Adam ListekEl equipo rojo de Microsoft describe una debilidad que sigue explotando: “demasiado acceso permanente, aplicado con muy poco rigor”. La mayor parte de lo que el equipo explota en identidad, añade, “no tiene nada que ver con la IA”.
El Microsoft Digital Defense Report 2026 cubre de julio de 2025 a junio de 2026. En el conjunto de sus hallazgos, los atacantes usan cuentas válidas y herramientas de administración conocidas para llegar a más sistemas. Una identidad comprometida puede abrir una sesión remota, exponer otra credencial y ofrecer una vía hacia privilegios más altos.
Son problemas concretos para los equipos que gestionan el acceso privilegiado. Una contraseña puede seguir siendo útil después de que se cierre una ventana de mantenimiento. Una cuenta puede conservar derechos administrativos entre tareas. Una conexión remota puede dejar muy pocas pruebas para explicar qué ocurrió.
Los cinco hallazgos siguientes conectan esos problemas con controles concretos. Cada sección explica el hallazgo y el lugar de Devolutions hoy. La última sección trata el trabajo previsto para 2027.1.
1. El 52,2 % de las intrusiones con cuenta válida llevó a más robo de credenciales
En las observaciones de Microsoft Defender Experts, el 52,2 % de las intrusiones que empezaron con una cuenta válida incluyeron un robo posterior de credenciales. Una vez dentro, los atacantes recogieron más credenciales y las usaron para ampliar el acceso. Una cuenta que puede recuperar la contraseña de otro administrador da a un intruso otra forma de moverse por el entorno.
Las directivas de retirada de Devolutions PAM pueden exigir una aprobación, un motivo o un ticket, y una ventana de acceso definida. En Devolutions Cloud, la devolución restablece la contraseña de la cuenta privilegiada, de modo que la contraseña anterior deja de funcionar. La aprobación limita quién recibe el acceso; la rotación limita cuánto tiempo sigue siendo útil una contraseña copiada.
2. El phishing de URL AiTM supuso cerca del 45 % de las técnicas de phishing identificadas
El phishing de URL de tipo adversary-in-the-middle (AiTM) supuso cerca del 45 % de las técnicas de phishing identificadas en el gráfico de Microsoft. Microsoft también informa de que los ataques de contraseña bajaron un 26 % interanual, mientras que el phishing AiTM y el robo de tokens ganaron cuota en el primer semestre de 2026. El robo de sesión importa porque un atacante puede obtener acceso después de que el usuario legítimo haya completado las comprobaciones de inicio de sesión.
En Devolutions Cloud y Devolutions Server, Devolutions PAM puede exigir la autenticación multifactor (MFA) cuando se retira una cuenta privilegiada. Es una verificación distinta de la MFA en el inicio de sesión. El desafío de inicio de sesión de un proveedor de identidad externo no satisface automáticamente el requisito de la retirada. Los administradores deben configurar la MFA de la retirada como un control propio.
3. Cerca del 82 % de las ofertas de acceso anunciadas implicaban credenciales o portales de acceso remoto
Intel 471 siguió 2.591 ofertas de acceso anunciadas. Las credenciales de inicio de sesión comprometidas representaron el 45 %, y los portales corporativos de acceso remoto comprometidos, incluidos los dispositivos VPN, otro 37 %. Juntas, esas cuotas redondeadas suman cerca del 82 % de las ofertas. Una cuenta que funciona o una conexión remota vale lo bastante para venderse antes de que el siguiente atacante empiece el trabajo.
Para las sesiones de Remote Desktop Protocol (RDP), Devolutions Gateway puede intermediar la conexión e inyectar las credenciales a través de un proxy, de modo que la contraseña no llegue al equipo del usuario. Los usuarios externos pueden recibir el permiso Execute sin el permiso View password. Un contratista puede entonces usar la sesión configurada sin recibir la contraseña de la cuenta de destino.
4. Un agente RMM no autorizado es una señal fiable de intrusión en la fase intermedia
En sus investigaciones de endpoints, Microsoft comprobó que un agente no autorizado de supervisión y administración remotas (RMM) era una de las señales más fiables, en la fase intermedia, de una intrusión operada por personas. Estas herramientas dan a los atacantes funciones de comando remoto y de transferencia de archivos que también aparecen en el trabajo legítimo de administración. Los investigadores necesitan una forma de establecer quién autorizó el acceso y qué ocurrió durante la sesión.
Con Devolutions Cloud, Devolutions PAM y Gateway pueden grabar las sesiones RDP, ARD, VNC y SSH compatibles. Las directivas de retirada también pueden terminar las sesiones en la devolución. Junto al historial de retiradas, una grabación da a quienes revisan una prueba del trabajo realizado. Estos controles respaldan la supervisión del acceso aprobado; detectar un agente RMM no autorizado sigue exigiendo supervisión de endpoints y de seguridad.
5. Las detecciones de ransomware en el sector de TI pasaron de 248 a 649
La tabla de ransomware empresarial de Microsoft indica 248 detecciones para el sector de las tecnologías de la información en 2025 y 649 en 2026, unas 2,6 veces más. Estas cifras describen el sector de TI, no los ataques contra sistemas de TI en todos los sectores. El aumento no establece qué controles de acceso fallaron, pero refuerza la necesidad de limitar la autoridad disponible para una cuenta comprometida.
La elevación Just-in-time (JIT) en Devolutions PAM añade la pertenencia al grupo en la retirada y la quita en la devolución. Las cuentas estándar conservan sus permisos de base, mientras que las cuentas sin privilegio permanente reciben los privilegios necesarios solo durante la ventana de retirada. Los administradores pueden completar el trabajo elevado sin dejar esos derechos asignados entre tareas.
Qué viene después: el acceso privilegiado en 2027.1
El trabajo previsto para 2027.1 se apoya en la retirada y en los controles de sesión, con decisiones de acceso más detalladas. Un motor de reglas basado en flujos de trabajo definirá los pasos de inicio de sesión y de retirada a partir del solicitante, el proveedor, el grupo de elevación, la duración del acceso, el motivo y el ticket. La rama que decide la solicitud quedará registrada.
WebAuthn y Duo están previstos como métodos de MFA en la retirada, y el modelo exacto de factor de la retirada todavía se está definiendo. Los flujos de inicio de sesión están previstos para exigir MFA y restringir los métodos permitidos, incluidas las passkeys. Devolutions Remote Desktop Manager (RDM) también está previsto para usar las passkeys almacenadas en el área de trabajo cuando un sitio web se abre en su navegador integrado.
La dirección de la versión también trata lo que ocurre en un equipo después de conceder el acceso. Luc Fauvel, director de producto en Devolutions, describe la ampliación prevista hacia la gestión de los equipos:
“Al reforzar en 2027.1 nuestra ya sólida gestión de credenciales privilegiadas y nuestras conexiones remotas seguras, también ayudamos a los administradores a controlar lo que ocurre en los propios equipos una vez establecidas esas conexiones. La próxima versión de PEDM introduce la gestión centralizada de los equipos y, con ella, el control de la instalación de aplicaciones a través de UniGetUI. Desde un único lugar, los administradores pueden gestionar sus equipos y definir qué aplicaciones pueden instalar los usuarios en cada uno de ellos.”
Luc Fauvel, director de producto en Devolutions
PEDM corresponde a Privilege Elevation and Delegation Management, la gestión de la elevación y la delegación de privilegios. Los controles previstos de gestión de equipos amplían la supervisión a la instalación de aplicaciones en los equipos administrados. Los elementos de 2027.1 descritos aquí siguen siendo capacidades previstas.
En resumen
La prueba útil es el flujo completo de acceso privilegiado. La aprobación debe establecer la necesidad de acceso. Los controles de sesión deben limitar la exposición de las credenciales y conservar una prueba del trabajo. La devolución debe retirar la credencial o los privilegios elevados según la directiva.
Los hallazgos de Microsoft dan a los equipos de TI razones concretas para examinar cada paso. La siguiente evaluación puede empezar con una cuenta de prueba y seguirla desde la solicitud de acceso hasta la devolución.
Descargue Devolutions RDM para evaluar la retirada, la elevación Just-in-time y las sesiones intermediadas con una cuenta privilegiada de prueba.