Explorando los entresijos del crecimiento de los certificados digitales: certificados fraudulentos y TI en la sombra

Respuesta rápida: Los certificados fraudulentos (certificados comprometidos o no autorizados en los que confían los sistemas) y la TI en la sombra (certificados emitidos fuera de la supervisión central) se originan cuando el volumen de certificados supera la capacidad de seguimiento manual. Casi la mitad de las empresas (45 %) reportaron tiempos de inactividad relacionados con certificados el año pasado, según la encuesta de DigiCert de julio de 2025. El descubrimiento centralizado y la gestión automatizada del ciclo de vida solucionan ambos problemas.

Un certificado fraudulento no se anuncia. Permanece en un almacén de confianza con la apariencia de uno legítimo, emitido por una Autoridad de Certificación real, hasta que se utiliza para interceptar tráfico, suplantar un dominio o eludir las comprobaciones de validación del navegador. Si a esto le sumamos los certificados cuya existencia el departamento de TI desconocía, implementados por un desarrollador o una unidad de negocio fuera de cualquier inventario central, nos encontramos ante los dos problemas que, silenciosamente, provocan la mayoría de las interrupciones y brechas de seguridad relacionadas con certificados en los entornos empresariales actuales: los certificados fraudulentos y la TI en la sombra.

Puntos Clave

• El impacto empresarial se cuantifica, no se plantea de forma teórica: La encuesta realizada por DigiCert en julio de 2025 reveló que el 31% de las organizaciones perdieron entre 50,000 y 250,000 dólares debido a incidentes relacionados con certificados, y el 18.5% perdió más de 250,000 dólares, con más de la mitad sufriendo entre 5 y 24 horas de inactividad por incidente.
• El plazo para cumplir con la normativa se está reduciendo rápidamente: La votación del Foro CA/B de abril de 2025 reduce la validez máxima de los certificados TLS públicos a 200 días para el 15 de marzo de 2026, a 100 días para el 15 de marzo de 2027 y a 47 días para el 15 de marzo de 2029, un plazo que hace que la emisión y el seguimiento manuales sean operativamente inviables.
• La informática en la sombra es un problema de visibilidad antes que un problema de cumplimiento normativo: Más de la mitad de las organizaciones (56.6 %) no confían en su capacidad para realizar un seguimiento de las fechas de vencimiento de los certificados en todo su entorno.
• Cuatro equipos comparten la propiedad.: Operaciones de PKI/CA, operaciones de seguridad, plataforma/infraestructura y cumplimiento normativo: cada una con una acción distinta, no con una responsabilidad compartida e indefinida.
• La automatización es el único control que se adapta al plazo de 47 días: El descubrimiento centralizado, la emisión basada en políticas y la renovación automatizada reducen directamente los dos modos de fallo —certificados caducados y certificados no autorizados— que los procesos manuales no pueden detectar a tiempo.

Comprensión de los certificados digitales

Un certificado digital es una credencial criptográfica, basada en el estándar X.509 , que vincula una clave pública a una identidad verificada. Una Autoridad de Certificación (CA) emite el certificado y avala dicha identidad, lo que permite que un navegador, servidor o aplicación confíe en él automáticamente. Toda conexión TLS, aplicación firmada digitalmente y dispositivo autenticado depende de que esta cadena de confianza se mantenga. Cuando falla, ya sea por una emisión fraudulenta, una mala gestión o simplemente por haber olvidado el certificado, las consecuencias van mucho más allá de un simple icono de candado caducado.

El auge de los certificados digitales y por qué el control manual está fallando.

El volumen de certificados ha crecido mucho más rápido de lo que la mayoría de las organizaciones pueden gestionarlo manualmente. Casi el 60 % de las organizaciones ya gestionan entre 1,000 y 10 000 certificados, y el 80 % prevé que este volumen siga aumentando en los próximos 12 meses, según la encuesta de DigiCert de 2025. Cada nueva carga de trabajo en la nube, integración de API, dispositivo IoT y servicio interno suele necesitar su propio certificado, y cada uno tiene una fecha de caducidad que debe controlarse, renovarse y revocarse periódicamente.

Esta es la situación ideal para que se propaguen los certificados fraudulentos y la TI en la sombra: demasiados certificados, poca gente que los supervise y ningún sistema con visibilidad completa. El resultado se refleja directamente en las cifras. DigiCert descubrió que el 45 % de las empresas sufrieron interrupciones del servicio relacionadas con certificados el año pasado, y el 37.5 % atribuyó esas interrupciones específicamente a certificados caducados, uno de los fallos más prevenibles en la seguridad empresarial, que casi siempre se origina en un certificado que nadie supervisaba.

Certificados falsos: una amenaza oculta

Un certificado fraudulento es aquel que, técnicamente, es válido y confiable, emitido por una autoridad de certificación legítima, pero que ha sido comprometido o emitido a la persona equivocada. Dado que el certificado en sí supera las comprobaciones de confianza estándar, es mucho más difícil de detectar que uno obviamente falso.

Cómo se crean los certificados fraudulentos

Los certificados fraudulentos suelen tener su origen en una de estas tres fuentes: una CA o clave de firma intermedia comprometida, una vulnerabilidad explotada en el proceso de validación o emisión del dominio, o software malicioso utilizado para generar certificados que imitan a los legítimos. En cada caso, el atacante termina obteniendo un certificado en el que los sistemas confiarán por defecto.

Impacto en el mundo real

Los certificados fraudulentos permiten a los atacantes suplantar dominios de confianza, interceptar tráfico cifrado y realizar ataques de intermediario que resultan prácticamente invisibles para el usuario final, ya que el navegador muestra un certificado válido en todo momento. El daño real coincide con los datos de incidentes de DigiCert: el 31 % de las organizaciones afectadas perdieron entre 50 000 y 250 000 dólares, y el 18.5 % perdieron más de 250 000 dólares, con más de la mitad experimentando entre 5 y 24 horas de inactividad. Un certificado fraudulento o no autorizado que pasa desapercibido no solo conlleva el riesgo de una interrupción del servicio, sino también el riesgo de una brecha de seguridad que, desde fuera, parece tráfico cifrado normal.

TI en la sombra: certificados digitales no administrados

En el contexto de los certificados, la TI en la sombra se refiere a los certificados emitidos, implementados o renovados por un equipo o individuo ajeno al proceso central de gestión de certificados de la organización. Un desarrollador que crea un certificado autofirmado para un entorno de prueba, una unidad de negocio que aprovisiona su propio certificado SSL para un nuevo subdominio o una aplicación heredada con un certificado que nadie ha tocado desde su emisión son ejemplos que aparecen constantemente en entornos empresariales.

El riesgo no reside en el certificado en sí, sino en el punto ciego que crea. Un certificado fuera del inventario central no puede ser monitoreado para detectar su vencimiento, no puede ser revocado rápidamente si se ve comprometido y, a menudo, utiliza configuraciones de cifrado más débiles de las que exige la política. Los datos de DigiCert reflejan precisamente esta deficiencia: el 56.6 % de las organizaciones no confían en su capacidad para rastrear las fechas de vencimiento de los certificados, lo que es una medida directa de la cantidad de certificados que se encuentran fuera de un control efectivo.

Matriz de riesgos: Causa, impacto, detección, mitigación y responsabilidad.

Utilice esta matriz para relacionar cada riesgo vinculado a un certificado con un impacto empresarial específico, cómo se detecta normalmente, quién es el responsable de la solución y de dónde provienen las pruebas subyacentes.

Riesgo / Causa	Impacto en el negocio	Método de detección	Mitigación	Propietario	Fuente de evidencia
Certificado caducado no renovado a tiempo	Interrupción del servicio; el 45% de las empresas se vieron afectadas el año pasado.	Supervisión de caducidad, alertas de tiempo de actividad, errores reportados por los clientes	Renovación automatizada con alertas de plazo de entrega.	Operaciones de PKI/certificados	Encuesta DigiCert Trust Pulse, julio de 2025
Certificado fraudulento o no autorizado emitido	Riesgo de ataque de intermediario, interceptación de datos, exposición a violaciones de seguridad	Monitoreo del registro de transparencia de certificados, escaneos de detección continua	Política de emisión centralizada, estrictos controles de acceso, auditoría de CA	Operaciones de seguridad	Encuesta DigiCert Trust Pulse, julio de 2025
Inventario externo de certificados de TI en la sombra	Riesgo de vencimiento no controlado; el 56.6% no confía en el seguimiento.	Detección de certificados y escaneos de inventario en toda la red.	Herramientas de descubrimiento continuo, política de registro obligatorio	Plataforma / Infraestructura	Encuesta DigiCert Trust Pulse, julio de 2025
La emisión manual no puede seguir el ritmo de la disminución de la validez.	Retraso en las renovaciones, plazos incumplidos a medida que la validez se reduce a 47 días.	Seguimiento del volumen de renovaciones en relación con los plazos del Foro CA/B	Automatización de ACME/SCEP/EST, inscripción basada en políticas	Operaciones de PKI/certificados	Votación del Foro CA/B a través de Sectigo, abril de 2025
No existe ningún sistema de verificación de revocación de certificados.	Los certificados comprometidos siguen siendo confiables después de su detección.	Supervisión de CRL/OCSP, auditorías periódicas de PKI	Verificaciones de revocación en tiempo real, validación automatizada de CRL/OCSP	Operaciones de seguridad	Resultados de la auditoría interna de PKI
No existe un registro de auditoría para la presentación de informes de cumplimiento.	Hallazgos de auditoría fallidos, exposición regulatoria (HIPAA, DORA, PCI DSS)	Auditoría de cumplimiento, revisión de informes del ciclo de vida del certificado	Registros de auditoría automatizados, informes de ciclo de vida estandarizados	Cumplimiento	Encuesta DigiCert Trust Pulse, julio de 2025

Lista de verificación de mitigación: Reducción del riesgo de certificados no autorizados y TI en la sombra

Cada elemento a continuación aborda un modo de falla específico de la matriz de riesgos anterior. Considere esto como una lista de verificación para la implementación, no como una lista de ideas; cada elemento se corresponde con un control concreto y verificable.

1. Inventario completo de certificados: Mantenga un inventario actualizado de todos los certificados en uso, incluyendo el tipo, el dominio o servicio asociado, la fecha de vencimiento y el propietario responsable. Este es el fundamento de todos los demás controles.
2. Gestión centralizada de certificados: Emisión, renovación y revocación de rutas a través de una ciclo de vida del certificado Utilizar una plataforma en lugar de permitir que cada equipo la gestione por su cuenta. Esto elimina la TI en la sombra desde su origen.
3. Gestión automatizada del ciclo de vida de los certificados: Automatice la generación, renovación y revocación de certificados para que se mantengan vigentes sin depender de que alguien recuerde una fecha, lo cual se vuelve obligatorio una vez que los períodos de validez alcanzan los 47 días.
4. Comprobaciones de revocación de certificados: Mantenimiento Listas de revocación de certificados (CRL) o Protocolo de estado de certificados en línea (OCSP) comprobaciones para detectar certificados comprometidos en tiempo real, no en el siguiente ciclo de auditoría.
5. Fuertes controles de acceso: Restrinja quién puede solicitar, aprobar o emitir certificados. Los certificados fraudulentos son mucho más probables cuando el acceso a la emisión es amplio y no está supervisado.
6. Evaluaciones periódicas de vulnerabilidad: Pruebe la propia infraestructura de certificados para detectar configuraciones incorrectas y vulnerabilidades, no solo las aplicaciones que dependen de ella.
7. Mejores prácticas de cifrado: Aplicar las longitudes de clave y los algoritmos actuales, y actualizar las bibliotecas criptográficas con la misma frecuencia que cualquier otro componente crítico de la infraestructura.
8. Auditorías periódicas de certificados: Revise periódicamente todo el conjunto de certificados en busca de anomalías: emisión no autorizada, certificados caducados pero aún en uso o certificados que no cumplen con la política establecida.
9. Fijación de certificados cuando corresponda: Asocie certificados específicos a dominios o servicios específicos para reducir la exposición a ataques de intermediario, aplicándolos de forma selectiva en lugar de universal.
10. Monitoreo continuo: Realice escaneos automatizados y continuos para detectar actividad de certificados no autorizada o sospechosa, en lugar de depender de revisiones manuales periódicas.
11. Gobernanza de proveedores y terceros: Exija a los proveedores externos que cumplan con los mismos estándares de gestión de certificados que los equipos internos, con revisiones periódicas de cumplimiento.

Matriz de propietarios y acciones por equipo

Los certificados fraudulentos y la TI en la sombra son problemas que afectan a todos los departamentos. A continuación, se detallan las responsabilidades que cada equipo debe asumir tras leer este artículo.

Equipo	Acción primaria	Métrica de éxito
Operaciones de PKI/certificados	Crear y mantener un inventario completo de certificados; automatizar la renovación y emisión.	Cero interrupciones causadas por vencimientos; se cumplió sistemáticamente el plazo de renovación.
Operaciones de seguridad	Implementar la detección continua y la comprobación de revocación; aplicar controles de acceso de emisión.	Tiempo de detección de certificados no autorizados; porcentaje de certificados bajo vigilancia activa.
Plataforma / Infraestructura	Elimine la TI en la sombra enrutando todas las solicitudes de certificados a través de la plataforma central.	Porcentaje del patrimonio de certificados fuera del inventario central (objetivo: 0%)
Cumplimiento	Mantener informes del ciclo de vida listos para auditoría, alineados con los marcos pertinentes (HIPAA, DORA, PCI DSS).	Hallazgos de auditoría relacionados con la gestión de certificados, con seguimiento trimestral.

Cómo se relaciona esto con la preparación para la certificación TLS en 47 días

Los certificados fraudulentos y la TI en la sombra ya son difíciles de gestionar con la vigencia actual de los certificados. La situación se complica aún más con la reducción gradual del Foro CA/B: la validez máxima de los certificados TLS públicos se reduce a 200 días el 15 de marzo de 2026, a 100 días el 15 de marzo de 2027 y a 47 días el 15 de marzo de 2029. Cada fase multiplica la cantidad de eventos de renovación que un equipo debe rastrear manualmente, lo cual es precisamente lo que genera interrupciones por certificados caducados y soluciones alternativas no documentadas, al estilo de la TI en la sombra, a medida que los equipos buscan atajos para mantenerse al día.

Las organizaciones que ya carecen de visibilidad completa de los certificados y dependen de la renovación manual son las más vulnerables a medida que se acorta este plazo. La automatización de certificados no es una preparación opcional para los certificados de 47 días; es el mismo control que ya resuelve las brechas de certificados no autorizados y TI en la sombra descritas anteriormente. Resolver este problema una vez lo soluciona tanto para el entorno actual como para el futuro con validez reducida.

Cómo gestionar esto en entornos PKI híbridos y multinube

Los entornos multinube e híbridos multiplican el riesgo de TI en la sombra, ya que la emisión de certificados suele estar dispersa entre varios gestores de certificados nativos de la nube, cada uno con su propio límite de visibilidad. Un certificado emitido mediante las herramientas nativas de un proveedor de nube puede ser completamente invisible para un equipo de seguridad que solo supervise la infraestructura de clave pública (PKI) local, y viceversa.

La solución consiste en un descubrimiento de certificados que abarque todos los entornos en lugar de estar limitado a uno solo, junto con una única fuente de información fidedigna para el inventario completo de certificados, independientemente de dónde se hayan emitido. La agilidad criptográfica también es crucial: a medida que avanzan los plazos de migración a PQC, los entornos híbridos que ya carecen de visibilidad unificada tendrán aún más dificultades para identificar qué certificados y algoritmos deben modificarse. Un enfoque de lista de materiales criptográficos (CBOM) extiende la misma disciplina de descubrimiento e inventario utilizada para los certificados a todo el conjunto criptográfico, transformando un inventario estático en inteligencia criptográfica procesable y convirtiéndose cada vez más en el requisito básico para la gobernanza de PKI en la nube múltiple. Los equipos más avanzados en la planificación de la preparación para PQC reconocerán que esta es la misma base de descubrimiento de la que ya depende su trabajo de migración cuántica.

Qué hacer a continuación

El camino a seguir se ve diferente dependiendo de qué equipo esté leyendo esto:

• Equipos PKI: Antes de automatizar nada, comience con un inventario completo de certificados en todas las CA y entornos; no se puede automatizar lo que no se ve.
• Equipos de seguridad: Implementar la detección continua de certificados y la comprobación de su revocación como un control permanente, no como una tarea de auditoría periódica.
• Equipos de plataforma: Exigir que cada nuevo servicio o carga de trabajo solicite certificados a través de la plataforma central, cerrando así la ruta de TI paralela en el momento del aprovisionamiento.
• Equipos de cumplimiento: Confirme ahora, antes de la reducción de validez de 2026, y no después de que se detecte un hallazgo en una auditoría, que los informes del ciclo de vida de los certificados se ajusten correctamente a sus marcos de trabajo aplicables.

Conclusión

Los certificados fraudulentos y la TI en la sombra comparten la misma problemática: un volumen de certificados que supera la capacidad de supervisión manual. Los datos lo confirman: el 45 % de las empresas sufren interrupciones del servicio relacionadas con certificados, el 37.5 % de ellas vinculadas a certificados caducados, y más de la mitad de las organizaciones desconocen incluso cómo controlar las fechas de caducidad en su entorno. Esta brecha no se cierra por sí sola y se vuelve más difícil de solucionar a medida que los periodos de validez de los certificados se reducen a 47 días para 2029.

La solución no reside en una sola herramienta, sino en una disciplina integral: inventario completo, emisión centralizada, renovación automatizada y monitoreo continuo, responsabilidad compartida entre los equipos de PKI, seguridad, plataforma y cumplimiento, en lugar de dejarla como una responsabilidad sin asignar. Las organizaciones que implementen esto ahora serán las que gestionarán el plazo de 47 días para la emisión de certificados como un cambio operativo rutinario, en lugar de una crisis recurrente.

Descubra cómo CertSecure Manager automatiza la detección, emisión y renovación de certificados en entornos híbridos y multinube, o explore el Centro de Excelencia de PQC para obtener orientación sobre cómo extender la agilidad criptográfica más allá de los certificados a todo su entorno criptográfico.

Preguntas frecuentes