Acceso a los entornos de los clientes

Los técnicos de los MSP suelen necesitar acceso administrativo para configurar sistemas, solucionar problemas y respaldar las operaciones de los clientes. Si un atacante roba o hace mal uso de una de esas cuentas, puede heredar un acceso más amplio que el de un empleado típico.

Un camino hacia múltiples organizaciones

Los MSP dan soporte a muchos clientes, a menudo desde un conjunto compartido de herramientas y procesos de gestión. Por eso, una vulneración del entorno de un MSP o de una herramienta de confianza puede generar riesgo para más de una organización. Esto no significa que cada incidente de un MSP se convierta en un ataque a la cadena de suministro, pero sí hace que los controles de acceso y la separación entre entornos de clientes sean especialmente importantes.

Relaciones de confianza

Los atacantes pueden explotar la confianza entre los MSP y sus clientes mediante ingeniería social. Por ejemplo, un actor de amenazas puede hacerse pasar por un trabajador de la mesa de ayuda, presionar a alguien para que restablezca una cuenta, o convencer a un usuario de aprobar un inicio de sesión o ejecutar una herramienta de acceso remoto. Trata las solicitudes inesperadas relacionadas con credenciales, códigos de autenticación o acceso remoto como de alto riesgo, incluso cuando parezcan provenir de un contacto conocido.

Los actores de amenazas pueden atacar a los MSP de las mismas formas en que atacan a la mayoría de las demás empresas: a través de ataques de phishing, comprometiendo las credenciales de cuentas sin autenticación multifactor (MFA) habilitada, explotando fallas de seguridad sin parchear y atacando instancias del Protocolo de escritorio remoto (RDP) expuestas públicamente. 

Una vez que los actores de amenazas obtienen acceso inicial a un entorno de MSP, pueden robar datos confidenciales del MSP, además de usar varias técnicas para atacar a sus clientes. Por ejemplo, los MSP suelen usar herramientas de RMM como ScreenConnect o TeamViewer para ofrecer soporte práctico a los clientes. Esto puede darles una ventaja a los actores de amenazas en sus ataques. Pueden abusar de instancias de RMM existentes del MSP para llevar a cabo sigilosamente un ataque a la cadena de suministro contra los clientes, robando datos, implementando ransomware y más.

Los MSP pueden ser blanco de ciberdelincuentes con motivaciones financieras, así como de grupos más capaces que buscan acceso a organizaciones posteriores. El ataque de ransomware a Kaseya VSA en 2021, atribuido al grupo de amenazas REvil, sigue siendo un ejemplo histórico útil.

Huntress observa bastantes incidentes en los que los actores de amenazas atacan a los MSP. En junio de 2025, los analistas del el centro de operaciones de seguridad (SOC) de Huntress respondieron a un incidente en el que un actor de amenazas comprometió la instancia de RMM de un MSP, usándola para atacar a tres de sus clientes antes de que el Huntress SOC pudiera aislar el endpoint afectado y trabajar con el socio para remediar el ataque.

Ningún control por sí solo evita todos los ataques. Los MSP pueden reducir la probabilidad y el impacto de un ataque protegiendo el acceso privilegiado, limitando las rutas entre clientes y preparándose para detectar y contener actividad sospechosa.

Protege las identidades y el acceso privilegiado

• Exige MFA para el acceso remoto, el correo electrónico, la administración en la cloud, las herramientas RMM y otras cuentas que puedan llegar a los entornos de los clientes.

• Usa MFA resistente a phishing para los usuarios privilegiados donde sea compatible.

• Dale a cada técnico una cuenta separada y solo los permisos necesarios para su rol; evita las cuentas de administrador compartidas.

• Revisa las cuentas y los accesos con regularidad, y deshabilita de inmediato las cuentas que ya no se necesiten, incluyendo las cuentas de clientes usadas por proveedores o personal anteriores.

• Usa un proceso controlado para el restablecimiento de contraseñas, los cambios de autenticación y las solicitudes de aprobación de inicio de sesión.

Protege los endpoints, el software y el acceso remoto

• Mantén un inventario de los activos administrados por el MSP y de los servicios expuestos a internet.

• Aplica parches a los sistemas operativos, las aplicaciones y los dispositivos de red según el riesgo y las indicaciones del proveedor.

• Deshabilita el acceso remoto expuesto que no sea necesario y restringe el acceso permitido a los usuarios y dispositivos aprobados.

• Limita el acceso RMM, revisa su actividad y usa permisos o cuentas separadas cuando sea posible para reducir el alcance de una credencial comprometida.

Separa los entornos de los clientes

• Evita usar una sola cuenta con amplios privilegios para administrar todos los entornos de los clientes.

• Separa los datos de los clientes y el acceso administrativo de la red interna del MSP siempre que sea posible.

• Usa segmentación de redes y controles de acceso específicos por cliente para limitar hasta dónde puede moverse un atacante si se compromete una cuenta o sistema.

Mejora la detección y la respuesta

• Recopila y revisa los registros relevantes de identidad, endpoints, acceso remoto y RMM. Asegúrate de que alguien sea responsable de investigar la actividad sospechosa.

• Define cómo el MSP y cada cliente informe, investigue y responda a los incidentes de seguridad. Documenta quién es responsable de cada acción y cómo contactarlo fuera de los canales habituales.

• Prepara y prueba los pasos de respuesta para cuentas de administrador comprometidas, actividad RMM no autorizada y sospechas de acceso al entorno de un cliente.

• Mantén copias de seguridad y valida que los procedimientos de recuperación funcionen; protege el acceso a las copias de seguridad para que un atacante que comprometa los sistemas de producción no pueda modificar ni eliminar fácilmente las copias de recuperación.

Capacita al personal para detectar la ingeniería social

Usa security awareness training práctico y continuo para ayudar a los empleados a reconocer el phishing, la suplantación de la mesa de ayuda y las solicitudes inusuales de credenciales o acceso remoto. Facilita que el personal informe la actividad sospechosa de forma sencilla, y refuerza la idea de que debe verificar las solicitudes sensibles por un canal distinto.

Los MSP son objetivos de alto valor porque un solo ataque puede afectar a varios entornos de clientes posteriores. Usa el Neighborhood Watch Program para proteger tu propio MSP con licencias gratuitas de Huntress de uso interno y fortalecer las defensas que los atacantes suelen poner a prueba.

Neighborhood Watch Program

Los MSP son objetivos atractivos porque su personal, sus cuentas y sus herramientas pueden dar acceso a los entornos de los clientes. Proteger esa confianza empieza con una autenticación sólida y un acceso de privilegio mínimo, pero también requiere separación de clientes, parches oportunos, monitoreo útil y un plan de respuesta bien practicado.

Revisa el acceso privilegiado con regularidad, acuerda con los clientes quién es responsable de cada aspecto de la seguridad, y asegúrate de que tu equipo sepa qué hacer cuando una cuenta o herramienta de gestión pueda estar comprometida.

No dejes tu negocio vulnerable. Asóciate con Huntress para obtener soporte de EDR en tiempo real y detectar e interrumpir amenazas antes de que causen estragos. Actúa ahora y refuerza tus defensas.