Un reporte de HYPR revela que el período de 90 días entre contratación y onboarding genera un punto ciego que permite a adversarios obtener accesos legítimos sin comprometer la red.
El modelo tradicional de amenazas internas asume que un atacante primero compromete la red y luego escala privilegios. Ese modelo acaba de quedar obsoleto. Según el reporte ‘State of HR Identity Fraud Detection’ publicado por HYPR, el 98% de las contrataciones fraudulentas ya poseen credenciales de empresa emitidas por IT en el momento en que finalmente se las detecta. El vector de ataque no es técnico: es administrativo. Los adversarios pasan entrevistas remotas, completan procesos de onboarding y reciben accesos auténticos directamente del departamento de tecnología, sin necesidad de explotar una sola vulnerabilidad de software.
Cómo un desfase de tres meses se convierte en ventana de ataque
El reporte identifica un período crítico de 90 días entre la contratación formal de un empleado y la finalización de su proceso de onboarding. Durante esa ventana, la verificación de identidad depende casi exclusivamente de documentación presentada por el candidato y de la intuición humana de quienes conducen las entrevistas. No existen controles técnicos de verificación de identidad en la mayoría de las organizaciones durante esta fase. El CEO de HYPR, Bojan Simic, señaló que los adversarios ya no necesitan comprometer una red cuando pueden pasar una entrevista remota y recibir credenciales auténticas directamente de IT.
La brecha no está en el firewall ni en la configuración de Active Directory: está en el proceso de recursos humanos. Un atacante con documentación falsificada o robada, capacidad de presentarse coherentemente en videoconferencias y conocimiento básico del sector puede ingresar como empleado legítimo. Una vez dentro, las credenciales que recibe son indistinguibles de las de cualquier otro miembro del equipo. Los sistemas de detección de amenazas tradicionales no están diseñados para identificar a un usuario que técnicamente fue autorizado por el proceso formal de la empresa.
Por qué la intuición humana no califica como control de seguridad
Simic planteó que la intuición humana no es un control de seguridad. Esta afirmación apunta al núcleo del problema: las organizaciones confían en que los reclutadores, gerentes de contratación y equipos de IT detectarán inconsistencias durante el proceso de selección. Esa confianza no está respaldada por tecnología de verificación específica. El reporte sugiere que la falta de herramientas diseñadas para validar identidad en el contexto de contratación deja a las empresas dependiendo de señales subjetivas — tono de voz, coherencia narrativa, presentación en cámara — que un adversario entrenado puede replicar.
El modelo de trabajo remoto amplifica el riesgo. En entornos donde la totalidad del proceso de selección ocurre por videoconferencia y la documentación se envía digitalmente, no existe un momento de verificación presencial que obligue al candidato a presentar identificación física ante un testigo. Las plataformas de videoconferencia no validan identidad: validan que alguien está del otro lado de la cámara. Esa distinción es crítica cuando el adversario tiene acceso a documentación robada o falsificada de calidad suficiente para pasar revisiones administrativas estándar.
Exposición en América Latina por adopción acelerada de contratación remota
Aunque el reporte de HYPR no desglosa datos por región, la exposición estructural en América Latina es considerable. Países como Argentina, Colombia y México experimentaron una adopción masiva de contratación remota durante y después de 2020, con empresas que pasaron de procesos presenciales a flujos completamente digitales en cuestión de meses. Esa transición acelerada frecuentemente ocurrió sin actualización equivalente de controles de verificación de identidad. Muchas organizaciones en la región todavía operan con procesos de onboarding diseñados para entornos presenciales, adaptados superficialmente a lo remoto mediante el uso de formularios digitales y videollamadas, pero sin capas técnicas de validación biométrica o documental automatizada.
El sector financiero y de tecnología en Brasil, que maneja volúmenes altos de contratación para roles remotos en soporte, desarrollo y operaciones, presenta una superficie de ataque particularmente amplia. La combinación de procesos de selección rápidos — impulsados por demanda de talento — y la ausencia de tecnología de verificación de identidad en tiempo real durante el onboarding crea exactamente el punto ciego que el reporte de HYPR documenta. No se trata de un riesgo hipotético: es una ventana operativa que ya está siendo explotada, según los datos del 98% de detecciones tardías.
Qué implica detectar el fraude después de emitir las credenciales
Cuando una contratación fraudulenta se detecta después de que el adversario ya recibió credenciales corporativas, el daño potencial no se limita a revocar un acceso. Durante el período en que el atacante operó como empleado legítimo, tuvo la oportunidad de mapear la red interna, identificar sistemas críticos, establecer persistencia mediante cuentas secundarias o tokens de acceso, y exfiltrar datos sin activar alertas de comportamiento anómalo — porque su comportamiento era, desde la perspectiva de los sistemas de monitoreo, el de un usuario autorizado realizando tareas dentro de su rol asignado.
El reporte no especifica la duración promedio entre la emisión de credenciales y la detección del fraude, pero el hecho de que el 98% de los casos ya tengan accesos al momento de ser descubiertos sugiere que la detección ocurre por señales externas al proceso de IT — probablemente inconsistencias en verificaciones de antecedentes tardías, reportes de otros empleados o auditorías de cumplimiento — en lugar de controles técnicos de identidad en tiempo real. Eso significa que el tiempo de exposición puede extenderse semanas o meses, dependiendo de cuándo se active la señal de alerta no técnica.
Nuestro análisis
Este reporte documenta un cambio fundamental en la superficie de ataque corporativa: el perímetro ya no está en la red, está en el proceso de contratación. La métrica del 98% no es un indicador de falla técnica — es evidencia de que los controles de identidad empresarial no están alineados con la realidad operativa del trabajo remoto. Las organizaciones siguen diseñando seguridad como si el adversario tuviera que forzar una puerta, cuando en realidad puede tocar el timbre, presentar documentación y recibir las llaves directamente del equipo de IT. La ausencia de tecnología de verificación de identidad específica para el contexto de contratación — biometría, validación documental automatizada, correlación de datos de identidad con fuentes externas — deja a las empresas dependiendo de procesos administrativos que nunca fueron diseñados como controles de seguridad.
El patrón que emerge es consistente con lo que ya se observó en ataques de ingeniería social sofisticados: los adversarios optimizan para el camino de menor resistencia. Si comprometer una red requiere explotar vulnerabilidades, evadir EDR y escalar privilegios, pero ingresar como empleado solo requiere pasar entrevistas y presentar documentación falsificada, la elección racional es la segunda. Lo que todavía no está claro es qué proporción de contrataciones fraudulentas nunca se detecta — el 98% con credenciales al momento de detección solo cuenta los casos que eventualmente se descubrieron. ¿Cuántos adversarios completan su objetivo y renuncian antes de que alguien note la anomalía? Esa es la pregunta que el próximo reporte debería responder.