El robo de credenciales, arma favorita de los ciberdelincuentes en 2025, según un informe de Kaspersky
El robo y abuso de credenciales volvió a situarse entre las principales vías de acceso utilizadas por los ciberdelincuentes durante 2025. Así lo refleja el informe 'Anatomy of a Cyber World', elaborado por Kaspersky, que identifica el descifrado de contraseñas, la creación de cuentas locales y el uso de cuentas comprometidas como los comportamientos con mayor probabilidad de desembocar en un incidente de seguridad confirmado.
Según el informe, una parte significativa de las técnicas de ciberataque más monitorizadas está relacionada con la gestión de identidades y credenciales.
El estudio se basa en datos recopilados durante 2025 a través de los servicios de Managed Detection and Response (MDR), Incident Response (IR), Compromise Assessment y SOC Consulting. El análisis examina las técnicas y escenarios de ataque detectados con mayor frecuencia, así como la probabilidad de que determinados indicadores de ataque deriven en incidentes reales.
Entre las técnicas analizadas, el descifrado de contraseñas encabeza la clasificación con una tasa del 34,8%. Según el informe, esta práctica sigue viéndose favorecida por el uso de contraseñas débiles o reutilizadas y mantiene una elevada presencia tanto en ataques reales como en ejercicios de evaluación de seguridad autorizados.
Muy cerca aparecen la creación de cuentas locales (34,7%) y el abuso de cuentas válidas (34,5%). En el primer caso, los atacantes crean nuevos usuarios para conservar el acceso al sistema una vez comprometido. En el segundo, recurren a credenciales robadas para operar con cuentas legítimas, una estrategia que dificulta su detección al confundirse con la actividad habitual de los usuarios.
El informe también identifica la manipulación de cuentas existentes (32%) como otra técnica habitual para consolidar la presencia dentro de una organización mediante la activación de cuentas deshabilitadas, la modificación de permisos o la elevación de privilegios. A ello se suma el reconocimiento de servicios de red (31,2%), una fase previa que permite localizar sistemas accesibles antes de avanzar lateralmente por la infraestructura comprometida.
A partir de estos resultados, Kaspersky señala que los atacantes recurren cada vez con mayor frecuencia al uso de herramientas administrativas y credenciales legítimas en lugar de desplegar malware fácilmente identificable. Según la compañía, esta evolución obliga a priorizar la detección de comportamientos con mayor probabilidad de indicar actividad maliciosa y a correlacionar los distintos eventos registrados durante un ataque para reducir los falsos positivos.
