan, dejando al resto con una página normal.

Cómo funciona un watering hole attack paso a paso

El esquema operativo se compone de cinco etapas que aparecen en casi todos los casos públicos.

1. Reconocimiento del objetivo

El atacante estudia a la organización objetivo: qué sitios visitan sus empleados, qué portales sectoriales son referencia, qué proveedores comparten todos. Usa OSINT (analizado en qué es OSINT), inteligencia de redes sociales, análisis de tráfico de empleados expuesto en herramientas públicas y, a veces, infiltración previa para confirmar.

2. Selección del watering hole

Elige uno o varios sitios candidatos. Los favoritos:

• Portales sectoriales (asociaciones empresariales, cámaras, colegios profesionales).
• Webs gubernamentales especializadas en el sector.
• Medios especializados que la audiencia lee.
• Proveedores comunes: herramientas, suministradores, plataformas que muchos miembros del sector usan.
• Blogs de figuras de referencia que la víctima sigue.

3. Compromiso del sitio

El atacante explota una vulnerabilidad del sitio elegido (CMS desactualizado, plugin vulnerable, credenciales filtradas del administrador, fallo de la propia infraestructura del proveedor) y planta código JavaScript malicioso que se ejecuta al cargar la página.

4. Selección de víctimas y entrega del payload

Aquí está la parte sutil. El JavaScript no infecta a todo el mundo. Filtra por:

• IP: solo equipos dentro del rango del objetivo (corporativo o de su ISP regional).
• Geolocalización: visitantes de un país concreto.
• Idioma del navegador: solo idiomas que coinciden con el objetivo.
• User agent o versión del navegador: solo configuraciones donde el exploit conocido funciona.
• Cookies o referrer: solo si vienen de cierto sitio de origen.

Si la víctima encaja, el código entrega un exploit kit que aprovecha vulnerabilidades del navegador o de sus plugins para ejecutar código en el equipo. Si no encaja, el visitante ve una página normal sin saber que el sitio está comprometido.

5. Post-explotación

Con la primera entrada conseguida, el atacante despliega su cadena de post-exploitation: persistencia, escalada de privilegios, movimiento lateral, exfiltración. A partir de aquí es indistinguible de cualquier compromiso APT estándar.

Por qué es tan efectivo

Cuatro propiedades hacen del watering hole un favorito de grupos avanzados:

1. Selectividad alta. Filtra a los visitantes que no interesan. Reduce huella forense y dificulta la detección comparativa entre víctimas.
2. Sin acción sospechosa de la víctima. No clica en correo raro, no descarga adjunto. La superficie de concienciación no aplica.
3. Confianza del entorno. El sitio comprometido no genera alertas de filtros de correo ni de reputación de URLs. Es un sitio que la organización visita a diario sin problemas.
4. Reuso. Un sitio comprometido puede servir para varios objetivos del mismo sector simultáneamente: el atacante "siembra" una vez y "cosecha" varias.

Casos públicos notorios

Algunos incidentes documentados que ilustran el patrón:

• Council on Foreign Relations (2012). Atacantes (atribuidos a actor chino) comprometieron la web del CFR para infectar a visitantes de gobiernos y think tanks. Es uno de los primeros casos públicos con el nombre "watering hole" en titulares.
• U.S. Department of Labor (2013). La web del departamento sirvió como watering hole de un exploit IE0day (CVE-2013-1347) dirigido a visitantes con presunto interés en información radiológica.
• Polish Financial Supervision Authority (2017). La autoridad reguladora financiera polaca sufrió compromiso y su web sirvió de watering hole para infectar a empleados bancarios en una operación atribuida al grupo Lazarus.
• VPNFilter y aledaños: aunque más conocidos como botnet en routers, varios módulos de actor estatal usaron sitios comprometidos para entregar payloads a perfiles concretos.
• Operation Holy Water (2019). Watering holes con foco en visitantes del sudeste asiático, atribuido a un grupo asociado a TA428.
• Sitios de comunidades sectoriales comprometidos repetidamente: gremios, asociaciones, foros profesionales. Aparecen en informes anuales de varias firmas de threat intelligence casi cada año.

El mercado de exploit brokers (Zerodium y similares publican baremos de compra de vulnerabilidades) y los kits de explotación distribuidos en foros clandestinos han hecho la técnica más accesible: atacantes con presupuesto modesto pueden montar watering holes sin desarrollar exploits propios.

Diferencias con phishing y supply chain

Las tres familias se mezclan en titulares pero son distintas operativamente.

Watering hole vs phishing

• Phishing: el atacante envía un correo a la víctima directamente. La víctima debe hacer clic o ejecutar algo.
• Watering hole: el atacante compromete un sitio externo. La víctima entra al sitio como hace cada día y se infecta sin acción sospechosa.

El phishing es masivo o dirigido (spear phishing); el watering hole es siempre dirigido. Detalle de la familia phishing en tipos de phishing.

Watering hole vs supply chain

• Supply chain attack: el atacante compromete a un proveedor de la víctima para que el malware se distribuya a través del propio producto o servicio que la víctima consume (SolarWinds, Codecov, 3CX). Tiene alcance enorme y difícil contención.
• Watering hole: el atacante compromete un sitio web que la víctima visita, pero no a un proveedor con relación contractual. El alcance es menor.

Las dos comparten un patrón: comprometer un tercero para llegar al objetivo. En la práctica, ataques sofisticados combinan ambos. Más detalle en ataques a la cadena de suministro de software.

Watering hole vs malvertising

• Malvertising: el atacante compra publicidad en redes legítimas y la publicidad lleva código malicioso. Alcance masivo, baja selectividad.
• Watering hole: el atacante compromete el sitio entero (o partes específicas) y selecciona a los visitantes.

El malvertising puede ser vector de un watering hole: el atacante coloca anuncios en sitios sectoriales para llegar a la audiencia objetivo.

Quién usa watering holes

Tres perfiles dominan los casos públicos.

APTs estatales

Es el caso más documentado. Grupos atribuidos a China, Rusia, Corea del Norte e Irán han usado watering holes para campañas de espionaje político, militar, económico y financiero. La técnica encaja perfectamente con campañas de varios meses, donde el atacante puede esperar a que la víctima visite el sitio.

Cibercrimen avanzado de alto valor

Operaciones contra banca, criptomonedas, plataformas de inversión que justifican la inversión de comprometer infraestructura externa y desarrollar exploits o adquirirlos.

Espionaje industrial sectorial

Compromiso de portales sectoriales para acceder a propiedad intelectual de empresas líderes de un sector concreto (energía, semiconductores, farma, defensa).

Cómo defenderse de un watering hole attack

No hay una única medida que pare la técnica. La defensa eficaz combina varias capas.

Capa técnica

• Navegadores y plugins al día. La mayoría de exploit kits explotan vulnerabilidades con parche disponible. Mantener Chrome/Edge/Firefox actualizados y eliminar plugins legacy (Java, Flash, lectores PDF antiguos) cierra la mayoría de la superficie.
• EDR/XDR con detección por comportamiento. Los exploit kits ejecutan acciones de post-exploitation (descarga de payload, escalada, persistencia) que un EDR moderno bloquea aunque el exploit en sí sea novedoso.
• Filtrado web y DNS. Soluciones que evalúan reputación y contenido del sitio en tiempo real bloquean watering holes conocidos. Cisco Umbrella, Cloudflare Gateway, Zscaler, Microsoft Defender for Cloud Apps.
• Application sandboxing. Los navegadores modernos ejecutan procesos aislados. Ampliarlo con sandboxing adicional en endpoints sensibles (Microsoft Defender Application Guard) reduce el impacto del compromiso.
• Segmentación de red. Si el endpoint queda comprometido, la segmentación limita el movimiento lateral.

Capa de inteligencia

• Threat intelligence sectorial. Feeds y comunidades que comparten indicadores cuando se detecta un watering hole activo. ISACs sectoriales (financiero, energía, sanidad) suelen ser una buena fuente.
• Monitorización de sitios habituales. Para sectores muy expuestos, monitorizar pasivamente cambios sospechosos en los sitios que la organización visita más (cambios en headers, JavaScript inyectado, redirecciones nuevas) detecta watering holes en periodo de incubación.
• Análisis de tráfico saliente. Conexiones a infraestructura asociada a actores conocidos (C2 de APTs identificadas) revelan el compromiso aunque el exploit haya pasado desapercibido.

Capa organizativa

• Plan de respuesta a incidentes con escenarios de watering hole. Detección, contención, forensic y comunicación cuando se sospecha compromiso por sitio externo.
• Threat hunting proactivo sobre activos críticos (analizado en qué es threat hunting).
• Simulaciones con Red Team que emulen watering hole como parte de la cadena de ataque, para validar que la detección y la respuesta funcionan ante este vector específico.

Indicadores que ayudan a detectar un watering hole

Patrones que un SOC entrenado vigila:

• JavaScript inyectado en sitios que normalmente no lo cargan (frames con destino externo, scripts ofuscados, eval de cadenas largas).
• Redirecciones a dominios recién registrados con TLDs poco habituales.
• Conexiones del navegador a IPs o dominios no asociados al sitio original.
• Anomalías de proceso: el navegador lanzando ejecutables, PowerShell, cmd.exe, o cargando DLLs inusuales tras visita a un sitio.
• Geolocalización del payload consistente con actor conocido.
• Familia de exploit kit reconocida por threat intelligence.

Preguntas frecuentes

¿Qué es un watering hole attack?

Un watering hole attack es un ataque dirigido en el que se compromete un sitio web legítimo que la víctima visita habitualmente. El atacante planta código malicioso en el sitio, espera a que un usuario del objetivo entre y, cuando lo hace, le entrega un exploit o un payload sin que la víctima haga nada inusual. Es una técnica favorita de grupos APT con foco en espionaje.

¿Por qué se llama "watering hole"?

Por la analogía con los depredadores que acechan el abrevadero: en lugar de perseguir a la presa, contaminan el lugar al que la presa va a beber y esperan. La técnica replica el patrón: en lugar de enviar phishing al objetivo, se contamina el sitio web que el objetivo visita y se espera.

¿Cómo se diferencia un watering hole de un ataque de phishing?

En el phishing, el atacante envía un correo (o SMS, mensaje) directamente a la víctima, que debe hacer clic o descargar algo. En el watering hole, el atacante compromete un sitio externo que la víctima ya visitaba con normalidad; la víctima se infecta al hacer su rutina habitual, sin recibir nada sospechoso por correo. El watering hole es siempre dirigido; el phishing puede ser masivo o dirigido.

¿Qué casos famosos de watering hole existen?

Casos públicos relevantes: Council on Foreign Relations (2012), U.S. Department of Labor (2013), Polish Financial Supervision Authority (2017) atribuido a Lazarus, Operation Holy Water (2019) en sudeste asiático, y varios incidentes sectoriales contra portales financieros, energéticos y de defensa en años recientes. La industria publica nuevos casos prácticamente cada año.

¿Cómo puedo proteger mi empresa de un watering hole attack?

La defensa combina capas: navegadores y plugins al día, EDR/XDR con detección por comportamiento, filtrado web y DNS que evalúa reputación en tiempo real, segmentación de red para limitar movimiento lateral, threat intelligence sectorial que avisa cuando un sitio relevante aparece comprometido, y threat hunting proactivo sobre activos críticos. Ninguna capa por sí sola para la técnica completa.

¿Quién suele estar detrás de un watering hole attack?

En la mayoría de casos documentados: grupos APT estatales con foco en espionaje político, económico o militar. También aparecen en cibercrimen avanzado contra banca y criptomonedas, y en espionaje industrial sectorial. Es una técnica que exige preparación (selección del sitio, exploits, infraestructura), por lo que rara vez aparece en atacantes oportunistas.

¿Detecta el antivirus un watering hole?

Un antivirus tradicional detecta poco: el exploit suele ser nuevo o variante, y el payload puede llegar a través de canales que el antivirus no inspecciona. Un EDR/XDR moderno con detección por comportamiento sí detecta las acciones de post-exploitation (navegador lanzando procesos sospechosos, conexiones a infraestructura desconocida, escalada de privilegios), que es donde el watering hole se hace visible. El antivirus solo es la primera capa, no la principal.

Recursos relacionados

• Qué es Red Team: guía para empresas
• Qué es OSINT
• Qué es la ingeniería social
• Tipos de phishing
• Ataques a la cadena de suministro de software
• Qué es threat hunting
• Qué es MITRE ATT&CK
• Qué es EDR
• Servicio de Red Team

---

¿Tu sector es objetivo recurrente de APTs (banca, energía, sanidad, defensa, administración pública) y necesitas validar que la defensa para watering holes funciona? En Secra simulamos cadenas de ataque realistas que incluyen watering hole y otros vectores avanzados para medir capacidad de detección y respuesta. Cuéntanos qué quieres probar y diseñamos el ejercicio.