--- id: CP-365 slug: seguridad-fisica-credenciales-visitantes lang: es title: Credenciales, visitantes y puertas cortafuegos description: "Un desconocido vestido de técnico, una puerta sujetada por cortesía: cómo entra la ingeniería social en los locales y qué hacer." canonical_url: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ markdown_url: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Credenciales, visitantes y puertas cortafuegos», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-084 schema: G5 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ fr: https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ en: https://startbrain.io/cyberpedia/en/articles/physical-security-badges-visitors/ de: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ it: https://startbrain.io/cyberpedia/it/articles/sicurezza-fisica-badge-visitatori/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" - "n": 6 title: SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" --- # Credenciales, visitantes y puertas cortafuegos Una intrusión no siempre pasa por una pantalla. Puede empezar en la entrada del edificio, con una persona que parece tener motivos para estar allí: ropa de técnico, un paquete en los brazos, una credencial de aspecto correcto. Lo que abre la puerta no es un fallo técnico, es la confianza de un empleado. Esta ficha explica cómo funciona este engaño y qué puede hacer cada persona, desde su puesto, para recibir a un visitante sin dejar entrar a un desconocido. Las fuentes citadas aquí tratan sobre todo de la ingeniería social en general y del acceso mediante equipos conectados en el lugar [3]. Los gestos de acogida que se describen más abajo son reglas de sentido común que conviene contrastar con las instrucciones de su empresa. ## En 30 segundos - Dónde ocurre: en la entrada de los locales, en las puertas de acceso controlado, en recepción y en las oficinas cuando un «proveedor» circula solo. - Lo que quiere el atacante: entrar, observar, colocar un dispositivo [3] u obtener información [4] aprovechando la cortesía de los empleados. - El reflejo: no deje pasar a nadie a quien no conozca, compruébelo con la persona esperada y lleve al desconocido a recepción. - Si ya ha ocurrido: avise a seguridad o al equipo de seguridad sin esperar, aunque no esté seguro de nada. ## Preguntas directas ### ¿Por qué se habla de ingeniería social en una intrusión física? Porque el procedimiento es el mismo que con un correo trampa: engañar a una persona. La CISA describe al atacante que usa la interacción humana para obtener información sobre una organización o sus sistemas [1]. Puede parecer «unassuming and respectable» (discreto y respetable) y hacerse pasar por un empleado nuevo, un reparador o un investigador, a veces mostrando identificaciones como respaldo [1]. ### ¿Quién puede presentarse en la puerta? Por ejemplo, proveedores. MITRE señala que las organizaciones suelen dar un acceso amplio a proveedores externos, entre ellos subcontratistas de infraestructura como la calefacción y el aire acondicionado, los ascensores o la seguridad física [2]. Un visitante con ropa de oficio es, por tanto, una situación habitual, y eso hace creíble el engaño. ### ¿Qué busca quien entra sin haber sido invitado? Según MITRE, un adversario puede introducir físicamente accesorios, equipos de red u otros dispositivos en un sistema o una red para usarlos como vía de acceso [3]. MITRE describe también el phishing para obtener información como un intento de hacer que se revelen datos, a menudo credenciales [4]. Entre sus medios menciona el uso de varios mensajes de apariencia urgente [4]. ### ¿Qué hacer ante una persona desconocida sin acompañante? La CISA recomienda desconfiar de las llamadas, visitas o correos no solicitados de personas que preguntan por los empleados o por información interna [1]. Si el desconocido dice representar a una organización legítima, aconseja verificar su identidad directamente con esa organización [1]. En concreto, se rechaza con educación dejarlo pasar, se le lleva a recepción y se avisa a seguridad. ### ¿Una credencial olvidada o perdida supone realmente un problema? Las fuentes citadas aquí no tratan las credenciales perdidas. El principio sigue siendo sencillo: una credencial abre puertas a quien la lleva, sea quien sea. Comunique la pérdida de inmediato, para que se pueda cortar el acceso. ## Cómo funciona Una intrusión por ingeniería social se apoya en la credibilidad. La CISA explica que, si el atacante no obtiene suficiente información de una persona, puede contactar con otra de la misma organización y apoyarse en lo que dijo la primera para parecer más fiable [1]. Un empleado que confirma «sí, lo esperan» sin haberlo comprobado sirve así de aval al desconocido para lo que venga después. La CISA recuerda que cada miembro de la comunidad, compañeros incluidos, es «the first line of defense» para la seguridad [5]. El NIST incluye la protección física y ambiental entre las familias de controles de su catálogo SP 800-53, junto a la concienciación y la formación [6]. Es decir, las puertas, las credenciales y la formación de las personas forman parte del mismo dispositivo de seguridad que las contraseñas. ## Lo que usted hace Las acciones siguientes son prácticas de prudencia. Solo la verificación de identidad ante la organización afectada cuenta con el respaldo de las fuentes citadas aquí [1]. - Reciba al visitante en recepción, no en un pasillo, y acompáñelo desde el principio hasta el final de su visita, hasta la salida. - Compruebe su identidad y su credencial con la persona que lo espera, usando un número que ya conozca, no el que le da el visitante. - No sujete la puerta a una persona que no conoce, aunque lleve cajas. Ofrézcase a acompañarla a recepción. - No preste nunca su credencial y no deje que un compañero o un proveedor la use en su lugar. - Comunique de inmediato una credencial perdida u olvidada, sin esperar al día siguiente. - No bloquee nunca una puerta cortafuegos en posición abierta ni la desbloquee por comodidad. Si estorba, avise a seguridad. - Si un desconocido circula solo, pregúntele con cortesía a quién viene a ver y después llévelo a recepción o alerte a seguridad. ## Las trampas Tres resortes se repiten en los relatos de ingeniería social. Las fuentes citadas aquí documentan los dos primeros para otros canales distintos de la puerta de entrada, pero también valen en recepción. - La urgencia fingida. MITRE señala el envío de varios mensajes de apariencia urgente para empujar al objetivo a responder [4]. En la entrada, esto se convierte en un «llego tarde, el equipo me espera». - La falsa legitimidad. La CISA indica que el atacante puede decir que es reparador y presentar identificaciones como respaldo [1]. Una ropa de trabajo y una credencial no prueban nada mientras la persona esperada no lo haya confirmado. - La cortesía. Las fuentes citadas aquí no la mencionan. Sin embargo, lleva a dejar pasar a alguien para no incomodarlo. Negarse con amabilidad no es una falta. Otra trampa está en lo que no se ve: un pequeño dispositivo colocado bajo una mesa o conectado a una toma de red. MITRE cita entre las capacidades de este equipo la escucha pasiva de la red, la modificación del tráfico, la inyección de pulsaciones de teclado y la adición de puntos de acceso inalámbricos [3]. Un dispositivo desconocido o un cable que no debería estar ahí se comunica, no se desconecta por cuenta propia. ## Casos reales ### DarkVishnya, bancos atacados mediante conexión directa MITRE cita al grupo DarkVishnya, que conectó físicamente dispositivos (un Bash Bunny, una Raspberry Pi, netbooks y portátiles baratos) en el entorno de la organización objetivo para acceder a su red local [3]. MITRE remite a un análisis fechado el 6 de diciembre de 2018, titulado «DarkVishnya: Banks attacked through direct connection to local network» [3]. Las fuentes citadas aquí no precisan cómo se introdujeron los dispositivos en los locales. MITRE precisa también que los usos documentados públicamente por actores maliciosos son escasos, mientras que muchos equipos de pruebas de intrusión utilizan estas adiciones de equipos como primer acceso [3]. ## Fuentes 1. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026) 2. MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado el 3 de noviembre de 2026) 5. CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultado el 3 de noviembre de 2026) 6. NIST, «SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC». https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.