El robo de credenciales se ha vuelto una de las mayores amenazas para la seguridad de las empresas. Con esta modalidad, los atacantes ingresan con cuentas legítimas y realizan acciones que pueden pasar por actividad normal de usuarios autorizados, lo que hace difícil detectarlos.
Leonel Navarro, vicepresidente global de Ciberseguridad de Softtek, sostiene que las empresas deben comprobar la identidad de los usuarios durante toda la sesión, y no únicamente en el momento en que inician sesión.
“Un inicio de sesión correcto no demuestra que quien actúa sea quien debe actuar. Si la verificación termina en el login, la empresa deja de ver lo más importante: qué hace esa identidad después”, afirmó.
Las cifras muestran la dimensión del problema. Datos de Flashpoint incluidos en el informe Cybersecurity Reinvented, de Softtek, indican que en el primer semestre de 2025 se registraron 1800 millones de credenciales robadas de 5,8 millones de dispositivos. Estos equipos estaban infectados con programas maliciosos capaces de extraer contraseñas y sesiones guardadas.
El Verizon Data Breach Investigations Report 2025 apunta en la misma dirección. De acuerdo con ese documento, las credenciales robadas fueron el vector de acceso inicial en el 22 % de las brechas analizadas y estuvieron presentes en el 88 % de los ataques básicos a aplicaciones web.
Navarro explica que, cuando un atacante logra entrar a una cuenta legítima, puede usar sus permisos para moverse entre sistemas, revisar información y ampliar poco a poco el alcance de la intrusión. El peligro crece cuando esas acciones se confunden con el comportamiento habitual de un usuario autorizado.
Según Softtek, una credencial válida ya no garantiza que la identidad sea confiable y puede convertirse en la vía de ingreso para un ataque. Verificar el comportamiento de manera continua, ajustar los privilegios y reaccionar ante señales de riesgo ayuda a evitar que un acceso comprometido llegue a otros sistemas o a información crítica.
Este modelo, llamado confianza cero (Zero Trust), contempla distintos niveles de respuesta ante posibles amenazas: desde restringir permisos hasta bloquear accesos o aislar una sesión. Estas medidas pueden aplicarse de forma automática según las condiciones que se detecten.
Para la empresa, el cambio supone pasar de un esquema centrado en la autenticación inicial a uno de confianza continua, que se adapte al nivel de riesgo de cada interacción. Así, la protección de la identidad deja de ser solo un control de acceso y pasa a ser un componente clave de la resiliencia y la continuidad del negocio.
“Las credenciales robadas convierten la confianza en una vulnerabilidad: permiten que un atacante opere con la apariencia y los permisos de un usuario autorizado. La capacidad de identificar una anomalía y actuar antes de que ese acceso se extienda es fundamental para contener el impacto. Una identidad comprometida puede ser el punto de entrada; lo crítico es impedir que se convierta en una intrusión de mayor alcance”, concluyó Navarro.
Un inicio de sesión correcto no demuestra que quien actúa sea quien debe actuar. Si la verificación termina en el login, la empresa deja de ver lo más importante: qué hace esa identidad después
Leonel Navarro, vicepresidente global de Ciberseguridad de Softtek
Las credenciales robadas convierten la confianza en una vulnerabilidad: permiten que un atacante opere con la apariencia y los permisos de un usuario autorizado.
Leonel Navarro, vicepresidente global de Ciberseguridad de Softtek
Una identidad comprometida puede ser el punto de entrada; lo crítico es impedir que se convierta en una intrusión de mayor alcance
Leonel Navarro, vicepresidente global de Ciberseguridad de Softtek
