Cada año, buena parte de las organizaciones que sufren una brecha de seguridad ya habían invertido en herramientas de seguridad perimetral, antivirus de nueva generación y, cada vez más seguido, algún producto que se vende como solución "Zero Trust". Y aun así, siguen cayendo por la misma puerta: credenciales comprometidas.
Esto no es casualidad ni mala suerte. Es la consecuencia directa de tratar Zero Trust como un producto que se instala, en lugar de un modelo que se implementa en los procesos, la configuración y la cultura de una organización.
El dato que nadie quiere mirar
Reportes de la industria como el Verizon Data Breach Investigations Report (DBIR) muestran, de forma consistente año tras año, que la mayoría de las brechas confirmadas involucran credenciales robadas, reutilizadas, débiles o mal gestionadas — no vulnerabilidades de software de día cero ni exploits sofisticados.
de las intrusiones avanzadas analizadas en reportes de la industria involucran credenciales comprometidas como vector de entrada o de movimiento lateral, muy por delante de la explotación directa de vulnerabilidades de software.
La razón es simple: para un atacante, es mucho más barato y eficiente comprar una credencial filtrada en un mercado clandestino, o enviar un correo de phishing bien dirigido, que desarrollar y mantener un exploit funcional contra una vulnerabilidad parchada regularmente. El eslabón humano y de identidad sigue siendo, con diferencia, el camino de menor resistencia.
Por qué comprar una herramienta "Zero Trust" no te hace más seguro
El término Zero Trust fue formalizado por el NIST en la publicación SP 800-207 como una arquitectura de seguridad, no como un producto con SKU. Sin embargo, buena parte del mercado de ciberseguridad lo ha convertido en una etiqueta de marketing: basta con instalar una plataforma de Zero Trust Network Access (ZTNA) o un IAM moderno para poder decir "ya hacemos Zero Trust".
El problema es que esa misma organización, en la práctica, puede seguir teniendo: cuentas administrativas compartidas entre varias personas, MFA habilitado solo para algunos sistemas "críticos" (y no para el correo o la VPN), protocolos de autenticación heredados sin desactivar, y ningún proceso periódico de revisión de quién tiene acceso a qué. La herramienta está instalada; el modelo, no.
Es el equivalente a comprar un candado de alta seguridad para la puerta principal y dejar la ventana lateral abierta. El control existe, pero no cambia el resultado si el proceso alrededor de ese control sigue siendo el mismo.
Los tres principios que sí importan
- Verificar explícitamente: cada solicitud de acceso se autentica y autoriza en base a todas las señales disponibles (identidad, dispositivo, ubicación, comportamiento), no solo una vez al inicio de sesión.
- Usar el mínimo privilegio necesario: cada cuenta y cada sesión tiene acceso solo a lo estrictamente necesario, por el tiempo necesario — no accesos administrativos permanentes "por si acaso".
- Asumir la brecha: se diseña la red y los procesos asumiendo que un atacante ya podría estar dentro, limitando el daño posible mediante segmentación y monitoreo activo.
4 pasos que puedes tomar esta semana
No hace falta un proyecto de transformación de dos años para reducir de forma significativa el riesgo asociado a credenciales. Estos cuatro pasos son aplicables a la gran mayoría de empresas en Chile y Latinoamérica, sin importar su tamaño:
1. MFA obligatorio en todo acceso crítico
No opcional, no solo para algunos usuarios: correo corporativo, VPN, paneles de administración, accesos remotos (RDP, SSH) y cualquier consola con privilegios elevados. Es el control individual con mejor relación costo-beneficio contra el robo de credenciales, y en entornos como Microsoft Entra ID puede desplegarse mediante políticas de acceso condicional en días, no meses.
2. Revisión y reducción de privilegios
Audita quién tiene acceso administrativo hoy y pregúntate si realmente lo necesita para su rol actual. Es habitual encontrar cuentas de ex-colaboradores activas, permisos heredados de proyectos ya cerrados, y administradores "por costumbre" que nunca se revisaron desde su creación.
3. Segmentación de red
Un equipo comprometido no debería poder llegar, sin restricciones, a toda la red corporativa. Segmentar por función (finanzas, operaciones, servidores críticos) limita cuánto puede moverse un atacante una vez que obtiene un acceso inicial.
4. Monitoreo y logging de autenticación
Centraliza los registros de inicio de sesión y define alertas ante patrones anómalos: accesos desde ubicaciones inusuales, múltiples intentos fallidos, o inicios de sesión fuera de horario habitual. Sin visibilidad, ni el mejor control de acceso avisa cuando algo ya salió mal.
Lo que vemos en terreno
En nuestro trabajo reciente de hardening de identidades sobre entornos Microsoft Entra ID para clientes en Chile, el patrón se repite: la organización ya tenía licencias y funcionalidades de seguridad disponibles que simplemente no estaban configuradas — políticas de acceso condicional inexistentes, MFA aplicado de forma inconsistente entre usuarios, y protocolos de autenticación heredados (legacy auth) que seguían habilitados sin que nadie lo supiera. El costo de cerrar esas brechas fue, en la mayoría de los casos, de configuración y proceso, no de licenciamiento adicional.
Preguntas frecuentes sobre Zero Trust y seguridad de credenciales
¿Qué es Zero Trust exactamente?
Es un modelo de arquitectura de seguridad, formalizado en NIST SP 800-207, basado en verificar explícitamente cada acceso, aplicar el mínimo privilegio necesario y asumir que la brecha ya ocurrió o va a ocurrir. No es un producto ni una certificación que se compra.
¿Necesito comprar un software especial para implementar Zero Trust?
No necesariamente. La mayoría de las organizaciones ya cuentan con las herramientas base (MFA, IAM, firewalls, EDR); lo que suele faltar es configurarlas correctamente y rediseñar los procesos de acceso alrededor de ellas.
¿Por qué las credenciales siguen siendo el vector más común de ataque?
Porque es más simple y barato para un atacante comprar o phishear una contraseña que desarrollar un exploit contra una vulnerabilidad de software. Reportes como el Verizon DBIR muestran esto de forma consistente año tras año.
¿Cuál es el primer paso que debería tomar mi empresa?
Hacer obligatorio el MFA en todos los accesos críticos: correo, VPN, paneles de administración y accesos remotos. Es el control con mejor relación costo-beneficio y se puede implementar en días.
¿El MFA es suficiente por sí solo?
No. Reduce drásticamente el riesgo de credenciales robadas, pero no reemplaza la revisión de privilegios, la segmentación de red ni el monitoreo de accesos. Zero Trust es un conjunto de controles que se refuerzan entre sí.