Las amenazas basadas en identidad van en aumento, con un 67% de las organizaciones que han visto crecer los incidentes relacionados con identidad en solo los últimos tres años, y más de una de cada tres afirma que los ataques basados en identidad ahora representan más del 40% de todos sus incidentes de seguridad.

Cada vez más, los atacantes intentan comprometer cuentas de usuario legítimas en lugar de arriesgarse a intrusiones más ruidosas.

Hacer cumplir una MFA sólida y políticas de acceso condicional

La autenticación multifactor ya no es negociable. Pero la MFA no se implementa de forma consistente. En nuestro análisis de más de 12.000 inquilinos de Microsoft 365, el 66% tenía una postura de MFA débil. Además, los métodos tradicionales de MFA (por ejemplo, mensajes SMS y notificaciones push básicas) ya no son suficientes para entornos de alto riesgo. Los atacantes evitan cada vez más estos controles mediante técnicas como la fatiga de MFA (también conocida como "push bombing"), proxies de phishing de adversario en el medio y el robo de cookies de sesión.

Para protegerse contra esto, las organizaciones deben adoptar MFA resistente al phishing, como llaves de seguridad de hardware FIDO2/WebAuthn o passkeys modernas, y biometría de plataforma como Windows Hello o Apple Touch ID.

La MFA debe combinarse con el acceso condicional. Las políticas de acceso condicional van más allá de las credenciales de inicio de sesión e incluyen contexto adicional, como el estado del dispositivo, la ubicación, la hora del día y señales de riesgo, antes de otorgar acceso, y se usan comúnmente para bloquear o restringir protocolos de autenticación heredados (IMAP, POP3, SMTP) que no admiten la MFA moderna.

Reducir privilegios excesivos

El principio de privilegio mínimo (PoLP) garantiza que los usuarios reciban solo el nivel de acceso necesario para hacer su trabajo. Hacerlo cumplir requiere auditar y restringir las cuentas con privilegios excesivos. Esto se puede llevar más lejos asegurándose de que ningún administrador humano tenga derechos a nivel de dominio en Active Directory mientras también tiene derechos de administrador global en directorios en la cloud como Microsoft Entra ID. El acceso amplio entre plataformas puede reservarse para cuentas de emergencia estrictamente controladas. Esto evita que un atacante que comprometa un servidor on-premises tome automáticamente el control de la infraestructura en la cloud también.

El PoLP también se puede extender para incluir el acceso justo a tiempo (JIT), que otorga privilegios elevados solo por un tiempo limitado para realizar una tarea específica.

Eliminar cuentas obsoletas o riesgosas

Las cuentas obsoletas son aquellas en las que no se ha iniciado sesión durante un período prolongado (a menudo entre 90 y 180 días). Esto ocurre por muchas razones: los empleados dejan la organización, se crean cuentas temporales para pruebas, o se olvidan cuentas de servicio. El resultado es que estas cuentas quedan inactivas, esperando a ser explotadas. Sumado al riesgo está el hecho de que las cuentas obsoletas a menudo escapan a la aplicación de seguridad moderna, como la MFA obligatoria. El endurecimiento de la seguridad de identidad requiere identificar y eliminar continuamente las cuentas inactivas.

Revisar roles de administrador y cuentas de servicio

Los privilegios de administrador deben otorgarse a la menor cantidad posible de cuentas, con especial énfasis en aplicar políticas de seguridad estrictas para ellas. Por ejemplo, las cuentas de administrador global no deben usarse para tareas cotidianas. Con el uso creciente de la automatización, también se debe prestar especial atención a las cuentas de servicio no humanas. Estas cuentas están diseñadas para ejecutar procesos en segundo plano e integraciones a nivel de sistema, lo que les da acceso de alto nivel. El problema es que las máquinas no pueden completar desafíos biométricos, ingresar códigos de un solo uso ni responder a notificaciones push, lo que significa que evitan la MFA.

Endurecer la seguridad de las cuentas de servicio implica auditar sus permisos para restringir su alcance, migrarlas a cuentas de servicio administradas de grupo (gMSA) para automatizar la rotación de contraseñas, y usar Kerberos para limitar dónde y cómo pueden autenticarse.

Prevenir la desviación de políticas con el tiempo

La desviación de configuración es la tendencia de que se formen brechas entre las políticas de seguridad y el estado real del entorno. Estas desviaciones se acumulan con el tiempo debido a la rotación de empleados, fusiones y adquisiciones, actualizaciones de software, excepciones de soporte, y técnicos que deshabilitan configuraciones y olvidan restaurarlas.

Las revisiones manuales periódicas pueden dejar estas vulnerabilidades sin detectar durante largos períodos. El endurecimiento de la seguridad de identidad implica pasar a auditorías de configuración continuas y automatizadas que detectan, alertan o revierten automáticamente cambios no autorizados, antes de que los atacantes puedan explotarlos.

Según el Reporte de Huntress 2025 sobre Managed ITDR, el 67% de las organizaciones ha visto un incremento en los incidentes relacionados con identidad en los últimos tres años, y más de una de cada tres afirma que los ataques basados en identidad ahora representan más del 40% de todos sus incidentes de seguridad.

Eso no es un pico pasajero, es la nueva normalidad. Esto no sorprende si consideramos la creciente lista de amenazas sofisticadas basadas en identidad, entre ellas:

• Secuestro de sesión y robo de tokens a nivel de navegador
• Ingeniería social avanzada, quishing y pretextos
• Manipulación de buzones y abuso de consentimiento de OAuth
• Living off the land (LOTL) y abuso de credenciales válidas
• Compromisos de identidad de terceros y ataques a la cadena de suministro

Muchos atacantes encuentran más fácil y menos arriesgado comprar credenciales robadas en la Dark Web o ejecutar una campaña de spear-phishing asistida por IA que desarrollar e implementar un exploit sofisticado. Una vez dentro del entorno como un usuario legítimo, los adversarios son mucho más difíciles de detectar, especialmente si las identidades tienen privilegios excesivos o si las brechas de postura hacen que el movimiento lateral sea trivial.

Una vez dentro del entorno como un usuario legítimo, los adversarios son mucho más difíciles de detectar. Cada minuto que un atacante pasa sin ser detectado es otro minuto que tiene para establecer persistencia, escalar privilegios, moverse lateralmente y localizar datos de alto valor.

Una cosa es que te expliquen la importancia del endurecimiento de la seguridad de identidad. Otra es poner en práctica ese endurecimiento de forma continua. Ese proceso continuo es la base del endurecimiento de la seguridad de identidad, y suele ser donde las empresas se equivocan.

Tratar la configuración de identidad como algo único

Muchas organizaciones tratan la seguridad de identidad como una configuración estática única o una revisión de cumplimiento periódica. Pero las plataformas en la cloud son muy dinámicas, con configuraciones que cambian constantemente debido a actualizaciones de plataforma, incorporaciones de proveedores, excepciones de políticas y rotación de empleados. Esperar hasta el próximo trimestre para abordar una brecha de seguridad significa que puede ser explotable durante varios meses o más.

Dejar cuentas inactivas y valores predeterminados riesgosos sin corregir

Las organizaciones usan con frecuencia software estándar, aplicaciones web y dispositivos de red con sus configuraciones predeterminadas de fábrica activas. Estos valores predeterminados suelen incluir contraseñas administrativas conocidas y preguntas de recuperación de contraseña predecibles. Muchas empresas también dudan en deshabilitar protocolos de autenticación heredados porque puede interrumpir aplicaciones más antiguas y críticas para el negocio. Esto deja expuestas brechas de seguridad graves. Otras veces, se permite que las cuentas inactivas persistan simplemente porque los equipos de TI están sobrecargados con asuntos más urgentes.

Falta de responsabilidad para la postura de identidad continua

Incluso cuando se implementan herramientas de monitoreo de postura, las empresas a menudo fallan porque no asignan una responsabilidad clara sobre los controles de identidad. Debe existir un plan de acción definido que detalle quién es responsable de investigar una alerta de postura de identidad, quién tiene la autoridad para revertir el cambio, y cuándo una excepción debe aceptarse formalmente o revertirse.

Abordar manualmente los riesgos de identidad dinámicos de forma continua no es práctico, lo que explica por qué, según una encuesta de Huntress, las organizaciones tienen, en promedio, 30 configuraciones incorrectas conocidas y de alto riesgo esperando ser resueltas. Operacionalizar este proceso requiere una herramienta como la gestión de la postura de seguridad de identidad (ISPM), que funciona junto con otras herramientas como la gestión de identidad y acceso (IAM) para garantizar que los controles estén implementados y funcionen correctamente.

Huntress Managed ISPM ayuda a reforzar las identidades de Microsoft 365 mediante la auditoría continua de configuraciones, la aplicación de políticas y la corrección de la desviación de configuración. Como está respaldado por los conocimientos del Huntress SOC, que protege millones de identidades, prioriza las brechas que, según hemos visto, los atacantes usan con más frecuencia como su punto de entrada inicial. Descubre más sobre cómo Managed ISPM protege contra los ataques basados en identidad.