--- id: CP-235 slug: honeypot-honeytoken-canarytokens-senuelos lang: es title: "Honeypots y honeytokens: trampas para detectar al intruso" description: "Servidor falso, documento falso, clave de acceso falsa: qué son los señuelos de seguridad y qué debe hacer el empleado si se topa con uno." canonical_url: https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos/ markdown_url: https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, «Honeypots y honeytokens: trampas para detectar al intruso», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-078 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos/ fr: https://startbrain.io/cyberpedia/fr/articles/honeypot-honeytoken-canarytokens/ en: https://startbrain.io/cyberpedia/en/articles/honeypot-honeytoken-canarytokens-traps/ de: https://startbrain.io/cyberpedia/de/articles/honeypot-honeytoken-canarytokens-koeder/ it: https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche/ sources: - "n": 1 title: honeypot - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/honeypot accessed: "2026-11-03" - "n": 2 title: Building a Security Operations Centre (SOC) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/building-a-security-operations-centre published: "2022-05-23" accessed: "2026-11-03" - "n": 3 title: "Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1552/001/ accessed: "2026-11-03" - "n": 4 title: File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1083/ accessed: "2026-11-03" - "n": 5 title: Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 6 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 7 title: CHAPITRE II - Principes publisher: CNIL url: https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 accessed: "2026-11-03" - "n": 8 title: Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1042/ accessed: "2026-11-03" --- # Honeypots y honeytokens: trampas para detectar al intruso Un honeypot es un señuelo. El glosario del NIST lo define como un sistema (por ejemplo, un servidor web) o un recurso de un sistema (por ejemplo, un archivo en un servidor) diseñado para resultar atractivo a piratas informáticos e intrusos, «like honey is attractive to bears» [1]. En esta ficha, «honeytoken» designa la misma idea a menor escala: un dato sin uso real, como un identificador falso o una clave de acceso falsa, colocado donde un intruso lo encuentre. Las fuentes citadas aquí no definen este término. Para un empleado, estas trampas suelen pasar inadvertidas. Sirven a la seguridad de la empresa, que las instala y las vigila. Esta ficha explica el principio, lo que se espera de cada persona si un señuelo aparece en su camino y los defectos que vuelven estos dispositivos inútiles o peligrosos. ## En 30 segundos - Dónde ocurre: en sistemas, archivos o cuentas que el equipo de seguridad ha colocado a propósito, sin que los empleados tengan que ocuparse de ellos. - Lo que quiere el atacante: encontrar contraseñas, claves o tokens de acceso. El señuelo le ofrece justo eso, pero no lleva a ninguna parte. - El reflejo: no tocar un señuelo, no instalar nunca uno por su cuenta y avisar a seguridad de cualquier mensaje de alerta o archivo sospechoso. - Si ya lo ha hecho: avise a seguridad sin esperar, indicando qué se abrió y en qué momento. ## Preguntas directas ### ¿Para qué sirve un señuelo? Sirve para detectar una intrusión. El NCSC británico recuerda que el objetivo principal de la ciberseguridad es impedir los ataques [2]. Eso no siempre es posible [2]. La función de un centro de operaciones de seguridad (SOC) es limitar los daños detectando y tratando los ataques que eluden los controles preventivos [2]. Un señuelo es un medio de detección entre otros: se suma a las protecciones que bloquean, no las sustituye. ### ¿Por qué cae un intruso en la trampa? Porque busca precisamente lo que el señuelo imita. MITRE describe adversarios que rastrean los sistemas de archivos locales y los recursos compartidos de red en busca de archivos con credenciales mal protegidas [3]. Pueden ser archivos creados por usuarios para anotar sus contraseñas, archivos de configuración que contienen contraseñas o código fuente con contraseñas incrustadas [3]. Esos mismos adversarios pueden enumerar archivos y carpetas para decidir cómo seguir [4]. Un falso archivo de contraseñas, colocado en el lugar adecuado, parece un hallazgo. ### ¿Puede un empleado activar un señuelo por error? Es posible, y esta ficha no puede decir con qué frecuencia: las fuentes del expediente no lo documentan. La regla es, por tanto, sencilla. Un archivo, una cuenta o un recurso compartido que no tenga relación con su trabajo no se abre por curiosidad. Si lo ha abierto, dígaselo a seguridad en lugar de callarlo. ### ¿Debe un empleado instalar un señuelo en su casa o en su ordenador? No. Un señuelo mal colocado puede crear un problema en lugar de resolver uno. La elección de la ubicación, del aislamiento y de la vigilancia corresponde al equipo de seguridad. ## Cómo funciona Hay tres grandes familias de señuelos, que esta ficha distingue a partir de los ejemplos del glosario del NIST [1] y de las fichas de MITRE [3][5]. - El servidor o sistema falso: es el honeypot en el sentido del NIST, un sistema atractivo para el intruso [1]. - El documento o archivo falso: un recurso colocado en un servidor, que el NIST también incluye en la definición de honeypot [1]. - El token falso o la clave de acceso falsa: un token de aplicación sirve para hacer solicitudes autorizadas en nombre de un usuario o de un servicio, y es habitual en aplicaciones en la nube y en contenedores [5]. Un adversario que roba esos tokens puede acceder a los datos y actuar con los derechos de las cuentas afectadas [5]. Un token señuelo, según el razonamiento de la ficha, atraería el mismo interés. El principio de la alerta se basa en el uso: el señuelo no cumple ninguna función en el trabajo diario, de modo que cualquier contacto con él merece examinarse. Las fuentes del expediente no detallan el funcionamiento técnico de las herramientas comerciales, y esta ficha no lo describe. El mismo razonamiento vale para las cuentas. MITRE señala que las cuentas en la nube, creadas por una organización para sus usuarios, sus servicios o la administración, son objetivos [6]. Un adversario puede atacarlas por fuerza bruta o mediante phishing [6]. Una cuenta falsa podría servir de cebo en este terreno, según el razonamiento de la ficha. ## Lo que usted hace - No toque lo que no le concierne. Un archivo llamado «contraseñas» en una carpeta compartida que usted nunca usa no es una oportunidad que aprovechar. - No copie, no pruebe ni comparta ningún identificador, clave o token encontrado por casualidad. - Avise a seguridad de cualquier mensaje de alerta inesperado y de cualquier archivo o cuenta sospechosa, con el nombre, la ubicación y la hora. - No instale un señuelo por su cuenta, ni en un equipo ni en un espacio en la nube. - No guarde sus propias contraseñas en un archivo: MITRE cita precisamente esos archivos entre los que buscan los adversarios [3]. ## Las trampas ### El señuelo demasiado fácil de reconocer Un documento falso burdo, con un nombre demasiado evidente, no engaña a nadie. Las fuentes del expediente no dicen cómo lograr un señuelo creíble: el punto solo se señala aquí, sin instrucciones técnicas. ### La alerta ignorada Detectar no sirve de nada si nadie reacciona. El NCSC describe el SOC como un conjunto que detecta y responde [2]. Su guía trata tanto la detección como la respuesta a incidentes [2]. ### El señuelo mal aislado Las fuentes del expediente no tratan el aislamiento de un señuelo respecto al resto de la red. En cambio, MITRE recomienda, en general, reducir la superficie de ataque eliminando el software, las funciones y los servicios innecesarios [8], lo que vale también para un señuelo olvidado. ### Los datos personales recogidos sin un marco Si un señuelo registra lo que hace una persona, pueden aplicarse las normas sobre datos personales. El RGPD, en su artículo 5, exige que se traten de manera lícita, leal y transparente [7]. Deben recogerse con fines determinados, explícitos y legítimos [7]. También deben limitarse a lo necesario [7]. Asimismo exige una seguridad adecuada del tratamiento [7]. Un dispositivo de vigilancia sin finalidad clara ni información a las personas se aparta de estos principios. ### La cuenta en la nube convertida en objetivo Una cuenta en la nube sincronizada con los sistemas internos puede abrir el camino hacia la propia empresa: MITRE precisa que las cuentas federadas o sincronizadas pueden permitir actuar a la vez sobre los sistemas internos y sobre la nube [6]. La ficha deduce de ello que una cuenta falsa de este tipo debería aislarse como una cuenta sensible. ## Fuentes 1. NIST, «honeypot - Glossary | CSRC». https://csrc.nist.gov/glossary/term/honeypot (consultado el 3 de noviembre de 2026) 2. NCSC (Royaume-Uni), «Building a Security Operations Centre (SOC)», 23 de mayo de 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1552/001/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1083/ (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1528/ (consultado el 3 de noviembre de 2026) 6. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado el 3 de noviembre de 2026) 7. CNIL, «CHAPITRE II - Principes». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (consultado el 3 de noviembre de 2026) 8. MITRE ATT&CK, «Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1042/ (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.