The MFA Gaps Attackers are Still Exploiting
BleepingComputer · 13 oct, 16:01
Un ataque de ransomware Akira en agosto de 2026 accedió a una VPN SonicWall mediante fuerza bruta de contraseñas sin autenticación multifactor (MFA), demostrando una brecha común: las organizaciones implementan MFA en aplicaciones en la nube pero dejan desprotegidas rutas de acceso locales como VPN, RDP y servicios respaldados por Active Directory. Las credenciales robadas siguen siendo el vector de entrada inicial más frecuente en ataques de ransomware, especialmente cuando están limitadas solo por contraseña.
El incidente del 4 de agosto ilustra cómo los atacantes explotan brechas de autenticación en entornos híbridos. Tras obtener credenciales válidas por fuerza bruta contra la VPN sin MFA, el atacante accedió en dos horas a través de RDP al controlador de dominio para enumerar Active Directory y robar datos. Aunque el despliegue de ransomware fracasó, ya se había comprometido el acceso privilegiado.
Según investigaciones de Mandiant sobre ransomware, las credenciales comprometidas fueron el vector de acceso inicial en el 21% de incidentes en 2025, frecuentemente a través de RDP o VPN. RDP aparece también en el 85% de los movimientos laterales con cuentas comprometidas o nuevas. Verizon reporta que credenciales robadas están involucradas en el 44,7% de todas las brechas. El problema de cobertura es crítico: MFA en Microsoft 365 no se extiende automáticamente a sistemas Windows locales, VPN o servicios antiguos respaldados por Active Directory, creando un entorno fragmentado donde contraseñas siguen siendo suficientes en accesos no monitoreados.
Puntos clave
- Credenciales robadas acceden a VPN sin MFA mediante fuerza bruta
- MFA en SaaS no protege automáticamente RDP, VPN y servicios locales de AD
- Credenciales comprometidas fueron acceso inicial en 21% de ataques ransomware 2025
- 85% de movimientos laterales ransomware usan RDP con cuentas comprometidas
- 44,7% de brechas según Verizon involucran credenciales robadas