Existe una creencia muy arraigada, casi instintiva, en el mundo de la tecnología: «si no lo ven, no lo pueden atacar». Es la lógica del avestruz aplicada a la administración de sistemas y, lamentablemente, es el origen de muchas brechas de seguridad catastróficas.
A esta práctica se le conoce como seguridad por oscuridad (security through obscurity). Consiste en basar la protección de un sistema en el secreto de su diseño, de su implementación o de su ubicación, en lugar de utilizar controles de seguridad reales y criptografía robusta.
Sin embargo, en ciberseguridad las cosas rara vez son blancas o negras. Aunque la comunidad técnica suele denostar cualquier práctica que huela a oscuridad, la realidad de un administrador de sistemas en su día a día tiene más matices. Hoy vamos a diseccionar por qué la seguridad por oscuridad es una pésima estrategia principal, pero un excelente camuflaje táctico si se combina con una verdadera defensa en profundidad.
Índice de contenidos
¿Qué es exactamente la seguridad por oscuridad?
La seguridad por oscuridad asume que el atacante es ciego o carece de las herramientas para descubrir cómo funciona tu infraestructura. Es esconder la llave de tu casa debajo del felpudo y pensar que tienes un sistema de alta seguridad porque nadie ha visto dónde la pusiste.
En ciberseguridad, existe una regla de oro formulada en el siglo XIX llamada el Principio de Kerckhoffs. Este principio dicta que un sistema debe ser seguro incluso si el enemigo conoce absolutamente todo sobre él, a excepción de la clave. En un entorno IT moderno, esto significa que tu infraestructura debe resistir un ataque aunque el cibercriminal tenga tus diagramas de red y el código fuente de tu aplicación.
Si tu seguridad se desploma en el momento en que alguien descubre dónde está algo o cómo está configurado, no tienes seguridad real.
Ejemplos clásicos (y peligrosos) en entornos IT
A nivel técnico, es fácil caer en la tentación de aplicar medidas cosméticas creyendo que estamos endureciendo el sistema. Estos son los errores más habituales donde la oscuridad nos da una falsa sensación de protección:
Ocultar el SSID de la red Wi-Fi
Es un clásico en las recomendaciones de seguridad domésticas y de pequeñas oficinas. La idea es que si el router no emite el nombre de la red (SSID), los atacantes no sabrán que está ahí. La realidad técnica es que, aunque el punto de acceso no haga broadcasting, el SSID viaja en texto claro por el aire cada vez que un dispositivo legítimo se conecta. Cualquier persona con una antena básica y herramientas como Wireshark o la suite Aircrack-ng capturará el nombre de tu red oculta en cuestión de segundos.
URLs o directorios «secretos» sin autenticación
Crear un panel de administración en tusitio.com/panel-admin-secreto-2026 y no ponerle autenticación multifactor (MFA) ni control de acceso porque «nadie va a adivinar la URL». Los atacantes no adivinan; automatizan. Utilizan herramientas de fuerza bruta de directorios (como Gobuster o Ffuf) impulsadas por diccionarios masivos, o simplemente esperan a que un buscador indexe la ruta por accidente o se filtre a través de la cabecera Referer de un navegador.
Código ofuscado como única medida defensiva
Ofuscar el código fuente de una aplicación o script para dificultar su lectura es útil, pero no detiene a un analista de malware o a un atacante motivado. Herramientas de ingeniería inversa, desensambladores y depuradores terminan desentrañando la lógica. La ofuscación retrasa el análisis, pero no soluciona una vulnerabilidad subyacente.
El gran matiz: Cuando la oscuridad SÍ aporta valor
Llegamos a la parte práctica. Si la oscuridad es tan mala, ¿por qué los administradores de sistemas y los blue teams la siguen utilizando? Porque en el mundo real, la oscuridad funciona increíblemente bien como un filtro de ruido.
Internet está lleno de ruido de fondo: miles de bots, crawlers y scripts automatizados que escanean IPs a nivel global buscando la fruta más madura. La oscuridad no detiene a un atacante dirigido (APT), pero es una barrera formidable contra los ataques oportunistas.
Ocultar la versión, usuarios y plugins en WordPress
Por defecto, WordPress y otros CMS son extremadamente «chismosos». Exponen su versión exacta en el código fuente (<meta name="generator">), permiten listar los nombres de usuario válidos a través de la REST API (/wp-json/wp/v2/users) o el parámetro /?author=1, y dejan a la vista las rutas de los plugins instalados.
Bloquear esta enumeración y eliminar las etiquetas de versión es seguridad por oscuridad de manual. Un atacante motivado puede deducir qué plugins usas simplemente analizando los archivos CSS o JS que carga tu web de forma pública. Sin embargo, ocultar esta información es una táctica excelente para volverte invisible ante herramientas automatizadas (como WPScan) que barren Internet buscando listas de sitios con versiones específicas y vulnerables para lanzarles un exploit masivo. No evita el hackeo si el plugin vulnerable sigue ahí, pero evita que te pongan en la diana.
Cambiar el puerto 22 de SSH
El ejemplo estrella. Todo sysadmin sabe que si levantas un servidor Linux expuesto a Internet en el puerto 22, en menos de diez minutos el archivo /var/log/auth.log se llenará de intentos de conexión por fuerza bruta.
Mover el servicio SSH a un puerto alto no estándar (por ejemplo, el 45222) es seguridad por oscuridad de manual. ¿Evita que te hackeen? No. Un simple escaneo completo de puertos (nmap -p- -sV) revelará que el servicio SSH está corriendo ahí. Sin embargo, te limpia el 99% del ruido automatizado de botnets que solo disparan al puerto 22 para ahorrar tiempo. Ahorras CPU, mantienes los logs limpios y reduces la fatiga de alertas.
Ocultar banners de versiones (Nginx, Apache, PHP)
Por defecto, muchos servidores web exponen la versión exacta que están ejecutando en las cabeceras HTTP (ej. Server: nginx/1.24.0). Modificar la configuración (como server_tokens off; en Nginx) para que solo diga Server: nginx es ocultar información. De nuevo, no repara ninguna vulnerabilidad, pero evita que motores como Shodan te etiqueten y que scripts automatizados te disparen un exploit diseñado específicamente para esa versión (CVE).
Modificar la URL de acceso a paneles de control (ej. wp-admin)
Cambiar la ruta de acceso genérica en plataformas como WordPress reduce drásticamente los ataques de credential stuffing automatizados, liberando recursos del servidor de base de datos que, de otro modo, estaría procesando miles de inicios de sesión fallidos por hora.
Seguridad por oscuridad vs. Defensa en profundidad
El enfoque profesional no consiste en descartar la seguridad por oscuridad, sino en entender su lugar en la arquitectura. La clave se llama defensa en profundidad.
Imagina un castillo. La defensa en profundidad son los muros de piedra de tres metros de grosor, el foso, los guardias armados y el puente levadizo (cortafuegos, segmentación de red, MFA, principio de mínimo privilegio). La seguridad por oscuridad es pintar el castillo de verde para que se camufle con el bosque circundante.
El camuflaje (oscuridad) es inútil si el castillo está hecho de papel; el primer enemigo que tropiece con él lo derribará. Pero si el castillo es de piedra sólida, el camuflaje es una ventaja táctica excelente que evitará que la mayoría de los enemigos siquiera intenten el asedio.
Checklist: Cómo auditar si dependes demasiado de la oscuridad
Para aplicar criterio técnico a tus sistemas, revisa esta lista. Si respondes «sí» a alguna de estas preguntas, tienes un problema de diseño:
- ¿Tienes contraseñas, tokens de API o claves criptográficas en texto claro dentro del código fuente asumiendo que «nadie va a leer este archivo»?
- ¿Tienes paneles internos, APIs o endpoints expuestos a Internet sin autenticación robusta (MFA/SSO), confiando en que no están enlazados desde ningún sitio?
- ¿Si mañana un ex-empleado publicara en un foro público la arquitectura de red y las IPs de tu empresa, el riesgo de compromiso sería inminente e inevitable?
- ¿Estás utilizando puertos no estándar para servicios críticos en lugar de utilizar un cortafuegos que restrinja el acceso por IP?
Conclusión
La seguridad por oscuridad ha sido injustamente demonizada por los puristas, pero peligrosamente sobreutilizada por los perezosos. Ocultar información sobre tu infraestructura no es una debilidad en sí misma, siempre y cuando no dependas de ese secreto para mantenerte seguro.
Asume siempre que el atacante conoce tu sistema. Diseña tu arquitectura para que sea robusta, transparente e implacable en la verificación de identidades y accesos. Una vez que hayas construido ese muro de hormigón, siéntete libre de ponerle una lona de camuflaje encima cambiando el puerto SSH. Cada capa cuenta.
