Qué muestran los informes recientes
En el Verizon DBIR 2026, la explotación de vulnerabilidades aparece como la vía de acceso inicial más común en el conjunto estudiado. En su análisis regional EMEA, el informe atribuye a la explotación de vulnerabilidades el 47% de las brechas, al phishing el 28% y al abuso de credenciales el 6%. Los porcentajes describen ese conjunto y esa región; no predicen por sí solos el riesgo de una empresa concreta.
El mismo informe destaca que atacantes externos usan fallos de software, credenciales robadas y técnicas de ingeniería social. Los puntos de entrada cambian según los servicios expuestos, el sector, los controles desplegados y el periodo observado.
Vías habituales de acceso
Servicios sin actualizar
Los atacantes buscan servicios accesibles y versiones con fallos conocidos. Una vulnerabilidad sin corregir puede ofrecer una oportunidad de acceso o ejecución no autorizada.
Defensa: inventario de activos, actualizaciones priorizadas, reducción de exposición y monitorización.
Credenciales expuestas o débiles
Contraseñas reutilizadas, filtradas o fáciles de adivinar pueden llevar a intentos de autenticación contra servicios remotos y aplicaciones.
Defensa: MFA, claves robustas, protección contra abuso y revisión de actividad de autenticación.
Phishing e ingeniería social
Mensajes, llamadas o páginas engañosas intentan que una persona entregue acceso o ejecute una acción. Esta vía puede abrir paso a sistemas que un honeypot de red no observa.
Defensa: verificación de identidad, formación, filtrado y canales para reportar mensajes sospechosos.
Exploración automatizada
Herramientas automatizadas recorren rangos y prueban qué servicios responden. Puede ser actividad oportunista a gran escala y no implica que el sistema haya sido comprometido.
Defensa: limitar servicios accesibles y correlacionar alertas con registros de red y de los sistemas.
Qué puede observar un honeypot
Un señuelo bien aislado puede registrar que un servicio atrajo conexiones, qué protocolo se utilizó, cuándo se inició una sesión y qué interacción tuvo lugar dentro de ese entorno. La señal permite describir actividad dirigida al sensor y aportar contexto para una revisión.
En Nattia Honeypot, los sensores contemplan interacciones SSH y Telnet mediante Cowrie y sesiones de autenticación de servicios como FTP, SMTP, POP3, IMAP, MySQL, PostgreSQL y VNC mediante Heralding. La actividad observada corresponde a esos sensores y ubicaciones; no ofrece visibilidad de todos los canales de ataque de una organización.
Phishing, ataques contra una aplicación no simulada, movimiento lateral dentro de la red o una intrusión en un equipo real requieren otras fuentes y controles. El honeypot complementa esas defensas.
De la señal a una investigación
- Comprueba el contexto: identifica sensor, sede, hora, servicio y repetición.
- Contrasta: compara la sesión con los registros reales de cortafuegos, identidad, servidores y herramientas de detección.
- Prioriza: investiga primero los patrones que coincidan con activos expuestos o señales adicionales.
- Actúa con el proceso existente: aplica medidas de contención en los controles autorizados y documenta el resultado.
Una interacción en un honeypot indica actividad contra el señuelo. Por sí sola no prueba acceso a una máquina productiva ni identifica de forma fiable quién está detrás de una dirección IP.
Fuentes y lectura adicional
- Verizon, 2026 Data Breach Investigations Report — resumen ejecutivo (datos de brechas e initial access vectors, con resultados por región).
- ENISA, Threat Landscape 2025 (tendencias, incidentes y técnicas del ecosistema europeo).
- NIST CSRC, definición de honeypot.