Puntos clave
- Las identidades no humanas (NHI) ya superan con creces en número a los usuarios humanos y están creciendo a un ritmo mucho más rápido, lo que crea una superficie de ataque importante y poco regulada.
- Los atacantes recurren cada vez más a la ingeniería social, como el phishing por voz (vishing), para burlar las defensas humanas y acceder a las credenciales a nivel del sistema.
- La mayoría de las NHI operan con permisos excesivos y carecen de una gestión adecuada del ciclo de vida, lo que contribuye a la acumulación de «deuda de identidad».
- Las herramientas de seguridad tradicionales no detectan las amenazas a nivel de máquina porque las NHI se comportan de forma diferente a los usuarios humanos.
- Las organizaciones deben pasar de estrategias centradas en la prevención a enfoques centrados en la recuperación, dando prioridad a la detección rápida y la contención de los ataques basados en la identidad.
Durante la última década, la inversión en seguridad empresarial se ha centrado en el ser humano. Mejor autenticación. Autenticación multifactorial (MFA) más sólida. Simulación de phishing. Arquitectura centrada en la identidad. Estas inversiones fueron la respuesta adecuada al panorama de amenazas de aquel momento. El panorama de las amenazas ha cambiado.
Los adversarios más sofisticados de hoy en día no intentan burlar tu MFA. La están utilizando como puerta de entrada. Una llamada telefónica convincente al servicio de asistencia de TI, un restablecimiento de la MFA y una cuenta de usuario comprometida: esa es la vía de acceso. Lo que realmente buscan es lo que hay detrás: la extensa capa de NHI, con escaso control, que conecta todos los sistemas de tu entorno.
La magnitud del problema es abrumadora
Cuentas de servicio, claves API, tokens OAuth, agentes de IA: las NHI superan ahora en número a los usuarios humanos en una proporción de 144 a 1, y crecen entre 4 y 10 veces más rápido que las cuentas humanas. Sin embargo, menos del 25 % de las organizaciones cuentan con políticas formales que regulen su creación o baja. Casi todas ellas cuentan con permisos excesivos, derechos que superan con creces lo que requiere su función.
No se trata de un riesgo nuevo que haya surgido de repente. Es una deuda de identidad acumulada: años de provisión sin control, automatización sin rendición de cuentas, nube sin visibilidad. Y los atacantes se han dado cuenta.
El vishing es el punto de entrada
Grupos como ShinyHunters y Scattered Spider —que operan bajo lo que los investigadores denominan el clúster Scattered LAPSUS$ Hunters (SLH)— han industrializado la ingeniería social para explotar precisamente esta brecha. El phishing por voz aumentó un 449 % en 2025. No se trata de llamadas oportunistas. Son operaciones coordinadas: guiones diseñados específicamente, personas reclutadas para realizar las llamadas e incentivos económicos de hasta 1.000 dólares por cada suplantación de identidad exitosa en el servicio de asistencia técnica.
La llamada no es el ataque. La llamada es el restablecimiento de credenciales que permite al atacante traspasar el perímetro humano. El ataque comienza cuando pasan a la capa de las máquinas: robando tokens de OAuth, creando cuentas de servicio administrativas e incorporando acceso mediante credenciales que casi nunca se supervisan y que casi nunca se renuevan. La cuenta humana se repara. El acceso a la capa de las máquinas persiste. El atacante ya ha pasado a otra cosa.
Tres vulnerabilidades que los controles tradicionales no detectan
Las herramientas de seguridad estándar se diseñan en torno al comportamiento humano. Señalan inicios de sesión anómalos, geolocalizaciones inusuales y tráfico de correo electrónico sospechoso. Los NHI funcionan de manera diferente, y esa diferencia es el punto ciego.
El uso indebido de OAuth, por ejemplo, parece tráfico normal de API, incluso tras un restablecimiento de contraseña. Miles de cuentas de servicio no documentadas operan en grandes empresas con privilegios administrativos, a menudo mucho después de que los proyectos que las crearon hayan finalizado. Las claves de API de larga duración integradas en los flujos de trabajo de DevOps conllevan un amplio acceso sin contexto del dispositivo y sin alertas de inicio de sesión. La autenticación multifactorial (MFA) no las detecta. La detección en los dispositivos finales tampoco las detecta. El filtrado de correo electrónico no les afecta.
El cambio de enfoque: de «la prevención ante todo» a «la recuperación ante todo»
La respuesta lógica ante una amenaza que a menudo escapa a los métodos de detección tradicionales es dejar de dar por sentado que se pueden evitar todas las intrusiones y empezar a planificar una recuperación rápida ante aquellas que logren colarse. Eso significa tratar las NHI como activos de nivel 0, aplicándoles los mismos controles de gobernanza que se aplican a los administradores de dominio o a los planes en la nube gestionados con identidades humanas. Significa sustituir los secretos estáticos por tokens de corta duración y rotación automática.
También implica relacionar señales de distintos ámbitos: una interacción con el servicio de asistencia técnica seguida de un restablecimiento de la autenticación multifactorial (MFA) y, a continuación, la creación de un nuevo token es un indicador de compromiso de alta fiabilidad, y detectarlo a tiempo marca la diferencia entre contener el problema y sufrir una brecha de seguridad prolongada. Significa asociar los identificadores de red (NHI) a identidades humanas para garantizar la rendición de cuentas.
Lo más importante es que significa tener la capacidad de detectar aumentos de privilegios no autorizados y revertir cambios maliciosos en las identidades en tiempo real, devolviendo el entorno a un estado conocido y de confianza antes de que el daño se extienda.
La prevención sigue siendo importante. Pero, dada la brecha de gobernanza que presentan muchas organizaciones, la velocidad de recuperación se está convirtiendo en un indicador clave de resiliencia. Las organizaciones deberían desarrollar programas de identidad diseñados para los ataques que ya se están produciendo, no para los que eran habituales hace cinco años. Visita Readiverse y echa un vistazo a nuestro libro electrónico «The Non-Human Identity Crisis», que analiza en profundidad la superficie de ataque de las máquinas y el marco para la resiliencia de la identidad.
Preguntas frecuentes
P1: ¿Qué son las identidades no humanas (NHI)?
R: Las NHI incluyen cuentas de servicio, claves API, tokens OAuth y agentes de IA que permiten que los sistemas y las aplicaciones interactúen entre sí. A diferencia de los usuarios humanos, suelen funcionar de forma automática y a gran escala, lo que hace que sean más difíciles de supervisar y controlar.
Pregunta 2: ¿Por qué se considera que las NHI suponen un riesgo para la seguridad?
R: Las NHI suelen tener permisos excesivos y carecen de una gestión adecuada, lo que las convierte en objetivos atractivos para los atacantes. Como casi nunca se supervisan ni se renuevan, las credenciales comprometidas pueden pasar desapercibidas durante largos periodos de tiempo.
Pregunta 3: ¿Cómo aprovechan los atacantes las NHI?
R: Los atacantes suelen obtener el acceso inicial mediante técnicas de ingeniería social, como el phishing por voz, y luego pasan a la capa del sistema. Roban tokens, crean nuevas cuentas de servicio o incorporan acceso persistente en credenciales que no se supervisan de cerca.
Pregunta 4: ¿Por qué las herramientas de seguridad tradicionales no detectan estas amenazas?
R: La mayoría de las herramientas de seguridad están diseñadas para detectar comportamientos humanos, como anomalías en el inicio de sesión o intentos de phishing. Los NHI generan tráfico del sistema que parece normal, lo que permite que la actividad maliciosa pase desapercibida entre las operaciones legítimas.
P5: ¿Qué se entiende por un enfoque de seguridad «centrado en la recuperación»?
R: Un enfoque centrado en la recuperación se centra en detectar rápidamente las brechas de seguridad y restablecer los sistemas a un estado seguro, en lugar de dar por sentado que todos los ataques se pueden prevenir. Esto incluye identificar los cambios no autorizados y revertirlos en tiempo real.
Pregunta 6: ¿Cómo pueden las organizaciones mejorar la seguridad de la NHI?
R: Las organizaciones pueden considerar las NHI como activos críticos, aplicar políticas de gobernanza estrictas, sustituir las credenciales estáticas por tokens de corta duración y correlacionar las señales entre los distintos sistemas. Además, asociar las NHI a personas concretas mejora la rendición de cuentas y la supervisión.
Vidya Shankaran es directora técnica de operaciones de Commvault.
