Las cuentas de usuario privilegiado que no se utilizan nunca son vulnerables a ataques, ya que a menudo evaden la detección de las medidas defensivas. Además, sus contraseñas predeterminadas potenciales las convierten en objetivos prioritarios de los atacantes.

Un usuario que no se utilizó nunca es una cuenta de usuario creada en Okta que nunca se autenticó correctamente en el tablero de control de Okta durante una cierta cantidad de días (90 días de manera predeterminada, aunque se puede personalizar) desde su creación.
Aumentan la superficie de ataque por diversos motivos, entre otros:
<ul>
<li>Una cuenta de puerta trasera que permite el acceso a personas que ya no lo necesitan, como exempleados o becarios que nunca han utilizado esta cuenta.</li>
<li>Uso continuado de la contraseña predeterminada, lo que deja expuesta la cuenta a un mayor riesgo de vulneración. Por ejemplo, una <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">alerta de CISA</a> informó lo siguiente:<blockquote>
también se han dirigido campañas a cuentas inactivas pertenecientes a usuarios que ya no trabajan en una organización víctima, pero cuyas cuentas permanecen en el sistema
</blockquote>
</li>
</ul>
 y:
<blockquote>
Luego de un restablecimiento de contraseñas obligatorio para todos los usuarios durante un incidente, también se observó que los agentes de SVR iniciaron sesión en cuentas inactivas y siguieron las instrucciones para restablecer la contraseña. Esto permitió que los agentes recuperaran el acceso luego de las actividades de expulsión de respuesta ante incidentes.
</blockquote>
<ul>
<li>Desperdicio de recursos, como licencias. La identificación, desactivación o eliminación periódicas de usuarios innecesarios permite a las organizaciones optimizar la asignación de recursos y ahorrar costos innecesarios.</li>
</ul>
Además, considere el IoE “Usuario inactivo” relacionado, que identifica a todos los usuarios previamente activos que desde entonces se han vuelto inactivos.
El riesgo es mayor para los usuarios privilegiados. Consulte también el IoE relacionado, “Usuario sin privilegios no utilizado nunca”, para los usuarios sin privilegios.
Nota: El IoE se basa en la propiedad <code>lastLogin</code>, que tiene una <a href="https://support.okta.com/help/s/article/the-user-s-last-login-did-not-update?language=en_US">limitación conocida</a>: Okta solo actualiza este valor cuando un usuario accede al tablero de control de Okta. Como resultado, las autenticaciones iniciadas por la SP (como cuando los usuarios acceden directamente a una aplicación y se les redirige brevemente a Okta para autenticarse) no actualizan esta propiedad. Por lo tanto, el IoE puede informar falsos positivos de usuarios que nunca accedieron al tablero de control de Okta, pero que se autenticaron correctamente en las aplicaciones. Si bien Okta <a href="https://support.okta.com/help/s/article/Howto-Properly-Identify-Inactive-Users-Using-Okta-Workflows-For-IdP-or-SP-Initiated-Login?language=en_US">documentó una solución alternativa</a>, actualmente no es compatible con Tenable Identity Exposure. Como resultado, debe excluir manualmente estos falsos positivos.

Detecciones

Usuario privilegiado no utilizado nunca

MEDIUM

Version 202507150942