Un reciente informe de Unit 42, la unidad de inteligencia de amenazas de Palo Alto Networks, revela un crecimiento alarmante en los ataques dirigidos a entornos Kubernetes: un incremento del 282% en el último año.
El estudio no solo cuantifica el aumento, sino que expone una realidad más preocupante: los atacantes están perfeccionando técnicas para explotar identidades, configuraciones débiles y vulnerabilidades conocidas en infraestructuras cloud-native.
Uno de los hallazgos más críticos del informe es el abuso de identidades dentro de Kubernetes.
Los atacantes están enfocándose en:
- Tokens de cuentas de servicio (Service Accounts)
- Permisos excesivos en roles y bindings
- Acceso al API server de Kubernetes
Cuando estos tokens son comprometidos, permiten a los adversarios:
- Autenticarse como componentes legítimos
- Ejecutar acciones dentro del cluster
- Escalar privilegios sin necesidad de explotar vulnerabilidades adicionales
Esto convierte a la identidad en uno de los puntos más débiles del modelo de seguridad Kubernetes.
Explotación de vulnerabilidades y acceso inicial
El informe también destaca el uso de vulnerabilidades públicas como:
- CVE-2025-55182
Estas fallas permiten a los atacantes:
- Obtener acceso inicial a clusters mal configurados
- Ejecutar código arbitrario
- Comprometer workloads expuestos
La combinación de vulnerabilidades conocidas con malas configuraciones sigue siendo una de las principales puertas de entrada.
Una vez dentro, los atacantes no se detienen en el punto de acceso inicial.
El informe describe escenarios donde:
- Se mueven entre pods y namespaces
- Acceden a secretos almacenados en el cluster
- Escalan privilegios hasta controlar nodos completos
Este movimiento lateral permite alcanzar sistemas críticos, incluyendo:
- Plataformas financieras
- Bases de datos sensibles
- Servicios internos de alto valor
Técnicas avanzadas: abuso de frameworks y ejecución remota Un aspecto particularmente interesante del informe es el uso de técnicas modernas para facilitar ataques: Uso de código en frameworks como React Inyección de payloads que habilitan ejecución remota de código (RCE) Encubrimiento de actividades maliciosas dentro de aplicaciones legítimas Esto demuestra una convergencia entre desarrollo frontend y vectores de ataque en infraestructura backend.