Las organizaciones enfrentan riesgos críticos por cuentas de administrador fantasma

an aerial view of a large industrial building — Geoffrey Moffett / Unsplash

Las empresas están expuestas a vulnerabilidades graves debido a los administradores fantasma, que son cuentas de nivel de administrador sin propietario actual que mantienen el control total sobre los datos y los permisos de acceso.

Craig Birch de Cayosoft explica que estas cuentas suelen originarse como cuentas de servicio creadas para tareas automatizadas, tales como copias de seguridad nocturnas o generación de informes. El riesgo surge cuando los administradores originales dejan la empresa o los proyectos finalizan sin que se revoquen los permisos, dejando claves y contraseñas en códigos o canales de comunicación internos que los atacantes pueden usar para infiltrarse en la infraestructura central y en Active Directory.

Erich Kron de KnowBe4 señala que estas cuentas también resultan de procesos apresurados, como otorgar permisos elevados para solucionar problemas técnicos rápidos, la migración de sistemas locales a Azure Active Directory y servicios de correo en la nube, o el uso de permisos de administrador global en entornos de prueba que no se limpian tras su uso.

Existen fallos críticos asociados a estas cuentas. El informe de investigaciones de brechas de datos de 2026 de Verizon indica que aproximadamente el 37%, o más de uno de cada tres organizaciones encuestadas, tienen desactivada la autenticación de múltiples factores en cuentas de administrador dentro de sistemas de infraestructura como servicio. Asimismo, Proofpoint reportó un caso en Chile donde atacantes tomaron el control de siete cuentas de servicio descuidadas que utilizaban contraseñas predeterminadas fáciles de adivinar y que nunca habían sido cambiadas.

Para mitigar estos riesgos, se recomienda realizar auditorías de inventario de cuentas de servicio, utilizando funciones de autodescubrimiento para identificar cuentas sin inicios de sesión en más de 90 días. Se sugiere suspender el uso de cuentas temporalmente durante dos o tres meses antes de eliminarlas para evaluar el impacto en el sistema.

Además, es necesario asignar responsables identificables para cada cuenta y asegurar la transferencia de responsabilidad cuando un empleado se retira. Las identidades no humanas deben gestionarse con el mismo rigor que las de los empleados, otorgando solo los permisos necesarios y registrando las identidades de aplicaciones y servidores en bases de datos para desactivarlas al retirar el servidor.