[Guía] Cómo investigar una intrusión centrada en la identidad según Unit 42

El 7 de agosto de 2026, Unit 42 afirmó que las debilidades de identidad desempeñaron un papel en casi el 90 % de los incidentes que investigó. Su informe de 2026 atribuye además el 65 % de la actividad de acceso inicial a técnicas basadas en la identidad.

Las cifras no significan que todos los incidentes comiencen con una contraseña robada ni que la identidad explique por sí sola todo el ataque. Sí justifican un cambio en el triaje: un inicio de sesión inusual, una solicitud de autenticación o una interacción con el servicio de soporte deben revisarse junto con la actividad que aparece después.

Empieza por la vía de acceso

Unit 42 incluye el robo de credenciales, la manipulación de la autenticación multifactor, el secuestro de sesiones y la ingeniería social entre las técnicas de acceso inicial basadas en la identidad. Sus investigaciones recientes también contemplan el phishing, las llamadas de ingeniería social, los ataques de fatiga de MFA, las cuentas de terceros comprometidas y el abuso de los procedimientos del servicio de soporte.

La primera pregunta es concreta: ¿qué identidad o proceso de soporte proporcionó al atacante un punto de apoyo? Reúne alrededor de ella los inicios de sesión sospechosos, las solicitudes de autenticación, la actividad del servicio de soporte, el acceso de terceros y los avisos de phishing o contacto mediante ingeniería social.

El objetivo no es convertir cada evento inusual en una brecha. Consiste en evitar que señales relacionadas se juzguen por separado cuando varias pueden describir una misma intrusión. Si la vía de acceso todavía no está clara, registra esa incertidumbre desde el principio. Un evento de identidad sospechoso no demuestra por sí solo que después hubiera persistencia, escalada de privilegios o movimiento lateral.

Sigue lo que ocurre después del acceso

Unit 42 describe una progresión que puede continuar con el establecimiento de persistencia, la elevación de privilegios y el desplazamiento lateral por varios entornos. Esa secuencia ofrece un orden práctico para revisar la evidencia:

1. Identifica el primer evento de acceso creíble. Anota si la vía sospechada implicó credenciales, manipulación de MFA, una sesión secuestrada, una cuenta de terceros o un procedimiento del servicio de soporte.
2. Comprueba los cambios posteriores de identidad. Busca señales de que el acceso se amplió o se volvió más difícil de revocar, sobre todo cuando también aparecen indicios de persistencia o escalada de privilegios.
3. Mapea todos los entornos afectados. Unit 42 informa de que el 87 % de los incidentes de su informe de 2026 se extendieron por varias superficies de ataque. Limitar la revisión a un solo entorno puede ocultar parte de la progresión.
4. Relaciona la actividad con el objetivo probable. Unit 42 vincula los compromisos de identidad con el despliegue de ransomware, el robo de datos, el fraude financiero y la persistencia a largo plazo. El objetivo sospechado ayuda a decidir qué actividad posterior requiere atención más rápida.
5. Revisa de nuevo las señales de baja prioridad. Según Unit 42, la actividad maliciosa puede estar presente en los controles de seguridad de una organización y parecer poco importante cuando se analiza de forma aislada, sin correlación automatizada.

Este orden mantiene separadas la evidencia y la interpretación. La vía de acceso puede estar confirmada mientras el objetivo del atacante sigue siendo incierto; del mismo modo, un cambio de privilegios visible no demuestra que todos los movimientos sospechosos pertenezcan a la misma intrusión. Vincula cada conclusión con la evidencia que la sostiene.

Construye una línea temporal entre entornos

Los analistas de Unit 42 utilizan la plataforma Cortex SecOps para reunir la telemetría de seguridad en una única vista de investigación. La aplicación general es más importante que la herramienta concreta: cuando un incidente cruza varias superficies, la identidad, la autenticación y el resto de las señales deben examinarse juntas.

Con los controles disponibles, crea una línea temporal para la cuenta, la sesión o la interacción de soporte sospechosa. Añade los eventos relacionados de cada entorno afectado y coloca en la misma secuencia el acceso inicial, los cambios de identidad, la actividad de privilegios y el movimiento.

El resultado que debes comprobar es que la línea temporal explique cómo se conecta el acceso con la actividad posterior. Si no puede hacerlo, la investigación sigue incompleta. Eso no confirma un compromiso, pero tampoco permite cerrar el caso con la información reunida.

La automatización puede mejorar la correlación, pero no sustituye el criterio del analista. Una secuencia conectada aporta más que una colección extensa de alertas sin relación. Si la evidencia admite varias explicaciones, conserva esa incertidumbre y no declares completa una ruta de ataque hasta conectar sus distintas etapas.

Incluye soporte, usuarios y terceros

Unit 42 cita a Muddled Libra, también conocido como Scattered Spider, como ejemplo de un grupo que utiliza la ingeniería social y el abuso de identidad. Por eso, una investigación no debe limitarse a los registros técnicos de autenticación.

Las llamadas, los mensajes de phishing, las solicitudes de MFA, las cuentas de terceros y las interacciones con el servicio de soporte pueden formar parte de la entrada a un entorno. Cuando uno de esos canales aparece en la evidencia, revísalo junto con la actividad de la cuenta en lugar de tratarlo automáticamente como un incidente separado.

Este paso resulta especialmente útil cuando el acceso original parece normal por sí solo. El compromiso puede depender de la interacción entre una persona, un procedimiento de soporte y un control de identidad. Esa relación también puede explicar por qué un inicio de sesión o una solicitud de restablecimiento no parecía significativo al principio.

Cuándo escalar la investigación

Escala cuando la evidencia muestre una progresión conectada: una vía de acceso inicial seguida de persistencia, escalada de privilegios o movimiento entre entornos. También procede hacerlo cuando la actividad afecta a varias superficies de ataque o coincide con un objetivo que Unit 42 asocia al compromiso de identidad, como el despliegue de ransomware, el robo de datos, el fraude financiero o la persistencia a largo plazo.

Unit 42 afirma que su equipo de Detección y Respuesta Gestionadas investiga continuamente la actividad sospechosa, mientras sus cazadores de amenazas buscan de forma proactiva indicadores de compromiso de identidad que todavía no hayan activado una alerta. Las organizaciones sin ese nivel de cobertura continua deben interpretar la ausencia de una alerta como ausencia de confirmación, no como prueba de que no existe compromiso.

La siguiente acción depende del estado de la evidencia. Trata una cadena confirmada como un incidente conectado. Si hay una brecha entre el acceso y la actividad posterior, amplía la correlación y revisa los entornos relevantes. Una anomalía aislada debe seguir etiquetada como sospechosa hasta que nuevas evidencias cambien su estado.

Qué cambia en el triaje diario

Los hallazgos de Unit 42 respaldan una regla de trabajo clara: investiga el evento de identidad, relaciónalo con la telemetría circundante y comprueba qué cambió entre los entornos antes de cerrar el caso.

Las cifras no establecen que todas las organizaciones afronten la misma vía de acceso ni demuestran que los controles de identidad puedan sustituir una supervisión de seguridad más amplia. El compromiso práctico es otro: los equipos deben correlacionar más evidencias y conservar la incertidumbre cuando la información esté incompleta.

Empieza por la vía de acceso, sigue los cambios de identidad y de entorno, comprueba el objetivo probable y vuelve después a las alertas que parecían poco importantes por separado. Esa secuencia ayuda a decidir qué señales explican cómo comenzó una intrusión y cuáles muestran hacia dónde se dirigió.