El gigante crediticio completó la transición sin contraseñas en toda su plantilla y ahora la extiende a clientes B2B, mientras los CISO reconocen que los controles tradicionales no fueron diseñados para un entorno donde las máquinas operan a velocidad de máquina.
Equifax eliminó las contraseñas estáticas de sus 22.000 empleados y contratistas, y ahora está extendiendo ese estándar sin contraseñas a sus clientes B2B. La decisión responde a una premisa que Jeremy Koppen, CISO de la compañía, resume sin rodeos: no importa cuán estricta sea la política, las contraseñas terminan pareciéndose al equipo de fútbol favorito del usuario o a la temporada actual con un signo de exclamación al final, lo que las convierte en objetivos triviales para ataques de fuerza bruta. La medida no es un experimento aislado — es parte de una reconfiguración más amplia de la estrategia de seguridad que Koppen y otros líderes del sector están implementando de cara a 2027, cuando la mayoría de los controles de seguridad tradicionales, diseñados con un usuario humano en mente, dejarán de ser efectivos en entornos donde los agentes de IA, bots y flujos automatizados representan una porción creciente de la actividad en las redes corporativas.
Cómo la eliminación de contraseñas se conecta con el problema de los agentes de IA
Koppen identifica los controles de identidad como centrales para la estrategia de seguridad de 2027. La razón es estructural: la mayoría de los controles de seguridad tradicionales fueron diseñados con un usuario humano en mente, no para agentes de IA. Equifax está aplicando la misma verificación rigurosa a estas identidades no humanas que aplica a las personas. La transición sin contraseñas no es solo una mejora de usabilidad — es una respuesta a un entorno donde los atacantes usan IA para operar a mayor escala y los defensores necesitan innovar más rápido. Koppen describe la dinámica como un cambio de ritmo en ambos lados: los atacantes usan IA para realizar ataques más sofisticados a una velocidad sin precedentes, y Equifax usa IA para innovar más rápidamente en sus propias operaciones de seguridad.
La estrategia de Koppen para el próximo año incluye expandir el uso de IA en las operaciones de seguridad de Equifax para manejar trabajo rutinario, de modo que los expertos puedan enfocarse en las amenazas e iniciativas que más importan. El objetivo es que la seguridad se convierta en una de las razones por las que un producto puede lanzarse antes, no en un obstáculo. Esto requiere construir sobre la seguridad ya integrada en el proceso de diseño y desarrollo, de modo que las verificaciones se ejecuten temprano y automáticamente.
Por qué los puntajes de severidad genéricos ya no funcionan
Equifax también abandonó los puntajes de severidad genéricos que asignan los proveedores a las vulnerabilidades. Koppen señala que la calificación «crítica» de un proveedor no sabe si un sistema contiene datos sensibles, está expuesto externamente o está protegido por otros controles. Equifax desarrolló su propio motor de riesgo cuantitativo que incorpora ese contexto, permitiendo a sus equipos enfocarse en los problemas que representan un riesgo real para el negocio. Bill Hunkapiller, CISO de Florida State University, está explorando servicios que crean un gemelo digital de su entorno para simular cómo los atacantes podrían explotar vulnerabilidades en su organización específica. Hunkapiller describe la capacidad como gestión de superficie de ataque en esteroides — proporciona información casi en tiempo real sobre qué vulnerabilidades representan los riesgos más significativos para FSU, permitiéndole priorizar con precisión cuáles corregir rápidamente.
El cambio responde a una realidad documentada: el informe de Verizon sobre brechas de datos de 2026 sitúa el tiempo medio para remediar vulnerabilidades conocidas explotadas en 43 días, un aumento respecto de los 32 días de 2025. Ese ritmo no es compatible con un entorno donde los atacantes operan a velocidad de máquina.
El 32% de las organizaciones ya usa IA de forma extensiva en detección de amenazas
La automatización del trabajo manual en los centros de operaciones de seguridad es otra transformación en curso. Hunkapiller ha estado implementando agentes autónomos para reemplazar tareas rutinarias de operaciones de seguridad, y sus planes para 2027 incluyen expandir el número de tareas manejadas por máquinas. El comando para los equipos de seguridad es moverse a velocidad de máquina — Hunkapiller señala que ya no es posible lidiar con ataques y vulnerabilidades manualmente, y que la IA está haciendo eso imposible. El informe State of Incident Response Readiness de Sygnia encontró que el 32% de las organizaciones tienen uso extensivo de IA en la mayoría o todas las actividades de detección de amenazas y respuesta a incidentes, un aumento respecto del 25% en 2025. El 63% espera tener uso extensivo de IA en esas actividades para 2027.
Omar Khawaja, CISO, profesor en el programa CISO de Carnegie Mellon University y miembro de la junta directiva de HITRUST y FAIR Institute, resume la situación: los CISO reconocen que necesitan transformarse porque su estado actual no está funcionando, y va a ser una transformación bastante significativa en los próximos años para que los CISO tengan éxito. Khawaja aclara que la transformación, como siempre, es un trabajo en progreso — muchos ejecutivos de seguridad todavía están resolviendo qué necesita cambiar en 2027 y cómo hacer que esos cambios sucedan. Pero la transformación no es una opción: la seguridad de la organización depende de la evolución estratégica de sus equipos de ciberseguridad.
Impacto en América Latina: dependencia de contraseñas y rezago en automatización
La eliminación de contraseñas en Equifax tiene implicancias directas para América Latina, donde la compañía opera en múltiples mercados y donde la dependencia de credenciales estáticas sigue siendo la norma en la mayoría de las organizaciones. Brasil, México, Chile y Argentina concentran operaciones significativas de Equifax en la región, y la extensión del estándar sin contraseñas a clientes B2B significa que empresas latinoamericanas que interactúan con la plataforma de Equifax deberán adaptarse a métodos de autenticación más robustos. El rezago regional en adopción de IA para operaciones de seguridad — el 32% de uso extensivo reportado por Sygnia es un promedio global que probablemente no se replica en LATAM, donde la madurez de los centros de operaciones de seguridad es menor — deja a las organizaciones locales en desventaja estructural frente a atacantes que ya operan a velocidad de máquina. La brecha no es solo tecnológica: es de ritmo operativo.
Nuestro análisis
La eliminación de contraseñas en Equifax no es una medida aislada de higiene de seguridad — es un indicador de un cambio estructural más profundo en cómo se concibe la identidad en entornos donde los agentes no humanos representan una porción creciente de la actividad. El patrón que emerge de las declaraciones de Koppen, Hunkapiller y Khawaja es consistente: los controles diseñados para usuarios humanos no escalan cuando las máquinas operan a velocidad de máquina, y los puntajes de severidad genéricos no sirven cuando el contexto organizacional determina el riesgo real. La transición de Equifax a un modelo sin contraseñas para 22.000 usuarios y su extensión a clientes B2B es un caso de implementación a escala que otros CISO estarán observando — no solo por la tecnología subyacente, sino por cómo se gestiona el cambio en una organización de ese tamaño.
Lo que todavía no está claro es qué tan rápido el resto de la industria seguirá ese camino. El aumento del tiempo medio de remediación de vulnerabilidades de 32 a 43 días entre 2025 y 2026, documentado por Verizon, sugiere que muchas organizaciones todavía operan con procesos diseñados para un ritmo que ya no existe. La brecha entre el 32% de organizaciones con uso extensivo de IA en detección de amenazas y el 63% que espera tenerlo para 2027 indica que la transformación está en curso, pero también que dos tercios de las organizaciones todavía no están ahí. ¿Qué pasa con las organizaciones que no logran cerrar esa brecha antes de que los atacantes completen su propia transición a operaciones completamente automatizadas?