La brecha de preparación ante ransomware se amplía año tras año
La distancia entre las amenazas de ransomware y las defensas diseñadas para detenerlas no solo persiste: está empeorando. El Informe 2026 del Estado de la Ciberseguridad de Ivanti encontró que la brecha de preparación se amplió en promedio 10 puntos año tras año en cada categoría de amenaza que la firma rastrea.
El ransomware registró la mayor diferencia: 63% de profesionales de seguridad lo califican como una amenaza alta o crítica, pero solo 30% afirma estar muy preparado para defenderse contra él. Eso representa una brecha de 33 puntos, comparada con 29 puntos del año anterior.
Los números del Informe 2025 de Seguridad de Identidad de CyberArk dimensionan el problema: existen 82 identidades de máquina por cada humano en organizaciones a nivel mundial. El 42% de esas identidades de máquina tienen acceso privilegiado o sensible.
El eslabón perdido en los playbooks de ransomware
La guía de preparación ante ransomware de Gartner, específicamente la nota de investigación de abril 2024 «How to Prepare for Ransomware Attacks», que los equipos de seguridad empresarial usan como referencia al construir procedimientos de respuesta a incidentes, hace un llamado explícito a restablecer las credenciales de usuario/host impactadas durante la contención.
El Ransomware Playbook Toolkit acompañante guía a los equipos a través de cuatro fases: contención, análisis, remediación y recuperación. El paso de restablecimiento de credenciales instruye a los equipos a asegurar que todas las cuentas de usuario y dispositivo afectadas sean restablecidas.
Pero aquí está el problema: las cuentas de servicio están ausentes. También lo están las API keys, tokens y certificados. El marco de playbook más utilizado en seguridad empresarial se detiene en credenciales humanas y de dispositivos. Las organizaciones que lo siguen heredan ese punto ciego sin siquiera darse cuenta.
¿Por qué es esto crítico?
La misma nota de investigación de Gartner identifica el problema sin conectarlo con la solución. Advierte que las prácticas deficientes de gestión de identidad y acceso (IAM) siguen siendo un punto de partida primario para ataques de ransomware, y que credenciales previamente comprometidas están siendo utilizadas para obtener acceso a través de brokers de acceso inicial y volcados de datos de la dark web.
En la sección de recuperación, la orientación es explícita: actualizar o eliminar credenciales comprometidas es esencial porque, sin ese paso, el atacante recuperará la entrada. Las identidades de máquina son IAM. Las cuentas de servicio comprometidas son credenciales. Pero los procedimientos de contención del playbook no abordan ninguna de las dos.
Cinco brechas donde las credenciales de máquina desaparecen
1. Los reinicios de credenciales no fueron diseñados para máquinas
Restablecer la contraseña de cada empleado después de un incidente es una práctica estándar, pero no detiene el movimiento lateral a través de una cuenta de servicio comprometida. La plantilla de playbook de Gartner muestra el punto ciego claramente.
La hoja de contención de muestras de Ransomware Playbook enumera tres pasos de restablecimiento de credenciales: forzar el cierre de sesión de todas las cuentas de usuario afectadas vía Active Directory, forzar cambio de contraseña en todas las cuentas de usuario afectadas vía Active Directory, y restablecer la cuenta del dispositivo vía Active Directory. Tres pasos, todos Active Directory, cero credenciales no humanas. Sin cuentas de servicio, sin API keys, sin tokens, sin certificados.
2. Nadie inventaría las identidades de máquina antes de un incidente
No puedes restablecer credenciales que no sabes que existen. Las cuentas de servicio, API keys y tokens necesitan asignaciones de propiedad mapeadas pre-incidente. Descubrirlas en medio de una brecha cuesta días.
Solo el 51% de las organizaciones tienen un puntaje de exposición de ciberseguridad, encontró el informe de Ivanti, lo que significa que casi la mitad no podría informar a la junta directiva sobre su exposición de identidad de máquina si se les preguntara mañana. Solo el 27% califica su evaluación de exposición al riesgo como excelente, a pesar de que el 64% invierte en gestión de exposición.
3. El aislamiento de red no revoca cadenas de confianza
Sacar una máquina de la red no revoca las API keys que emitió a sistemas descendentes. La contención que se detiene en el perímetro de red asume que la confianza está limitada por la topología. Las identidades de máquina no respetan ese límite. Autentican a través de él.
La propia nota de investigación de Gartner advierte que los adversarios pueden pasar días o meses excavando y ganando movimiento lateral dentro de las redes, cosechando credenciales para persistencia antes de implementar ransomware. Durante esa fase de excavación, las cuentas de servicio y tokens de API son las credenciales más fácilmente cosechadas sin activar alertas.
4. La lógica de detección no fue construida para comportamiento de máquinas
El comportamiento anómalo de identidad de máquina no activa alertas de la manera en que lo hace una cuenta de usuario comprometida. Volúmenes inusuales de llamadas API, tokens usados fuera de ventanas de automatización y cuentas de servicio autenticándose desde nuevas ubicaciones requieren reglas de detección que la mayoría de los SOCs no han escrito.
La encuesta de CrowdStrike encontró que el 85% de los equipos de seguridad reconocen que los métodos de detección tradicionales no pueden mantener el ritmo de las amenazas modernas. Sin embargo, solo el 53% ha implementado detección de amenazas potenciada por IA.
5. Las cuentas de servicio obsoletas siguen siendo el punto de entrada más fácil
Cuentas que no han sido rotadas en años, algunas creadas por empleados que se fueron hace mucho tiempo, son la superficie más débil para ataques basados en máquinas.
La guía de Gartner solicita autenticación fuerte para usuarios privilegiados, como administradores de bases de datos e infraestructura y cuentas de servicio, pero esa recomendación se encuentra en la sección de prevención, no en el playbook de contención donde los equipos la necesitan durante un incidente activo.
La economía del ransomware hace esto urgente ahora
Gartner estima que los costos totales de recuperación son 10 veces el rescate en sí. CrowdStrike sitúa el costo promedio de tiempo de inactividad por ransomware en $1.7 millones por incidente, con organizaciones del sector público promediando $2.5 millones.
Pagar no ayuda. El 93% de las organizaciones que pagaron tuvieron datos robados de todos modos, y el 83% fueron atacadas de nuevo. Casi el 40% no pudo restaurar completamente los datos desde copias de seguridad después de incidentes de ransomware.
IA agéntica multiplicará el problema
El 87% de profesionales de seguridad dice que integrar IA agéntica es una prioridad, y el 77% reporta comodidad con permitir que la IA autónoma actúe sin supervisión humana, según el informe de Ivanti. Pero solo el 55% usa barreras formales.
Cada agente autónomo crea nuevas identidades de máquina, identidades que autentican, toman decisiones y actúan independientemente. Si las organizaciones no pueden gobernar las identidades de máquina que tienen hoy, están a punto de agregar un orden de magnitud más.
Qué deben hacer los founders tech ahora
Para startups tecnológicas que escalan rápidamente, la gestión de credenciales de máquina no puede ser una reflexión tardía. Estos son los pasos accionables:
1. Inventariar todas las identidades de máquina
Service accounts, API keys, tokens OAuth, certificados SSL/TLS. Si autentica automáticamente, debe estar en el inventario. Asigna propietarios a cada una.
2. Implementar rotación automática
Las credenciales de máquina que no rotan son credenciales muertas esperando ser explotadas. Automatiza la rotación cada 90 días como máximo.
3. Integrar credenciales de máquina en el playbook de respuesta a incidentes
Agrega pasos específicos para revocar API keys, invalidar tokens y auditar cuentas de servicio en la fase de contención. No esperes a estar bajo ataque.
4. Configurar alertas para comportamiento anómalo de máquinas
API calls desde ubicaciones no autorizadas, volúmenes fuera de patrón, autenticaciones fuera de ventana operativa. Construye las reglas de detección ahora.
5. Auditar y eliminar cuentas huérfanas
Cuentas de servicio creadas para proyectos que ya no existen, tokens generados por desarrolladores que ya no están en la empresa. La deuda técnica de identidad es deuda de seguridad.
Conclusión
La preparación ante ransomware tiene un punto ciego masivo, y los atacantes ya lo están explotando. Mientras los playbooks empresariales siguen enfocándose exclusivamente en credenciales humanas, las identidades de máquina 1 82 por cada humano 1 permanecen invisibles en los procedimientos de contención.
La brecha de preparación de 33 puntos entre amenaza percibida y preparación real no es un problema de presupuesto. Es un problema de visibilidad. Las organizaciones no pueden proteger lo que no pueden ver, y la mayoría no está viendo sus credenciales de máquina hasta que es demasiado tarde.
Para founders de startups tech, esto representa tanto un riesgo como una oportunidad. El riesgo es obvio: una brecha a través de una API key comprometida puede detener tu operación por días y costar millones. La oportunidad es construir las capacidades correctas desde el inicio, antes de que la deuda de identidad se convierta en deuda de seguridad.
Los equipos de seguridad que construyan inventario de identidad de máquina, reglas de detección y procedimientos de contención en sus playbooks ahora no solo cerrarán la brecha que los atacantes están explotando hoy, estarán posicionados para gobernar las identidades autónomas que llegarán mañana.
¿Construyendo infraestructura de seguridad para tu startup? Conecta con founders que han implementado gestión de identidades a escala y aprende de sus procesos en nuestra comunidad.
Fuentes
- https://venturebeat.com/security/machine-identities-missing-link-ransomware-playbooks (fuente original)
- https://www.ivanti.com/resources/research-reports/state-of-cybersecurity-report
- https://www.gartner.com/en/cybersecurity
- https://www.crowdstrike.com/en-us/press-releases/ransomware-report-ai-attacks-outpacing-defenses/
Artículos relacionados:
Fraude en Reclutamiento: La Nueva Amenaza IAM de $2B en Cloud
Ciberseguridad: expertos de EE. UU. condenados por ataques ransomware
Ransomware paraliza universidad europea: lecciones startup
Privacidad de Datos: Por Qué Tu Startup No Puede Ignorarla
Cómo probar OpenClaw sin riesgos de seguridad en tu startup
