Lo que no aparece en el inventario: activos desconocidos y el mercado de accesos

Toda organización opera, en realidad, con dos superficies de exposición distintas. La primera es la que figura en la CMDB (la base de datos), en el inventario de activos y de la que el personal de seguridad tiene constancia. La segunda es la que existe de verdad, la que incluye el subdominio de una campaña de marketing anterior que nadie dio de baja, el bucket de almacenamiento que un equipo de desarrollo subió para una prueba, el concentrador VPN de una filial adquirida en el pasado, el portátil de un empleado que configura la red, una herramienta de IA agéntica con demasiados permisos.

La distancia entre ambos mundos, entre estas dos superficies, es lo que se entiende como el activo desconocido. No se trata de un problema de higiene documental, es, con cada vez más frecuencia, el punto exacto por donde empieza un incidente. 
 

Bajo la etiqueta “activo desconocido” conviven realidades bastante distintas, y conviene superarlas porque exigen respuestas diferentes:

• Activos huérfanos. Existen en el inventario, pero no tienen propietario asignado. Nadie los parchea, nadie decide su baja, nadie responde cuando surge un problema.
• Shadow IT. Servicios SaaS (terceros), entornos cloud y aplicaciones contratadas fuera del circuito de compras y de la validación de seguridad de la organización.
• Activos heredados. Sistemas incorporados por fusiones, adquisiciones o integración de filiales, que llegan con su propia deuda técnica y sin traspaso documental.
• Exposición perimetral olvidada. Dominios, subdominios, certificados, paneles de administración y appliances expuestos a internet, que sobrevivieron al proyecto que los justificaba.
• Shadow AI. La variante más reciente y de crecimiento más rápido. Herramientas y agentes de IA adoptados sin supervisión ni de departamentos IT ni de seguridad.
• Activos de terceros. Dispositivos y accesos de proveedores, contratistas y personal externo que operan dentro del perímetro sin estar gestionados por él.

El denominador común es la ausencia de un propietario que responda por el ciclo de vida completo del activo, desde su alta hasta su retirada efectiva. 
 

Los datos disponibles apuntan en la misma dirección con notable consistencia.

El informe de superficie de ataque de Artic Wolf, elaborado con datos agregados de más de 800.000 activos, sitúa en un 33% la proporción de activos IT a los que les falta al menos un control crítico. Un 18% se queda fuera de la gestión de parches o configuración, un 10% carece de seguridad y un 17% resulta directamente invisible para las herramientas tradicionales de gestión de vulnerabilidades. Casi uno de cada cinco activos ha alcanzado el fin de vida útil y no volverá a recibir una actualización del fabricante. El dato más revelador del informe es de naturaleza organizativa. En una migración destinada precisamente a retirar sistemas obsoletos, las unidades de negocio confirmaron su finalización, pero un escaneo posterior encontró que un 8% de los activos seguía en fin de vida.

El DBIR de Verizon (2026), que analiza más de 22.000 brechas confirmadas en 145 países, muestra un giro en la tendencia. Por primera vez en los diecinueve años desde que se realiza el informe, la explotación de vulnerabilidades ha desplazado al robo de credenciales como principal vector de acceso inicial, con un 31% frente al 20% del año anterior. Los dispositivos de borde o edge device -los componentes de hardware que sirven como punto de entrada a una red- y las VPN pasaron de albergar del 3% al 22% de las brechas por explotación, una multiplicación por siete en un solo ejercicio, y solo el 26% de las vulnerabilidades del catálogo KEV de CISA fueron remediadas por completo, frente al 38% del año anterior.

Asimismo, el informe también documenta la presencia de vulnerabilidades ProxyShell y ProxyLogon dos y tres años después de su divulgación. Cuando un sistema continúa siendo vulnerable tres años después de que exista un parche, el problema no remite a la gestión del parcheado, sino a la existencia de activos desconocidos que continúan operando fuera del inventario.
 

El ecosistema criminal lleva tiempo funcionando con una lógica de especialización industrial. Los Initial Access Brokers (IAB) no ejecutan el ransomware ni negocian el rescate, se dedican exclusivamente a comprometer redes corporativas y a revender ese acceso a quien sí lo hará. ENISA lo recoge con claridad en el Threat Landscape 2025. La combinación de modelos ransomware as a service, filtraciones de builders y servicios de brokers de acceso ha reducido drásticamente las barreras de entrada y ha alimentado un ecosistema criminal profesionalizado y resiliente.

Lo interesante aquí, es qué se vende. El análisis del DBIR sobre ofertas de IAB encontró que, entre los tipos de conexión identificados, el 44% correspondían a VPN y el 35% a algún tipo de aplicación de escritorio en remoto. Es precisamente el tipo de activos perimetrales que las organizaciones pierden de vista.

Los precios muestran un mercado relativamente maduro y segmentado. El informe de Rapid7 sobre brokers de acceso situó el precio medio de venta en algo más de 2.700 dólares con casi el 40% de las ofertas de la franja de 500 a 1.000 dólares y un 71% incluyendo algún nivel de privilegio. Su actualización posterior sobre el segundo semestre de 2025 documenta un desplazamiento hacia objetivos de alto valor, con un precio base medio muy superior en los foros emergentes tras la caída de BreachForums y la detención del administrador de XSS. ZeroFox destaca también, que el precio del acceso de gama baja ha caído por debajo de los 500 dólares, señal de que hay una sobre oferta en ese tramo.

La lectura de fondo resulta incómoda. El acceso genérico se ha abaratado hasta la irrelevancia económica, mientras el acceso privilegiado a organizaciones concretas se ha encarecido. Es decir, el mercado ha aprendido a distinguir la calidad del activo comprometido. Y esa valoración, la hace un tercero que, en la práctica, ha inventariado la superficie de la organización mejor que la propia organización.  

Existe una categoría de activo desconocido que rara vez aparece en los informes de ciberseguridad porque, administrativamente, no pertenece a IT. La infraestructura de seguridad electrónica, cámaras, controladores de accesos, videoporteros, sistemas de gestión de edificios. Son dispositivos conectados, frecuentemente expuestos, con credenciales por defecto persistentes, firmware sin actualizar y un ciclo de vida de diez o quince años que excede por mucho el soporte del fabricante. Su gestión suele recaer en el personal de la instalación o en la seguridad física, no sobre el CISO.

El informe global de respuesta a incidentes de 2026 de Unit 42 lo resume bien; proteger la organización exige hoy mirar más allá del portátil corporativo, hacia los dispositivos no gestionados de contratistas y los activos cloud expuestos. Se trata, en esencia, de un enfoque de seguridad híbrida. Un inventario de activos que no integra el parque de seguridad electrónica es un inventario incompleto por diseño. 
 

No hay una solución de producto para un problema que es, en su raíz, de gobernanza. Pero sí hay un orden de prioridades razonable.

Descubrimiento continuo, no periódico. Las herramientas de gestión de superficie de ataque externo y de activos ciber trabajan desde fuera hacia dentro, sin depender del inventario declarado. Es la única forma de encontrar lo que no se sabe que existe. La periodicidad anual del escaneo carece de sentido en entornos donde una instancia cloud vive treinta minutos.

Propiedad antes que tecnología. Descubrir un activo sin asignarle un responsable con capacidad de decisión sobre su baja solo crea un problema a largo plazo.

Retirada verificada. El dato anterior sobre migraciones “completadas” que no lo estaban, indica que la declaración de baja debe validarse técnicamente, no aceptarse por confirmación de la unidad de negocio.

Identidad y contexto como perímetro efectivo. Cuando el activo no se puede gestionar (dispositivo de proveedor, sistema heredado, etc), el control debe desplazarse al acceso. Autenticación multifactor resistente a phishing, sesiones de corta duración, segmentación y mínimo privilegio. Se eleva sustancialmente la barrera de entrada.

Inteligencia sobre el mercado de accesos. Vigilar foros, canales y mercados donde se comercializa acceso corporativo permite detectar la exposición antes de que se materialice el ransomware. Si un broker está valorando el acceso a la organización, la información existe antes del cifrado.

Recordamos también, que esto han dejado de ser prácticas recomendables. La directiva NIS2 exige a las entidades esenciales e importantes medidas de análisis y gestión de riesgos que presuponen un inventario de activos actualizado como base demostrable ante una inspección. 
 

El activo desconocido condensa una asimetría estructural, el atacante solo necesita encontrar uno, y dispone de automatización en tiempo y mercado que remunera el hallazgo. El defensor necesita conocerlos todos, y opera con presupuestos finitos y estructuras organizativas que fragmentan la responsabilidad entre IT, seguridad física, compras y unidades de negocio.

Cerrar esa asimetría por completo es improbable. Reducirla es perfectamente factible, y empieza por aceptar una premisa incómoda. Es muy probable que exista, ahora mismo, un activo de la organización que alguien está valorando en un foro. La pregunta no es tanto si ese punto ciego existe, más bien cuánto tiempo tardará la organización en enterarse.