Por Juan Pablo López*
Cada vez que estalla un incidente relevante, la primera reacción es buscar al genio del mal: la vulnerabilidad sofisticada, la herramienta avanzada, el grupo capaz de sortear barreras invisibles desde una sala de monitoreo. Lo vimos este año en Chile, con el supuesto “ciberataque masivo” a organismos públicos que la Agencia Nacional de Ciberseguridad terminó atribuyendo a un robo de credenciales. La explicación heroica casi siempre cede ante una más incómoda: muchas veces la puerta no se forzó, alguien usó una llave legítima.
Schneier resumió hace años por qué: los profesionales atacan personas, no sistemas. Para un atacante es mucho más eficiente conseguir una contraseña válida que vulnerar una infraestructura. Una vez dentro, la actividad parece normal: el sistema reconoce al usuario, los controles confían en la identidad y las alertas tardan. La intrusión deja de parecer intrusión porque opera con la apariencia de una conducta autorizada.
Esto obliga a mover el foco. Durante una década invertimos en proteger el perímetro —detección, monitoreo, prevención—, y todo eso sigue siendo necesario. Pero el crecimiento sostenido de los ataques basados en credenciales muestra que el activo más valioso ya no es solo la infraestructura: son las identidades autorizadas para usarla. El Data Breach Investigations Report 2025 de Verizon lo registra con insistencia, ubicando las credenciales comprometidas y el factor humano en cerca del 60% de los incidentes.
El problema se agrava porque muchas organizaciones administran identidades con lógicas heredadas: los permisos se acumulan, el cambio de cargo no gatilla una revisión completa y la desvinculación no contempla la velocidad con que deberían revocarse ciertos accesos. A ello se suma la trampa silenciosa de transformar la confianza en sustituto del control. Conviene recordar el límite: gobernar identidades no habilita a vigilar al trabajador fuera del marco del artículo 154 del Código del Trabajo y del Dictamen 260/19 de la Dirección del Trabajo.
Hay cierta ironía en todo esto. Durante años levantamos muros contra el de afuera, y hoy descubrimos que el problema empieza cuando alguien entra con una llave legítima y nadie nota que ya está del otro lado. La pregunta para el directorio dejó de ser cuánto invierte en tecnología. Es si sabe quién tiene las llaves, y cuándo cambió la última cerradura.
*Juan Pablo López
Director Ciberlegal
