El informe Data Breach Investigations Report de 2025, de Verizon —que analiza más de 22.000 incidentes de seguridad en 139 países— mostró un dato alarmante: la participación de terceros en las violaciones de datos se duplicó, del 15% al 30% en un año. Proveedores, contratistas, consultores y socios ahora aparecen en una de cada tres brechas confirmadas.
El problema no es nuevo en teoría. Las empresas saben desde hace años que el acceso de terceros es un riesgo. Lo que cambió es la escala. Decenas de miles de consultores, agencias, integradores y socios acceden a sistemas críticos todos los días, y la mayoría todavía entra con una contraseña compartida, sin fecha de salida, sin saber quién más usa esa cuenta y sin ningún rastro de dónde vino el acceso.
En mayo de 2024, una empresa llamada Snowflake descubrió que 165 de sus clientes habían sido vulnerados. No por una falla del software. Por credenciales robadas de empleados: contraseñas capturadas por malware en los dispositivos personales de los propios clientes. ¿Cómo? Porque nadie exigía autenticación en dos pasos. ¿Cómo nadie se dio cuenta de que ese acceso estaba ocurriendo? Porque no había registro de auditoría. ¿Y por cuánto tiempo duraron esas credenciales? Algunos atacantes usaron contraseñas robadas 4 años antes, nunca rotadas.
El tercero que entra, crea una cuenta y se queda para siempre
Cuando llega un consultor externo para implementar un proyecto de 3 meses, ¿qué suele pasar?
La empresa le crea una cuenta: correo corporativo, VPN, acceso a la base de datos, acceso a la carpeta compartida de proyectos. El consultor entra con su propia contraseña, o la contraseña se comparte ("aquí está la clave del equipo"). El proyecto termina. Nadie desactiva la cuenta. La persona se va de la empresa y la cuenta se queda ahí. Si la empresa crece, el número de cuentas de este tipo crece con ella: la consultoría de 3 meses se convierte en una de 3 años (el mismo consultor, renovado), el integrador hace mantenimiento semestral, el socio tecnológico conserva acceso permanente para soporte.
El informe de SecurityScorecard de 2025 encontró que el 35.5% de las brechas se originan en vectores de terceros. Cuando esas brechas empiezan con una credencial robada, el problema es doble: la empresa no sabe que ese acceso está ocurriendo, y el atacante usa la credencial como si fuera un empleado real.
El caso Snowflake tiene un detalle específico que aplica también a consultoras, agencias y proveedores de software como servicio: los 165 clientes afectados no usaban autenticación en dos pasos. Es decir, robar la contraseña fue suficiente. Y no era una contraseña cualquiera: era la credencial de un empleado de la empresa del cliente, capturada meses o años antes por un programa de espionaje. El atacante ni siquiera necesitaba parecer fuera de lugar al entrar: lo hacía con la identidad de un empleado real, como si fuera él.
El costo respalda la urgencia. Según el informe Cost of a Data Breach 2025, de IBM, las brechas que se originan en proveedores y en la cadena de suministro cuestan en promedio USD 4,91 millones, el segundo vector de ataque más costoso de todo el estudio, solo detrás del phishing. No es un número abstracto: es el tipo de factura que aparece meses después, cuando nadie recordaba que ese acceso de un tercero seguía abierto.
El mismo patrón se repite en empresas brasileñas y latinoamericanas que tercerizan la nómina, el soporte de TI o parte de la contabilidad. Es habitual que la contabilidad tercerizada reciba acceso al sistema financiero para el cierre mensual y conserve la misma contraseña activa meses después, sin ninguna tarea pendiente que lo justifique. Nadie decide dejar el acceso abierto de mala fe: en algún momento, simplemente nadie decide cerrarlo.
Por qué las restricciones obvias no funcionan
"Vamos a crear una política de que nadie puede compartir su contraseña": la empresa la establece, la comunica, la repite en las reuniones. Tres meses después llega un nuevo proyecto de integración, el integrador necesita acceder a la base de producción para depurar algo urgente, y el gerente le pasa la contraseña de un usuario que ya tenía acceso. La política existe. La realidad es otra.
"Vamos a obligar el cambio de contraseña cada 90 días": la empresa lo implementa. El problema: el consultor que usa esa cuenta cada semana está feliz; el que la usa una vez al año olvida cuál era y pide que se la restablezcan; nadie sabe cuántas personas tienen esa contraseña.
El tercer punto: sin registro de auditoría, nadie sabe qué consultó el tercero. ¿Qué vio el consultor? ¿Cuánto tiempo pasó dentro del sistema? ¿Qué reportes ejecutó? Si hay una investigación después de un incidente, esa información ya no existe.
Una investigación reciente dimensiona el problema: un estudio de Imprivata, publicado en 2025, encontró que el 47% de las organizaciones sufrió una violación de datos o un ciberataque en los últimos 12 meses que involucró acceso de terceros a la red, casi la mitad, no una minoría aislada. El mismo estudio explica por qué la revisión manual no alcanza: los equipos de TI y seguridad dedican, en promedio, 134 horas por semana a analizar e investigar la seguridad de esos accesos, el equivalente a tres personas de tiempo completo solo revisando una planilla de quién todavía tiene la contraseña activa. Aun con ese esfuerzo, la mayoría de las empresas encuestadas no tiene un inventario completo de quién accede a qué.
Lo que tiene que existir en la práctica
Identidad personal para cada tercero. Nunca un inicio de sesión compartido. Cada persona —empleado o tercero— accede con su propia identidad, nunca compartida con nadie más. Si la credencial de alguien se filtra, basta con desactivar esa cuenta para bloquear el acceso, sin afectar a nadie más que use el sistema. Auditar se vuelve viable: cuando alguien pasa mucho tiempo dentro del sistema, se puede saber exactamente quién fue.
Acceso según el proyecto y el rol. El consultor que implementa el sistema X no necesita ver las bases de datos de RR. HH. ni los reportes de ventas. Si la herramienta tiene 50 funciones, recibe las 3 que necesita, no la herramienta entera "porque es más fácil de dar".
Vigencia definida, con vencimiento automático. El acceso del tercero dura lo que dura el proyecto, no más. Un integrador contratado por 3 meses recibe acceso por 3 meses: después de 90 días, la credencial vence automáticamente sin que nadie tenga que acordarse de desactivar la cuenta. Si el proyecto se extiende, el responsable lo renueva; si termina, el acceso queda en el pasado.
Aprobación previa según el riesgo. Alguien del equipo tiene que autorizar que ese tercero tenga ese acceso a ese sistema. Crear una cuenta de tercero no es una tarea automática de TI: es una decisión documentada de quien es responsable de ese proyecto.
Registro completo de auditoría. Quién accedió, cuándo, por cuánto tiempo y qué datos consultó. No en un reporte genérico a fin de mes: en un registro consultable cuando se necesita.
Así fue diseñada Skyller: cada persona tiene su identidad personal, acceso según su rol, aprobación y registro automático de todo, generando la auditoría que falta en la mayoría de las integraciones.
La ganancia es triple
La seguridad es la ganancia obvia. Una credencial robada queda inútil en cuanto vence el plazo de acceso. Sin inicios de sesión compartidos, el robo de una contraseña afecta a una sola persona. Con un registro completo, te enteras en días, no en meses, de que algo raro pasó.
Pero hay una ganancia que suele definir la conversación: el cumplimiento normativo. La LGPD de Brasil exige que los datos sensibles sean accesibles solo para quien tiene una "necesidad real de conocerlos". Cualquier regulador va a preguntar: ¿quién tiene acceso? ¿Por cuánto tiempo? ¿Hay auditoría? Si la respuesta es "contraseñas compartidas y no lo sabemos", la multa es cuestión de tiempo. Con identidad personal, vigencia definida y registro de auditoría, la respuesta ya está lista.
La tercera ganancia es operativa. Cuando llega un consultor nuevo, no se pierden 2 días creando cuentas a mano ni esperando a que reciba 4 correos distintos. Con aprovisionamiento automático, en minutos ya está dentro del sistema, con el acceso que necesita y con la fecha de salida ya marcada.
Ese tiempo recuperado importa más de lo que parece. Si el sector dedica, en promedio, 134 horas semanales a revisar manualmente el acceso de terceros —según la misma investigación de Imprivata—, automatizar la vigencia y los permisos devuelve parte de esas horas a decisiones que realmente requieren criterio humano, no a revisar una planilla de quién todavía tiene la contraseña activa.
Tres preguntas para llevar a la próxima reunión
-
Si hoy se desvincula a un consultor, ¿a cuántas herramientas todavía puede entrar mañana? Si la respuesta depende de que alguien se acuerde de revocar el acceso, el riesgo ya está ahí. Con fecha de vencimiento, no dependes de la memoria de nadie.
-
Cuando un tercero accede a datos sensibles, ¿pueden decir, días después, exactamente qué datos consultó y por cuánto tiempo? Si no hay registro de auditoría, la respuesta es no. Sin registro, no hay cumplimiento.
-
¿Cuántas cuentas de terceros tienen activas hoy sin saber exactamente por qué? La mayoría de las empresas no lo sabe. Ese es el número que debería preocupar.
