Configuraciones incorrectas en la nube: Las 10 brechas de seguridad más peligrosas en AWS y Azure
Las malconfiguraciones son, según la Cloud Security Alliance, la amenaza número 1 en la nube por segundo año consecutivo. Según IBM, estas causan el 15% de todas las pérdidas de datos. Palo Alto Unit 42 documenta que el 76% de las organizaciones no imponen MFA para los usuarios de la consola. El 63% de los buckets de almacenamiento accesibles públicamente contienen datos sensibles. Este guía práctica muestra las diez malconfiguraciones más peligrosas en AWS y Azure y cómo los equipos de seguridad de TI las pueden encontrar y corregir.
Lo más importante en resumen
- 🔒 Malconfiguración en la nube causa el 15% de todas las pérdidas de datos, costo promedio: 4,88 millones de dólares (IBM 2024).
- ⚠️ El 76% de las organizaciones no imponen MFA para los usuarios de la consola (Palo Alto Unit 42).
- 🛡️ Las intrusiones en la nube aumentaron un 26% en 2024. El abuso de cuentas válidas es el vector de entrada número 1 (CrowdStrike 2025).
- 📊 El 61% de las cuentas raíz no tienen MFA. El 81% de las organizaciones tienen recursos públicamente accesibles que han sido descuidados (Orca Security 2024).
- 🔧 Los benchmarks CIS y las herramientas CSPM permiten hacer automáticamente la verificación de configuraciones sistemática.
¿Por qué las malconfiguraciones son la amenaza número 1?
La Cloud Security Alliance (CSA) clasifica la malconfiguración y el control de cambios inadecuado como la mayor amenaza para las nubes desde 2024. En segundo lugar consecutivo. Las vulnerabilidades de IAM siguen en segundo lugar. Gartner pronostica que hasta 2025, el 99% de los errores de seguridad en la nube serán causados por los clientes, no por los proveedores de nube.
IBM confirma la dimensión en el informe Cost of a Data Breach 2024: La malconfiguración en la nube es la causa de el 15% de todas las pérdidas de datos, al igual que el phishing. El costo promedio global por cada violación alcanzó un récord de 4,88 millones de dólares en 2024. Basado en 604 organizaciones, 17 industrias y 16 países.
CrowdStrike documenta en el Global Threat Report 2025 que las intrusiones en la nube aumentaron un 26%. El vector de entrada más común: el abuso de cuentas válidas, responsable del 35% de todos los incidentes en la nube en el primer semestre de 2024. Los atacantes no utilizan días cero. Utilizan lo que los equipos de TI han dejado abierto.
Fuentes: IBM Cost of a Data Breach 2024, CrowdStrike Global Threat Report 2025
Las 10 configuraciones más peligrosas
1. Permisos IAM demasiado amplios. Palo Alto Unit 42 encontró en un análisis de 680.000 identidades en la nube que el 99% de las identidades (usuarios, roles y servicios) tienen más permisos de los necesarios. El principio de privilegios mínimos no se aplica en la práctica. Cada permiso innecesario es un vector de ataque potencial.
2. MFA faltante para cuentas raíz y administradores. Orca Security documentó que el 61% de las cuentas raíz o propietarios de cuentas no tienen Multi-Factor Authentication (MFA) habilitado. Unit 42 confirma que el 76% no impone MFA para los usuarios de la consola y el 58% no lo hacen incluso para cuentas raíz o administradores. En combinación con AiTM-Phishing, esto abre la puerta a ataques.
3. Almacenamiento públicamente accesible. Unit 42 documentó que el 63% de los buckets S3 accesibles públicamente contienen datos sensibles. Esto significa que datos de clientes, documentos internos y credenciales de acceso se pueden obtener a través de una URL simple. Capital One perdió en 2019 los datos de 106 millones de clientes debido a una combinación de una WAF mal configurada y permisos S3 demasiado amplios.
4. Logging deshabilitado o incompleto. Sin CloudTrail (AWS), Azure Monitor o GCP Cloud Audit Logs, la base para la respuesta a incidentes se pierde. Si se produce una violación y no hay registros, no hay rastro forense. Los equipos de seguridad necesitan, según Unit 42, alrededor de 145 horas para resolver alertas de seguridad. Sin registros, esta tiempo se duplica.
5. Grupos de seguridad de red y NSGs abiertos. Orca Security informó que el 81% de las organizaciones tienen recursos públicamente expuestos con puertos abiertos (80, 443, 8080, 22, 3389, 5900). Cada puerto abierto es un punto de entrada potencial. RDP (3389) y SSH (22) en direcciones IP públicas se escanean y atacan en minutos.
«¡Hasta 2025, el 99% de los errores de seguridad en la nube serán causados por los clientes, no por los proveedores de nube!»
Gartner (citado en múltiples reportes de IBM, CSA, Unit 42)
6. Bases de datos accesibles públicamente. Wiz en el Cloud Data Security Report 2025 informó que el 72% de las entornas en la nube tienen PaaS bases de datos expuestas públicamente sin controles de acceso. Instancias RDS, Cosmos DB o Cloud SQL que no están aisladas por VPC o con listas blancas de IP son accesibles para cualquiera.
7. Falta de cifrado en reposo. Datos en S3, Azure Blob Storage o GCS sin cifrado en reposo son inmediatamente legibles en caso de una violación. AWS ofrece SSE-S3 como predeterminado desde 2023, pero buckets antiguos y claves administradas por el usuario suelen ser olvidados. Lo mismo se aplica a volúmenes EBS y instantáneas RDS.
8. Imágenes de contenedores no actualizadas. Unit 42 informó que el 63% de las bases de código de producción contienen vulnerabilidades no actualizadas con un puntaje CVSS de 7.0 o más. Wiz complementó que el 12% de los contenedores están al mismo tiempo expuestos y vulnerables a conocidas vulnerabilidades. Las imágenes base desactualizadas son la causa más común.
9. Falta de segmentación de red. Redes planas sin controles de peering VPC o aislamiento de subred permiten movimiento lateral. Si un atacante compromete un trabajo, sin segmentación puede acceder a todas las recursos en la misma red. Zero Trust retrasa el movimiento lateral, pero no lo detiene si los accounts son válidos.
10. Credenciales predeterminadas y claves API en el código. Claves de acceso AWS, secretos de entidades de servicio de Azure o contraseñas de bases de datos hardcodeadas en repositorios de Git. Una vez enviadas, estas credenciales permanecen visibles en el historial de commits. Scanners automatizados examinan GitHub en tiempo real por exposición de credenciales.
Cómo los equipos de seguridad de TI examinan sistemáticamente
Benchmarks CIS como línea de base. El Center for Internet Security publica benchmarks de configuración gratuitas para AWS, Azure y GCP. Estos definen verificaciones concretas: ¿CloudTrail está activado? ¿MFA para Root está obligatorio? ¿Los buckets de S3 son públicos? AWS Security Hub integra directamente el CIS AWS Foundations Benchmark. Azure ofrece el Microsoft Cloud Security Benchmark como su contraparte.
Herramientas CSPM para monitoreo continuo. Cloud Security Posture Management (CSPM) verifica automáticamente configuraciones contra políticas y marcos de cumplimiento. No solo una vez, sino continuamente. Cada cambio se evalúa. Se detecta el desplazamiento. Opciones nativas: AWS Config Rules, Azure Policy, GCP Security Command Center. Proveedores especializados: Wiz, Prisma Cloud, Orca Security, Microsoft Defender for Cloud.
Escaneo de Infraestructura como Código. Evitar configuraciones incorrectas antes de que se produzcan en producción. Herramientas como Checkov, tfsec o Bridgecrew escanean Terraform, CloudFormation y ARM Templates por problemas de seguridad. Shift Left: La seguridad se integra en la cadena de entrega CI/CD, no como auditoría posterior.
Resumen: La superficie de ataque está en la configuración
Los proveedores de nube ofrecen infraestructuras seguras. Pero la configuración es responsabilidad del cliente. Mientras que el 76% no obliga a MFA, el 63% de los datos sensibles están en buckets públicos y el 99% de las identidades tienen privilegios demasiado amplios, la configuración sigue siendo la forma más simple de ataque. Las herramientas de verificación existen. Los benchmarks CIS son gratuitos. CSPM está integrado en cada gran plataforma de nube. Lo que falta no es tecnología, sino disciplina.
Preguntas frecuentes
Cada pregunta está bloqueada. Un toque desbloquea la respuesta.
¿Qué es una configuración incorrecta en la nube?
Una configuración en AWS, Azure o GCP que se desvía de la configuración predeterminada segura o abre una vulnerabilidad de seguridad. Ejemplos: buckets de S3 públicos, MFA faltante, privilegios de IAM demasiado amplios. Según la CSA, es la amenaza número 1 en la nube desde 2024.
¿Cómo encuentro configuraciones incorrectas en mi entorno?
Benchmarks CIS como lista de verificación, herramientas CSPM (AWS Config, Azure Policy, Wiz, Prisma Cloud) para monitoreo automatizado, y escaneos de infraestructura como código (Checkov, tfsec) para prevención en la cadena de entrega CI/CD.
¿Cuánto cuesta una violación debido a una configuración incorrecta?
Según IBM Cost of a Data Breach 2024, el costo promedio es de 4,88 millones de dólares. La configuración incorrecta causa el 15% de todas las violaciones. Capital One pago una multa de 80 millones de dólares en 2020 después de una violación debido a recursos de AWS mal configurados.
¿Cuál es la configuración incorrecta más peligrosa?
Privilegios de IAM demasiado amplios. Según Unit 42, el 99% de las identidades de nube tienen más privilegios de los necesarios. En combinación con credenciales robadas (Abuso de cuenta válida, 35% de todos los incidentes de nube según CrowdStrike), esto es la forma más directa a los datos sensibles.
¿Basta con las herramientas de seguridad nativas de la nube?
Para comenzar, sí. AWS Security Hub, Azure Defender for Cloud y GCP Security Command Center cubren los aspectos básicos. Para entornos multi-nube, corrección automática y reportes de cumplimiento, se recomiendan soluciones CSPM especializadas como Wiz, Prisma Cloud o Orca Security.
Recomendaciones de lectura de la redacción
Más de la Red de Medios MBF Media
Fuente de la imagen del título: Pexels / Panumas Nikhomkhai
