La superficie de ataque del usuario final es todo lo que una persona puede ejecutar, descargar o autorizar desde su equipo de trabajo. El problema no es que alguien algún día le dé clic a lo que no debía: eso va a pasar. Lo que decide si pierdes una computadora o la operación completa es hasta dónde puede llegar esa credencial robada, y eso no lo determina el usuario. Lo determina cómo está armada la red.
Vale la pena insistir en la distinción, porque casi toda la conversación sobre este tema se va al lado equivocado. La capacitación reduce la frecuencia del incidente. La arquitectura reduce su tamaño. Son trabajos distintos y solo uno de los dos es tu responsabilidad técnica.
El escenario real: alguien de administración necesita un conversor de archivos un viernes por la tarde, lo busca, descarga el primer instalador que aparece y lo corre. El programa hasta convierte el archivo. Lo que también hizo fue leer las contraseñas guardadas en el navegador y las credenciales que el sistema tenía en memoria. Entre esas credenciales estaba la de un técnico que había entrado a ese equipo con su cuenta de administrador del dominio tres semanas antes. El lunes el ataque ya no estaba en una computadora.
¿Qué pasa cuando alguien instala algo que descargó de una página dudosa?
La cadena es casi siempre la misma y conviene conocerla completa, porque cada eslabón tiene un control que lo corta. El contenido no autorizado —instaladores modificados, activadores de licencias, extensiones de navegador, archivos que llegan por mensajería— es el vehículo más común porque el usuario lo ejecuta voluntariamente y con sus propios permisos.
- Ejecución. El programa corre con los permisos de quien lo abrió. Si ese usuario es administrador local de su equipo, el programa también lo es.
- Extracción de credenciales. Lo primero que busca es lo que ya está en la máquina: contraseñas guardadas en el navegador, sesiones abiertas, tokens de aplicaciones en la nube y las credenciales que el sistema operativo mantiene en memoria de cualquiera que haya iniciado sesión ahí.
- Reconocimiento. Con una credencial válida ya no hace falta vulnerar nada. El atacante pregunta a la red lo mismo que preguntaría un administrador: qué equipos hay, qué carpetas se comparten, qué servidores responden.
- Movimiento lateral. Esa credencial se reutiliza en otros equipos. Si sirve en varios, el ataque deja de ser un incidente de escritorio.
- Escalada. El objetivo es una cuenta con privilegios en el dominio o en el hipervisor. Con eso se alcanzan los respaldos, y ahí es donde un incidente se convierte en un rescate.
El punto de inflexión está entre el paso dos y el paso cuatro. Los pasos uno y dos son difíciles de evitar porque dependen de una decisión humana en un viernes a las seis de la tarde. El cuatro y el cinco son puramente arquitectónicos y se pueden cerrar.
¿Por qué capacitar al usuario no cierra el hueco?
Porque la tasa de acierto que se necesita es inhumana. Un empleado toma decenas de decisiones de confianza al día —un adjunto, una liga, un instalador, un permiso que pide una extensión— y basta una para abrir el paso uno. La capacitación lleva el error de una vez al mes a una vez al año, lo cual es valioso, pero una vez al año sigue siendo suficiente si la red no contiene nada.
Hay una razón más incómoda. Buena parte de lo que termina en movimiento lateral no empezó con un error del usuario, sino con una práctica de TI: el técnico que entra con su cuenta de administrador del dominio a resolver un problema en una estación de trabajo y deja ahí sus credenciales en memoria. El usuario descargó el archivo; la credencial valiosa la puso el área de sistemas.
¿Qué controles contienen el daño?
Están ordenados por lo que hemos visto que rinde más en una empresa mediana, no por sofisticación. Los primeros cuatro no cuestan licencias.
| Control | Qué eslabón corta | Qué cuesta |
|---|---|---|
| Quitar el administrador local al usuario del día a día | Ejecución y extracción | Configuración y una cuenta aparte para instalar |
| Cuentas administrativas separadas por nivel: el admin del dominio nunca inicia sesión en una estación | Escalada | Disciplina de TI |
| Segundo factor en todo lo que se alcanza desde fuera | Reutilización de credenciales | Configuración, a veces licencia |
| Segmentar la red para que las estaciones no se vean entre sí ni alcancen la administración de los servidores | Reconocimiento y movimiento lateral | Trabajo de firewall y VLAN |
| Lista de aplicaciones permitidas, o al menos bloquear la ejecución desde las carpetas de descargas y temporales | Ejecución | Configuración y una fase de afinación |
| Filtrado de salida por categoría y reputación de dominio | Descarga y comunicación posterior | Suscripción |
| Copia inmutable de los respaldos | El desenlace | Almacenamiento con retención bloqueada |
| Detección en el endpoint con alguien que la lea | Acorta el tiempo de permanencia | Licencia y operación |
El primero de la lista es el que más resistencia genera y el que más devuelve. Un usuario sin administrador local no puede instalar lo que descargó, de modo que el eslabón uno se corta antes de empezar, y la mayoría de las objeciones se resuelven con un procedimiento de excepción que tarde menos de un día.
¿Cómo se ve la diferencia en una red real?
El mismo incidente, con la misma persona cometiendo el mismo error, en dos arquitecturas distintas:
| Red plana, usuario administrador | Red segmentada, usuario estándar | |
|---|---|---|
| El instalador corre | Sí, con privilegios completos | Pide credenciales que el usuario no tiene |
| Credenciales obtenidas | Las del usuario y las de quien haya entrado antes | En el mejor caso, las del navegador del usuario |
| Alcance de esa credencial | Toda la red, incluidos servidores y respaldos | Su propio segmento, sin acceso a administración |
| Resultado probable | Cifrado general y respaldos comprometidos | Un equipo que se reinstala en dos horas |
Es la misma conclusión que aparece en tener firewall no es tener perímetro: el perímetro que importa no está en la puerta de internet, está entre tus propias máquinas.
¿Por dónde empezar?
Hay un orden que evita pelearse con la operación en la primera semana:
- Saca la lista de quién es administrador local de su equipo. Es el ejercicio que más sorpresas produce y no requiere herramienta especial.
- Saca la lista de quién es administrador del dominio y revisa en qué equipos ha iniciado sesión esa cuenta.
- Separa las cuentas administrativas por nivel. Es gratis y corta el eslabón más caro.
- Quita el administrador local por áreas, empezando por la que menos software instala, con un procedimiento de excepción publicado.
- Segmenta. Primero separa las estaciones de la administración de servidores; lo demás viene después.
- Verifica que exista una copia inmutable de los respaldos, porque es lo que decide el peor caso.
Lista de verificación rápida
- ¿Los usuarios son administradores locales de sus equipos?
- ¿La cuenta de administrador del dominio ha iniciado sesión en estaciones de trabajo?
- ¿Una estación de trabajo puede alcanzar la consola de administración del hipervisor?
- ¿Se puede ejecutar un archivo recién descargado desde la carpeta de descargas?
- ¿Hay segundo factor en el correo y en todo lo que se alcanza desde internet?
- ¿Las contraseñas corporativas viven guardadas en los navegadores?
- ¿Existe una copia de respaldo que no se pueda borrar con credenciales de administrador?
- ¿Alguien lee las alertas del antivirus o del endpoint, con nombre y horario?
Si contestaste que sí a las dos primeras y que no a la última, el escenario del inicio no es hipotético: es cuestión de que alguien necesite un conversor de archivos un viernes.
En nuestro Diagnóstico de Infraestructura y Seguridad revisamos privilegios locales, uso de cuentas administrativas, segmentación y accesos remotos, y entregamos el plan de contención por fases con el orden de arriba. La parte de respaldos está en la guía de continuidad de negocio.