Los ataques informáticos están cambiando de estrategia. En lugar de recurrir al malware, que suele ser detectado por los sistemas de seguridad, los ciberdelincuentes están optando cada vez más por utilizar credenciales robadas y cuentas legítimas para acceder a los sistemas de las empresas, una táctica que les permite pasar desapercibidos durante más tiempo.
Así lo señala el informe “Anatomy of a Cyber World”, elaborado por Kaspersky a partir de datos recopilados por sus servicios de detección y respuesta a incidentes.
El estudio analiza las técnicas y herramientas más utilizadas por los atacantes a nivel mundial y concluye que el abuso de identidades y accesos se ha convertido en uno de los principales riesgos para las organizaciones.
Según el reporte, una parte importante de los incidentes detectados está relacionada con la gestión de credenciales e identidades. Entre las técnicas más frecuentes figuran el adivinar contraseñas (34,8 %), la creación de cuentas locales (34,7 %), el abuso de cuentas válidas (34,5 %), la manipulación de cuentas (32 %) y el reconocimiento de la red (31,2 %).
El método más común sigue siendo el intento sistemático de adivinar contraseñas. Los expertos explican que el uso de claves débiles, predecibles o reutilizadas facilita que los atacantes accedan a las cuentas mediante ataques automatizados.
Una vez dentro del sistema, los ciberdelincuentes suelen crear nuevas cuentas locales para conservar el acceso incluso si la vía inicial es descubierta y bloqueada. También modifican cuentas existentes, activan usuarios deshabilitados o elevan privilegios para ampliar su control sobre la infraestructura comprometida.
Sin embargo, una de las tácticas que más preocupa a los especialistas es el abuso de cuentas válidas. En estos casos, los atacantes utilizan credenciales robadas para iniciar sesión como si fueran usuarios autorizados, evitando levantar sospechas porque su actividad aparenta ser legítima.
“El abuso de credenciales sigue siendo efectivo porque aprovecha una brecha crítica en la seguridad de las organizaciones: la dificultad para distinguir entre un acceso legítimo y uno malicioso. Cuando un atacante entra con una cuenta válida, sus movimientos pueden parecer parte de la actividad normal del negocio, lo que le permite pasar desapercibido, escalar privilegios y mantenerse dentro del entorno comprometido”, explicó Eduardo Chavarro, director para las Américas del Equipo Global de Respuestas a Incidentes de Kaspersky.
El informe también destaca que, antes de ejecutar un ataque de mayor alcance, los delincuentes suelen realizar un reconocimiento de la red para identificar equipos vulnerables, servicios disponibles y posibles rutas de acceso. Detectar esta actividad en una fase temprana puede evitar que un incidente menor termine convirtiéndose en una brecha de seguridad de gran impacto.
Ante este panorama, Kaspersky recomienda reforzar la gestión de identidades y accesos mediante revisiones periódicas de las cuentas activas, la eliminación de permisos innecesarios y la aplicación del principio de mínimo privilegio, de modo que cada usuario solo tenga acceso a los recursos indispensables para su trabajo.
La empresa también aconseja implementar la autenticación multifactor y políticas de contraseñas robustas para dificultar el uso de credenciales robadas.
Además, considera fundamental contar con servicios avanzados de monitoreo y respuesta a incidentes que permitan detectar comportamientos anómalos, ya que el desafío actual no consiste únicamente en identificar archivos maliciosos, sino en descubrir cuándo una cuenta aparentemente legítima está siendo utilizada por un atacante.
NotiVeraz