Qué es un island hopping y por qué preocupa a las empresas
Un reciente informe elaborado por Google muestra cómo el foco de muchos ciberataques se ha trasladado en Europa desde las infraestructuras técnicas hacia las personas y los procesos organizativos en el caso del sector de Defensa.
La firma de Mountain View destaca que los atacantes explotan cada vez más los procesos de recursos humanos, los sistemas de contratación, las redes profesionales y los dispositivos personales como vías de acceso a entornos corporativos. Así, muchos incidentes se originan fuera del perímetro tradicional de seguridad corporativa de las organizaciones.
Los piratas informáticos no siempre atacan a un objetivo de manera directa, sino que en ocasiones dan ciertas vueltas o circunloquios para amenazar a empresas y organismos. Una estrategia común es apuntar al eslabón más débil de la cadena de suministro. Muchas intrusiones comienzan con proveedores menos protegidos que facilitan entrar en objetivos de alto valor. A estos ataques se les llama comunmente ‘island hopping’.
Dado que las organizaciones más grandes suelen tener controles robustos, los adversarios buscan agujeros en MSP, proveedores TI o software de terceros para colarse.
Allá por 2019, una investigación de Carbon Black ya advertía de que los ataques de island hopping estaban ganando popularidad en la ‘cibermaloesfera’. Este proveedor de seguridad de endpoints recopiló datos de más de un centenar de sus socios de respuesta a incidentes en los últimos 90 días y descubrió que la mitad de los ataques estudiados habían implementado el citado método indirecto.
Con el auge del ransomware en los últimos años, el porcentaje no habría hecho más que crecer. Un informe publicado hace unas semanas por Cipher, división de ciberseguridad del Grupo Prosegur, señala que los ciberataques a la cadena de suministro se duplicaron en 2025 y alcanzaron un coste global de 53.200 millones de dólares.
El 22,5% de las brechas de seguridad registradas el año pasado involucraron a terceros o proveedores, según el citado informe. Esto supondría el doble que en 2024.
“La cadena de suministro digital se ha convertido en el nuevo perímetro de ataque. Los adversarios ya no necesitan vulnerar directamente a una gran compañía, les basta con comprometer a uno de sus proveedores tecnológicos para escalar el impacto de forma silenciosa y masiva”, señalaba David Manzanero Iglesias, responsable de la x63 Unit de Cipher.
Por qué se llama así
El término ‘island hopping’ proviene originalmente de la estrategia militar de la Segunda Guerra Mundial en el Pacífico: los ejércitos aliados, en lugar de atacar simultáneamente todas las ínsulas controladas por Japón, saltaban de isla en isla estratégicamente, ocupando primero posiciones menos defendidas para luego avanzar hacia los objetivos principales. La idea era usar territorios intermedios como base o puente, evitando enfrentamientos directos con la posición más fortificada y maximizando eficiencia y seguridad.
En ciberseguridad, la metáfora se aplica de forma casi literal: los atacantes no van directamente al objetivo más valioso, sino que comprometen primero ‘islas’ más débiles, como proveedores, filiales o servicios de terceros, y desde allí ‘saltan’ hacia la empresa principal.
Así, cada proveedor o tercero actúa como una ínsula intermedia que facilita el acceso a la meta final, replicando la lógica de avance progresivo que se usaba durante la contienda. La clave es que el atacante aprovecha la confianza y los accesos de terceros para moverse lateralmente, muchas veces sin ser detectado.
Algunos ejemplos
Un ejemplo ‘sonado’ de este tipo de ataques fue la vulnerabilidad explotada en el software de transferencia de archivos MOVEit por parte del grupo de ransomware Cl0p en 2023, llegándose a filtrar datos de más de 2.700 organizaciones. El incidente afectó a gigantes empresariales de sectores como la banca, la sanidad o la administración pública.