Una cuenta de trabajo robada puede dar acceso al correo corporativo, a archivos compartidos o a sistemas que sostienen la operación de una empresa. El alcance depende de los permisos que tenga el usuario. Si quien utiliza la cuenta realiza acciones parecidas a las de su titular, el acceso puede pasar inadvertido en los controles iniciales.
Leonel Navarro, vicepresidente global de Ciberseguridad de Softtek, señala que el seguimiento de lo que ocurre durante la sesión permite identificar cambios en la actividad de una cuenta y decidir cuándo restringir su acceso.
“Un inicio de sesión correcto no demuestra que quien actúa sea quien debe actuar. Si la verificación termina en el login, la empresa deja de ver lo más importante: qué hace esa identidad después”, afirma.
De una cuenta comprometida a varios sistemas
Una vez dentro, un atacante puede aprovechar los permisos existentes para consultar información o desplazarse entre aplicaciones, según Navarro. Una cuenta con acceso al correo y a plataformas internas, por ejemplo, puede exponer tanto comunicaciones comerciales como documentos de la operación. Si la intrusión alcanza un sistema del que depende un proceso diario, contenerla puede requerir suspender temporalmente accesos que también usa el personal.
En su Data Breach Investigations Report 2025, Verizon identificó el uso de credenciales comprometidas como una vía de acceso inicial en el 22 % de las brechas revisadas. Dentro de la categoría de ataques básicos a aplicaciones web, el uso de credenciales robadas estuvo presente en el 88 % de las brechas analizadas para esa medición.
Por su parte, Flashpoint registró 1.800 millones de credenciales robadas de 5,8 millones de equipos y dispositivos infectados durante el primer semestre de 2025. Las cifras, recogidas por Softtek en su informe Cybersecurity Reinvented, corresponden a programas maliciosos capaces de extraer contraseñas y datos de sesiones guardadas.
Controles que siguen activos durante la sesión
Softtek plantea aplicar un modelo de confianza cero (Zero Trust) que evalúe el riesgo durante la sesión y ajuste el acceso según las señales detectadas. Si una cuenta empieza a consultar archivos o aplicaciones fuera de su patrón habitual, la empresa puede automatizar respuestas como reducir permisos, bloquear el acceso a un sistema o aislar la sesión.
Para la operación, la diferencia está en qué se restringe y en qué momento. Si la actividad inusual se detecta a tiempo, la empresa puede intervenir sobre la cuenta comprometida antes de que se utilice para entrar a otros sistemas o consultar más información.
