Más de 543.000 credenciales corporativas seguían activas tras quedar expuestas en repositorios públicos

La exposición de contraseñas, claves de API y credenciales de bases de datos evidencia una brecha crítica en la gestión de accesos: detectar una filtración no es suficiente si las credenciales comprometidas continúan funcionando.

Fecha de publicación: 16 de octubre de 2026
Categoría: Ciberseguridad empresarial | Gestión de identidades | Riesgo tecnológico

Una filtración que puede permanecer activa durante años

Un estudio publicado el 29 de septiembre de 2026 por Truffle Security identificó 543.699 credenciales únicas que todavía permitían autenticarse en los servicios correspondientes cuando fueron verificadas en julio de ese mismo año.

La investigación examinó una colección de más de 224 millones de repositorios públicos de GitHub y encontró credenciales en más de 1,1 millones de archivos y ubicaciones. Entre los datos expuestos había contraseñas, claves de acceso, credenciales de servicios en la nube y cadenas de conexión a bases de datos.

Uno de los resultados más preocupantes fue la antigüedad de estas exposiciones: la mediana estimada alcanzó los 784 días, mientras que algunas credenciales estaban asociadas a archivos modificados por última vez más de seis años atrás. La más antigua identificada se remontaba a 2009.

El hallazgo demuestra que una credencial expuesta no necesariamente pierde su utilidad cuando se elimina el archivo que la contenía. Si no se revoca o sustituye, puede continuar proporcionando acceso a recursos empresariales.

Las bases de datos concentran un riesgo significativo

El estudio encontró diferencias importantes entre los tipos de credenciales analizados. Mientras algunos proveedores revocan automáticamente sus propios tokens cuando detectan una filtración, otros tipos de accesos pueden permanecer activos durante largos periodos.

Entre los resultados más relevantes se encuentran:

• PostgreSQL: el 88 % de las cadenas de conexión identificadas en la muestra continuaba funcionando.

• MySQL: el 75 % de las cadenas de conexión analizadas seguía activo.

• Servicios en la nube: se identificaron decenas de miles de credenciales funcionales asociadas a cuentas de servicio.

• Protecciones de GitHub: 199.843 de las credenciales analizadas estaban asociadas a archivos publicados después de que la protección contra filtraciones se habilitara de forma predeterminada en febrero de 2024.

Estas cifras corresponden a las categorías y condiciones específicas de la investigación; no representan porcentajes de vulnerabilidad de todas las bases de datos o empresas.

El estudio también evidencia que los controles preventivos ayudan a reducir determinadas exposiciones, pero no garantizan que todas las credenciales comprometidas sean detectadas y revocadas.

¿Qué significa esta amenaza para las empresas?

Una credencial válida puede convertirse en una vía de acceso a información sensible, infraestructura tecnológica, aplicaciones corporativas o servicios de terceros, dependiendo de los permisos asociados.

El riesgo no se limita a los errores cometidos por los equipos internos. También puede originarse en desarrolladores externos, proveedores tecnológicos, entornos de pruebas o archivos que contienen secretos y se publican accidentalmente.

Cuando estos accesos permanecen activos, la organización puede enfrentar diferentes escenarios:

1. Acceso no autorizado a información. Una credencial con permisos suficientes podría permitir consultar, modificar o extraer información de clientes, empleados o procesos internos.

2. Compromiso de servicios críticos. Las claves expuestas pueden facilitar el acceso a aplicaciones, infraestructura en la nube o bases de datos que soportan operaciones esenciales.

3. Propagación del incidente. Si una cuenta comprometida dispone de privilegios elevados o permite acceder a otros sistemas, el impacto podría extenderse más allá del recurso inicialmente expuesto.

4. Interrupción operativa y consecuencias económicas. Una intrusión puede generar indisponibilidad de servicios, costos de recuperación, afectación reputacional y posibles obligaciones legales o contractuales.

La gravedad real depende de la vigencia de la credencial, sus permisos, los recursos accesibles y la capacidad de la organización para detectar y contener un uso indebido.

El problema no termina cuando se detecta la filtración

La investigación pone de manifiesto una diferencia fundamental entre detectar una credencial expuesta y eliminar el riesgo que representa.

Un sistema de detección puede identificar una contraseña o una clave publicada en un repositorio. Sin embargo, si nadie verifica su alcance, revoca el acceso y comprueba que la medida fue efectiva, la exposición puede continuar.

Por eso, las empresas necesitan un proceso integral de gestión de secretos y credenciales que incluya:

• Inventario de accesos: identificar contraseñas, claves de API, cuentas de servicio y credenciales de bases de datos, incluidos los accesos administrados por terceros.

• Detección preventiva: implementar controles que impidan publicar secretos en repositorios y alerten sobre posibles exposiciones.

• Revocación y rotación: invalidar inmediatamente las credenciales comprometidas y generar nuevas cuando corresponda.

• Gestión de privilegios: aplicar el principio de mínimo privilegio para limitar el alcance de una posible intrusión.

• Monitoreo y respuesta: investigar el uso de credenciales expuestas, revisar registros de actividad y contener cualquier acceso sospechoso.

• Validación de la recuperación: comprobar que las credenciales antiguas dejaron de funcionar y que no persisten accesos alternativos o copias comprometidas.

La eliminación de un archivo público es una medida útil, pero no sustituye la revocación de la credencial ni la investigación de sus posibles usos.

Cuatro preguntas que los responsables de TI deberían plantearse hoy

Para evaluar la exposición de su organización, los responsables de tecnología y seguridad pueden comenzar con cuatro preguntas:

¿Sabemos qué credenciales existen y quién es responsable de ellas?

Un inventario actualizado facilita identificar accesos olvidados, cuentas de servicio sin propietario y credenciales que ya no deberían estar activas.

¿Hemos revisado los repositorios y sus posibles exposiciones históricas?

La revisión debe contemplar los repositorios públicos, las herramientas de desarrollo y los secretos compartidos con proveedores, sin limitarse a los archivos publicados recientemente.

¿Qué sucede cuando se detecta una credencial comprometida?

Debe existir un procedimiento definido para evaluar el alcance, revocar o rotar el acceso, revisar los registros y confirmar el cierre del incidente.

¿Estamos limitando la duración y los privilegios de las credenciales?

Siempre que sea técnicamente viable, conviene priorizar credenciales de corta duración, mecanismos de autenticación robustos, gestores de secretos y permisos mínimos necesarios.

La ciberseguridad empresarial exige una visión integral

La exposición de credenciales no debe abordarse como un problema aislado de los desarrolladores o como una tarea exclusiva de una herramienta de seguridad. Es un riesgo que involucra gobierno, gestión de identidades, protección de datos, monitoreo y respuesta ante incidentes.

Para reducirlo, las organizaciones necesitan comprender qué procesos dependen de cada acceso, cuáles serían las consecuencias de su compromiso y qué capacidades deben fortalecerse para prevenir, detectar, responder y recuperarse.

En este contexto, la ciberresiliencia consiste en preparar al negocio para resistir incidentes y recuperar sus operaciones, no solamente en evitar que ocurran.

En Infortec abordamos la ciberseguridad desde el riesgo del negocio: identificamos los procesos críticos, evaluamos las capacidades existentes y ayudamos a determinar las brechas que requieren atención prioritaria. A partir de ese diagnóstico, integramos las capacidades de protección, identidad y acceso, detección y respuesta que mejor se ajustan a las necesidades de cada organización.

¿Su empresa sabe qué accesos siguen activos y quién puede utilizarlos?

Una revisión de las credenciales, los privilegios y los mecanismos de respuesta puede ayudar a identificar exposiciones que pasan inadvertidas y establecer prioridades de protección.

Converse con nuestro equipo para analizar los riesgos de su organización y definir los siguientes pasos.

Solicite asesoría en: https://infortec.co/

Infortec especialistas en ciberseguridad.