Pruebas de penetración físicas: cuando la confianza humana burla las capas de seguridad con un simple pretexto

Este artículo forma parte de una serie en curso de los especialistas en operaciones de seguridad de primera línea de Sophos, en la que comparten los conocimientos que utilizan para reforzar nuestro servicio de Detección y Respuesta Gestionadas (MDR), líder en el sector, y defender a los clientes frente a las amenazas en constante evolución de la era de la IA.

Cada prueba de penetración física empieza con la misma esperanza silenciosa: que en algún lugar, entre el elegante vestíbulo, los lectores de tarjetas de identificación, las cámaras domo de CCTV y el bullicio tranquilo de la vida en la oficina, haya una pequeña brecha que nadie haya notado.

Este lugar contaba con un montón de controles impresionantes: lectores de tarjetas, teclados numéricos, puertas de seguridad, trampas de seguridad, recepción, guardias, cámaras, etc. El tipo de configuración en capas que hace que la gente se sienta lo suficientemente segura como para dejar de pensar en ello.

Y eso, al final, resultó ser la verdadera vulnerabilidad.

El primer plan era sencillo: hacerse con una tarjeta de acceso en la entrada. Nada del otro mundo. Solo acercarnos lo suficiente, mezclarnos entre la gente que iba al trabajo y dejar que la tecnología hiciera su trabajo. Teníamos el equipo, el momento oportuno y la paciencia. Lo que no teníamos era la antena adecuada para el tipo concreto de tarjeta antigua que se usaba. Tras unas horas dando vueltas, merodeando educadamente y fingiendo que una bolsa de portátil era solo una bolsa de portátil, quedó claro que el enfoque técnico limpio no iba a ser la forma de entrar.

Así que el plan cambió.

Si el sector tecnológico no nos abría la puerta, quizá la gente sí lo haría.

Esa tarde, nos dedicamos a observar el ritmo del edificio. Todas las oficinas tienen uno. Los que llegan temprano. Los fumadores. Los que van a por café. Los de la limpieza. La gente que te sostiene la puerta porque son personas decentes y porque nadie quiere ser ese tipo incómodo que dice: «Perdona, ¿quién eres?».

Necesitábamos una razón creíble para estar en una entrada vigilada antes de que empezara la jornada laboral. La respuesta llegó en forma de un simple pretexto de mantenimiento: un consultor vestido como un técnico de lectores de tarjetas, el otro como el típico empleado de siempre, con un atuendo elegante, ropa de marca, actitud tranquila y la confianza justa para que la historia pareciera aburrida.

Lo aburrido es poderoso. Nadie quiere meterse en algo aburrido.

Antes del amanecer, estábamos esperando cerca de la entrada. El edificio estaba en silencio, con ese aire extraño de primera hora de la mañana: demasiado limpio, demasiado quieto, ese tipo de silencio en el que cada pitido del ascensor suena más fuerte de lo que debería. Al final, llegó el equipo de limpieza con su carrito. Les explicamos que el lector de tarjetas no funcionaba bien y que necesitábamos que comprobaran su acceso.

La puerta se abrió.

Por un breve instante, todo el mundo se quedó sorprendido, incluidos nosotros, aunque nos esforzamos mucho por no demostrarlo. El carrito avanzó, la puerta se quedó abierta y ya habíamos superado el primer obstáculo.

Luego vino el segundo: una barrera de seguridad.

Funcionaba con tarjeta, lo cual era un rollo. Pero también tenía un hueco generoso por debajo, lo cual era muy útil.

Así que, a una hora en la que la mayoría de la gente aún dormía, dos profesionales adultos con trajes cuidadosamente elegidos se arrastraron por debajo de una barrera de seguridad y entraron en una oficina corporativa.

Nada glamuroso. Muy eficaz.

Una vez dentro, el ambiente cambió de inmediato. Desde fuera, el edificio parecía una fortaleza. Por dentro, se parecía a cualquier otra oficina antes de la hora de entrada: escritorios, sillas, pantallas, bandejas de papel, salas de reuniones, zonas de cocina y pequeños rincones de vida cotidiana repartidos por todas partes.

Y ahí fue donde empezó la verdadera historia.

Había documentos confidenciales tirados por ahí. Los cajones estaban sin cerrar. Se podía acceder a los archivadores. Las llaves estaban donde nunca deberían estar. Existían procedimientos para la eliminación de residuos confidenciales, pero todo indicaba que no se seguían de forma sistemática. Las estaciones de trabajo estaban sin cerrar. Los portátiles estaban desatendidos. Las tarjetas de acceso estaban sobre los escritorios como si fueran posavasos.

Los controles físicos del perímetro habían causado una primera impresión muy sólida, pero una vez cruzado ese perímetro, la oficina confió en nosotros casi por completo.

Reservamos una sala de reuniones y la usamos como base. Este es uno de esos trucos que parecen absurdamente sencillos: si tienes una sala, un portátil y la confianza de alguien que sabe dónde está la cafetera, la gente te clasifica mentalmente como «probablemente deberías estar aquí». A partir de ahí, nos turnamos para recorrer las plantas, observar hábitos, comprobar la información expuesta y aprender cómo se comportaba realmente la oficina cuando nadie pensaba que estuviera pasando nada raro.

Algunas cosas salieron bien para los defensores. La memoria USB que se nos cayó fue encontrada y devuelta, en lugar de conectarla. En recepción cuestionaron nuestras historias sospechosas. Un pretexto falso de contratista fue comprobado y rechazado. Un guardia de seguridad informó de nuestra presencia fuera del horario laboral en lugar de aceptarla sin más. Estos fueron buenos momentos, de esos que demuestran que la formación en concienciación puede funcionar cuando la gente se toma su tiempo y verifica las cosas.

Pero otros momentos contaron una historia diferente.

Durante el almuerzo, se dejaron tarjetas de identificación sobre los escritorios. Dimos un paseo rápido y, con cada tarjeta, usamos un pequeño dispositivo para establecer contacto y clonarlas en cuestión de segundos. Una de esas tarjetas abrió más tarde la puerta de una sala técnica sensible. De repente, una tarjeta de plástico olvidada junto a un teclado se había convertido en la llave de una infraestructura crítica.

También estaba el puerto de red.

Fuera del horario laboral, nos pusimos a buscar accesos Ethernet desprotegidos. La mayoría de los puertos funcionaban correctamente, lo cual era alentador. Pero uno no. Un único puerto mal configurado nos dio acceso a la red. Desde allí, pudimos capturar datos de autenticación cifrados y recuperar la contraseña de un usuario sin conexión. Ese fue el momento en que la prueba pasó de ser un «riesgo de acceso físico» a «el acceso físico puede convertirse en una vulneración lógica muy rápidamente».

Hay que reconocer que esta actividad no pasó del todo desapercibida para la organización. El equipo de operaciones de seguridad detectó una actividad inusual y la escaló. Eso es importante. La prevención tenía lagunas, pero la detección daba señales de vida.

Aun así, lo más memorable de la operación no fue la clonación de la tarjeta de identificación, la sala de servidores ni el acceso a la red.

Fue el día en que decidimos comportarnos de forma sospechosa a propósito.

Movimos muebles. Levantamos escritorios. Abrimos trampillas en el suelo. Nos sentamos en el suelo con cables Ethernet cortos. Entramos en zonas en las que no deberíamos haber estado. Accedimos a una sala confidencial usando una tarjeta clonada. Nos hicimos lo suficientemente visibles como para que alguien pudiera habernos hecho una pregunta muy sencilla:

«¿Puedo ayudarte?»

Nadie lo hizo.

Esa pregunta podría ser la medida de seguridad más barata del edificio.

Más tarde, probamos un trastero del sótano. La puerta parecía sólida, pero el hueco por debajo la hacía vulnerable a una herramienta introducida por debajo. El proceso fue ruidoso, torpe y no precisamente sutil. La gente pasaba por cerca. Nadie preguntó por qué había dos personas en el suelo trabajando al pie de una puerta cerrada con llave. Al final, la puerta se abrió.

Dentro y cerca de allí, otra lección apareció en forma de papel triturado. Los documentos se habían triturado, sí, pero en tiras lo suficientemente largas como para que las palabras y los números siguieran siendo legibles. Era una metáfora perfecta de toda la operación: el control existía, pero su aplicación no eliminaba por completo el riesgo.

Por último, estaba el póster con el código QR.

Cerca de la oficina había un póster festivo de aspecto inofensivo que invitaba a la gente a votar por fotos navideñas. Contenía un código QR de seguimiento. A la mañana siguiente, ya lo habían escaneado varias veces antes de que alguien lo quitara.

Esa pequeña campaña resumía muy bien la ingeniería social. La curiosidad no es un fallo en las personas; es una característica. Los programas de seguridad tienen que tenerla en cuenta.

Al final de la semana, la historia estaba clara. La organización había invertido en una seguridad física sólida, y varios empleados hicieron exactamente lo correcto cuando se enfrentaron a situaciones sospechosas. Pero la seguridad no se reduce solo a puertas resistentes y lectores de tarjetas de acceso. También tiene que ver con lo que pasa una vez que se abre la puerta.

Una tarjeta dejada sobre un escritorio puede convertirse en acceso a la sala de servidores.

Una estación de trabajo sin bloquear puede suponer una filtración de datos.

Un solo puerto de red puede dar visibilidad al dominio.

Una trituradora de tiras puede convertir los residuos confidenciales en información legible.

El simpático hábito de sujetar la puerta puede convertirse en una vía de intrusión.

Y el simple hecho de no preguntar «¿Quién eres?» puede hacer que todos esos costosos controles parezcan opcionales.

La conclusión no es que la seguridad física fallara por completo. No fue así. Algunos controles funcionaron. Algunas personas tomaron decisiones excelentes. Los sistemas de detección acabaron detectando parte de la actividad.

La conclusión es que la seguridad por capas solo funciona cuando todas las capas están activas: sector tecnológico, procesos, personas y cultura.

Porque a veces el atacante no rompe una ventana, no fuerza una cerradura ni piratea el sistema de tarjetas de acceso.

A veces llega temprano, lleva la ropa adecuada, cuenta una historia aburrida y se cuela por debajo de la verja.

¿Quieres saber si alguien de tu oficina te preguntaría «¿Puedo ayudarte?»? Sophos Red Team ha llevado a cabo miles de operaciones de seguridad ofensiva, y nuestro contrato de servicios de seguridad te permite acceder a todo, desde servicios de seguridad ofensiva hasta servicios de DFIR y preparación, con la flexibilidad de adaptarte cada vez que cambien tus prioridades. Estaremos encantados de ayudarte. Si te ha gustado esta historia real, no te pierdas este vídeo de unos 2 minutos sobre un reciente atraco a un banco.