Proteja su PKI y autoridades de certificación (CA) contra la fatiga de contraseñas y los riesgos de autenticación mediante CertSecure Manager

Introducción

Los humanos suelen ser el eslabón más débil en la ciberseguridad, razón por la cual la ingeniería social sigue siendo una de las herramientas más fiables en el arsenal de un equipo rojo. Para una organización, mantener segura su infraestructura de clave pública (PKI) es uno de los factores más importantes para garantizar la seguridad de todo el negocio, ya que la PKI está directamente vinculada a la identidad: cada usuario y máquina recibe un certificado de dicha infraestructura y lo utiliza para comunicarse de forma segura.

Si una infraestructura de clave pública (PKI) se ve comprometida, un atacante puede suplantar la identidad de cualquier usuario o máquina y realizar ataques de intermediario contra todo el entorno. Si la PKI falla por completo, la interrupción resultante puede afectar a todos los usuarios y sistemas que dependen de ella. Gran parte de este riesgo no reside en la criptografía en sí, sino en cómo las personas se autentican para acceder a ella, lo que genera una brecha de seguridad real y cuantificable debido a la fatiga por exceso de contraseñas y las prácticas de autenticación débiles en torno a las autoridades de certificación (CA).

Línea de fondo al frente

La fatiga por exceso de contraseñas se produce cuando los usuarios que gestionan demasiadas credenciales recurren a la reutilización, el uso de contraseñas débiles o la aprobación de solicitudes de autenticación multifactor (MFA) sin verificarlas. En un entorno PKI, este comportamiento puede facilitar a un atacante el acceso a la propia Autoridad de Certificación. Las directrices de autenticación del NIST para 2025 y los incidentes reales en Microsoft y Uber apuntan a la misma solución: autenticación resistente al phishing y acceso basado en certificados, no más reglas de contraseñas.

Datos clave de un vistazo

• El NIST finalizó la norma SP 800-63-4, sus Directrices sobre Identidad Digital, el 31 de julio de 2025, y ahora prioriza menos las frases de contraseña más largas, la detección de filtraciones y la autenticación multifactor resistente al phishing, en detrimento de la rotación obligatoria de contraseñas y las normas de complejidad.
• El requisito 8.4.2 de PCI DSS v4.0, que exige la autenticación multifactor (MFA) para todo acceso al entorno de datos del titular de la tarjeta, en lugar de solo para el acceso remoto y administrativo, se convirtió en obligatorio el 31 de marzo de 2025.
• La filtración de datos de Uber en septiembre de 2022 comenzó con una contraseña adquirida a un contratista y terminó con un ataque de fatiga de autenticación multifactor (MFA): aproximadamente 40 notificaciones push en 30 minutos, seguidas de un mensaje de ingeniería social que se hacía pasar por soporte técnico informático.
• Microsoft reveló en enero de 2024 que sus propios sistemas corporativos se vieron comprometidos el 12 de enero de 2024 mediante un ataque de fuerza bruta contra contraseñas dirigido a una cuenta de prueba heredada, no de producción, que carecía de autenticación multifactor (MFA).
• La autenticación basada en certificados elimina por completo la contraseña y la solicitud de autenticación multifactor (MFA) del acceso al portal PKI, cerrando así ambas vías de ataque a la vez.

Las cifras que explican la fatiga por contraseñas

La señal más clara de que la autenticación basada en contraseñas ha llegado a su límite provino del propio NIST. El 31 de julio de 2025, el NIST finalizó la Publicación Especial 800-63-4, sus Directrices de Identidad Digital, abandonando formalmente la antigua recomendación de cambiar contraseñas complejas periódicamente. En cambio, la guía actualizada recomienda frases de contraseña más largas, contrastar las nuevas contraseñas con listas de contraseñas comprometidas conocidas y considerar los autenticadores resistentes al phishing, como FIDO2 y WebAuthn, junto con las claves de acceso sincronizables, como la base en lugar de una mejora opcional.

Los reguladores están avanzando en la misma dirección. Con la versión 4.0 de PCI DSS, el requisito 8.4.2 amplió la autenticación multifactor (MFA) obligatoria para abarcar todo el acceso al entorno de datos del titular de la tarjeta, no solo el acceso remoto o administrativo, y este requisito ampliado entró en vigor el 31 de marzo de 2025. Las organizaciones que aún dependen de una contraseña compartida para acceder a la consola de una autoridad de certificación ya están rezagadas tanto con respecto a las directrices actuales del NIST como a la aplicación actual de PCI DSS.

La encuesta Trust Pulse de DigiCert, publicada el 2 de julio de 2025, reveló que casi la mitad de las empresas sufrieron una interrupción relacionada con certificados durante el último año, y el 18.5 % de las organizaciones afectadas reportaron pérdidas superiores a los 250 000 dólares. Un fallo de autenticación que impide a los administradores legítimos acceder a la consola de la CA, o una vulnerabilidad de autenticación que permite a un atacante revocar o emitir certificados de forma incorrecta, contribuyen directamente a ese mismo riesgo de interrupción.

¿Qué es la fatiga por contraseñas en un contexto de infraestructura de clave pública (PKI)?

La fatiga por exceso de contraseñas es el deterioro de la seguridad que se produce cuando se pide a los usuarios que creen, recuerden y vuelvan a introducir demasiadas credenciales. En el contexto de una infraestructura de clave pública (PKI) y sus autoridades de certificación (CA), esto se manifiesta de formas predecibles: los administradores reutilizan una contraseña en varios sistemas internos, eligen contraseñas más débiles para que sean fáciles de recordar o aprueban automáticamente las notificaciones push de autenticación multifactor (MFA) porque han visto decenas de notificaciones legítimas ese día. Cualquiera de estos hábitos puede otorgar a un atacante acceso no autorizado a un sistema que, a diferencia de una aplicación común, controla la raíz de confianza criptográfica de toda una organización.

Incidentes reales causados ​​por la fatiga de autenticación

Dos incidentes bien documentados demuestran el coste real que supone la fatiga por autenticación en la práctica, en organizaciones que cuentan con muchos más recursos de seguridad que la mayoría.

Incumplimiento de la normativa sobre fatiga de Uber en 2022

En septiembre de 2022, un atacante obtuvo la contraseña de un contratista, probablemente adquirida en una filtración anterior en la dark web, y la utilizó para activar repetidas notificaciones push de autenticación multifactor (MFA), aproximadamente 40 en 30 minutos. Una vez que el contratista se cansó de la situación, el atacante lo contactó directamente a través de una aplicación de mensajería haciéndose pasar por el soporte técnico de Uber, alegando que las notificaciones formaban parte de una corrección del sistema, y ​​lo convenció para que aprobara la siguiente solicitud. Esa única aprobación le dio al atacante acceso a canales internos de Slack, almacenes de credenciales, repositorios de código y herramientas administrativas.

El incidente de la tormenta de nieve nocturna de Microsoft

Microsoft reveló en enero de 2024 que un actor estatal, identificado como Midnight Blizzard, había comprometido sus sistemas corporativos a partir del 12 de enero de 2024. El punto de entrada inicial fue un ataque de fuerza bruta de contraseñas, que consistió en intentos de inicio de sesión masivos en varias cuentas con contraseñas comunes, dirigidos a una cuenta de prueba antigua, no de producción, que nunca había sido inscrita en la autenticación multifactor (MFA). Desde esa única cuenta desprotegida, el atacante creó aplicaciones OAuth maliciosas con permisos excesivos y las utilizó para leer el correo electrónico corporativo de Microsoft. La lección fue clara: incluso una sola cuenta antigua sin MFA fue suficiente para abrir una puerta de acceso a los sistemas de un proveedor de seguridad de la lista Fortune 500.

Estrategias para proteger su PKI contra el riesgo de autenticación

• Política de contraseñas y detección de intrusiones. Siga las directrices actuales de NIST SP 800-63-4 en lugar de las antiguas reglas de complejidad: exija contraseñas más largas, compare cada contraseña nueva con listas de contraseñas comprometidas conocidas y elimine la rotación periódica obligatoria a favor de rotarla solo cuando haya evidencia de una vulneración de seguridad.
• Autenticación multifactor resistente al phishing. La autenticación multifactor (MFA) estándar basada en notificaciones push es precisamente el objetivo de un ataque de fatiga por MFA. Priorice FIDO2, WebAuthn o las claves de acceso sincronizables para cualquier cuenta con acceso a la infraestructura de la CA, ya que estas no se pueden aprobar simplemente haciendo clic en una notificación motivada por la fatiga.
• Autenticación basada en certificados. Siempre que sea posible, sustituya por completo las contraseñas para las operaciones de PKI por la autenticación basada en certificados, lo que elimina tanto la contraseña como la solicitud de autenticación multifactor (MFA) de la superficie de ataque.
• Disciplina clave de gestión. El almacenamiento seguro de las claves privadas, la rotación programada de claves y la revocación inmediata de las claves comprometidas son los factores que impiden que una vulneración de la autenticación se convierta en una vulneración total de la autoridad de certificación (CA).
• Control de acceso granular y con privilegios mínimos. Otorgue a cada usuario y cuenta de servicio acceso únicamente a las operaciones PKI específicas que requiera su función, de modo que una sola credencial comprometida no pueda alcanzar toda la jerarquía de CA.

Matriz de riesgos: Riesgos de autenticación en entornos PKI

Supervisión	Probabilidad	Generar impacto	Método de detección	Mitigación	Mapeo de control
Contraseña reutilizada o débil en una cuenta de administrador de CA	Alto	Ruta crítica y directa hacia el compromiso de CA	Detección de contraseñas comprometidas, registros de auditoría de credenciales	Aplicar la política de contraseñas y detección de intrusiones NIST SP 800-63-4	NIST SP 800-63-4, PCI DSS 8.3
Fatiga por MFA o ataques de denegación de servicio contra una cuenta de administrador.	Media	Crítico, como lo demuestra la brecha de seguridad de Uber en 2022.	Alertas de volumen de MFA anómalas, correlación con SIEM	Implemente la autenticación multifactor (MFA) resistente al phishing (FIDO2, WebAuthn, claves de acceso).	PCI DSS 8.4.2, NIST SP 800-63-4
Cuenta heredada o de prueba sin autenticación multifactor (MFA) registrada.	Media	Crítico, como lo demuestra el incidente de la ventisca de medianoche.	Auditoría periódica de cuentas e inscripciones en MFA	Implementar la autenticación multifactor (MFA) en todas las cuentas con acceso a infraestructura de clave pública (PKI), incluidos los inquilinos de prueba.	PCI DSS 8.4.2, ISO/IEC 27001:2022 A.8.5
Acceso excesivamente amplio otorgado a un único rol de administrador.	Media	Alto, expande el radio de explosión de cualquier compromiso individual	Revisión de acceso, auditoría de roles y permisos	Aplicar el control de acceso basado en roles y con privilegios mínimos.	ISO/IEC 27001:2022 A.5.15, SOC 2 CC6.1
Clave privada comprometida o almacenada incorrectamente	Bajo a mediano	Crítico, socava la base de confianza de la CA	Registros de acceso de HSM, monitorización del uso de claves	Implementar procedimientos documentados de almacenamiento de claves respaldado por HSM y de rotación y revocación.	NIST SP 800-57, ISO/IEC 27001:2022 A.8.24

Mapeo de cumplimiento

Marco conceptual	Requisito	Lo que se requiere
NIST SP 800-63-4 (finalizada el 31 de julio de 2025)	Directrices sobre identidad digital, niveles de garantía del autenticador	Contraseñas más largas en lugar de reglas de complejidad, análisis de brechas en vez de rotación forzada, autenticación multifactor resistente al phishing y claves de acceso sincronizables como base para niveles de seguridad más altos.
PCI DSS v4.0	Requisito 8.4.2 (obligatorio desde el 31 de marzo de 2025)	Se requiere la autenticación multifactor (MFA) para todo acceso al entorno de datos del titular de la tarjeta, no solo para el acceso remoto y administrativo.
ISO / IEC 27001: 2022	Anexo A.5.17 (Información de autenticación), A.8.5 (Autenticación segura)	Documentación y gestión de la información de autenticación, así como procedimientos de autenticación seguros para sistemas privilegiados.
SOC 2	CC6.1 (Controles de acceso lógico y físico)	El acceso a los sistemas, incluida la infraestructura de CA, está restringido y autenticado adecuadamente según la sensibilidad del sistema.

Lista de verificación de evidencias de auditoría

Elemento de evidencia	Dónde encontrarlo	Frecuencia de auditoría recomendada
Lista de todas las cuentas con acceso al portal CA o PKI	Informes de acceso del proveedor de identidad, consola de administración de CA	Trimestral
Estado de inscripción en MFA para cada cuenta de esa lista, incluidas las cuentas antiguas y de prueba.	Informes de autenticación multifactor (MFA) del proveedor de identidad	Trimestral
Tipo de autenticador utilizado por cuenta (solo contraseña, MFA push, FIDO2 o clave de acceso)	Informes sobre el método de autenticación del proveedor de identidad	Trimestral
Comparación de la configuración de la política de contraseñas con la guía actual NIST SP 800-63-4.	Configuración de la política de contraseñas del proveedor de identidad o del directorio	Semi anualmente
Asignación de roles y permisos de acceso para cada operación PKI	Configuración de control de acceso basado en roles de CA	Semi anualmente
Registros de almacenamiento y rotación de claves privadas	Registros de auditoría de HSM	Trimestral

Lista de verificación de remediación

1. Inventarie todas las cuentas, incluidas las cuentas heredadas y de prueba, que tengan acceso a la infraestructura de CA o PKI.
2. Confirme que la autenticación multifactor (MFA) esté activada en todas las cuentas de ese inventario, sin excepciones para las cuentas que se consideran de bajo riesgo.
3. Sustituya la autenticación multifactor (MFA) basada en notificaciones push por una autenticación resistente al phishing, como FIDO2, WebAuthn o claves de acceso sincronizables, para cualquier cuenta con acceso administrativo a la CA.
4. Actualizar la política de contraseñas para que coincida con las directrices actuales de NIST SP 800-63-4: contraseñas más largas, análisis de vulnerabilidades y rotación solo en caso de evidencia de compromiso, en lugar de un calendario fijo.
5. Siempre que sea factible desde el punto de vista operativo, traslade el acceso al portal PKI a la autenticación basada en certificados para eliminar por completo las contraseñas.
6. Revisar y reforzar el acceso basado en roles para que cada cuenta pueda realizar únicamente las operaciones PKI específicas que requiere su rol.
7. Establezca una revisión trimestral recurrente del inventario de cuentas, el estado de inscripción en la autenticación multifactor (MFA) y los roles de acceso para que las deficiencias, como una cuenta heredada no inscrita, no pasen desapercibidas durante meses.

Cómo CertSecure Manager reduce la fatiga por contraseñas y el riesgo de autenticación.

CertSecure Manager ofrece a las organizaciones una plataforma centralizada para las operaciones diarias de PKI, incluyendo la generación, revocación, renovación y alertas de vencimiento de certificados. Además, alerta a los administradores sobre incidentes importantes para que puedan gestionarlos antes de que provoquen una interrupción del servicio, manteniendo así la seguridad PKI general de la organización.

Las organizaciones que utilizan CertSecure Manager no necesitan autenticarse rutinariamente contra la infraestructura PKI directa. La autenticación de CertSecure Manager se gestiona a través de Microsoft Entra ID, la plataforma de identidad anteriormente conocida como Azure Active Directory, que proporciona a los usuarios que ya utilizan Entra ID un acceso centralizado y sencillo al portal sin necesidad de recordar ni reutilizar una contraseña independiente.

Ese único cambio aborda ambas partes del problema que trata esta guía: los usuarios no se ven obligados a crear y volver a introducir otra contraseña, lo que reduce la fatiga por contraseñas, y la propia infraestructura PKI solo es accesible a través de un proveedor de identidades que su organización ya gestiona y supervisa, lo que reduce el riesgo de autenticación.

¿A quién debería importarle esto?

Las decisiones de autenticación relacionadas con la infraestructura PKI afectan de manera diferente a distintos roles.

Administradores de PKI

Gestionar el acceso diario a la infraestructura de CA. Acción: auditar todas las cuentas con acceso a CA para la inscripción en MFA este trimestre, prestando especial atención a las cuentas antiguas o de prueba que suelen pasar desapercibidas.

Arquitectos de seguridad

Diseñar la arquitectura de autenticación para sistemas sensibles. Elemento de acción: establecer un plan para migrar las cuentas orientadas a la CA de la autenticación multifactor (MFA) basada en notificaciones push a una autenticación resistente al phishing, de acuerdo con la norma NIST SP 800-63-4.

Equipos de plataforma

Configuración e integración del proveedor de identidades propio. Acción a realizar: confirmar que CertSecure Manager y cualquier otra herramienta PKI se autentiquen a través del proveedor de identidades actual de su organización, en lugar de un almacén de credenciales independiente.

Equipos de cumplimiento

Confirme que los controles de autenticación cumplen con los requisitos del marco actual. Acción: verifique la cobertura de MFA según el requisito 8.4.2 de PCI DSS y documente la alineación de la política de contraseñas con NIST SP 800-63-4 como evidencia de auditoría.

CISO

Comparar el coste organizacional de la fatiga de autenticación con el coste de una vulneración de la autoridad de certificación. Acción recomendada: considerar el incidente de Midnight Blizzard como un argumento directo para implementar la autenticación multifactor (MFA) resistente al phishing en todas las cuentas, incluso en aquellas que parecen poco importantes.

Nuestra opinión: Cómo la consultoría en cifrado respalda la seguridad de la autenticación para PKI

Proteger una infraestructura de clave pública (PKI) y sus autoridades de certificación contra la sobrecarga de contraseñas y los riesgos de autenticación no es un cambio de política puntual. Requiere una disciplina constante en la gestión de identidades, accesos y claves, respaldada por herramientas que eliminen la exposición innecesaria de contraseñas en lugar de añadir otra política de contraseñas a una ya sobrecargada.

Nuestra plataforma CertSecure Manager centraliza la gestión del ciclo de vida de los certificados y el inventario de identidades de máquinas tras la autenticación basada en proveedores de identidad, cerrando así la brecha de reutilización de contraseñas que se describe en esta guía. Para las organizaciones que prefieren delegar por completo las operaciones de CA y su superficie de autenticación asociada, nuestra plataforma PKI-as-a-Service gestiona la jerarquía de CA con claves respaldadas por HSM FIPS 140-3 Nivel 3, mientras que su organización conserva la propiedad y el control. Una gestión de claves sólida es solo una parte del panorama sin la criptoagilidad necesaria para lo que viene después: nuestro Centro de Excelencia PQC y la Evaluación de Preparación PQC ayudan a los equipos a planificar la migración a algoritmos post-cuánticos, y nuestra plataforma de descubrimiento e inventario criptográfico CBOM Secure ofrece a los arquitectos de seguridad visibilidad completa de cada certificado, clave y algoritmo del que depende actualmente un entorno, incluidos aquellos que una cuenta heredada no auditada podría exponer.

Conclusión

Proteger una infraestructura de clave pública (PKI) y sus autoridades de certificación contra la fatiga de contraseñas y el riesgo de autenticación es fundamental para mantener la seguridad e integridad de la infraestructura de una organización. Las directrices de autenticación del NIST para 2025, el requisito ampliado de autenticación multifactor (MFA) de PCI DSS y los incidentes reales en Uber y Microsoft apuntan en la misma dirección: una política de contraseñas robusta por sí sola ya no es suficiente. La combinación de MFA resistente al phishing, autenticación basada en certificados, gestión de claves rigurosa y control de acceso con privilegios mínimos reduce significativamente el riesgo de acceso no autorizado y aborda directamente la fatiga que lleva a los usuarios a tomar decisiones de autenticación riesgosas.

Preguntas frecuentes

¿Cuál es la principal conclusión sobre la protección de su infraestructura de clave pública (PKI) y autoridades de certificación (CA) contra la fatiga de contraseñas y los riesgos de autenticación?

La fatiga por exceso de contraseñas conduce directamente a la reutilización de credenciales y a ataques de fatiga por fatiga de autenticación multifactor (MFA), ambos causantes de graves filtraciones de datos en importantes organizaciones. La MFA resistente al phishing y la autenticación basada en certificados, en consonancia con la guía NIST SP 800-63-4, finalizada en julio de 2025, abordan la causa raíz en lugar de añadir más reglas de contraseñas.

¿Por qué es importante esto para los equipos de PKI empresariales?

La Autoridad de Certificación de una infraestructura de clave pública (PKI) es la raíz de confianza de la organización. Una vulneración de la autenticación en este sistema no solo expone una cuenta, sino que también puede permitir que un atacante suplante la identidad de cualquier usuario o máquina y emita o revoque certificados en todo el entorno.

¿Qué riesgos aumentan si este tema se aborda manualmente?

La gestión manual de contraseñas y accesos facilita que las cuentas antiguas o de prueba queden sin auditar, como ocurrió en el incidente de Midnight Blizzard, y aumenta considerablemente la probabilidad de reutilizar contraseñas en diferentes sistemas a medida que crece el número de credenciales que gestiona una persona.

¿Qué equipos deberían asumir la responsabilidad de este cambio?

Los administradores de PKI son responsables de la auditoría de cuentas y accesos, los arquitectos de seguridad establecen la arquitectura de autenticación, los equipos de plataforma son responsables de la integración del proveedor de identidad, el departamento de cumplimiento verifica la alineación del marco y el CISO evalúa el equilibrio general de riesgos.

¿Cómo se relaciona esto con la gestión del ciclo de vida de los certificados?

Las herramientas de gestión del ciclo de vida de los certificados, como CertSecure Manager, reducen la frecuencia con la que los administradores necesitan autenticarse directamente contra la infraestructura PKI sin procesar, lo que disminuye el tiempo durante el cual una vulneración de la contraseña o de la autenticación multifactor (MFA) podría causar daños.

¿Cómo deberían las organizaciones medir el éxito?

Realizar un seguimiento del porcentaje de cuentas orientadas a CA inscritas en la autenticación multifactor (MFA) resistente al phishing en lugar de la MFA basada en notificaciones push, confirmar que ninguna cuenta heredada o de prueba carezca de MFA y supervisar patrones de autenticación anómalos, como un volumen inusual de solicitudes de MFA.

¿Qué se debe auditar o supervisar periódicamente?

Realice auditorías periódicas de la lista completa de cuentas con acceso a CA o PKI, su estado de inscripción en MFA y tipo de autenticador, la alineación de la política de contraseñas con NIST SP 800-63-4 y el alcance del rol de acceso para cada cuenta.

¿Cómo afecta este tema a las infraestructuras de clave pública (PKI) en la nube, híbridas o con múltiples autoridades de certificación (CA)?

Un entorno híbrido o con múltiples autoridades de certificación (CA) multiplica el número de consolas de administración y cuentas que proteger, lo que hace que centralizar la autenticación a través de un único proveedor de identidad, en lugar de utilizar contraseñas separadas por cada CA, sea más importante, no menos.

¿Qué errores comunes deben evitar los equipos?

Entre los errores comunes se incluyen suponer que las cuentas antiguas o de prueba tienen un riesgo lo suficientemente bajo como para omitir la autenticación multifactor (MFA), confiar en la MFA basada en notificaciones push sin capacitar a los usuarios para que rechacen las solicitudes inesperadas y considerar suficientes las reglas de complejidad de las contraseñas sin realizar pruebas de detección de intrusiones o autenticación resistente al phishing.

¿Qué se debe renovar trimestralmente?

Actualice el inventario de cuentas con acceso a CA, el estado de inscripción en MFA en todas las cuentas, incluidas las antiguas, y la asignación de roles de acceso para cada cuenta al menos trimestralmente, y revise la política de contraseñas según las directrices del NIST al menos dos veces al año.