Los ataques cibernéticos han evolucionado significativamente con el cambio hacia modelos basados en SaaS. Antes, los atacantes seguían una metodología consistente: comprometían un endpoint mediante un exploit, malware o ingeniería social para que un usuario ejecutara algo; luego se movían lateralmente dentro de la red y comprometían identidades privilegiadas, repitiendo la operación hasta lograr el ataque deseado.
La SaaSización como factor de cambio
Con la «SaaSización» de la TI empresarial, los sistemas centrales del negocio ya no se implementan localmente ni se gestionan centralmente. Ahora se accede a ellos mediante un navegador web. Bajo el modelo de responsabilidad compartida, la parte que le corresponde a la empresa que consume un servicio SaaS se limita principalmente a la gestión de las identidades, el vehículo mediante el cual los empleados acceden y utilizan la aplicación.
El navegador como punto débil
Esto se ha convertido en el punto débil de los atacantes. Lo hemos visto repetidamente en las mayores brechas de seguridad de los últimos años, entre las que destacan la campaña Snowflake de 2024 y la ola de delitos de 2025 atribuida a Scattered Spider. Estos ataques tienen éxito porque, aunque los atacantes se han adaptado a los cambios en la TI empresarial, la seguridad no ha seguido el ritmo.
El navegador como nuevo endpoint
El navegador es el nuevo campo de batalla y un punto ciego de seguridad. El robo de identidades de los empleados es el primer objetivo de los atacantes que buscan atacar a una organización, y el navegador es el lugar donde se producen los ataques contra los usuarios. Esto se debe a que es donde se crean y utilizan estas identidades digitales, y donde residen sus credenciales y sesiones.
Técnicas de ataque
Las credenciales robadas pueden usarse como parte de ataques dirigidos o en un robo de credenciales más amplio. Los tokens de sesión robados pueden usarse para iniciar sesión directamente en una sesión activa, omitiendo el proceso de autenticación.
Ataques en el navegador vs. contra el navegador
Hay que distinguir entre los ataques que ocurren en el navegador y los que se producen contra el propio navegador. Existe un consenso creciente de que el navegador es el nuevo endpoint, pero la analogía no es perfecta: la realidad es que los navegadores web tienen una superficie de ataque relativamente limitada en comparación con la complejidad del endpoint tradicional.
Phishing como arma predilecta
La técnica que sigue provocando las filtraciones de identidad más impactantes es el phishing. Phishing para obtener credenciales, sesiones, consentimiento de OAuth, códigos de autorización. Phishing por correo electrónico, mensajería instantánea, redes sociales, anuncios maliciosos de Google… todo ocurre en el navegador o conduce a él.
Las identidades son el blanco más fácil
El objetivo del atacante moderno, y la forma más sencilla de acceder al entorno digital de la empresa, es comprometer las identidades. Ya sea que se trate de ataques de phishing, extensiones de navegador maliciosas o malware para robar información, el objetivo sigue siendo el mismo: el robo de cuentas.
Superficie de ataque vulnerable
Las organizaciones se enfrentan a una amplia y vulnerable superficie de ataque compuesta por cientos de aplicaciones con miles de cuentas distribuidas en todo el ecosistema de aplicaciones. Cuentas vulnerables a kits de phishing que omiten la autenticación multifactor (MFA), ya sea porque utilizan un método de inicio de sesión no resistente al phishing o porque este método puede degradarse.
La solución: el navegador como fuente de telemetría
Dado que los ataques de identidad se producen en el navegador, es el lugar perfecto para que los equipos de seguridad los observen, intercepten y detengan. El navegador ofrece varias ventajas sobre los diferentes lugares donde se puede observar y proteger la identidad.