Honeypots y honeytokens: trampas para detectar al intruso
Servidor falso, documento falso, clave de acceso falsa: qué son los señuelos de seguridad y qué debe hacer el empleado si se topa con uno.
En 30 segundos
- Dónde ocurre
- En sistemas, archivos o cuentas que el equipo de seguridad ha colocado a propósito, sin que los empleados tengan que ocuparse de ellos.
- Lo que quiere el atacante
- Encontrar contraseñas, claves o tokens de acceso. El señuelo le ofrece justo eso, pero no lleva a ninguna parte.
- El reflejo
- No tocar un señuelo, no instalar nunca uno por su cuenta y avisar a seguridad de cualquier mensaje de alerta o archivo sospechoso.
- Si ya lo ha hecho
- Avise a seguridad sin esperar, indicando qué se abrió y en qué momento.
De qué se trata
Un honeypot es un señuelo. El glosario del NIST lo define como un sistema (por ejemplo, un servidor web) o un recurso de un sistema (por ejemplo, un archivo en un servidor) diseñado para resultar atractivo a piratas informáticos e intrusos, «like honey is attractive to bears»1. En esta ficha, «honeytoken» designa la misma idea a menor escala: un dato sin uso real, como un identificador falso o una clave de acceso falsa, colocado donde un intruso lo encuentre. Las fuentes citadas aquí no definen este término.
Para un empleado, estas trampas suelen pasar inadvertidas. Sirven a la seguridad de la empresa, que las instala y las vigila. Esta ficha explica el principio, lo que se espera de cada persona si un señuelo aparece en su camino y los defectos que vuelven estos dispositivos inútiles o peligrosos.
Preguntas directas
¿Para qué sirve un señuelo?
Sirve para detectar una intrusión. El NCSC británico recuerda que el objetivo principal de la ciberseguridad es impedir los ataques2. Eso no siempre es posible2. La función de un centro de operaciones de seguridad (SOC) es limitar los daños detectando y tratando los ataques que eluden los controles preventivos2. Un señuelo es un medio de detección entre otros: se suma a las protecciones que bloquean, no las sustituye.
¿Por qué cae un intruso en la trampa?
Porque busca precisamente lo que el señuelo imita. MITRE describe adversarios que rastrean los sistemas de archivos locales y los recursos compartidos de red en busca de archivos con credenciales mal protegidas3. Pueden ser archivos creados por usuarios para anotar sus contraseñas, archivos de configuración que contienen contraseñas o código fuente con contraseñas incrustadas3. Esos mismos adversarios pueden enumerar archivos y carpetas para decidir cómo seguir4. Un falso archivo de contraseñas, colocado en el lugar adecuado, parece un hallazgo.
¿Puede un empleado activar un señuelo por error?
Es posible, y esta ficha no puede decir con qué frecuencia: las fuentes del expediente no lo documentan. La regla es, por tanto, sencilla. Un archivo, una cuenta o un recurso compartido que no tenga relación con su trabajo no se abre por curiosidad. Si lo ha abierto, dígaselo a seguridad en lugar de callarlo.
¿Debe un empleado instalar un señuelo en su casa o en su ordenador?
No. Un señuelo mal colocado puede crear un problema en lugar de resolver uno. La elección de la ubicación, del aislamiento y de la vigilancia corresponde al equipo de seguridad.
1Cómo funciona2 min
Hay tres grandes familias de señuelos, que esta ficha distingue a partir de los ejemplos del glosario del NIST1 y de las fichas de MITRE35.
- El servidor o sistema falso: es el honeypot en el sentido del NIST, un sistema atractivo para el intruso1.
- El documento o archivo falso: un recurso colocado en un servidor, que el NIST también incluye en la definición de honeypot1.
- El token falso o la clave de acceso falsa: un token de aplicación sirve para hacer solicitudes autorizadas en nombre de un usuario o de un servicio, y es habitual en aplicaciones en la nube y en contenedores5. Un adversario que roba esos tokens puede acceder a los datos y actuar con los derechos de las cuentas afectadas5. Un token señuelo, según el razonamiento de la ficha, atraería el mismo interés.
El principio de la alerta se basa en el uso: el señuelo no cumple ninguna función en el trabajo diario, de modo que cualquier contacto con él merece examinarse. Las fuentes del expediente no detallan el funcionamiento técnico de las herramientas comerciales, y esta ficha no lo describe.
El mismo razonamiento vale para las cuentas. MITRE señala que las cuentas en la nube, creadas por una organización para sus usuarios, sus servicios o la administración, son objetivos6. Un adversario puede atacarlas por fuerza bruta o mediante phishing6. Una cuenta falsa podría servir de cebo en este terreno, según el razonamiento de la ficha.
2Lo que usted hace1 min
- No toque lo que no le concierne. Un archivo llamado «contraseñas» en una carpeta compartida que usted nunca usa no es una oportunidad que aprovechar.
- No copie, no pruebe ni comparta ningún identificador, clave o token encontrado por casualidad.
- Avise a seguridad de cualquier mensaje de alerta inesperado y de cualquier archivo o cuenta sospechosa, con el nombre, la ubicación y la hora.
- No instale un señuelo por su cuenta, ni en un equipo ni en un espacio en la nube.
- No guarde sus propias contraseñas en un archivo: MITRE cita precisamente esos archivos entre los que buscan los adversarios3.
3Las trampas2 min
El señuelo demasiado fácil de reconocer
Un documento falso burdo, con un nombre demasiado evidente, no engaña a nadie. Las fuentes del expediente no dicen cómo lograr un señuelo creíble: el punto solo se señala aquí, sin instrucciones técnicas.
La alerta ignorada
Detectar no sirve de nada si nadie reacciona. El NCSC describe el SOC como un conjunto que detecta y responde2. Su guía trata tanto la detección como la respuesta a incidentes2.
El señuelo mal aislado
Las fuentes del expediente no tratan el aislamiento de un señuelo respecto al resto de la red. En cambio, MITRE recomienda, en general, reducir la superficie de ataque eliminando el software, las funciones y los servicios innecesarios8, lo que vale también para un señuelo olvidado.
Los datos personales recogidos sin un marco
Si un señuelo registra lo que hace una persona, pueden aplicarse las normas sobre datos personales. El RGPD, en su artículo 5, exige que se traten de manera lícita, leal y transparente7. Deben recogerse con fines determinados, explícitos y legítimos7. También deben limitarse a lo necesario7. Asimismo exige una seguridad adecuada del tratamiento7. Un dispositivo de vigilancia sin finalidad clara ni información a las personas se aparta de estos principios.
La cuenta en la nube convertida en objetivo
Una cuenta en la nube sincronizada con los sistemas internos puede abrir el camino hacia la propia empresa: MITRE precisa que las cuentas federadas o sincronizadas pueden permitir actuar a la vez sobre los sistemas internos y sobre la nube6. La ficha deduce de ello que una cuenta falsa de este tipo debería aislarse como una cuenta sensible.
Ficha
- Identificador
- CP-235
- Ala
- 3. Protocolos y defensa
- Competencia Brain
- Navegar con seguridad (browse_safely)
- Reflejo Brain
- cr-078
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 8 fuentes verificadas el 3 de noviembre de 2026
Fuentes8 fuentes
- NIST, «honeypot - Glossary | CSRC». https://csrc.nist.gov/glossary/term/honeypot (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Building a Security Operations Centre (SOC)», 23 de mayo de 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1552/001/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1083/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1528/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado el 3 de noviembre de 2026)
- CNIL, «CHAPITRE II - Principes». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1042/ (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Honeypots y honeytokens: trampas para detectar al intruso», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp235_es_2026,
author = {Brain},
title = {Honeypots y honeytokens: trampas para detectar al intruso},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/honeypot-honeytoken-canarytokens-senuelos/},
note = {CC BY 4.0}
}