El robo y abuso de credenciales corporativas, así como los ataques basados en el empleo de cuentas válidas, se consolidan entre las tácticas más efectivas utilizadas por los ciberdelincuentes en todo el mundo. Esta tendencia refleja un cambio estratégico en el comportamiento de los atacantes, quienes están dejando de depender de herramientas dañinas fácilmente detectables para optar por el uso de accesos legítimos que les permiten pasar desapercibidos y evadir los controles de seguridad tradicionales.
De acuerdo con el reciente informe global “Anatomy of a Cyber World”, desarrollado por Kaspersky Security Services, una parte significativa de las técnicas de agresión más frecuentemente detectadas gira en torno a la gestión de identidades. El reporte, estructurado a partir de datos recopilados por servicios avanzados de monitoreo y respuesta a incidentes, demuestra la alta efectividad del secuestro de accesos informáticos en entornos corporativos.
¿Cuáles son las tácticas de credenciales más utilizadas por los atacantes?
El análisis examina las tasas de conversión de diversos indicadores de ataque (IoA) e identifica los métodos preferidos por los delincuentes informáticos. En primer lugar, adivinar las contraseñas encabeza la lista con una efectividad del 34.8%, debido a la persistencia de claves débiles, predecibles o reutilizadas en las organizaciones. En segundo lugar, la creación de cuentas locales registra un 34.7%, una técnica empleada para mantener el ingreso al entorno informático incluso si el punto de acceso original resulta eliminado.
Aparte de estas modalidades, el abuso de cuentas válidas alcanza un 34.5% de presencia activa. Al iniciar sesión con códigos robados, los intrusos logran mezclarse con la actividad normal de los usuarios del negocio, lo que dificulta considerablemente su detección oportuna. Asimismo, la manipulación de cuentas existentes posee un 32% de recurrencia, un procedimiento donde se activan usuarios deshabilitados o se elevan privilegios para aprovechar los recursos internos que ya existen en la empresa. Finalmente, el reconocimiento de la red acumula un 31.2%, etapa dedicada a explorar la infraestructura en busca de rutas de penetración.
¿Por qué los métodos basados en identidades logran evadir la seguridad?
La dificultad para diferenciar las operaciones cotidianas de una intrusión real convierte a esta brecha en un peligro crítico. La detección ya no se limita al rastreo de códigos sospechosos, sino al análisis exhaustivo del comportamiento de los usuarios en la red.
“El reporte resalta cuatro técnicas relacionadas con abuso de credenciales y una relacionada con descubrimiento en el top 5. El abuso de credenciales sigue siendo efectivo porque aprovecha una brecha crítica en la seguridad de las organizaciones: la dificultad para distinguir entre un acceso legítimo y uno malicioso. Cuando un atacante entra con una cuenta válida, sus movimientos pueden parecer parte de la actividad normal del negocio, lo que le permite pasar desapercibido, escalar privilegios y mantenerse dentro del entorno comprometido. Este escenario demuestra que proteger una organización ya no consiste únicamente en bloquear malware, sino en entender cómo se comportan los usuarios, detectar anomalías y reaccionar antes de que un acceso comprometido se convierta en un incidente mayor”, asegura Eduardo Chavarro, director para Américas del Equipo Global de Respuestas a Incidentes en Kaspersky.
¿Qué medidas operativas disminuyen el riesgo de intrusión por accesos?
Para reducir la exposición digital, los analistas recomiendan fortalecer de forma integral la gestión de identidades y accesos. Resulta indispensable revisar periódicamente las cuentas activas y aplicar de manera rigurosa el principio de mínimo privilegio, limitando los permisos de cada usuario exclusivamente a las funciones requeridas para su labor.
Tanto el establecimiento de políticas robustas de contraseñas como la implementación de autenticación multifactor ayudan a neutralizar el impacto de la filtración de credenciales. Si bien una clave puede resultar comprometida, una segunda capa de verificación detiene el avance del atacante hacia sistemas críticos. Adicionalmente, el fabricante de ciberseguridad Kaspersky aconseja contar con capacidades avanzadas de detección y respuesta a través del soporte de un SOC (Centro de Operaciones de Seguridad) y servicios especializados de Managed Detection and Response (MDR). Estas herramientas tecnológicas posibilitan el monitoreo continuo para reconocer comportamientos anómalos antes de que escalen hacia pérdidas de consideración para la reputación y las finanzas del negocio.
