El abuso de credenciales sigue siendo la técnica de ataque más efectiva pese a las defensas avanzadas
- Seguridad
El uso de contraseñas adivinadas, cuentas válidas comprometidas y manipulación de identidades domina los incidentes detectados en 2025. Kaspersky advierte de que la falta de visibilidad y correlación de actividad sigue siendo el principal punto débil de las organizaciones.
Kaspersky ha publicado su informe global Anatomy of a Cyber World, que analiza los incidentes detectados por sus servicios MDR, IR y SOC Consulting durante 2025. El estudio revela que, pese a la adopción de medidas de seguridad avanzadas, las técnicas basadas en credenciales continúan siendo las más efectivas para los atacantes.
El eslabón más débil sigue siendo la identidad
El análisis muestra que una parte significativa de las técnicas más monitorizadas gira en torno a la gestión de identidades y accesos. Entre ellas, el password guessing, un método en el que un atacante intenta acceder a una cuenta probando contraseñas de forma sistemática hasta acertar la correcta, encabeza la lista con un 34,8% de conversión, impulsado por la persistencia de contraseñas débiles o reutilizadas. Le sigue la creación de cuentas locales (34,7%), una táctica que permite a los atacantes mantener acceso incluso si su punto de entrada inicial es detectado y eliminado.
El abuso de cuentas válidas (34,5%), por el que los atacantes utilizan credenciales robadas para mezclarse con la actividad legítima del usuario, dificultando enormemente la detección, se ha consolidado como una de las técnicas más peligrosas. A ello se suma la manipulación de cuentas (32%), que incluye la activación de cuentas deshabilitadas o la escalada de privilegios para consolidar el control del entorno.
El informe también destaca la importancia de detectar fases tempranas del ataque, como el network service discovery (31,2%), un paso previo habitual antes del movimiento lateral y la explotación adicional. Kaspersky subraya que, aunque MITRE ATT&CK recoge un amplio abanico de técnicas, la clave está en priorizar aquellas con mayor probabilidad de actividad maliciosa real, evitando falsos positivos que saturen a los equipos de seguridad.
Sergey Soldatov, director del SOC de Kaspersky, señala que “los actores de amenazas no siempre necesitan malware sofisticado. Las herramientas administrativas legítimas y las cuentas comprometidas siguen siendo la forma más rápida y efectiva de moverse dentro de una organización evitando la detección”. El experto insiste en la necesidad de contar con visibilidad profunda y correlación de actividad para detectar patrones anómalos a lo largo de todo el ciclo del ataque.
