Robo de credenciales desplaza al malware como principal amenaza para empresas

(Financiero News-Panamá) Los ciberdelincuentes están cambiando su estrategia: en lugar de depender de malware fácilmente detectable, cada vez más utilizan credenciales robadas, cuentas válidas y accesos legítimos para entrar a las organizaciones, pasar desapercibidos y evadir los controles de seguridad.

Así lo advierte el informe global “Anatomy of a Cyber World” de Kaspersky Security Services, que ubica el robo y abuso de credenciales entre las tácticas más efectivas observadas en incidentes de ciberseguridad a nivel mundial.

El reporte, basado en datos recopilados por los servicios de Managed Detection and Response, Incident Response, Compromise Assessment y SOC Consulting de Kaspersky, analiza técnicas, herramientas y escenarios de detección usados por actores maliciosos. La principal conclusión es que la identidad digital se convirtió en uno de los puntos más vulnerables de las empresas: cuando un atacante entra con una cuenta válida, su actividad puede parecer normal y resultar mucho más difícil de detectar.

Entre las técnicas más frecuentes identificadas, la primera es adivinar contraseñas, con una tasa de 34.8%. Esta práctica consiste en probar combinaciones hasta acceder a una cuenta y sigue siendo efectiva por el uso de contraseñas débiles, predecibles o reutilizadas dentro de las organizaciones. Aunque es una de las tácticas más antiguas, continúa siendo una amenaza vigente.

La segunda técnica es la creación de cuentas locales, con 34.7%. Una vez que los atacantes ingresan a un sistema, pueden crear nuevas cuentas para mantener acceso incluso si el punto de entrada original es detectado y bloqueado. Esta práctica es especialmente peligrosa en empresas con baja visibilidad sobre usuarios activos, permisos y cambios internos en sus sistemas.

El abuso de cuentas válidas ocupa el tercer lugar, con 34.5%. En este caso, los atacantes usan credenciales robadas o comprometidas para iniciar sesión sin levantar alertas inmediatas. Al no desplegar malware, sino operar como si fueran usuarios legítimos, pueden moverse dentro de la red, escalar privilegios y preparar ataques más profundos sin ser detectados a tiempo.

Otra táctica relevante es la manipulación de cuentas, con 32%, que incluye activar usuarios deshabilitados, modificar grupos de acceso o elevar privilegios. Esta técnica confirma una tendencia: los atacantes ya no necesitan introducir herramientas externas si pueden aprovechar los recursos que ya existen dentro de la organización.

El informe también destaca el reconocimiento de red, con 31.2%, una fase previa en la que los ciberdelincuentes exploran la infraestructura para identificar sistemas vulnerables, rutas de acceso y puntos débiles. Detectar estas señales tempranas puede marcar la diferencia entre un incidente contenido y una brecha de seguridad de alto impacto.

Eduardo Chavarro, director para Américas del Equipo Global de Respuestas a Incidentes de Kaspersky, advirtió que el abuso de credenciales sigue siendo efectivo porque aprovecha una brecha crítica: la dificultad de distinguir entre un acceso legítimo y uno malicioso. Según explicó, cuando un atacante usa una cuenta válida, sus movimientos pueden confundirse con actividad normal del negocio, lo que le permite escalar privilegios y permanecer dentro del entorno comprometido.

La lectura para Panamá y la región es directa. En sectores como banca, logística, comercio, telecomunicaciones, salud, gobierno y servicios profesionales, el riesgo ya no está solo en archivos maliciosos o virus tradicionales, sino en accesos comprometidos que pueden abrir la puerta a fraudes, robo de datos, interrupciones operativas, extorsión digital y ataques más sofisticados.

Además, el informe subraya la importancia de contar con capacidades avanzadas de detección y respuesta, como servicios de Managed Detection and Response, Incident Response y centros de operaciones de seguridad. Frente al abuso de credenciales, el reto no siempre es detectar un archivo malicioso, sino identificar comportamientos anómalos ejecutados desde cuentas aparentemente legítimas.

La conclusión es que la ciberseguridad empresarial entra en una nueva etapa: bloquear malware ya no es suficiente. Las organizaciones necesitan entender cómo se comportan sus usuarios, detectar accesos inusuales, controlar privilegios y reaccionar antes de que una credencial comprometida se convierta en un incidente mayor. En un entorno donde la identidad digital es la nueva puerta de entrada, proteger cuentas y accesos será tan importante como proteger servidores, redes y dispositivos.