Los ataques a identidades superan a las vulnerabilidades como la principal causa de ransomware

Durante casi una década, a los equipos de seguridad se les dijo que aplicar parches más rápido era la forma más segura de detener el ransomware. Los nuevos datos de 2026 demuestran que ese consejo ya no describe la amenaza real a la que se enfrentan las organizaciones. Ahora, la principal vía de acceso de los atacantes es el compromiso de identidades, no la explotación de software, y un control en el que la mayoría de las organizaciones confía para detenerlo está resultando mucho menos efectivo de lo que sugieren los informes de implementación.

En esta publicación se explica qué cambió, por qué un control presente en el 97% de los casos de ransomware por credenciales comprometidas no logró detenerlos y qué significa esto para la forma en que los equipos de seguridad y cumplimiento deben priorizar sus inversiones en los próximos doce meses.

Conclusiones clave

1. Los ataques a identidades ahora causan más ransomware que las explotaciones de software. La encuesta State of Ransomware 2026 de Sophos reveló que el correo electrónico malicioso (26%) y el phishing (24%) juntos han superado a la explotación de vulnerabilidades (18%, bajando desde el 32% hace tres años) como la principal causa raíz del ransomware.

2. La MFA estaba presente y aun así falló. En el 97% de los casos de ransomware donde las credenciales comprometidas fueron la causa raíz, la autenticación multifactor ya estaba implementada en algún lugar del entorno, lo que demuestra que la presencia de MFA y la cobertura total de MFA no son lo mismo.

3. Una campaña de ataque en vivo muestra exactamente cómo se explota esa brecha. Entre el 12 y el 26 de junio de 2026, los atacantes usaron el flujo obsoleto OAuth Resource Owner Password Credentials para realizar más de 81 millones de intentos de inicio de sesión y comprometer 78 cuentas en 64 organizaciones, eludiendo la MFA porque nunca estuvo en la ruta de autenticación de ese protocolo.

4. El abuso de credenciales recorre toda la cadena de ataque, no solo la puerta de entrada. El Informe de Investigaciones de Brechas de Datos de Verizon 2026 encontró abuso de credenciales en el 39% de las cadenas de brechas, incluso en un año en que la explotación de vulnerabilidades recuperó el primer lugar como acceso inicial.

5. Los plazos de cumplimiento están cambiando, pero el riesgo subyacente no. El Departamento de Guerra suspendió los requisitos de certificación de terceros de la Fase 2 de CMMC 2.0 el 13 de julio de 2026, a la espera de una revisión de 60 días, mientras que las obligaciones de autoevaluación de la Fase 1 y de protección DFARS 252.204-7012 siguen plenamente vigentes.

La causa raíz del ransomware ha pasado de las explotaciones a los ataques de identidad y brechas en la MFA

Durante casi una década, a los equipos de seguridad se les dijo que aplicar parches más rápido era la forma más segura de mantener el ransomware fuera. Ese consejo describe un modelo de amenaza que ya no coincide con los datos. El informe State of Ransomware 2026 de Sophos, basado en una encuesta a 2,158 líderes de TI y ciberseguridad de 17 países cuyas organizaciones sufrieron ransomware el último año, reveló que el phishing y el correo electrónico malicioso ahora representan la mitad de todas las causas raíz del ransomware. La explotación de vulnerabilidades, que fue la causa dominante durante tres años consecutivos, cayó al 18% desde el 32%.

Ese cambio por sí solo ya sería una noticia importante. Lo que lo hace más relevante que un simple reajuste de porcentajes es el segundo hallazgo oculto en la misma encuesta: la autenticación multifactor estaba implementada, de alguna forma, en el 97% de los incidentes donde las credenciales comprometidas causaron la brecha. El control en el que las organizaciones confiaban para detener exactamente este tipo de ataque ya estaba en funcionamiento, y no detuvo el ataque.

En esta publicación se explica lo que realmente muestran los datos de Sophos, una campaña de ataque en vivo de junio de 2026 que demuestra el mecanismo detrás de ese 97%, datos corroborados por el Informe de Investigaciones de Brechas de Datos de Verizon 2026 y un desarrollo de cumplimiento de principios de mes que cambia el cálculo para las organizaciones reguladas sin modificar la amenaza subyacente. Las organizaciones que usan el intercambio seguro de datos de Kiteworks para gobernar el acceso a contenido sensible se ven afectadas de manera diferente a las que dependen solo de la autenticación, y esa diferencia importa más con cada trimestre que continúa esta tendencia.

Lo que realmente muestran los datos de Sophos 2026

Tres cifras del informe de Sophos merecen atención más allá del cambio principal en las causas raíz.

Primero, dos tercios de las víctimas, el 67%, le dijeron a Sophos que el ataque de ransomware que sufrieron fue su incidente de identidad más significativo del último año. Es una admisión llamativa de una población de organizaciones que, por definición, todas sufrieron un ataque de ransomware exitoso. Indica que el compromiso de identidad no fue incidental a la brecha. Fue la brecha, con el cifrado como paso final y no como punto de entrada.

Segundo, las credenciales comprometidas fueron la causa raíz específica en el 23% de los casos, distinta de la categoría de phishing y correo electrónico malicioso. Combinando ese 23% con el 50% de phishing y correo electrónico, aproximadamente tres cuartas partes de los ataques de ransomware en esta encuesta se remontan a algún tipo de compromiso de identidad y no a una vulnerabilidad técnica. Una intrusión de ransomware exitosa a través del robo de credenciales constituye una brecha de datos reportable bajo HIPAA, GDPR y marcos similares, independientemente de si el cifrado es la carga útil final: el compromiso de identidad y cualquier dato al que el atacante accedió durante el movimiento lateral activan obligaciones de notificación por separado del evento de ransomware en sí.

Tercero, y lo más relevante para los presupuestos de seguridad basados en controles de autenticación, es la cifra de MFA. Sophos encontró que, cuando las credenciales comprometidas fueron la causa raíz, el 97% de las organizaciones víctimas ya tenía la autenticación multifactor implementada. El informe atribuye esto a dos causas superpuestas: implementación incompleta en todos los sistemas que realmente la necesitaban y técnicas de evasión que evolucionan más rápido que la cobertura defensiva. Ninguna explicación es tranquilizadora, ya que ambas describen una brecha que una lista de verificación de cumplimiento con «MFA: habilitada» no detectaría.

Por qué la presencia de MFA no es cobertura de MFA: la campaña OAuth de junio de 2026

La ilustración más clara de cómo un control implementado en el 97% de los casos sigue fallando el 97% de las veces surgió el mismo mes en que Sophos publicó su informe. Entre el 12 y el 26 de junio de 2026, según The Hacker News, los atacantes realizaron más de 81 millones de intentos de inicio de sesión contra cuentas de Microsoft 365 y Azure, comprometiendo finalmente 78 cuentas en 64 organizaciones.

La técnica no consistió en engañar a un usuario para que aprobara una notificación push o ingresara un código de un solo uso en una página falsa. Aprovechó el flujo Resource Owner Password Credentials de OAuth, un método de autenticación heredado que Microsoft desaprobó hace años pero que sigue activo en la mayoría de los inquilinos de Azure por compatibilidad con aplicaciones antiguas. La cobertura de la campaña de Secure Bulletin describió cómo ROPC envía el nombre de usuario y la contraseña directamente al endpoint de tokens del proveedor de identidad, sin ningún aviso interactivo en el intercambio. No había ningún desafío de MFA que los atacantes tuvieran que superar, porque el protocolo nunca generó uno.

Las organizaciones afectadas por la campaña no omitieron la MFA por política. Sus cuentas SaaS, en la mayoría de los casos, tenían MFA y acceso condicional correctamente configurados. Sus concentradores VPN, consolas de administración de firewall y aplicaciones heredadas no recibieron el mismo tratamiento, porque nadie había inventariado todos los sistemas donde una credencial seguía siendo válida sin un segundo factor. Esa es exactamente la brecha que Sophos describió en términos más abstractos: la MFA «puede no haberse implementado completamente en todos los sistemas relevantes, creando brechas que los atacantes pueden explotar».

Dos fuentes de datos independientes, con seis semanas de diferencia, describiendo el mismo modo de falla no es una coincidencia. Es un patrón, y ese patrón tiene nombre: tratar la implementación de MFA como un proyecto terminado en vez de un inventario verificado de forma continua. Una evaluación de riesgos formal que mapea cada punto de autenticación contra su estado actual de aplicación de MFA —no solo las aplicaciones SaaS donde la verificación es más sencilla— es el paso fundamental que convierte una política de MFA en un programa de MFA.

El patrón detrás de los números: lo que confirma el DBIR 2026 de Verizon

Un escéptico podría leer los hallazgos de Sophos como algo específico del ransomware, o de la campaña OAuth ROPC como una operación excepcionalmente bien ejecutada. El Informe de Investigaciones de Brechas de Datos de Verizon 2026, que analizó más de 22,000 brechas confirmadas, demuestra que no es tan limitado.

Los datos de Verizon muestran que la explotación de vulnerabilidades recuperó el primer lugar como acceso inicial este año, un hallazgo realmente diferente al de la encuesta específica de ransomware de Sophos. Pero el abuso de credenciales sigue presente en el 39% de las cadenas completas de brechas, lo que significa que sigue siendo la técnica más extendida en todo el ciclo de ataque, incluso en un año en que no fue la principal puerta de entrada. El compromiso de identidad no compite con otros métodos de ataque por el primer lugar en una sola categoría. Aparece en varias etapas: acceso inicial en algunos casos, movimiento lateral y escalada de privilegios en la mayoría, sin importar cómo entró el atacante la primera vez.

Esa distinción es relevante para la priorización de inversiones de los líderes de seguridad. Una defensa basada únicamente en detener el acceso inicial, ya sea mediante parches o MFA, deja el resto de la cadena —la parte donde una credencial pasa de un sistema a otro, o donde un atacante con acceso aparentemente legítimo empieza a tocar contenido al que nunca debió acceder— en gran medida sin gobierno. Los programas de gestión de riesgos de la cadena de suministro que extienden la gobernanza de identidades a cuentas de proveedores externos —especialmente cuentas de servicio usadas por proveedores para acceder a sistemas internos— abordan la etapa de movimiento lateral que los datos de Verizon identifican como el elemento más frecuente en las cadenas de brechas.

El impulso de cumplimiento, en pausa pero no cancelado: la suspensión de la Fase 2 de CMMC 2.0

Las organizaciones reguladas, especialmente las de la base industrial de defensa, recibieron este mes un recordatorio de que los plazos de cumplimiento pueden moverse más rápido que el riesgo subyacente, en cualquier dirección. El 13 de julio de 2026, el Departamento de Guerra suspendió la Fase 2 del programa CMMC —las evaluaciones de certificación de Nivel 2 por terceros que debían comenzar a aparecer en las licitaciones de contratos del DoD el 10 de noviembre de 2026— a la espera de una revisión de reforma de 60 días, según el comunicado del propio Departamento de Guerra y la cobertura de Federal News Network.

Lo que no cambió merece ser dicho claramente, porque es fácil confundir un requisito de auditoría en pausa con una obligación en pausa. DFARS 252.204-7021, la cláusula contractual basada en CMMC 2.0, sigue vigente. Los requisitos de autoevaluación de la Fase 1, en vigor desde noviembre de 2025, no se ven afectados. Y las obligaciones de protección DFARS 252.204-7012 para información de defensa cubierta, junto con las familias de controles NIST 800-171 en las que se basan, incluyendo Identificación y Autenticación y Auditoría y Responsabilidad, siguen plenamente vigentes durante la revisión de 60 días.

Los controles de identidad y acceso que una evaluadora de Nivel 2 iba a verificar bajo el cronograma suspendido son los mismos controles que los datos de Sophos indican que están fallando silenciosamente en el mercado general. Un contratista que trata la suspensión como permiso para desacelerar solo resuelve un problema de agenda, pero deja la exposición real exactamente donde estaba. La documentación de cumplimiento de NIST 800-171 que mapea los controles actuales de identidad y acceso a requisitos de práctica específicos —mantenida de forma continua y no solo antes de la evaluación— es tanto la evidencia que la evaluación suspendida de la C3PAO habría revisado como la defensa ante la Ley de Reclamaciones Falsas que protege la autoevaluación SPRS de un contratista.

Del control de acceso a la gobernanza de contenido: cerrando la brecha post-autenticación

La respuesta táctica a todo esto —implementar más MFA y extenderla a más sistemas— es necesaria y correcta. Pero no es suficiente por sí sola, porque los datos muestran el mismo modo de falla incluso en entornos donde la cobertura de MFA parecía completa en papel. La solución más duradera requiere tratar un inicio de sesión exitoso como el inicio de una segunda pregunta de seguridad, distinta de la primera: una vez autenticada la identidad, ¿a qué puede realmente acceder y puede la organización demostrar a qué accedió después?

Esa segunda pregunta es donde los controles de acceso basados en control de acceso basado en roles (RBAC) y control de acceso basado en atributos (ABAC) hacen un trabajo que la autenticación sola no puede. El Data Policy Engine de Kiteworks evalúa cada solicitud de acceso a contenido sensible según el rol del usuario, la clasificación del contenido y el contexto en el momento de la solicitud, en vez de confiar en un solo evento de autenticación como autorización para el resto de la sesión. Una credencial comprometida que supera una brecha en la cobertura de MFA aún debe pasar una segunda verificación de política independiente antes de acceder a contenido gobernado bajo ese modelo. Aplicar etiquetas de clasificación de datos al contenido sensible antes de que ingrese a cualquier canal gobernado es el requisito previo que hace precisa la aplicación de políticas ABAC: un motor de políticas no puede restringir el acceso por nivel de sensibilidad si el contenido no ha sido categorizado. La minimización de datos aplicada al alcance de las credenciales reduce aún más el radio de exposición: aprovisionar cuentas solo con acceso al contenido que requiere su rol —y no al máximo contenido que sus permisos podrían permitir— significa que una credencial comprometida puede acceder a mucho menos incluso si elude completamente la MFA.

La traza de auditoría generada por esa misma capa de políticas es lo que convierte «creemos que esta cuenta fue comprometida» en una pregunta que se puede responder durante la respuesta a incidentes. El registro unificado de Kiteworks en correo electrónico seguro, uso compartido seguro de archivos, transferencia de archivos gestionada y formularios web permite que un equipo de seguridad investigue exactamente a qué accedió, cuándo y desde dónde una identidad comprometida, en todos los canales gobernados por la plataforma, en vez de reconstruir esa imagen a partir de registros desconectados después del hecho. Alimentar ese flujo de auditoría unificado en tiempo real a una plataforma SIEM da a los equipos de seguridad el motor de correlación de comportamiento necesario para detectar actividad anómala post-autenticación —la etapa de movimiento lateral que el DBIR de Verizon identifica como el elemento más frecuente en las cadenas de brechas— antes de que llegue a la exfiltración. Esta es la diferencia práctica entre una arquitectura de confianza cero aplicada solo en el perímetro de red y una extendida a la capa de contenido, donde realmente viven los datos que busca el atacante.

El informe Kiteworks Data Security and Compliance Risk: 2026 Forecast pone cifra a lo extendida que está esta debilidad: el 33% de las organizaciones carecen de trazas de auditoría con calidad de evidencia, y esa única brecha se correlaciona con puntuaciones de madurez en gobernanza de IA entre 20 y 32 puntos más bajas en todas las demás dimensiones de gobernanza de IA medidas en la encuesta. La visibilidad después de la autenticación no es un control secundario. Es más bien un indicador adelantado de cuán bien se gobiernan los datos en general.

Cómo construir un programa de seguridad de datos resiliente a ataques de identidad

Nada de esto implica abandonar la autenticación multifactor ni tratarla como un control fallido. Implica tratar el riesgo de identidad como un programa con varias capas distintas y no como un solo hito de implementación.

Empieza con un inventario honesto de cada sistema, protocolo y aplicación a los que puede llegar una credencial, no solo las aplicaciones SaaS donde la aplicación de MFA es fácil de configurar y reportar. Los concentradores VPN, consolas de administración de firewall, servidores SFTP y cualquier aplicación heredada que siga usando un flujo de autenticación obsoleto «por compatibilidad» merecen la misma atención que la campaña de junio de 2026 expuso en 64 organizaciones que probablemente creían que su cobertura de MFA era completa.

Retira los protocolos obsoletos donde sea posible y documenta un control compensatorio donde no lo sea. ROPC está obsoleto por una razón documentada, y es poco probable que sea el único flujo heredado que aún acepta contraseñas sin desafío interactivo.

Extiende la planificación de respuesta a incidentes para asumir que una credencial eventualmente será comprometida a pesar de la MFA, y construye la integración de SIEM y registro de auditoría necesaria para responder, en horas y no en semanas, exactamente a qué accedió esa credencial. Un plan de respuesta a incidentes documentado que cubra escenarios de intrusión de ransomware por credenciales —incluyendo las etapas de revisión de movimiento lateral y exfiltración, la evaluación de notificación HIPAA o DFARS y la secuencia de rotación de credenciales— da a los equipos de seguridad la estructura operativa que necesitan para moverse a la velocidad que exige un tiempo de permanencia del atacante cada vez más corto.

Por último, trata la pausa en la aplicación de la Fase 2 de CMMC 2.0 como una oportunidad y no como una extensión de plazo. Las organizaciones que sigan avanzando hacia los controles de identidad, acceso y auditoría que las evaluaciones suspendidas buscaban verificar, especialmente en torno al manejo de CUI, estarán en una posición materialmente más sólida cuando concluya la revisión de 60 días, sin importar cómo quede el marco resultante.

Qué significa este cambio para el ciberseguro y los reportes a la junta directiva

Las aseguradoras han pasado los últimos ciclos de renovación preguntando si el solicitante tiene MFA implementada, considerando una respuesta afirmativa como un reductor de riesgo significativo. Los datos de Sophos refutan directamente esa suposición: un «sí» a la pregunta de MFA decía poco a los aseguradores sobre si la implementación era completa. Una organización que respondió con honestidad y aun así sufrió un ataque de ransomware por una brecha en esa cobertura ahora está en peor posición en la renovación que una organización que nunca afirmó tener cobertura total.

Las juntas directivas y los comités de auditoría hacen una versión de la misma pregunta con otro lenguaje, generalmente formulada como «¿estamos cubiertos?» en vez de «¿dónde están las brechas?». Una métrica más útil a nivel de junta reemplaza la pregunta binaria sobre MFA por una más detallada: qué porcentaje de sistemas capaces de acceder a contenido sensible aplican MFA hoy y cuál es el plan y cronograma para cerrar el resto. Ese enfoque convierte la evaluación de riesgos de una casilla de cumplimiento en una medición continua que el equipo de seguridad puede reportar trimestre tras trimestre, igual que un panel de actividades gobernadas agrega señales de riesgo en todo el entorno en vez de mostrar solo un estado de control aprobado/reprobado.

Este replanteamiento también es relevante para las conversaciones con aseguradoras. Una organización que puede presentar un inventario actual y específico de brechas de cobertura de MFA, junto con una traza de auditoría gobernada que muestre a qué accedió cada credencial en correo electrónico, uso compartido de archivos y transferencia de archivos gestionada, demuestra una postura de riesgo materialmente diferente a la de una organización que solo puede mostrar un documento de política que exige MFA. Lo primero es el tipo de evidencia que los aseguradores piden cada vez más directamente; lo segundo es el tipo de respuesta que los datos de Sophos sugieren que ya no es tranquilizadora por sí sola. La documentación de gobernanza de datos que mapea qué contenido puede acceder cada clase de credencial —organizada por nivel de sensibilidad, con alcance de acceso actual y fecha de última revisión— es el registro interno que fundamenta tanto la métrica para la junta como la conversación con aseguradoras en hechos verificables y no solo en afirmaciones de política.

Para saber más sobre cómo cerrar la brecha entre autenticación y acceso a contenido con intercambio de datos gobernado y auditado, solicita una demo personalizada hoy.

Recursos adicionales

• Artículo del Blog Arquitectura Zero Trust: Nunca confíes, verifica siempre
• Video Microsoft GCC High: Desventajas que impulsan a los contratistas de defensa hacia ventajas más inteligentes
• Artículo del Blog Cómo proteger datos clasificados una vez que DSPM los identifica
• Artículo del Blog Generar confianza en la IA generativa con un enfoque de Zero Trust
• Video La guía definitiva para el almacenamiento seguro de datos sensibles para líderes de TI