El delito digital acelera y la identidad se vuelve el punto más vulnerable

Tras examinar más de 750 incidentes gestionados entre 2024 y 2025, Unit 42, el equipo de investigación y respuesta a incidentes de Palo Alto Networks, presentó su Global Incident Response Report 2026. El análisis reveló una evolución significativa en las tácticas del delito digital y confirmó que la identidad (entendida como las cuentas y privilegios que otorgan acceso a sistemas y datos, como las credenciales de un empleado) fue el mecanismo más utilizado por los atacantes para infiltrarse y desplazarse dentro de las organizaciones.

El reporte agrega que, en 2025, el 25% más veloz de los ataques logró sustraer datos en apenas 72 minutos y el 87% de las intrusiones cruzó múltiples superficies a la vez. Además, casi 90% de las investigaciones incluyó fallas de identidad como factor determinante y, 99% de las identidades en la nube tenía privilegios excesivos.

Más que la cantidad de incidentes, lo que verdaderamente importa es cómo avanzan. Hoy los atacantes combinan navegación web, aplicaciones en la nube e identidades como si todo fuera un mismo escritorio. El navegador concentra el trabajo diario y, si se reutilizan credenciales o sesiones, permite saltar de un sistema a otro en minutos. Por eso, administrar adecuadamente la identidad y ver con claridad lo que pasa en SaaS se volvió clave para frenar la velocidad y el alcance de cada intrusión.

Los puntos de entrada muestran dos caminos igual de efectivos, por un lado, el phishing y vulnerabilidades empataron con 22% cada uno. A esto se suma que las técnicas basadas en identidad concentraron 65% del acceso inicial, combinando phishing que burla la MFA, uso de credenciales filtradas un 13% y fuerza bruta 8%, además de errores en la administración de accesos.

La extorsión también registró un cambio relevante en su dinámica: aunque el cifrado de datos se mantuvo como una táctica común, su incidencia descendió al 78% de los casos, cuando antes se situaba en niveles cercanos o superiores al 90%. En paralelo, creció el número de grupos que optaron por esquemas centrados exclusivamente en el robo de información y la presión directa sobre las víctimas, incluso sin interrumpir la operación de los sistemas. En términos económicos, la mediana de la demanda inicial se elevó a 1.5 millones de dólares y la mediana de pago alcanzó los 500,000 dólares, reflejando negociaciones con reducciones más marcadas respecto a las exigencias originales.

“En América Latina vemos entornos híbridos, cadenas de suministro complejas y una adopción acelerada de SaaS; esa combinación exige cerrar brechas de exposición, gobernar mejor la identidad y automatizar la contención, sin perder de vista las prácticas esenciales de higiene cibernética. El objetivo es que un acceso inicial no se convierta en una crisis operacional”, comentó Patrick Rinski, Líder de Unit 42 para América Latina.

La identidad expuesta y conexiones con terceros aumentan el riesgo

El análisis de más de 680,000 identidades en la nube halló que 99% tenía más permisos de los necesarios. Ese exceso facilita escalar privilegios, moverse lateralmente y permanecer ocultos usando accesos válidos, incluso con tokens de sesión u otorgamientos OAuth que evitan autenticaciones interactivas. En este panorama, la identidad define la velocidad del intruso y el tamaño del daño.

En 2025, la información almacenada en aplicaciones SaaS estuvo involucrada en el 23% de los incidentes analizados, mientras que el 39% de las técnicas de comando y control se apoyó en herramientas de acceso remoto que se camuflan como actividades administrativas legítimas. Elementos como integraciones OAuth, API keys, soluciones RMM/MDM y paquetes de terceros pueden heredar privilegios y convertirse en puertas de acceso “confiables” a partir de un solo punto comprometido. En mercados como México y América Latina, donde predominan entornos híbridos y la interacción con proveedores globales, la revisión constante de conectores, cuentas de servicio y niveles de permisos se vuelve fundamental para mitigar riesgos y contener posibles impactos.

El reporte también observa ajustes en actores Estado-nación, que buscan permanecer más tiempo y pasar desapercibidos con identidades falsas, infiltración en procesos de contratación y acceso a virtualización e infraestructura. Estas técnicas elevan el nivel de dificultad para detectarlos y exigen mejor instrumentación en los entornos digitales.

Qué pueden hacer hoy las organizaciones

• Reducir la exposición mediante parchado automatizado de activos críticos, inventarios actualizados, control claro de integraciones OAuth y planes “break-glass” que permitan revocar tokens y aislar accesos de terceros ante incidentes.
• Contener el impacto reforzando la protección de identidades con MFA resistente al phishing para roles críticos, sesiones más cortas con evaluación continua de riesgo y esquemas de mínimo privilegio con acceso JIT, especialmente en cuentas de servicio.
• Acelerar la respuesta integrando la telemetría de endpoint, red, identidad, nube y SaaS, junto con procesos automatizados de contención: aislamiento de cargas, revocación de sesiones y playbooks consistentes dentro del SOC.

El delito digital ya opera a escala industrial y con tiempos de impacto medidos en minutos. Para las empresas de México, la prioridad es cerrar brechas de exposición, limitar la movilidad del atacante con mejores controles de identidad y automatizar la respuesta para igualar la velocidad de los cibercriminales. La diferencia entre un incidente y una crisis puede definirse en la primera hora.

La experiencia del último año confirma que la mejor defensa no depende de herramientas complejas, sino de fundamentos bien ejecutados. En otras palabras, ver lo que ocurre en todo el entorno, controlar quién tiene acceso a qué y reaccionar de inmediato ante cualquier actividad sospechosa. Cuando estos elementos funcionan juntos, un ataque no pasa de un incidente y las operaciones continúan, pudiendo neutralizar el ataque.