Doogree
Ofensiva · Engaño

Honeytokens: detección de intrusiones con 100% de certeza

06/07/2026 · ~5 min de lectura
HoneytokensEngañoCanaryDetección de intrusiones

Toda defensa basada en firmas o en comportamiento —IDS, EDR, antivirus— padece la misma dolencia: las falsas alarmas. Adivina si una actividad es maliciosa, y a veces se equivoca. Un honeytoken invierte la ecuación: es una trampa digital —un archivo, una clave, una contraseña o una dirección— que ningún proceso legítimo llega a tocar jamás. Así, cada acceso a él es una intrusión confirmada, con cero falsas alarmas.

Qué es realmente un honeytoken

Un honeytoken es un cebo falso que el operador planta en cualquier lugar sensible: una URL señuelo, un registro DNS, una clave de nube ficticia, un documento «confidencial» o un par de credenciales para una base de datos que no existe. La idea es tan antigua como el propio espionaje: un nombre falso en una lista de correo para atrapar a quien la vendió. En el mundo cibernético esto se convierte en la señal de brecha más limpia que existe: si alguien leyó, abrió o usó el honeytoken, no se suponía que estuviera ahí. Punto.

Cero falsas alarmas: no es un eslogan de marketing. Un EDR no tiene forma de saber con certeza si un proceso dado es malicioso. Un honeytoken no tiene ese problema: ahí no hay nada legítimo. El contacto en sí es la prueba. Esa es la diferencia entre «quizá nos vulneraron» y «nos vulneraron: aquí está la IP».

Cómo funciona: 100% sin agente

1. Emitir. Desde el panel, el operador acuña un honeytoken por tipo y etiqueta (por ejemplo «clave SSH · servidor de backup»). La salida es simplemente una cadena de texto. 2. Plantar. Pegas la cadena en cualquier sitio tentador: un archivo passwords.xlsx en un servidor de archivos, una clave señuelo en el código, un registro DNS interno. No hay nada que instalar en ningún dispositivo. 3. Disparar. En el momento en que un atacante toca el honeytoken, el acceso llega a un Worker público —un faro en la nube— que registra el evento: IP de origen, geolocalización, marca de tiempo. 4. Enriquecer. El faro coteja la IP contra el feed de inteligencia de amenazas (C2) que ya sirve a la plataforma. 5. Ocultar. El Worker devuelve un inocente GIF de 1x1: el atacante no ve nada sospechoso y sigue como si nada hubiera pasado. Nosotros ya lo sabemos.

Qué ocurre en el momento en que se dispara

Por qué es especialmente crítico para una pequeña empresa: la mayoría de las pymes no tienen un SOC vigilando alertas. Un honeytoken es la señal más fiable, más barata y más inequívoca para la pregunta «¿nos han vulnerado?»: completamente silencioso hasta que se dispara, y luego completamente certero. Es especialmente brillante para atrapar amenazas internas y movimiento lateral: planta un par de credenciales falsas de base de datos, una clave SSH señuelo o un passwords.xlsx, y quien intente usarlos se delata al instante.

Dónde encaja en el marco

En términos de MITRE y NIST, esto es engaño en la función Detect. Mientras UEBA y EDR aprenden «qué es normal» y adivinan las desviaciones, el honeytoken no adivina nada: tiende una trampa y espera. Los dos enfoques se complementan: el comportamiento estrecha el campo de visión, y el honeytoken aporta la prueba limpia. Juntos, en una sola plataforma, son la diferencia entre esperar atrapar a un intruso y saber en qué momento entra uno.

← Volver al blog · Cómo funciona →