La investigación revela secretos incrustados, configuraciones erróneas y accesos públicos que aumentan el riesgo de ciberataques en entornos cloud
Tenable®, empresa especializada en gestión de exposición cibernética, ha publicado su Cloud Security Risk Report 2025, donde alerta sobre el impacto de las malas configuraciones en la nube, la exposición de datos sensibles y la presencia de secretos mal almacenados que ponen en jaque la seguridad digital de miles de organizaciones.
El informe, basado en análisis de telemetría real entre octubre de 2024 y marzo de 2025, desvela que el 9 % del almacenamiento en la nube accesible públicamente contiene información sensible, y que el 97 % de esos datos están clasificados como restringidos o confidenciales.
Riesgos ocultos: secretos en lugares inseguros
Uno de los hallazgos más preocupantes del informe es el almacenamiento inadecuado de claves, contraseñas y tokens de acceso en recursos de uso habitual. Según los datos de Tenable:
- Más de la mitad de las organizaciones (54 %) guardan al menos un secreto directamente en definiciones de tareas de AWS ECS.
- En Google Cloud Run, este comportamiento se repite en el 52 % de los casos.
- En Azure Logic Apps, el 31 % de los flujos de trabajo contienen también secretos incrustados.
- El 3,5 % de las instancias EC2 analizadas tenían datos confidenciales en los metadatos de usuario.
Estos errores de configuración representan vectores de ataque directos para ciberdelincuentes que ya no necesitan vulnerabilidades complejas, sino simplemente aprovechar accesos públicos o credenciales visibles.
El trío tóxico sigue presente en la nube
Tenable identifica lo que denomina una «trilogía tóxica»: cargas de trabajo que son al mismo tiempo expuestas públicamente, vulnerables y con permisos elevados. Aunque la presencia de este tipo de combinación ha descendido del 38 % al 29 % en el último año, sigue constituyendo una amenaza crítica en entornos cloud.
Estas configuraciones suponen una vía rápida para que actores maliciosos escalen privilegios, accedan a información sensible o desaten ataques automatizados aprovechando modelos de inteligencia artificial.
Identidades en la nube: buenas prácticas, pero con matices
El informe también analiza la gestión de identidades en la nube. Un 83 % de las organizaciones en AWS utiliza proveedores de identidad (IdPs) para controlar accesos. Sin embargo, Tenable advierte que las configuraciones por defecto, los permisos excesivos y los accesos persistentes siguen exponiendo a estas organizaciones a amenazas basadas en identidad.
Ari Eitan, director de investigación en seguridad cloud de Tenable, señaló:
“Las organizaciones siguen dejando recursos críticos mal configurados y expuestos, pese a las lecciones aprendidas en incidentes anteriores. La ruta para un atacante puede ser tan sencilla como explotar un acceso público o robar una credencial incrustada.”
Hacia una gestión continua de la exposición
Entre las recomendaciones incluidas en el informe se encuentran:
- Auditar el uso de secretos en definiciones de tareas, flujos de trabajo y metadatos.
- Eliminar accesos públicos innecesarios a recursos de almacenamiento.
- Implementar la rotación automática de claves y credenciales.
- Aplicar políticas estrictas de privilegios mínimos.
- Adoptar visibilidad continua sobre identidades, datos, cargas de trabajo y recursos de IA.
El mensaje central del informe es claro: la seguridad en la nube debe ser proactiva, continua y basada en visibilidad unificada. La complejidad del entorno cloud no puede gestionarse con herramientas fragmentadas ni con medidas reactivas.
El Cloud Security Risk Report 2025 está disponible para su descarga gratuita en el sitio web oficial de Tenable: Tenable Cloud Security Risk Report 2025
