En junio de 2025, dos de los minoristas más emblemáticos del Reino Unido, M&S y Co-op Group, revelaron que los costes combinados de un ciberataque basado en la suplantación de identidad superaban los 500 millones de libras esterlinas, una cifra que no incluye el daño reputacional incalculable ni el impacto sobre sus clientes. Este incidente, que comenzó con un ataque de vishing dirigido a sus mesas de ayuda externas, no es un caso aislado, sino un síntoma de una transformación profunda en el panorama de la ciberseguridad: la identidad se ha convertido en el nuevo perímetro de la red. Protegerla, como demuestran estas pérdidas, ya no es una opción técnica ni un cumplimiento normativo, sino una condición de supervivencia operativa y financiera para cualquier organización.
¿Por qué la identidad se ha convertido en un vector de ataque tan crítico y costoso?
La razón fundamental radica en la transformación del modelo de trabajo empresarial. Durante décadas, la seguridad informática se basó en una estrategia de «castillo y foso»: todos los recursos corporativos residían de forma segura dentro de un perímetro de red definido, y los equipos de seguridad se dedicaban a defender esa frontera. Hoy, esa realidad ha desaparecido. La proliferación de servidores en la nube, escritorios locales, ordenadores portátiles para el teletrabajo y dispositivos móviles ha difuminado por completo los límites de la organización. En este entorno distribuido, lo único que permanece constante, lo único que puede otorgar o denegar acceso a cualquier recurso, es la identidad digital del usuario o de la máquina.
Este cambio ha convertido las credenciales en una mercancía extremadamente codiciada. El informe Data Breach Investigations Report de Verizon para 2025 reveló que el abuso de credenciales fue un factor en casi una cuarta parte (22%) de todas las violaciones de datos investigadas el año anterior. Las vías para que estas credenciales se vean comprometidas son múltiples y están en constante evolución:
- Malware infostealer a escala epidémica: Se instala en los dispositivos de las víctimas a través de phishing, aplicaciones maliciosas, descargas automáticas y estafas en redes sociales. Los datos son alarmantes: según un proveedor de inteligencia de amenazas, de los 3.200 millones de credenciales robadas en el último año, el 75% (2.100 millones) fueron recolectadas exclusivamente por infostealers.
- Ataques de phishing, smishing y vishing: Siguen siendo el método preferido, especialmente en ataques dirigidos. Los actores de amenazas investigan a la persona objetivo para adaptar la estafa y aumentar la tasa de éxito. Se sospecha que los ataques a M&S y Co-op Group se ejecutaron mediante vishing a su proveedor de servicio técnico, haciéndose pasar por empleados para obtener contraseñas corporativas.
- Filtraciones masivas de bases de datos: Las violaciones que tienen como objetivo las bases de datos de contraseñas de organizaciones o sus proveedores externos son otra fuente valiosa. Estas credenciales, tarde o temprano, aparecen a la venta en foros de la dark web listas para ser utilizadas.
- Ataques de fuerza bruta automatizados: Utilizan herramientas que prueban sistemáticamente enormes volúmenes de combinaciones de usuario y contraseña hasta encontrar una válida. El credential stuffing utiliza listas de combinaciones filtradas previamente; el password spraying prueba contraseñas débiles y comunes contra muchas cuentas; y los ataques de diccionario usan palabras y frases de uso común. Todos ellos explotan la misma debilidad: la mala higiene de las contraseñas.
El peligro oculto: contraseñas adivinadas que llevan a la quiebra
No es difícil encontrar ejemplos catastróficos más allá de los minoristas británicos. El ataque a Colonial Pipeline, que provocó graves desabastecimientos de combustible en la Costa Este de Estados Unidos, se originó probablemente en un ataque de fuerza bruta que comprometió una única contraseña en una VPN antigua. El caso de la empresa de logística británica KNP es aún más revelador: los hackers lograron adivinar la contraseña de un empleado y, a partir de ahí, cifraron sus sistemas críticos. La empresa se vio forzada a declararse en banca rota. Son casos extremos que ilustran cómo una identidad débil o mal gestionada puede desencadenar un colapso operativo y financiero total.
¿Cuáles son los principales factores que amplifican el riesgo de un ataque de identidad?
La amenaza no se limita a la obtención de la credencial. Su impacto se multiplica por cómo se gestiona la identidad dentro de la organización:
El privilegio excesivo y la falta de aplicación del principio de mínimo privilegio. Una de las mejores prácticas de seguridad es otorgar a cada usuario exactamente los permisos que necesita para realizar su trabajo y nada más, a menudo durante un tiempo limitado. En la práctica, este principio se aplica con frecuencia de forma incorrecta o se ignora por completo, lo que da lugar a cuentas con privilegios excesivos. Cuando un atacante consigue comprometer estas cuentas, puede desplazarse lateralmente por la red, alcanzando sistemas y datos sensibles mucho más allá del objetivo inicial. El resultado es un «radio de explosión» mucho mayor y, por lo tanto, un daño potencialmente más catastrófico.
La dispersión de identidades. La gestión de cuentas, credenciales y privilegios para usuarios humanos y máquinas se vuelve caótica. Si el departamento de TI no tiene un control centralizado, surgen inevitablemente puntos ciegos de seguridad. Esto aumenta la superficie de ataque, hace que los ataques de fuerza bruta tengan más éxito y que las cuentas con privilegios excesivos sean más probables. La llegada de los agentes de IA y el crecimiento continuo del Internet de las Cosas (IoT) incrementarán drásticamente el número de identidades de máquinas que necesitan ser gestionadas de forma uniforme.
El riesgo de la cadena de suministro. Una empresa no es una isla. La amenaza también proviene de sus colaboradores y proveedores. Un proveedor de servicios gestionados (MSP) con acceso a los sistemas corporativos, un centro de servicios externo o incluso un proveedor de software son vectores de entrada potenciales. Cuanto más compleja sea la cadena de suministro física y digital, mayor será el riesgo de que se comprometa una identidad que conceda acceso a la red principal.
Cómo fortalecer la identidad corporativa: guía práctica y estratégica
Ante este panorama, una estrategia de seguridad de identidad basada en la defensa en profundidad es la única respuesta viable. Las recomendaciones que se detallan a continuación no son meramente técnicas, sino que requieren una transformación cultural y operativa dentro de la organización.
Adoptar y aplicar el principio de mínimo privilegio de forma rigurosa. Esto implica revisar y ajustar los permisos de forma periódica, no solo al incorporar a un empleado. La automatización de la gestión del ciclo de vida de las identidades es fundamental: las cuentas deben aprovisionarse y desaprovisionarse automáticamente durante las altas y bajas de personal. Cualquier cuenta inactiva, una vez identificada mediante escaneos regulares, debe eliminarse, ya que son un blanco habitual para los atacantes.
Implantar una política de contraseñas robustas y su gestión segura. Obligar a todos los empleados a utilizar contraseñas únicas, fuertes y generadas de forma automática, almacenadas en un gestor de contraseñas corporativas, es un paso básico pero fundamental.
Incorporar la autenticación multifactor (MFA) como un estándar, no como una opción. Incluso si un atacante obtiene una contraseña, la MFA puede detenerlo en seco. Es preferible utilizar aplicaciones de autenticación o enfoques basados en claves de acceso (passkeys) en lugar de códigos SMS, que son susceptibles de ser interceptados.
Proteger las cuentas privilegiadas con gestión de acceso privilegiado (PAM). Las cuentas que tienen acceso a sistemas críticos o de control deben contar con capas adicionales de protección. Una de las técnicas más eficaces es la rotación automática de sus credenciales y la concesión de acceso bajo demanda y por tiempo limitado (just-in-time).
Formar y crear conciencia en todos los niveles. Desde la dirección general hasta el último de los empleados. Todos deben comprender la importancia de la seguridad de la identidad y ser capaces de identificar las tácticas de phishing más modernas. Los simulacros de ataques son una herramienta pedagógica mucho más útil que la teoría.
La identidad como pilar de un modelo Zero Trust
La mayoría de estas recomendciones se integran de forma natural en un enfoque de ciberseguridad basado en la confianza cero (Zero Trust), que se resume en el principio de «nunca confiar, siempre verificar». En este modelo, cada intento de acceso, tanto humano como de máquina, debe ser autenticado, autorizado y validado de forma continua, esté el usuario dentro o fuera de los límites de la red. Los sistemas y redes se supervisanxhaustivamente para detectar actividad sospechosa.
En este punto, una herramienta de detección y respuesta gestionada (MDR) puede aportar un valor inmenso. Un equipo de expertos que opera 24 horas al día, 7 días a la semana, tiene una vista de 360 grados de la red y es capaz de señalar cualquier intrusión potencial casi en tiempo real, permitiendo su contención y gestión inmediatas. Una estrategia de seguridad de la identidad realmente eficaz comienza con una mentalidad de prevención.
El coste de 500 millones de libras de M&S y Co-op Group no es el precio de una credencial robada; es el coste de un paradigma de seguridad obsoleto en un mundo donde la identidad debe ser el nuevo centro de gravedad. Las empresas que ignoren esta lección seguirán alimentando el millonario negocio de los ciberdelincuentes.
