Los ciberdelincuentes ya no necesitan desarrollar malware sofisticado para comprometer una organización. En muchos casos, basta con iniciar sesión utilizando un usuario y una contraseña válidos.
Esta es una de las principales conclusiones del más reciente informe «Anatomy of a Cyber World» de Kaspersky, elaborado a partir de incidentes reales investigados por sus equipos de Managed Detection and Response (MDR), Incident Response (IR), Compromise Assessment y consultoría SOC. El estudio revela que el abuso de credenciales legítimas se ha convertido en una de las técnicas más efectivas para infiltrarse en redes corporativas sin levantar sospechas. (Kaspersky Latam)
Lejos de disminuir, esta tendencia refleja un cambio en la estrategia de los atacantes: en lugar de «romper la puerta», prefieren utilizar las llaves de la propia organización.
Los atacantes prefieren pasar desapercibidos
Durante años, las empresas centraron gran parte de sus inversiones en detectar virus, ransomware y otros tipos de malware. Sin embargo, el panorama actual está cambiando.
Hoy, los atacantes buscan obtener credenciales válidas mediante phishing, filtraciones de datos, reutilización de contraseñas o ataques automatizados para adivinar claves. Una vez dentro, pueden comportarse prácticamente como un usuario legítimo, reduciendo considerablemente las probabilidades de ser detectados.
Este enfoque resulta especialmente peligroso porque muchas herramientas tradicionales de seguridad están diseñadas para detectar software malicioso, pero no necesariamente un inicio de sesión aparentemente normal realizado con una cuenta válida.
Adivinar contraseñas sigue siendo sorprendentemente efectivo
Uno de los datos más llamativos del informe es que los intentos de adivinar contraseñas representan el 34,8 % de las técnicas de ataque observadas con mayor frecuencia, ubicándose entre las tácticas con mayor tasa de éxito durante investigaciones reales y ejercicios autorizados de seguridad. (tecnautas.cl)
Aunque muchas organizaciones consideran este tipo de ataques como algo básico, continúan siendo efectivos debido a factores como:
- Contraseñas débiles.
- Reutilización de la misma contraseña en múltiples servicios.
- Ausencia de autenticación multifactor.
- Cuentas antiguas que permanecen activas.
- Políticas de acceso insuficientes.
A ello se suma el uso de herramientas automatizadas capaces de probar miles de combinaciones en pocos minutos.
El verdadero peligro comienza después del acceso
Obtener una contraseña válida suele ser solo el primer paso.
Según Kaspersky, una práctica habitual consiste en crear nuevas cuentas locales con privilegios elevados para mantener el acceso incluso si la credencial inicialmente comprometida es descubierta y bloqueada. De esta forma, los atacantes establecen mecanismos de persistencia que les permiten regresar posteriormente al sistema. (Portal ERP)
Desde ese momento pueden:
- Escalar privilegios.
- Acceder a servidores críticos.
- Robar información confidencial.
- Extraer bases de datos.
- Desplegar ransomware.
- Moverse lateralmente hacia otros equipos de la red.
En muchos casos, el tiempo transcurrido entre la intrusión inicial y la detección puede ser suficiente para causar pérdidas económicas importantes.
Una tendencia que coincide con otros estudios internacionales
Las conclusiones de Kaspersky coinciden con investigaciones recientes de otras empresas especializadas en ciberseguridad.
El 2026 Global Threat Report de CrowdStrike indica que el 82 % de las detecciones durante 2025 fueron ataques sin malware, mientras que los adversarios utilizan cada vez más credenciales comprometidas, identidades robadas y accesos legítimos para evitar ser detectados. Además, el informe señala que los atacantes ya no están «hackeando» sistemas: simplemente están iniciando sesión con credenciales válidas. (CrowdStrike)
Este cambio confirma que la identidad digital se ha convertido en uno de los activos más críticos para cualquier organización.
Cómo pueden protegerse las empresas
Reducir el riesgo de robo de credenciales requiere una combinación de tecnología, procesos y capacitación.
Entre las medidas recomendadas destacan:
- Implementar autenticación multifactor (MFA).
- Utilizar gestores de contraseñas para evitar reutilización.
- Aplicar políticas de contraseñas robustas.
- Supervisar continuamente los accesos y actividades sospechosas.
- Eliminar cuentas inactivas o innecesarias.
- Capacitar a los colaboradores para reconocer intentos de phishing.
- Adoptar modelos de seguridad basados en el principio de mínimo privilegio.
Asimismo, disponer de herramientas de monitoreo continuo y respuesta ante incidentes permite identificar comportamientos anómalos antes de que el atacante logre comprometer activos críticos.
La identidad digital es el nuevo perímetro de seguridad
Durante años, la ciberseguridad empresarial se enfocó en proteger el perímetro de la red. Sin embargo, con el crecimiento del trabajo remoto, los servicios en la nube y las aplicaciones distribuidas, ese perímetro prácticamente ha desaparecido.
Hoy, la identidad de cada usuario representa la nueva línea de defensa.
Cuando un ciberdelincuente consigue unas credenciales válidas, muchas barreras tradicionales dejan de ser efectivas. Por ello, las organizaciones deben evolucionar desde un enfoque basado únicamente en proteger equipos hacia una estrategia que también priorice la gestión de identidades, el monitoreo continuo y la detección temprana de actividades anómalas.
El informe de Kaspersky confirma una realidad que ya observan numerosos equipos de ciberseguridad en todo el mundo: el acceso legítimo se ha convertido en una de las armas favoritas de los atacantes, y proteger las credenciales de los usuarios será uno de los mayores desafíos para las empresas durante los próximos años.
