Ataques de tailgating en ciberseguridad: desafíos & prevención

¿Qué es un ataque de tailgating?

Un desconocido que carga dos cajas de papel para impresora se acerca por detrás a un empleado en la entrada con lector de credenciales. El empleado le sostiene la puerta. En esos tres segundos de cortesía, quedan eludidas todas las reglas de firewall, las políticas de segmentación de red y las defensas perimetrales que usted estableció. El atacante ya está dentro, y solo los controles físicos y de endpoint por capas pueden detener la cadena de ataque que sigue.

Un ataque de tailgating es una técnica física de ingeniería social mediante la cual una persona no autorizada entra en una zona restringida siguiendo de cerca a alguien autorizado a través de un punto de acceso protegido. El atacante aprovecha el comportamiento humano, no las vulnerabilidades técnicas, para eludir por completo los controles de acceso físico.

Una técnica estrechamente relacionada, el piggybacking, se diferencia en un aspecto fundamental: la persona autorizada deja entrar deliberadamente a la persona no autorizada. En el tailgating, la víctima no se da cuenta. En el piggybacking, la presión social o el engaño la convencen de participar activamente al sostener la puerta o compartir el acceso.

Esta distinción importa para su estrategia de defensa. Un torniquete de altura completa detiene el tailgating, pero no impide que dos personas entren juntas en un compartimento. Una política que fomente verificar la identidad aborda el piggybacking, pero no detiene a quien entra sin ser detectado en un vestíbulo concurrido.

Por qué los ataques de tailgating importan para la ciberseguridad 

Un ataque de tailgating elude todos los controles digitales que usted ha implementado. Tras pasar el lector de credenciales, el atacante tiene acceso físico cercano a puertos de red internos, estaciones de trabajo desatendidas, salas de servidores y armarios de cableado. Sus firewalls perimetrales, la segmentación de red y las políticas de acceso dejan de ser eficaces cuando alguien está junto al activo.

MITRE ATT&CK reconoce directamente este riesgo. La táctica TA0043 (Reconocimiento) incluye la recopilación, por parte del adversario, de datos sobre la ubicación física de la víctima para seleccionar objetivos. A partir de ahí, la cadena de ataque se vincula con técnicas como T1200 (Adiciones de hardware) y T1091 (Replicación mediante medios extraíbles), y convierte una sola entrada física en una intrusión informática completa.

Una vez dentro, el atacante opera con el mismo acceso que una persona interna malintencionada. Su capa de seguridad de endpoints es la última barrera de control eficaz. Esta convergencia de riesgos físicos y digitales exige defenderse del tailgating con el mismo rigor que ante cualquier vía de ataque basada en la red.

Elementos fundamentales de un ataque de tailgating

Todo incidente de tailgating o piggybacking depende de los mismos elementos explotables. Conocerlos le permite detectar brechas en sus propias defensas.

• Un punto de control de acceso con tránsito de personas. Las puertas protegidas, las entradas con lector de credenciales, los vestíbulos con torniquetes y los muelles de carga ofrecen oportunidades. Cuanto mayor sea el tránsito de personas, más fácil será para un atacante pasar desapercibido.
• Una persona autorizada que facilita la entrada sin saberlo. El atacante necesita a alguien con acceso legítimo que abra la puerta, use su credencial en el lector o simplemente camine delante. En los casos de piggybacking, la manipulación social lleva a esa persona a participar activamente.
• Un factor psicológico. Las directrices de CISA documentan varios: las normas de cortesía, la deferencia ante una autoridad percibida, la evitación de confrontaciones y la urgencia. Los atacantes combinan estos factores. Una persona con uniforme de técnico que carga equipos pesados y afirma tener un plazo ajustado aprovecha tres factores psicológicos a la vez.
• Un pretexto o una historia de cobertura. Entre los pretextos habituales están ser un empleado nuevo cuya credencial aún no está activada, un repartidor, un técnico de mantenimiento o un visitante cuyo acompañante llega tarde. Objetos como portapapeles, bolsas de herramientas y cordones para credenciales prestados refuerzan el engaño.
• Una brecha en los controles físicos o los procedimientos. Puede tratarse de una puerta batiente que no limita el paso a una persona a la vez, un puesto de vigilancia vulnerable a la ingeniería social o una política que existe sobre el papel, pero no se aplica.

Estos elementos interactúan como un sistema. Eliminar cualquiera de ellos, ya sea mediante barreras físicas, capacitación o aplicación de procedimientos, interrumpe la cadena de ataque.

Cómo funcionan los ataques de tailgating

Los atacantes combinan estos elementos en métodos concretos que siguen patrones predecibles. Estas son las técnicas que los especialistas en pruebas de penetración y los atacantes reales utilizan repetidamente.

• El método de las "manos ocupadas". El atacante llega cargando cajas, bandejas de comida o equipos. Las normas de cortesía llevan a su empleado a sostenerle la puerta.
• Suplantación de identidad. Vestido como técnico, mensajero o miembro del personal de limpieza, el atacante se acerca con confianza a una entrada.
• El pretexto del "empleado nuevo". El atacante afirma que aún no han activado su credencial y pide a un empleado que lo ayude a entrar. Esta variante aprovecha la disposición a ayudar y la posibilidad de que haya retrasos en la incorporación.
• Aprovechamiento de las zonas para fumar y las salas de descanso. Los atacantes se sitúan cerca de puntos de reunión informales donde los empleados vuelven a entrar al edificio sin una verificación formal.
• Ingeniería social dirigida al personal de seguridad. Algunos atacantes evitan la puerta por completo y se dirigen al puesto de seguridad atendido por personal.

Cada método aprovecha una deficiencia concreta en los controles físicos o los procedimientos. Por eso estos ataques tienen éxito con tanta frecuencia.

Por qué tienen éxito los ataques de tailgating

Los ataques de tailgating siguen siendo eficaces por motivos estructurales, psicológicos y organizativos.

1. La cortesía se impone a la formación en seguridad. Sus empleados saben que la política prohíbe sostener la puerta a otra persona. Aun así, lo hacen. En ese momento, cuestionar a alguien que podría ser un compañero les parece más incómodo que el riesgo abstracto de una brecha de seguridad. La formación por sí sola no cambia esta norma de conducta tan arraigada.
2. Las organizaciones suelen invertir menos de lo necesario en controles que saben que necesitan. Esa brecha entre saber qué hacer y actuar deja sin las medidas más eficaces contra el tailgating precisamente las entradas donde más importan.
3. Las organizaciones no siempre registran los incidentes de tailgating. No puede defenderse de lo que no mide ni justificar el presupuesto para controles si no tiene datos de incidentes que presentar a la dirección.
4. Los sistemas tradicionales de control de acceso tienen un punto ciego. La mayoría de los sistemas físicos de control de acceso instalados en puertas abatibles no pueden confirmar si una persona entró realmente al edificio después de presentar su credencial. Sin controles que garanticen el paso de una sola persona, es difícil saber con certeza quién está dentro.
5. El piggybacking aprovecha las relaciones de confianza. Cuando la persona autorizada participa activamente, incluso los sistemas de identificación avanzados tienen dificultades. Si dos personas entran juntas en una esclusa de seguridad, eluden el supuesto de ocupación individual en el que se basan muchos controles físicos.

Estos factores se agravan entre sí: las organizaciones que no registran los incidentes no pueden justificar la instalación de barreras. Así, los empleados afrontan una presión social constante en puntos de entrada sin controles.

Desafíos para detener el tailgating

Incluso las organizaciones que reconocen el riesgo del tailgating encuentran obstáculos reales al implantar medidas de defensa.

1. Fluidez de acceso frente a seguridad. Las esclusas y las puertas giratorias de seguridad obligan a pasar de uno en uno, pero ralentizan la entrada. En las horas punta, las dificultades operativas generan presión para relajar los controles, justo cuando el riesgo de tailgating es mayor.
2. El piggybacking exige un cambio cultural. Las barreras físicas pueden detener a quien intenta entrar sin ser visto, pero no impiden que un empleado sostenga la puerta voluntariamente. Para abordar el piggybacking, hay que crear una cultura en la que los empleados se sientan respaldados y sepan que deben verificar la identidad de las personas desconocidas. Es un cambio organizativo, no una compra de tecnología.
3. Los equipos de seguridad física y ciberseguridad trabajan de forma aislada. En la mayoría de las empresas, el equipo de seguridad física depende de la gestión de instalaciones, mientras que el de ciberseguridad depende del director de IT o del CISO. Esta separación estructural hace que los datos sobre intrusiones físicas rara vez se incorporen a las evaluaciones de riesgos cibernéticos, y que la inteligencia sobre ciberamenazas rara vez oriente las decisiones sobre la postura de seguridad física. El resultado es una respuesta fragmentada ante un riesgo convergente.
4. Detectar no es prevenir. Los torniquetes ópticos y los sensores de detección de tailgating activan alarmas después de la entrada. Saber que alguien entró siguiendo a otra persona no equivale a impedirlo.

Estos desafíos estructurales explican por qué incluso las organizaciones conscientes de los riesgos de seguridad cometen errores previsibles en sus programas de defensa contra el tailgating.

Errores frecuentes en la defensa contra el tailgating

Estos errores documentados se repiten en los programas de seguridad empresarial.

1. Tratar el tailgating y el piggybacking como si fueran el mismo problema. Requieren medidas diferentes. Instalar torniquetes sin impartir formación aborda el tailgating, pero deja la puerta abierta al piggybacking.
2. Dejar puntos de acceso sin protección alrededor de las entradas controladas. Las organizaciones pueden invertir en controles de entrada y aun así dejar rutas alternativas para evitarlos, lo que debilita todo el sistema.
3. Suponer que los lectores de credenciales impiden el tailgating. Los sistemas tradicionales verifican las credenciales, pero no pueden confirmar que una segunda persona no haya pasado por la puerta. Presentar una tarjeta no garantiza que haya pasado una sola persona.
4. Confiar en las alarmas de puertas mantenidas abiertas como control principal. Las alarmas avisan después del ingreso. Si el personal las ignora o no responde, el intruso puede moverse libremente.
5. Omitir las pruebas de equipo rojo de los controles físicos. Sin pruebas, solo está haciendo suposiciones.
6. Ignorar las consecuencias cibernéticas de una intrusión física. Si no vincula el acceso físico con los riesgos para los endpoints, la red y las identidades, deja sin abordar toda la cadena de ataque.

Evitar estos errores abre el camino a un programa de defensa por capas contra el tailgating y el piggybacking.

Cómo prevenir los ataques de tailgating

Construya un programa de defensa por capas y ajuste los controles a la sensibilidad de cada zona.

• Instale barreras físicas que permitan el paso de una sola persona. Las puertas giratorias de seguridad y los accesos con esclusa son los controles preventivos más eficaces. Priorícelos en salas de servidores,centros de datos y áreas ejecutivas.
• Fomente una cultura de verificación, no se limite a establecer una política. Las políticas escritas que indican a los empleados que no sostengan las puertas abiertas son necesarias, pero insuficientes. Capacítelos para reconocer situaciones de tailgating y piggybacking. Ofrezca formación específica a ejecutivos y administradores de sistemas.
• Implemente una gestión de visitantes conforme al Anexo A 7.2 de ISO 27001. Mantenga registros verificables de cada visitante. Restrinja el acceso de los contratistas a las áreas y los horarios autorizados. Integre el sistema de gestión de visitantes con las bases de datos de recursos humanos y los lectores de credenciales.
• Someta sus controles físicos a pruebas periódicas de equipo rojo. NIST SP 800-53 exige intentos no anunciados de eludir los controles de acceso físico para las líneas de base de seguridad HIGH. Las pruebas de penetración física revelan las brechas entre los controles documentados y su postura de seguridad real.
• Vincule los datos de acceso físico con sus operaciones de seguridad. Envíe los registros de los lectores de credenciales, las alertas de tailgating y los datos de gestión de visitantes a su SIEM o plataforma de operaciones de seguridad. Si una alerta de tailgating coincide con un comportamiento anómalo de un endpoint en la misma planta, su SOC puede responder a toda la cadena de ataque en lugar de tratar cada evento por separado.
• Aplique los principios de confianza cero a la presencia física. Estar dentro de un edificio no debe otorgar acceso implícito a la red. La verificación continua del estado de los dispositivos, la aplicación del principio de mínimo privilegio y la microsegmentación garantizan que, aunque un intruso llegue a un puerto de red, no acceda a los recursos de la organización sin cumplir los requisitos de identidad y estado del dispositivo.

Estos controles por capas reducen significativamente el riesgo de tailgating, pero ninguna defensa física es perfecta. Si un atacante logra entrar, el ataque pasa del entorno físico al digital y entran en juego otros controles.

La cadena de ataque del entorno físico al digital

El acceso físico abre vías concretas para los ciberataques. Conocerlas le permite priorizar los controles de endpoints e identidades.

1. Introducción de malware mediante USB (MITRE T1091). Un intruso llega a una estación de trabajo desatendida, conecta un dispositivo USB precargado e inicia la ejecución sin interactuar con la capa de red. Sus firewalls perimetrales nunca detectan este tráfico.
2. Extracción de credenciales (MITRE T1003.001). Desde un endpoint al que ha accedido físicamente, un atacante ejecuta herramientas de obtención de credenciales en la memoria local. El resultado es una escalada de privilegios que lleva desde una sola estación de trabajo hasta credenciales con acceso a infraestructura crítica.
3. Instalación de un dispositivo no autorizado (MITRE T1200). Un intruso conecta un punto de acceso inalámbrico no autorizado a un puerto de la red interna en una sala de conferencias o un armario de comunicaciones sin cerrar. Así obtiene acceso inalámbrico persistente a su red interna desde fuera del edificio.

En todos los casos, el endpoint es la última capa de control. Los firewalls perimetrales y los controles de acceso a la red no inspeccionan la actividad iniciada desde un equipo interno conectado legítimamente. Por eso, la seguridad de endpoints es la última línea de defensa tras una intrusión física.

Reduzca el riesgo de identidad en toda su organización

Detecte y responda a los ataques en tiempo real con soluciones integrales para Active Directory y Entra ID.

Demostración

Conclusiones clave

Los ataques de tailgating y piggybacking eluden toda su infraestructura de seguridad digital al aprovechar el comportamiento humano en los puntos de acceso físico. 

La defensa contra el tailgating exige barreras físicas por capas, personal capacitado para verificar accesos, pruebas de equipo rojo y seguridad de endpoints como última línea de defensa cuando fallan los controles físicos.