Puntos clave
- La ingeniería social a través del servicio de asistencia técnica se ha convertido en uno de los principales puntos de entrada, ya que los ataques de «vishing» (phishing por voz) están aumentando rápidamente y provocan el robo de credenciales.
- Las identidades no humanas, como las cuentas de servicio y los tokens, constituyen un importante punto ciego en materia de seguridad; a menudo no se gestionan y se aprovechan mucho para el movimiento lateral.
- Active Directory (AD) es un objetivo muy atractivo debido a su control centralizado y a las posibles configuraciones erróneas.
- La prevención por sí sola no basta; las organizaciones necesitan sistemas sólidos de detección y una capacidad de recuperación rápida para limitar los daños.
- Las medidas operativas inmediatas —como auditar las cuentas y relacionar la actividad del servicio de asistencia con los cambios de identidad— pueden reducir considerablemente el riesgo.
AD sigue siendo uno de los principales objetivos de los atacantes porque constituye el núcleo de la identidad corporativa. Estudios recientes muestran que el 67 % de los incidentes implican ahora una violación de la identidad, y que los atacantes se dirigen a sistemas críticos como AD a las pocas horas de conseguir el acceso inicial. Una vez comprometido, la recuperación puede llevar días o semanas, lo que provoca importantes trastornos en la actividad empresarial.
La pregunta que hay que plantearse no es si AD es un objetivo. Es cómo llegan los atacantes hasta allí y por qué el camino es mucho más corto de lo que los equipos de seguridad podrían esperar.
Tres pasos para alcanzar un acuerdo total
Grupos de ciberdelincuentes como ShinyHunters y Scattered Spider han convertido la ingeniería social en una operación a gran escala. El phishing por voz —vishing— se disparó un 449 % en 2025. Se recluta a personas para realizar las llamadas, se les proporciona un guion y se les paga hasta 1 000 dólares en función del éxito y la tasa de acierto.
Eso significa que basta con un solo paso para lanzar un ataque: conseguir que te restablezcan la contraseña o que cambien la autenticación multifactorial (MFA). Y ya está.
A partir de esa única credencial, el atacante se desplaza lateralmente hacia entornos en la nube y virtualizados. Recogen tokens OAuth, crean nuevas cuentas de servicio administrativas e integran el acceso mediante credenciales a nivel de máquina. Estas identidades no humanas —cuentas de servicio, claves API, tokens— superan ahora en número a los usuarios humanos en una proporción de 144 a 1. La expansión y la sobrecarga operativa dificultan la rotación y la auditoría. Ese movimiento lateral tiene un destino: Active Directory.
La publicidad es el objetivo
AD es el sistema nervioso central de la identidad empresarial. Si lo controlas, lo controlas todo: cuentas de usuario, políticas de grupo y acceso a todos los sistemas de la red unidos al dominio. La razón por la que resulta tan atractivo para los atacantes —y tan difícil de defender— es estructural. Cualquier usuario autenticado puede leer todo el directorio. Todos los sistemas unidos al dominio heredan la confianza de este.
Los objetos de política de grupo vinculados al nodo raíz del dominio pueden utilizarse como arma para desactivar por completo los controles de seguridad. Los protocolos heredados que se mantienen habilitados por motivos de compatibilidad con las aplicaciones proporcionan un acceso directo. La propia documentación de Microsoft afirma que «la mayoría de los ataques a la identidad aprovechan errores comunes de configuración en Active Directory». Cuando un atacante llega al AD, no tiene que forzar la entrada. La puerta suele estar abierta.
La prevención es necesaria, pero no suficiente
La estructura de seguridad estándar —autenticación multifactorial (MFA), detección de dispositivos y filtrado de correo electrónico— se basa en el comportamiento humano. No se diseñó para controlar la capa de identidades de máquina ni para detectar ese tipo de escalada de privilegios lenta y aparentemente legítima que caracteriza a los ataques modernos contra Active Directory. Un atacante que pase de una cuenta de usuario comprometida a una cuenta de servicio y, de ahí, a una de administrador de dominio a lo largo de 72 horas puede que nunca active ni una sola alerta.
Por eso hay que cambiar el enfoque de «primero la prevención» a «primero la recuperación». La prevención sigue siendo importante. El acceso con privilegios mínimos, la auditoría de los cambios en Active Directory, el refuerzo de las configuraciones predeterminadas y la desactivación de cuentas inactivas: todas estas medidas pueden ayudar a reducir la superficie de ataque. Pero, teniendo en cuenta que la mitad de las organizaciones ya han sufrido un ataque a Active Directory, diseñar pensando únicamente en la prevención es sinónimo de diseñar para fracasar.
La verdadera resiliencia de las identidades requiere la capacidad de detectar escaladas de privilegios no autorizadas casi en tiempo real, revertir los cambios maliciosos antes de que se propaguen y restaurar rápidamente el entorno de identidades a un estado conocido y de confianza —no en días o semanas, sino lo suficientemente rápido como para contener el alcance del impacto—. Esto significa tratar Active Directory y la capa de identidades no humanas como activos de Nivel 0, con la misma inversión en gobernanza y recuperación que se aplicaría a cualquier otro sistema crítico para la misión.
Qué hacer ahora mismo para reforzar tu identidad
La brecha entre la situación actual de la mayoría de las organizaciones y el nivel que deben alcanzar en materia de resiliencia de identidades es real. Pero se puede cerrar. Las prioridades inmediatas son poco glamurosas y de carácter operativo:
- Revisa qué hay en tu AD.
- Busca las cuentas que ya no deberían existir.
- Cambia las credenciales que lleven años sin utilizarse.
- Relaciona la actividad del servicio de asistencia con los eventos de creación de tokens y cuentas.
Una consulta al servicio de asistencia técnica seguida de un restablecimiento de la autenticación multifactorial (MFA) y, a continuación, la creación de una nueva cuenta de servicio es un indicio muy fiable de un ataque, y se puede detectar si estás atento.
El trabajo a largo plazo es de carácter estratégico: incorpora capacidad de recuperación en tu programa de identidades para que, cuando se produzca un ataque —y normalmente es cuestión de «cuándo», no de «si»—, puedas contenerlo, revertirlo e intentar restablecer la confianza antes de que el atacante consiga afianzar su posición.
Los atacantes cuentan con que tu Active Directory no esté regulado, que tus identidades de máquina sean invisibles y que tu plan de recuperación sea meramente teórico. Cubre una de esas brechas este trimestre. Cubre las tres y habrás cambiado radicalmente la ecuación. Descubre cómo Commvault Cloud ofrece una protección integral para Active Directory: desde la evaluación de vulnerabilidades hasta la reversión con un solo clic y la recuperación completa del bosque.
Hace poco participé junto a Vidya Shankaran en el podcast STRIVE para hablar sobre la brecha de gobernanza en las identidades no humanas. Echa un vistazo a nuestro episodio aquí. Y no te pierdas el blog de Vidya: «El punto ciego de las identidades de máquina es ahora una superficie de ataque principal».
Preguntas frecuentes
P: ¿Por qué los servicios de asistencia técnica se están convirtiendo en un riesgo importante para la seguridad? R: A menudo se recurre a los servicios de asistencia técnica para restablecer contraseñas y modificar la configuración de la autenticación multifactorial (MFA), lo que los convierte en objetivos atractivos para la ingeniería social. Los atacantes se aprovechan de esta confianza para obtener acceso inicial con muy poca resistencia. P: ¿Qué papel desempeñan las identidades no humanas en los ataques?
R: La expansión desordenada y los gastos generales operativos dificultan la rotación y la auditoría de las identidades no humanas, como las cuentas de servicio y las claves API. Los atacantes las utilizan para mantener la persistencia y moverse sin ser detectados por los sistemas. P: ¿Por qué es AD un objetivo tan crítico? R: AD controla la autenticación y el acceso en toda la red. Si los atacantes logran hacerse con el control de este sistema, pueden gestionar usuarios, políticas y sistemas a gran escala. P: ¿No bastan la autenticación multifactorial (MFA) y la seguridad de los terminales para detener estos ataques? R: Estas herramientas se centran en el comportamiento humano y es posible que no detecten una escalada de privilegios lenta y que parezca legítima. Los atacantes pueden actuar siguiendo patrones normales y evitar así que se activen las alertas. P: ¿Qué significa un enfoque de seguridad que da prioridad a la recuperación? R: Significa prepararse para la realidad de que se producirán brechas de seguridad y dar prioridad a la capacidad de detectarlas, contenerlas y revertirlas rápidamente. Este enfoque ayuda a reducir el tiempo de inactividad y puede contribuir a limitar el impacto general. P: ¿Cuáles son las medidas más importantes que hay que tomar de inmediato? R: Empieza por realizar una auditoría de tu AD, eliminando las cuentas que no necesites, renovando las credenciales antiguas y vigilando si hay patrones sospechosos en las actividades relacionadas con el servicio de asistencia técnica y la gestión de identidades. Dan Conrad es tecnólogo principal y director técnico de operaciones en Commvault.
