Al revisar los incidentes de seguridad publicados en octubre de 2026 aparece un patrón que se repite: los atacantes no rompieron nada nuevo. Usaron llaves que alguien olvidó cerrar.
Los casos
- Zeabur, plataforma en la nube: los atacantes usaron credenciales internas filtradas. Algunas seguían válidas porque no se rotaron por completo después de un incidente anterior, en agosto.
- LiteLLM, software de inteligencia artificial: una clave maestra se subió por error a un repositorio público en mayo y nunca se revocó. En octubre, el atacante la usó para obtener un token privilegiado de GitHub y alterar el proceso de publicación del software.
- ConnectWise Cloud Backup: actividad sospechosa con credenciales de aplicaciones que se usan en entornos de Microsoft 365. El servicio se suspendió y las credenciales se restablecieron días después.
- Campaña "Gheist": abuso de tokens de acceso a GitHub robados en más de 850 cuentas para extraer secretos de procesos automatizados.
La lección para una empresa mediana
Usted probablemente no publica software, pero sí tiene llaves parecidas: cuentas de servicio en Active Directory, aplicaciones registradas en Microsoft 365 con permisos amplios, contraseñas compartidas con proveedores y accesos remotos que se dieron "solo por esta vez".
Qué hacer
- Haga un inventario de cuentas de servicio y aplicaciones con permisos en Microsoft 365, y retire las que nadie usa.
- Después de cualquier incidente, cambie todas las credenciales relacionadas, no solo las que sabe que se usaron.
- Revise qué proveedores tienen acceso a su red o a su nube y con qué permisos.
- Nunca guarde contraseñas ni claves en documentos, correos o repositorios.