Escalada de privilegios: el riesgo invisible que compromete tu estrategia IAM 

La escalada de privilegios puede ocurrir de muchas formas, pero todas convergen en un punto: utilizar una cuenta de bajo privilegio que, comprometida, permite a un atacante cruzar límites que nunca deberían poderse cruzar.

Los datos del Microsoft Vulnerabilities Report 2026 son claros sobre el alcance de este tipo de ataque: la categoría escalada de privilegios representó el 40% de las vulnerabilidades estudiadas. A esto se suma el riesgo de las identidades no humanas, un 97% de las cuales cuenta con privilegios excesivos (una de las vías de entrada más claras para la escalada de privilegios), según NHIMG.

Políticas de identidad que no se siguen, falta de control en gestión de accesos e identidades, privilegios que existen “por defecto”… La raíz de este tipo de ataques suele apuntar directamente a una arquitectura IAM inadecuada y, por ello, incapaz de frenar una escalada de privilegios. Frente a esto, la arquitectura IAM bien planteada es capaz de alzarse como barrera para neutralizar este tipo de ataque. Lo abordamos a continuación.

¿Qué es la escalada de privilegio?

La escalada de privilegio ocurre cuando una identidad (humana o no humana) obtiene acceso más allá de lo que su rol debería permitir. Desde el punto de vista del atacante, este tipo de incidente comienza al comprometer una cuenta y, desde ahí, cruzar límites (“escalar”) hacia otras cuentas hasta conseguir su objetivo (por ejemplo, acceder a recursos críticos). 

 

Un movimiento que puede ser horizontal (el atacante se infiltra en cuentas con permisos de niveles similares) o vertical (va accediendo progresivamente a cuentas con mayores privilegios).

¿Cómo se produce la escalada de privilegios?

El proceso comienza cuando un atacante compromete una identidad. Aquí las técnicas son múltiples y pueden ser más o menos sofisticadas. Por ejemplo, un informe del FBI y la agencia de ciberseguridad en EEUU sobre las técnicas del grupo Scattered Spider menciona el uso de suplantación de identidad del personal de TI, técnicas de robo de credenciales como fatiga de MFA o extorsión mediante ransomware, entre otras.

 

Tras la entrada inicial, el atacante evalúa qué puede hacer con los permisos de la cuenta comprometida y trata utilizarlos para conseguir acceso a los recursos que desea. Para ello, se sirve de:

• Cuentas mal configuradas. Cuentas con secretos sin encriptar, con configuraciones por defecto demasiado amplias, permisos IAM mal definidos, backdoors sin documentar… Fallos en configuración que, en última instancia, permiten que los usuarios puedan realizar acciones o tener acceso a funciones que no deberían. 

• Permisos excesivos. Usuarios que cuentan con privilegios innecesarios y excesivos para las tareas que deben realizar, saltándose el principio del mínimo privilegio. 
• Rutas indirectas. Combinaciones de permisos, grupos o accesos que, aunque por separado parecen inofensivos, pueden abrir caminos hacia recursos críticos y facilitar una escalada de privilegios sin que exista un permiso directo evidente.

 

Técnicas de escalada de privilegios que, en última instancia, sirven para explotar arquitecturas deficientes en un ecosistema digital: las políticas de acceso que no se han auditado, los privilegios que no se necesitan pero que permanecen por defecto… todas ellas puertas abiertas que los atacantes encuentran y aprovechan.

Arquitectura IAM bien construida para detectar y detener la escalada de privilegios

Detener una escalada de privilegios implica actuaciones a muchos niveles, desde la gestión de actualizaciones y parches en software hasta la protección de endpoints. Y en el centro de estas actuaciones se encuentra la arquitectura IAM no como una capa más, sino como el punto de control central desde el que organizar la defensa.

Una arquitectura IAM bien planteada aporta una visión centralizada de las identidades en un ecosistema y es  capaz de aplicar las mejores prácticas para cerrar la puerta a los atacantes, incluyendo:

• Principio del Mínimo Privilegio (Principle of Least Privilege  o PoLP) en todas las identidades.
• Autenticación multi-factor en los accesos.
• Protección en tiempo real ante intentos de phishing, ataques de fuerza bruta, secuestro de cuentas (ATO) o uso indebido de credenciales.
• Capacidad para identidades internas, externas e identidades no humanas.
• Políticas basadas en riesgo, identidad y comportamiento para asegurar que cada usuario accede solo a lo que necesita.
• Sistemas de monitorización de actividad para detectar patrones sospechosos.

En este contexto, las soluciones Soffid AM para centralizar la gestión de accesos, Soffid PAM para blindar cuentas privilegiadas y Soffid ITDR para monitorización y respuesta proponen un ecosistema de gestión de identidades capaz de frenar la escalada de privilegios.

¿Quieres saber cómo? Ponte en contacto con nosotros para contarnos cómo es tu entorno y hablar sobre cómo podemos ayudarte a diseñar un ecosistema de identidades a prueba de escaladas de privilegios.