Cuando un actor de amenazas accede a su red utilizando un nombre de usuario y contraseña legítimos, ¿qué control lo detiene? Para la mayoría de las instituciones financieras, la respuesta honesta es: nada lo detecta de inmediato. El atacante parece un usuario autorizado. Se mueve lateralmente, escala privilegios y cartografía sistemas críticos durante un promedio de 186 días antes de que la infracción sea identificada, y otros 55 días para contenerla, según el informe Cost of a Data Breach de IBM (2025). Para entonces, el daño operativo está hecho y el reloj regulatorio ya ha comenzado.

El 17 de enero de 2025, el Reglamento de Resiliencia Operativa Digital (DORA) entró en aplicación en toda la UE. El Artículo 9 de la normativa convierte la seguridad de las credenciales en un control de riesgo financiero vinculante, con consecuencias supervisoras para las instituciones que incumplan. La pregunta ya no es si su postura de autenticación cumple con las mejores prácticas, sino si cumple con la ley y si puede demostrarlo.

Este artículo traza los requisitos específicos del Artículo 9 que rigen la gestión de credenciales, explica por qué una contraseña comprometida es un fallo de resiliencia operativa bajo el marco de DORA, y describe los controles prácticos que cierran la brecha.

La amenaza que DORA fue diseñado para contrarrestar

Las credenciales robadas son el mayor vector de acceso inicial en 2025, representando el 22% de todas las filtraciones de datos, según el Informe de Investigaciones de Filtraciones de Datos de Verizon. Para las instituciones financieras, el costo específico del sector de esa exposición promedia 5,56 millones de dólares por incidente, según el informe de IBM, una cifra que, aunque inferior a los 6,08 millones de 2024, sigue siendo la segunda más alta de cualquier industria a nivel mundial. La oferta de credenciales robadas se ha industrializado por completo. Los corredores de acceso inicial venden acceso verificado a redes corporativas por un promedio de 2.700 dólares, y el 71% de los listados incluye credenciales privilegiadas, según investigaciones de Rapid7. Infostealers como Lumma, RisePro, StealC, Vidar y RedLine automatizan la recolección de credenciales a gran escala. Los datos de IBM X-Force muestran que su entrega mediante phishing aumentó un 84% interanual en 2024, y los datos de 2025 apuntan a una trayectoria aún más pronunciada. El Artículo 9 de DORA existe precisamente para interrumpir esta cadena.

Lo que realmente exige el Artículo 9 de DORA

El Artículo 9 de DORA, titulado «Protección y prevención», se encuadra dentro del marco de gestión de riesgos TIC exigido por el Artículo 6. Establece obligaciones técnicas y procedimentales específicas que las entidades financieras deben implementar. Dos disposiciones son directamente relevantes para la gestión de credenciales. El Artículo 9(4)(c) exige que las entidades financieras «implementen políticas que limiten el acceso físico o lógico a los activos de información y activos TIC a lo estrictamente necesario para funciones y actividades legítimas y aprobadas». Este es el principio de privilegio mínimo, expresado como obligación legal. El Artículo 9(4)(d) va más allá y exige que las entidades «implementen políticas y protocolos para mecanismos de autenticación sólidos, basados en normas relevantes y sistemas de control dedicados, y medidas de protección de claves criptográficas mediante las cuales los datos se cifren con base en los resultados de procesos aprobados de clasificación de datos y evaluación de riesgos TIC».

En términos operativos: la autenticación multifactor (MFA) es obligatoria. La referencia a «normas relevantes» apunta directamente a FIDO2/WebAuthn, el estándar de autenticación más ampliamente desplegado actualmente resistente a los kits de phishing Adversary-in-the-Middle (AiTM), que pueden eludir la MFA basada en SMS y TOTP en tiempo real. La gestión de claves criptográficas es un requisito regulatorio. Las herramientas de gestión de accesos privilegiados (PAM) no se mencionan explícitamente en el reglamento, pero los controles que ofrecen se corresponden directamente con los requisitos del Artículo 9: grabación de sesiones, aprovisionamiento de acceso just-in-time (JIT) y almacenamiento seguro de credenciales privilegiadas son precisamente los «sistemas de control dedicados» que describe la normativa. Las instituciones que no hayan desplegado estos controles se enfrentan a una brecha de cumplimiento sobre la que los supervisores pueden actuar.

El compromiso de credenciales como fallo de resiliencia operativa

El propósito declarado de DORA es garantizar que las entidades financieras puedan resistir, responder y recuperarse de las interrupciones TIC. Un compromiso de credenciales se ve de forma completamente diferente bajo ese prisma que bajo el de un incidente de seguridad. Con un tiempo de permanencia medio de 186 días, una credencial comprometida no produce un evento de seguridad discreto, sino una amenaza sostenida e invisible para la continuidad operativa: un atacante que se mueve lateralmente, escala privilegios y cartografía sistemas críticos mientras aparece como un usuario legítimo. Es una amenaza directa a la continuidad operativa que DORA está diseñado para proteger.

La filtración del registro bancario nacional de Francia en enero de 2026 hizo concretos los mecanismos. Un actor de amenazas obtuvo las credenciales de un único funcionario con acceso a Ficoba, la base de datos interministerial que contiene registros de todas las cuentas bancarias abiertas en Francia. Utilizando solo esa cuenta, el atacante accedió y extrajo datos de 1,2 millones de cuentas bancarias, incluidos IBAN, nombres y direcciones de los titulares de las cuentas, y números de identificación fiscal. El sistema afectado fue desconectado, las operaciones del registro se interrumpieron y el incidente se notificó a la autoridad de protección de datos francesa, la CNIL. El ataque no requirió sofisticación técnica. Bajo DORA, un incidente de esa magnitud en una entidad financiera activaría obligaciones de notificación en virtud del Artículo 19: una notificación inicial dentro de las 4 horas desde la clasificación (y a más tardar 24 horas después de la detección), un informe intermedio en un plazo de 72 horas y un informe final en un mes.

La dimensión de terceros: las credenciales de proveedores son sus credenciales

El Capítulo V de DORA impone obligaciones explícitas a las entidades financieras en relación con el riesgo de terceros TIC. El perímetro de cumplimiento no se detiene en los propios sistemas de la institución. La filtración de Santander en mayo de 2024 es el punto de referencia europeo. Los atacantes utilizaron credenciales robadas a empleados de Snowflake para acceder a una base de datos que contenía datos de clientes y empleados en España, Chile y Uruguay. Las credenciales habían sido recolectadas meses antes por malware infostealer que infectaba las estaciones de trabajo de los contratistas. Ninguna de las cuentas comprometidas de Snowflake tenía habilitada la autenticación multifactor. El punto de entrada no estaba dentro de Santander, sino en la débil postura de autenticación de un proveedor, y expuso datos de uno de los mayores bancos de Europa sin necesidad de escribir un solo exploit. Bajo DORA, una institución financiera cuyo proveedor crítico de TIC sufra una filtración basada en credenciales se enfrenta a una exposición regulatoria directa. Las instituciones deben exigir contractualmente estándares de autenticación equivalentes a sus proveedores y auditar el cumplimiento de esos requisitos. La brecha en la política de contraseñas de un proveedor no es solo un problema del proveedor, sino la responsabilidad regulatoria de la entidad financiera.

Construyendo una gestión de credenciales conforme a DORA

Cumplir con los requisitos del Artículo 9 exige un programa estructurado en cuatro áreas. Primero, implementar MFA resistente a phishing: autenticación basada en FIDO2/WebAuthn (llaves de seguridad de hardware, passkeys, autenticadores de plataforma). Las contraseñas de un solo uso por SMS y TOTP no son adecuadas frente a las técnicas de ataque actuales. Es obligatorio aplicar MFA resistente a phishing para todos los usuarios, con especial rigor en cuentas privilegiadas y accesos remotos. Segundo, aplicar el principio de privilegio mínimo: el aprovisionamiento JIT, que concede acceso elevado solo durante la duración de una tarea específica, elimina los privilegios permanentes que hacen tan dañino el robo de credenciales. Las cuentas deben desactivarse inmediatamente al terminar la relación laboral; las cuentas inactivas son uno de los vectores de ataque más comunes y evitables. Tercero, almacenar todas las credenciales en una bóveda segura: las contraseñas de cuentas de servicio, claves API y credenciales privilegiadas deben guardarse en una bóveda de credenciales cifrada y con control de acceso. La gestión manual de credenciales a gran escala es operativamente inviable y no genera un rastro de auditoría. Un gestor de contraseñas empresarial como Passwork, desplegado on-premise dentro de la propia infraestructura de la institución, proporciona el almacenamiento cifrado, los controles de acceso granular y el historial completo de actividad que exige el Artículo 9. Cuarto, monitorizar continuamente: los comportamientos anómalos de inicio de sesión (ubicaciones inusuales, accesos fuera de horario, patrones de movimiento lateral) deben activar alertas automáticas. Reducir el tiempo de permanencia medio de 186 días es la palanca más eficaz para reducir tanto la exposición financiera como las obligaciones de notificación de incidentes de DORA. Los cuatro controles dependen del mismo fundamento: cómo se almacenan, comparten, acceden y monitorizan las credenciales. Sin estructura en esa capa, incluso las políticas bien diseñadas fallan en la ejecución.

Cómo Passwork apoya el cumplimiento de DORA en la práctica

Passwork es un gestor de contraseñas corporativo certificado según ISO/IEC 27001 y disponible como despliegue autogestionado, lo que significa que sus datos de credenciales nunca salen de su propia infraestructura. Para las entidades financieras que navegan por las obligaciones de la cadena de suministro del Capítulo V de DORA, esa distinción importa: un almacén de credenciales SaaS de terceros introduce exactamente el tipo de dependencia TIC que la normativa exige gobernar. Para las instituciones que trabajan con los cuatro controles anteriores, Passwork aborda la dimensión de gestión de credenciales de cada uno. Ofrece aplicación de MFA en toda la capa de credenciales, con soporte nativo para MFA biométrica, passkeys y llaves de seguridad, además de integración SAML SSO y LDAP para entornos empresariales. El control de acceso basado en roles y el privilegio mínimo se implementan mediante permisos asignados a nivel de bóveda y carpeta, heredados de grupos de AD o LDAP, y actualizados automáticamente con los cambios en el directorio. La desvinculación de un empleado revoca el acceso a las credenciales compartidas en una sola operación, registrada y con marca de tiempo, generando la evidencia que un investigador solicitará en virtud del Artículo 9(4)(c). Passwork proporciona un inventario estructurado y buscable de todas las credenciales organizativas, incluidas las cuentas administrativas compartidas, y el intercambio seguro de bóvedas cifradas reemplaza los canales informales que no dejan rastro de auditoría y no pueden revocarse. Todos los accesos a credenciales, cambios de permisos, restablecimientos de contraseñas y eventos de uso compartido se registran en un registro a prueba de manipulaciones, exportable para informes de cumplimiento e integrable con sistemas SIEM. Un historial de actividad estructurado es una respuesta sustancialmente más sólida ante un regulador que un documento de política por sí solo. El cumplimiento de DORA es tanto un problema de evidencia como técnico; las instituciones que navegan la supervisión con mayor eficacia son aquellas que pueden producir documentación bajo demanda.

Actúe antes de la auditoría

DORA ha convertido la gestión de credenciales de una buena práctica de seguridad en un control de riesgo financiero vinculante. Los Artículos 9(4)(c) y 9(4)(d) son explícitos: el acceso con privilegio mínimo, la autenticación sólida y la protección de claves criptográficas son obligaciones legales para toda entidad financiera que opere en la UE. La resiliencia operativa comienza con la identidad, y la identidad comienza con controlar quién tiene las llaves. Audite sus controles de credenciales con respecto al Artículo 9, documente los hallazgos y tenga la evidencia lista antes de que un regulador la solicite. Bajo DORA, la ausencia de documentación es en sí misma un hallazgo. Passwork está diseñado exactamente para esta situación: un gestor de contraseñas autogestionado que mantiene los datos de credenciales dentro de su propia infraestructura, aplica MFA en todos los puntos de acceso y genera registros de auditoría a prueba de manipulaciones que convierten una conversación de cumplimiento de una responsabilidad en una demostración. Certificado ISO/IEC 27001, con integración LDAP y SAML SSO para entornos empresariales.