Un ingeniero bloqueó 3,000 equipos de su propia empresa: cómo cortar accesos cuando se va tu encargado de sistemas o tu proveedor TI

El 6 de octubre de 2026 BleepingComputer reportó la sentencia a un ingeniero que, tras un pleito laboral, bloqueó más de 3,000 dispositivos en la red de su propio empleador. El mismo día, The Hacker News contó que el FBI retiró a un contratista de Accenture porque un parche sin aplicar terminó en la brecha de ShinyHunters.

Dos historias, una moraleja: si una sola persona tiene todas las llaves de tu red, tu empresa depende de su humor. Así se pasa ese peso de una persona a un proceso.

Dos noticias, un mismo problema

En seguridad le dicen factor camión: cuántas personas tienen que faltar para que la operación se pare. En muchas pymes mexicanas la respuesta es una: el de sistemas sabe la clave del router, del servidor y del grabador de cámaras, y la guarda en la cabeza.

En nuestra experiencia el riesgo casi nunca es malicia. Es que nadie sabe quién tiene qué acceso, y cuando esa persona se va, nadie se lo quita.

Primero, el inventario de accesos privilegiados

Siéntate una tarde con tu encargado y llena algo así:

Sistema	Si lo controla la persona equivocada	Pregunta hoy
Dominio Windows	Bloquea PCs y cambia claves de todos	¿Cuántos admins hay?
Firewall y router	Corta internet, VPN y cámaras	¿Quién tiene la clave?
Microsoft 365 o Google	Lee y borra el correo de todos	¿Hay admin que no sea el técnico?
NVR Hikvision	Borra la vigilancia	¿Sigue con clave de fábrica?
Hosting, dominio y DNS	Tira el sitio y desvía el correo	¿A nombre de quién está?
Banca y SAT (e.firma)	Paga, factura y recibe avisos	¿Quién guarda la e.firma?

Si en alguna fila la respuesta es “solo Juan” o “el proveedor anterior, creo”, ahí empiezas.

Cuentas con nombre, MFA y bóveda de la empresa

Tres reglas resuelven la mitad del problema.

Cada administrador usa una cuenta con su nombre. Nada de un usuario admin compartido entre tres personas y el proveedor: cuando alguien se va, no puedes quitárselo sin cambiar la clave a todos.

Toda cuenta privilegiada lleva MFA, la verificación en dos pasos con una app en el celular. Y ese celular debe ser uno al que la empresa pueda llegar, no el personal del técnico.

Las contraseñas viven en una bóveda de la empresa, un gestor cifrado donde la dirección tiene la llave maestra. El técnico recibe acceso a la bóveda; la bóveda no es suya.

El checklist de salida del mismo día

Cuando alguien con accesos se va, por su gusto o no, esto se hace ese mismo día:

1. Deshabilitar su cuenta de dominio y de correo antes de la conversación de salida.
2. Cambiar las claves compartidas que tocó: firewall, NVR, hosting, wifi.
3. Revocar su MFA y sus accesos remotos (VPN, TeamViewer, AnyDesk).
4. Revisar las apps que autorizó en Microsoft 365 o Google Workspace; la guía está en auditar apps OAuth.
5. Recoger la laptop, avisar al banco y revisar quién firma en el SAT.

Una vez al trimestre pasa la misma lista contra los que se quedan. Vas a encontrar accesos de puestos que ya cambiaron.

Y si el que se va es tu proveedor TI

El contratista de Accenture no fue malicioso; fue lento con un parche. Por eso tu contrato necesita tres cláusulas: credenciales a nombre de la empresa y entregadas por escrito al terminar, plazo máximo para parches críticos, y auditoría de accesos al entrar y al salir.

Mundo Ejecutivo recordaba el 5 de octubre que la continuidad operativa es proteger los activos digitales, no solo el edificio. Los accesos son el activo más barato de proteger y el más caro de perder.

Hablemos

¿Y en tu empresa?

Si hoy no puedes decir quién tiene acceso de administrador a tu firewall y a tu correo, no es culpa de nadie. Nunca hubo un proceso.

En ProcessBi empezamos cada cliente nuevo con una auditoría de accesos: documentamos cada cuenta privilegiada, la ponemos a nombre de la empresa y la guardamos en tu bóveda, no en la cabeza de nuestro técnico. La póliza con SLA deja todo por escrito, incluido el plazo de parcheo.

Pide tu auditoría de accesos sin costo — respondemos el mismo día hábil.