La información que circula en foros clandestinos dejó de ser un problema abstracto para las organizaciones peruanas. Durante lo que va del año se identificaron más de 114,000 registros de credenciales filtradas asociadas a usuarios del país, según cifras difundidas por el diario Gestión. Nombres de usuario y contraseñas expuestas se han convertido en el insumo básico que permite a los atacantes ingresar a sistemas corporativos y estatales sin necesidad de explotar una vulnerabilidad técnica compleja.
Un mercado activo de datos peruanos en la dark web
El comercio de información sustraída opera con lógica de mercado. Además de las credenciales, en el mismo periodo se detectaron más de 23,000 registros de tarjetas de crédito peruanas puestas a la venta en la dark web, de acuerdo con la información publicada por Gestión. Esos registros habilitan fraude financiero, suplantación de identidad y apropiación de cuentas.
La distribución de este material no se limita a la red profunda. Foros especializados, canales de Telegram y grupos privados de mensajería funcionan como puntos de intercambio donde los lotes de datos se ofrecen, se validan y se revenden. Una credencial filtrada hace dos años puede seguir siendo funcional si la contraseña nunca se rotó o si el mismo par de usuario y clave se reutilizó en otro servicio.
Por qué las credenciales robadas superan a otros vectores de ataque
Más del 90% de los ataques efectivos se ejecutan a partir de credenciales robadas, según lo consignado por Gestión. La cifra explica un cambio de fondo en la manera de operar de los atacantes: resulta más económico comprar un acceso válido que desarrollar un exploit contra un sistema parchado.
Desde la perspectiva de los controles internos, este vector es especialmente difícil de detectar. Un inicio de sesión con credenciales legítimas no genera las alertas que sí produciría un intento de intrusión por fuerza bruta o la explotación de una falla conocida. El atacante entra como un usuario más y su actividad inicial se confunde con el tráfico normal de la organización.
Los infostealers alimentan buena parte de este flujo. Se trata de programas maliciosos que extraen credenciales guardadas en navegadores, tokens de sesión y cookies de autenticación desde equipos comprometidos, muchas veces dispositivos personales que el usuario también emplea para acceder a recursos laborales.
El sector público concentra la mayor proporción de incidentes graves
El análisis global de incidentes de alta gravedad registrados durante 2025, citado por Gestión, ubica a los organismos gubernamentales como los más afectados con el 19% del total. Detrás se ubicaron la industria con 17% y el sector tecnológico con 15%.
Para el contexto peruano, esa concentración tiene consecuencias directas. Entidades que administran padrones ciudadanos, historiales médicos, registros tributarios o procesos electorales custodian información cuya exposición afecta a millones de personas y cuya interrupción compromete servicios esenciales. Los rubros de servicios públicos, minería, energía y telecomunicaciones presentan una sensibilidad particular por su incidencia sobre actividades críticas.
En noviembre del año pasado, la Secretaría de Gobierno y Transformación Digital de la Presidencia del Consejo de Ministros firmó un memorando de entendimiento con la Dirección Nacional Cibernética del Estado de Israel, un acuerdo orientado a fortalecer capacidades de defensa digital en el aparato estatal peruano.
Del acceso inicial al cifrado: cómo avanza un ataque
El uso de credenciales robadas rara vez constituye el objetivo final. Funciona como punto de entrada dentro de una secuencia más larga que suele desarrollarse a lo largo de semanas.
Tras el acceso inicial, el atacante realiza reconocimiento interno para mapear la red, identificar servidores de archivos y localizar los sistemas de respaldo. Luego busca escalar privilegios, con frecuencia mediante credenciales adicionales encontradas en el propio entorno comprometido. El movimiento lateral le permite alcanzar sistemas de mayor valor. En muchos casos la información se extrae antes de cualquier cifrado, de modo que la organización enfrenta simultáneamente una extorsión por el rescate y la amenaza de publicación de los datos sustraídos.
El cifrado, que es el momento en que la mayoría de las organizaciones descubre el incidente, ocurre al final de esa cadena. Para entonces el atacante ya conoce la infraestructura mejor que muchos de sus administradores.
Señales de que una organización ya tiene credenciales expuestas
Existen indicios que anteceden a un incidente y que suelen pasar inadvertidos. Los inicios de sesión exitosos desde ubicaciones geográficas inusuales o en horarios fuera de la jornada laboral merecen revisión. También la aparición de cuentas de servicio con actividad reciente pese a estar en desuso, y los intentos de autenticación sobre cuentas de exempleados que nunca fueron dadas de baja.
Un patrón frecuente es el aumento de intentos fallidos de acceso concentrados en pocos usuarios, señal de que alguien está validando un lote de credenciales adquirido. Del mismo modo, la desactivación silenciosa de herramientas de seguridad en un endpoint específico suele indicar que el atacante ya obtuvo privilegios administrativos sobre ese equipo.
Medidas de control que reducen la exposición
La autenticación multifactor sigue siendo el control más eficaz frente a este vector, porque invalida el uso de una contraseña aislada. Su implementación debe alcanzar accesos remotos, correo corporativo, paneles administrativos y VPN, no solo las aplicaciones de cara al usuario.
La rotación periódica de contraseñas críticas y la eliminación inmediata de accesos de personal que deja la organización cierran vías de entrada que permanecen abiertas por inercia administrativa. La segmentación de red limita el movimiento lateral, de manera que una cuenta comprometida en un área no otorgue visibilidad sobre toda la infraestructura.
Los respaldos requieren un tratamiento específico: deben mantenerse aislados de la red principal y probarse con regularidad, porque un backup que nunca se restauró en un ejercicio controlado no ofrece garantía alguna al momento de necesitarlo. La protección de endpoints con capacidad de detección de comportamiento anómalo complementa estas medidas al identificar actividad sospechosa aun cuando el acceso se haya producido con credenciales válidas.
Obligaciones bajo la Ley 29733 ante una filtración
La Ley de Protección de Datos Personales establece que las organizaciones que tratan datos de terceros deben adoptar medidas técnicas y organizativas apropiadas para garantizar su seguridad. Una filtración de credenciales que derive en la exposición de datos personales activa responsabilidades frente a la Autoridad Nacional de Protección de Datos Personales.
La fiscalización en esta materia se ha intensificado y las sanciones consideran tanto la gravedad de la afectación como la diligencia previa de la entidad. Documentar los controles implementados, las evaluaciones de riesgo realizadas y los procedimientos de respuesta ante incidentes constituye un elemento relevante en cualquier procedimiento administrativo.
El monitoreo continuo como práctica sostenida
La verificación periódica de si las credenciales corporativas aparecen en filtraciones conocidas permite anticiparse. Este monitoreo tiene sentido cuando se traduce en acción concreta: al detectar una exposición, corresponde forzar el cambio de contraseña, revisar la actividad reciente de esa cuenta y evaluar si se produjo algún acceso no autorizado.
Un incidente de seguridad no se resuelve con una única medida ni con una inversión puntual. La revisión de accesos, la actualización de sistemas y la capacitación del personal en el reconocimiento de intentos de phishing conforman un trabajo continuo, y su ausencia es precisamente lo que convierte una credencial filtrada en una interrupción operativa completa.
Conclusión
Las credenciales filtradas son hoy el vector de entrada dominante porque son baratas, difíciles de detectar y funcionan mientras la organización no las invalide activamente. Más de 114,000 registros peruanos en circulación no son una estadística abstracta: representan puertas abiertas en sistemas reales. La autenticación multifactor, la gestión de accesos y la segmentación de red son los controles que cierran esas puertas antes de que un atacante las cruce.
Complementar esas medidas con filtrado del correo entrante, donde comienzan la mayoría de las campañas que distribuyen infostealers, y revisar los descuidos de seguridad más frecuentes en organizaciones similares a la suya reduce considerablemente la superficie expuesta sin requerir grandes inversiones de infraestructura.
