18 de agosto de 2026
Las empresas llevan años reforzando la «puerta de entrada» con métodos como el inicio de sesión único (SSO), la autenticación multifactorial (MFA), las claves de acceso y el modelo «Zero Trust». Sin embargo, todo programa de identidades sigue necesitando una vía de recuperación. Cuando un usuario pierde un dispositivo o se queda sin acceso, la organización tiene que decidir si restablecer la autenticación multifactorial, emitir nuevas credenciales o vincular un nuevo dispositivo.
Curiosamente, la recuperación de cuentas es quizás el área más peligrosa de la superficie de ataque, pero rara vez recibe el mismo nivel de atención. Los atacantes no siempre necesitan burlar la autenticación multifactorial (MFA) directamente cuando pueden convencer a un servicio de asistencia técnica o a un proceso de recuperación para que la eludan.
Si la recuperación depende de hechos conocidos, códigos compartibles o el criterio de un agente, en realidad consiste en verificar lo que alguien tiene o sabe , y no si la persona correcta está realmente presente.
Cómo funciona realmente la recuperación de cuentas hoy en día
Antes de analizar cómo se pone en peligro la recuperación, conviene precisar cómo la gestionan realmente la mayoría de las organizaciones.
En una empresa típica, un empleado al que se le ha denegado el acceso tiene dos formas de volver a entrar.
Restablecimiento de contraseña por autoservicio (SSPR): un empleado confirma algo que sabe o algo que posee: preguntas de seguridad, un número de identificación de empleado o un código de acceso de un solo uso enviado a un número registrado o a un correo electrónico de respaldo. El sistema restablece la credencial o registra un nuevo dispositivo.
Servicio de asistencia técnica: La vía asistida suele consistir en una llamada telefónica al servicio de asistencia informática. A menudo se recurre a ella cuando el empleado ha perdido el dispositivo o el autenticador del que depende el SSPR. El agente formula una breve serie de preguntas de verificación, normalmente basadas en los registros de RR. HH., y a continuación realiza el restablecimiento manualmente. En el caso de las cuentas con privilegios, puede haber un paso de aprobación. A menudo no lo hay. Estos datos pueden ser interceptados, haberse obtenido en una filtración de información o haber sido extraídos previamente del objetivo. Esa es la brecha que resulta tan peligrosa.
En definitiva, ninguna de las dos vías verifica a la persona. Ambas verifican datos sobre la persona. Esta distinción es importante, porque los casos que el SSPR no puede gestionar son precisamente aquellos en los que hay más en juego y en los que los controles son más débiles.
La recuperación a través del servicio de asistencia técnica se ha convertido en una vía de filtración comprobada
Esto no es una cuestión teórica. Sabemos que la ingeniería social puede eludir los controles de identidad más rigurosos al centrarse en los flujos de trabajo de asistencia y recuperación, y que la recuperación a través del servicio de asistencia técnica es el método de acceso documentado en algunas de las intrusiones más perjudiciales de los últimos dos años.
De hecho, Gartner describe la recuperación de cuentas debido a contraseñas olvidadas o credenciales perdidas como «la parte más arriesgada del ciclo de vida de la gestión de identidades».
Scattered Spider lo utilizó en MGM, y de nuevo en los ataques de 2025 contra M&S, Co-op y Qantas. En MGM, bastó con una sola llamada telefónica de diez minutos para burlar un sistema de seguridad valorado en varios millones de dólares. Tras los incidentes en el sector minorista del Reino Unido, el NCSC instó específicamente a las organizaciones a revisar los procesos de restablecimiento de contraseñas del servicio de asistencia técnica, incluyendo cómo se autentica al personal antes de los restablecimientos, especialmente en el caso de cuentas con privilegios elevados.
La magnitud del caso está documentada. Una denuncia del Departamento de Justicia de EE. UU., hecha pública en septiembre de 2025, alegaba al menos 120 intrusiones en redes que afectaban a 47 entidades estadounidenses, cuyas víctimas que pagaron al menos 115 millones de dólares en rescates. Los fiscales describieron un método recurrente en casi todos los casos: llamar al servicio de asistencia técnica, solicitar un restablecimiento de contraseña, hacerse con el control de una cuenta de administrador y, a continuación, utilizar ese acceso para sustraer datos.
La cuestión no es que los agentes sean descuidados, sino que el proceso les obliga a tomar una decisión de gran importancia sobre la identidad basándose en señales que los atacantes pueden falsificar fácilmente a gran escala. La recuperación de una cuenta no debería depender de que alguien decida si una solicitud parece legítima; debería exigir una prueba de presencia real.
Avances en la generación de texto mediante IA y clonación de voz facilitan la realización de estas llamadas. Un atacante que llama al servicio de asistencia técnica haciéndose pasar por un empleado que no puede acceder a su cuenta ahora puede sonar como ese empleado, lo que elimina uno de los pocos controles instintivos con los que contaba un agente. Pero el ataque no depende de ello. Un atacante bien preparado puede utilizar datos filtrados, información de LinkedIn, terminología interna y una historia convincente. Bajo presión, se le pide al agente que «simplemente restablezca la autenticación de dos factores» o que «me ayude a volver a acceder a mi cuenta».
El FBI y la CISA han documentado el paso más importante. Los atacantes no se limitaron a restablecer las contraseñas. También restablecieron los tokens de autenticación multifactorial (MFA) y, a continuación, registraron sus propios dispositivos de autenticación. El restablecimiento no les proporcionó un acceso temporal, sino que los convirtió en usuarios de confianza.
Por qué fallan los controles de recuperación heredados
La mayoría de las estrategias de recuperación se basan en dos tipos de factores poco sólidos.
- Los factores de conocimiento, como las preguntas de seguridad, los números de identificación de los empleados, los nombres de los responsables o las fechas de nacimiento, solo son secretos hasta que se produce la última filtración o se realiza una búsqueda en LinkedIn. Demuestran el conocimiento de algo, pero no una identidad verificada.
- Los factores de posesión, como los códigos de acceso de un solo uso (OTP) recibidos por SMS, las aplicaciones de autenticación o los dispositivos de respaldo, pueden compartirse, son susceptibles de suplantación de identidad y, a menudo, no están disponibles justo en el momento en que se necesita la recuperación. Si el usuario ha perdido el dispositivo, un control vinculado al dispositivo no puede ser la única forma de recuperar el acceso. Los OTP pueden seguir siendo útiles en el proceso de recuperación, pero no deben considerarse una prueba de identidad.
Las claves de acceso y los datos biométricos nativos del dispositivo son más seguros que las contraseñas, pero no resuelven todos los casos extremos del ciclo de vida. Las claves de acceso siguen necesitando recuperación y reinscripción cuando se cambia de dispositivo. Face ID y otros sistemas biométricos locales similares autorizan el uso de un dispositivo; por sí solos, no vuelven a demostrar a la organización que el titular de la cuenta es la persona real que ahora solicita la recuperación.
La solución: volver a verificar a la persona, no la credencial
La recuperación debe verificarse, como mínimo, con el mismo nivel de exigencia que el inicio de sesión al que sustituye. En lugar de preguntarse: «¿Sabe esta persona lo suficiente como para parecer legítima?», la organización debería preguntarse: «¿Se encuentra aquí, en este momento, la persona correcta y real?».
Para ello se necesita un sistema robusto detección de vida, que confirme que un rostro presentado durante una comprobación pertenece a una persona real que se encuentra físicamente presente en ese momento, y no a una foto, una grabación o un medio sintético.
No todas las soluciones son iguales, y la diferencia cobra importancia en el momento de la evaluación, más que aquí. Algunos sistemas solo se someten a pruebas contra ataques captados por una cámara. Son menos los que se someten a pruebas contra ataques introducidos directamente en el software, sin pasar por la cámara. Si llegas a la fase de comparar proveedores, esa es la pregunta que debes plantear: ¿contra qué tipos de ataques se ha se ha probado de forma independiente y quién las ha realizado?
En el proceso de recuperación, esto cambia el procedimiento. El usuario confirma sus datos de contacto, escanea un documento de identidad si es necesario, realiza un escaneo facial con verificación de vida y, solo entonces, restablece sus credenciales o vuelve a vincular un dispositivo.
Y dado que la verificación genera un registro de una persona identificada, en lugar de una respuesta correcta a una pregunta, el restablecimiento deja tras de sí las pruebas que el proceso anterior nunca generó.
La recuperación biométrica basada en la nube puede ejecutarse tanto en un dispositivo nuevo como en uno antiguo, por lo que el teléfono perdido no se convierte en el único punto de fallo. Además, libera al servicio de asistencia técnica de la decisión más arriesgada, reduce el número de incidencias relacionadas con el restablecimiento y proporciona a los equipos de seguridad un registro de auditoría más claro desde el momento en que se vuelve a vincular el dispositivo.
¿Qué debe demostrar un buen proceso de recuperación de cuentas?
Los responsables de seguridad no necesitan otra solución de reserva poco fiable. Necesitan un plan de recuperación que responda a estas preguntas:
- ¿Se vuelve a verificar la identidad de la persona o simplemente se vuelve a comprobar una credencial?
- ¿Funciona si el usuario ya no tiene su dispositivo original?
- ¿Se guarda un registro de quiénes han sido verificados, y no solo de que se ha seguido el proceso?
- ¿Se ha sometido su capacidad de funcionamiento a pruebas independientes y, en tal caso, con qué criterios se han comparado los resultados?
- ¿Se adapta al ritmo de las amenazas emergentes, las nuevas técnicas de ingeniería social y las tácticas de suplantación de identidad?
Si la respuesta es no, el proceso de recuperación podría ser más fácil de piratear que el inicio de sesión que se supone que debe proteger.
La recuperación de cuentas ya no es un simple inconveniente administrativo. Es el punto en el que los sistemas de identidad más sólidos fallan si no se vuelve a verificar a la persona. Las organizaciones que se están adelantando a esta tendencia están pasando de preguntar «¿qué sabes?» y «¿qué tienes?» a preguntar «¿puedes demostrar que eres la persona correcta y real?».
Mira la sesión completa
Este artículo se basa en nuestra sesión sobre deepfakes en el ámbito laboral, que incluye demostraciones en directo y aborda el contexto más amplio del ciclo de vida de la identidad, desde la contratación a distancia hasta las reuniones y las acciones de alto riesgo del personal.
Ver «Stranger Things» en el lugar de trabajo: cómo proteger a tu organización contra el «Upside Down» de los deepfakesy, a continuación, descubre cómo iProov Workforce Solution Suite garantiza la recuperación de cuentas y la reasignación de dispositivos, los momentos en los que los controles basados en credenciales son más débiles.
