Las brechas de MFA que los atacantes siguen explotando
El 4 de agosto de 2026, un afiliado del ransomware Akira inició un ataque de fuerza bruta contra una VPN SSL de SonicWall. Aproximadamente siete minutos después, un intento fue exitoso. Las credenciales eran válidas y la cuenta de la VPN no estaba protegida por autenticación multifactor (MFA). Unas dos horas más tarde, el atacante utilizó RDP para acceder al controlador de dominio y comenzó a enumerar Active Directory.
El despliegue del ransomware finalmente falló, pero para entonces el atacante ya había robado credenciales y datos de recursos compartidos. Esto resalta un problema que sigue siendo común en 2026: una organización puede exigir MFA para Microsoft 365 y otras aplicaciones SaaS, mientras deja ciertas rutas de acceso protegidas solo por contraseñas. Es esta brecha la que los atacantes explotan regularmente.
Las credenciales robadas siguen siendo una herramienta valiosa para los atacantes
Una vez que un atacante tiene una cuenta válida, puede comenzar a interactuar con el entorno a través de los mismos mecanismos de autenticación que utilizan empleados y administradores legítimos. La IA está añadiendo otra dimensión a este problema al ayudar a los atacantes a operar con mayor velocidad y escala.
Las tácticas de identidad subyacentes apenas han cambiado: los atacantes siguen comprometiendo identidades, reutilizando credenciales, escalando privilegios y haciendo un uso indebido del acceso legítimo. La amenaza es que la IA hace que las técnicas familiares sean más baratas y fáciles de ejecutar a escala.
Las investigaciones de ransomware de Mandiant ilustran por qué esto importa una vez que se obtienen las credenciales. Las credenciales legítimas comprometidas representaron el acceso inicial en el 21% de los incidentes de 2025 en los que se pudo establecer el punto de entrada, normalmente a través de RDP o VPN.
RDP también apareció con frecuencia más adelante en la cadena de ataque, con atacantes utilizando cuentas comprometidas o recién creadas a través de RDP para el movimiento lateral en aproximadamente el 85% de los incidentes de ransomware investigados.
Identificación de credenciales robadas en su organización
La autenticación fuerte ayuda a limitar lo que un atacante puede hacer con una contraseña robada, pero aún vale la pena encontrar credenciales expuestas o riesgosas antes de que se utilicen. La reutilización de contraseñas, las elecciones débiles y las credenciales que han aparecido en brechas anteriores aumentan la probabilidad de que un atacante encuentre una contraseña que todavía funcione en algún lugar del entorno.
Eso hace que la auditoría regular de contraseñas sea una parte útil de la seguridad de Active Directory. Specops Password Auditor es una herramienta gratuita de auditoría de contraseñas de solo lectura que escanea Active Directory en busca de vulnerabilidades relacionadas con contraseñas y presenta los hallazgos en un informe interactivo que cubre información de usuarios y políticas de contraseñas.
Esto brinda a los equipos de TI otra oportunidad para reducir el riesgo de credenciales en origen: identificar debilidades en las contraseñas, abordarlas cuando sea posible y asegurarse de que una contraseña comprometida no sea suficiente por sí sola para obtener acceso.
Proteja las contraseñas de su Active Directory con Specops Password Policy
El Informe de Investigación de Brechas de Datos de Verizon encontró que las credenciales robadas están involucradas en el 44.7% de las brechas. Asegure Active Directory sin esfuerzo con políticas de contraseñas compatibles, bloqueando más de 4 mil millones de contraseñas comprometidas, mejorando la seguridad y reduciendo los problemas de soporte.
Por qué el MFA en la nube no protege necesariamente todo el entorno Windows
Microsoft 365, los proveedores de identidad y las aplicaciones SaaS son lugares obvios para agregar factores de autenticación adicionales porque están expuestos a Internet y son frecuentemente atacados. El problema es que el MFA en la nube no se extiende automáticamente a todos los sistemas que dependen de la misma identidad de usuario.
Un usuario puede necesitar MFA para acceder a una aplicación SaaS a través del proveedor de identidad corporativo, pero la misma cuenta aún podría ser aceptada en otro lugar solo con una contraseña. Esto crea un entorno de autenticación fragmentado donde algunas rutas están mejor protegidas que otras, lo que deja una brecha para que los atacantes la exploten.
Las VPN son otra posible brecha. Como demostró el ataque de ransomware Akira de agosto, un actor de amenazas que obtiene o fuerza bruta un nombre de usuario y contraseña válidos puede convertir esas credenciales directamente en acceso remoto a la red si no se aplica MFA.
Para los equipos de TI y seguridad, la pregunta útil no es simplemente si se implementa MFA, sino dónde una contraseña sigue siendo suficiente por sí sola. El inicio de sesión de Windows, RDP, el acceso VPN y los servicios más antiguos respaldados por AD merecen ser incluidos en esa revisión.
Cierre de las brechas de autenticación
Cerrar estas brechas significa aplicar una autenticación más fuerte en los lugares donde todavía se confía en las credenciales, en lugar de tratar el MFA como algo que solo se sitúa frente a las aplicaciones en la nube.
Ahí es donde encajan soluciones como Specops Secure Access, que extiende el MFA al inicio de sesión de Windows, RDP y la autenticación VPN. Esto agrega una protección sólida a algunas de las rutas de acceso que los atacantes atacan regularmente con credenciales de Active Directory robadas.
También admite SSO para aplicaciones SaaS a través de OIDC y SAML, ayudando a las organizaciones a aplicar un enfoque de autenticación más consistente en servicios locales y en la nube.
La autenticación también es una fuente útil de telemetría de seguridad. Specops Secure Access se integra con plataformas SIEM, SOC y de análisis, permitiendo que los eventos de autenticación y actividades sospechosas alimenten el proceso de monitoreo más amplio.
Proteger al usuario es solo parte del panorama. Una segunda pregunta es si el dispositivo que realiza la solicitud debe ser confiable.
Mitigar el riesgo de contraseñas robadas
En 2026, las contraseñas robadas siguen siendo herramientas poderosas para los atacantes si son aceptadas por VPN, sesiones RDP o sistemas Windows sin verificaciones adicionales. Por eso la cobertura de MFA importa tanto como adoptar MFA en primer lugar. Proteger las aplicaciones en la nube es importante, pero no elimina el riesgo creado por rutas de autenticación en otras partes del entorno que aún dependen solo de una contraseña.
Ningún control único detendrá todas las intrusiones, y MFA no es una excepción. Pero las organizaciones pueden hacer que el robo de credenciales sea mucho menos útil haciendo una simple pregunta: ¿dónde se puede usar todavía una contraseña por sí sola?
Agregar otra capa de protección a esas áreas con Specops Secure Access asegura que una credencial robada no se convierta en la ruta más fácil hacia el resto de la red.
Si busca cerrar brechas en su estrategia de seguridad de identidad, reserve una demostración con Specops hoy.
Patrocinado y escrito por Specops Software.
Deja una respuesta