Puntos clave
- Los ataques de vishing han aumentado drásticamente, y hay grupos organizados que están industrializando la ingeniería social para obtener acceso inicial a través de los servicios de asistencia técnica.
- Los atacantes pasan rápidamente de las cuentas de usuario comprometidas a identidades de máquina persistentes, como los tokens OAuth y las cuentas de servicio.
- La mayoría de las organizaciones carecen de gobernanza y visibilidad sobre las identidades no humanas (NHI), lo que supone un importante punto ciego de seguridad.
- Readiness eficaz depende de la correlación de las señales de identidad y de tratar las identidades de máquina como activos de alto riesgo.
- La verdadera resiliencia requiere la capacidad de detectar y revertir los cambios no autorizados en los privilegios antes de que los atacantes logren establecerse de forma persistente.
El personal de tu servicio de asistencia técnica acaba de recibir una llamada. La persona que llamaba sabía el nombre del empleado, quién era su jefe y los cuatro últimos dígitos de su número de identificación. Solicitó un restablecimiento de contraseña. Procedimiento estándar. El técnico de TI accedió.
Esa llamada era un fraude. Y el atacante ya está dentro.
El phishing por voz —vishing— se disparó un 449 % en 2025. Los grupos de atacantes han convertido la ingeniería social en una operación escalable: reclutan a personas para realizar llamadas, redactan guiones y pagan entre 500 y 1.000 dólares por cada suplantación de identidad exitosa en el servicio de asistencia técnica. No buscan tus datos. Buscan un punto de apoyo.
Una vez dentro, los atacantes no se detienen en la cuenta de un usuario. Se mueven lateralmente: roban tokens de OAuth, crean nuevas cuentas de servicio administrativas y obtienen acceso mediante credenciales a nivel de máquina que nadie supervisa. A diferencia de las contraseñas de los usuarios, esas credenciales rara vez se renuevan. No activan alertas de inicio de sesión. Pueden sobrevivir a una corrección completa de la cuenta del usuario original comprometida.
Para cuando tu equipo de seguridad cierre el ticket del incidente del servicio de asistencia técnica, es posible que el atacante lleve semanas actuando de forma silenciosa y persistente en tu entorno. La falta de gobernanza empeora la situación.
Menos del 25 % de las organizaciones cuentan con políticas formales para la creación o la desactivación de las NHI —las cuentas de servicio, las claves API y los tokens OAuth que ahora superan en número a los usuarios humanos en una proporción de 144 a 1—. Casi todas ellas cuentan con permisos que superan con creces lo que requiere su función.
La mayoría de las organizaciones no confían prácticamente en su capacidad para detectar un ataque dirigido a esta capa. No se trata de un fallo de prevención, sino de un fallo en la planificación de Recovery.
Cómo se manifiesta la Readiness
La prevención en el servicio de asistencia técnica es importante —formación, verificación de devolución de llamada, confirmación fuera de banda—. Pero por sí sola no es suficiente. Los atacantes se están industrializando más rápido de lo que los programas de concienciación pueden seguirles el ritmo.
Readiness significa correlacionar las señales: una interacción con el servicio de asistencia técnica seguida inmediatamente de un restablecimiento de la autenticación multifactorial (MFA) o de la creación de un nuevo token es un indicador de alta probabilidad de compromiso.
Significa tratar las identidades de las máquinas como activos de nivel 0: regular su creación, delimitar sus permisos y supervisar cualquier escalada no autorizada. Y significa tener la capacidad de detectar y revertir rápidamente los cambios maliciosos en los privilegios, antes de que se conviertan en la nueva normalidad.
Descubre cómo la resiliencia de identidades de Commvault permite la detección rápida, la reversión y la Recovery de tu entorno de identidades.
Preguntas frecuentes
P: ¿Qué es un ataque de «vishing» en el contexto de la seguridad empresarial?
R: El vishing (phishing por voz) utiliza llamadas telefónicas para suplantar la identidad de empleados y manipular a los servicios de asistencia de TI para que concedan acceso, normalmente mediante restablecimientos de contraseñas o de la autenticación multifactorial (MFA). Se trata de una práctica cada vez más industrializada, en la que grupos organizados reclutan a personas para realizar las llamadas y utilizan guiones preescritos para maximizar las tasas de éxito.
P: ¿Por qué los atacantes se centran en las identidades de máquina tras un acceso inicial mediante vishing?
R: Las cuentas de usuario se corrigen. Las identidades de máquina (NHI) —tokens de OAuth, cuentas de servicio, claves de API— son más persistentes y rara vez se renuevan, por lo que a menudo pasan desapercibidas para la supervisión tradicional. Trasladar el acceso a la capa de las máquinas permite a los atacantes mantener esa persistencia mucho después de que se haya detectado y solucionado la filtración original de las credenciales de los usuarios.
P: ¿Qué significa en la práctica la «resiliencia de la identidad»?
R: Significa que su organización puede ayudar a detectar cambios no autorizados en los privilegios casi en tiempo real y contribuir a restablecer rápidamente el entorno de identidades a un estado fiable. La detección por sí sola no es suficiente: la capacidad de revertir la actividad maliciosa y verificar que las identidades de las máquinas no hayan sido manipuladas (o, si lo han sido, revertirlas a un punto anterior en el que estuvieran en buen estado) es lo que distingue la Readiness de la exposición.
Vidya Shankaran es directora técnica de operaciones de Commvault.
