El robo de credenciales se ha consolidado como uno de los mayores riesgos de seguridad para las empresas. A diferencia de otros ataques, aquí el intruso no fuerza la puerta: entra con un usuario y una contraseña válidos, por lo que sus movimientos pueden pasar por la actividad normal de cualquier trabajador autorizado.
Esa apariencia de normalidad es justamente lo que complica su detección. Por eso, Leonel Navarro, vicepresidente global de Ciberseguridad de Softtek, sostiene que las organizaciones deben comprobar la identidad durante toda la sesión, y no únicamente al momento de iniciarla.
«Un inicio de sesión correcto no demuestra que quien actúa sea quien debe actuar. Si la verificación termina en el login, la empresa deja de ver lo más importante: qué hace esa identidad después», afirma Navarro.
Las cifras del robo de credenciales en 2025
La dimensión del problema queda clara en los datos de Flashpoint que recoge el informe Cybersecurity Reinvented, elaborado por Softtek. Durante el primer semestre de 2025 se contabilizaron 1.800 millones de credenciales robadas procedentes de 5,8 millones de dispositivos. Se trata de equipos infectados con programas maliciosos —conocidos como infostealers— capaces de extraer las contraseñas y sesiones que el usuario tiene almacenadas.
El Verizon Data Breach Investigations Report 2025 apunta en la misma dirección. Según este estudio, las credenciales robadas fueron el vector de acceso inicial en el 22 % de las brechas analizadas y estuvieron presentes en el 88 % de los ataques básicos a aplicaciones web.
| Indicador | Dato | Fuente |
|---|---|---|
| Credenciales robadas en el primer semestre de 2025 | 1.800 millones | Flashpoint |
| Dispositivos infectados de los que se extrajeron | 5,8 millones | Flashpoint |
| Brechas con credenciales robadas como acceso inicial | 22 % | Verizon DBIR 2025 |
| Ataques básicos a aplicaciones web con credenciales robadas | 88 % | Verizon DBIR 2025 |
Qué puede hacer un atacante con una cuenta legítima
De acuerdo con Navarro, una vez que el atacante controla una cuenta válida, puede valerse de los permisos que esta ya tiene asignados para:
- Desplazarse entre distintos sistemas de la empresa sin necesidad de vulnerar cada uno por separado.
- Consultar información interna a la que el usuario original tenía acceso.
- Ampliar de forma progresiva el alcance de la intrusión hacia áreas más sensibles.
El riesgo crece porque todas estas acciones se parecen al comportamiento habitual de un usuario autorizado. Para las herramientas de seguridad tradicionales, que validan la identidad solo en la entrada, no hay nada fuera de lo común que reportar.
Zero Trust: verificar la identidad más allá del inicio de sesión
El punto de partida es asumir que una credencial válida ya no garantiza que la identidad detrás sea confiable; de hecho, puede ser la puerta de entrada de una intrusión. La alternativa es vigilar el comportamiento de forma continua, ajustar los privilegios y reaccionar ante cualquier señal de riesgo, de modo que un acceso comprometido no llegue a escalar hacia otros sistemas o a información crítica.
Este enfoque se conoce como confianza cero o Zero Trust, un concepto que viene ganando terreno en la conversación sobre ciberseguridad corporativa.
Niveles de respuesta ante una amenaza
Zero Trust permite graduar la reacción según la gravedad de lo detectado. Entre las medidas posibles están:
- Restringir permisos de la cuenta cuando su actividad se sale de lo esperado.
- Bloquear el acceso si las señales de riesgo se confirman.
- Aislar la sesión para evitar que el atacante alcance otros sistemas.
Estas respuestas, además, pueden automatizarse en función de las condiciones que se detecten en cada caso, lo que reduce el tiempo entre la alerta y la contención.
De la autenticación inicial a la confianza continua
Para Softtek, el cambio de fondo consiste en dejar atrás un modelo centrado en la autenticación inicial y pasar a uno de confianza continua, que se adapte al nivel de riesgo de cada interacción. Bajo esta lógica, proteger la identidad deja de ser solo una cuestión de control de acceso y pasa a formar parte de la resiliencia y la continuidad del negocio, un tema que se cruza cada vez más con las herramientas de software empresarial que usan las organizaciones.
«Las credenciales robadas convierten la confianza en una vulnerabilidad: permiten que un atacante opere con la apariencia y los permisos de un usuario autorizado. La capacidad de identificar una anomalía y actuar antes de que ese acceso se extienda es fundamental para contener el impacto. Una identidad comprometida puede ser el punto de entrada; lo crítico es impedir que se convierta en una intrusión de mayor alcance», concluye Navarro.
