Credenciales robadas
Las páginas de phishing, el malware infostealer, la reutilización de contraseñas entre cuentas personales y laborales, y las credenciales filtradas en brechas antiguas le dan a los atacantes un punto de partida.
Un sistema que verifica si una credencial es válida dirá que sí. No tiene manera de saber quién la tiene en realidad.
Secuestro de sesión y robo de tokens de autenticación
Los atacantes no siempre quieren solo tu contraseña. Quieren tu sesión.
Cuando un usuario inicia sesión, recibe un token de autenticación que lo mantiene conectado para que no se le pida verificación cada 10 minutos. Si roban ese token —mediante un infostealer, un proxy de phishing o un navegador comprometido— y lo importan, quedan dentro de una sesión que ya fue autenticada. Sin solicitud de contraseña. Sin un nuevo desafío de MFA.
Esto es lo más importante que hay que entender sobre el riesgo de identidad en 2026: la MFA verifica a una persona en el momento en que inicia sesión. No sigue verificando la sesión después.
Compromiso de correo empresarial y manipulación de bandejas de entrada
Olvida el estereotipo del correo de transferencia bancaria mal redactado. Los atacantes de BEC son pacientes y discretos.
Los atacantes leen. Aprenden tu cadena de aprobación, tus proveedores, la frecuencia de tus facturas, el estilo de escritura de tu director financiero. Luego configuran reglas de bandeja de entrada que envían las respuestas a una carpeta que nadie revisa, eliminan automáticamente las notificaciones de seguridad o reenvían hilos de finanzas a una dirección externa. Para cuando alguien se da cuenta, el atacante ha vivido en esa bandeja durante semanas y la factura falsa ya parece rutinaria.
Aplicaciones OAuth fraudulentas y phishing de consentimiento
Un usuario hace clic en "Aceptar" en una aplicación que quiere leer su correo y sus archivos. Ahora una aplicación tiene acceso permanente a los datos, y ese acceso sobrevive a un restablecimiento de contraseña. Sobrevive a una nueva inscripción de MFA. No aparece como un inicio de sesión sospechoso, porque no lo es: hay una aplicación autorizada haciendo lo que se le autorizó hacer.
El riesgo no proviene solo de quién inició sesión. Es lo que esa identidad aprobó después.
Permisos riesgosos e identidades privilegiadas
Derechos de administrador global otorgados para un proyecto puntual hace tres años. Cuentas obsoletas de personas que ya se fueron. Inicios de sesión compartidos porque la licencia era costosa. Cuentas de invitado de una alianza que ya terminó. Cuentas de servicio que nadie recuerda haber creado, con permisos que nadie ha revisado.
Cada una de esas es una ruta de acceso. Los atacantes buscan la cuenta con demasiado alcance y muy poca atención.
Desviación de configuración
Una política de acceso condicional puede ser efectiva el día en que se implementa y riesgosa seis meses después. Las exclusiones se acumulan. Una nueva aplicación necesita una excepción. Un administrador relaja una configuración para desbloquear a un ejecutivo un viernes por la tarde.
Nadie toma una mala decisión. El entorno simplemente se aleja de lo que creías tener. Los datos de Huntress muestran que más del 60% de los tenants carecen de más de la mitad de nuestros controles recomendados, a menudo en entornos que ya cuentan con herramientas de seguridad implementadas.
