De las llaves a las credenciales: cómo los cerrajeros se están convirtiendo en la primera línea de la seguridad ciberfísica

De las llaves a las credenciales: cómo los cerrajeros se están convirtiendo en la primera línea de la seguridad ciberfísica

Durante décadas, a los cerrajeros se les definía por su dominio de las llaves metálicas, las cerraduras mecánicas y los puntos de acceso físico. Hoy en día, esa definición está cambiando rápidamente. A medida que el control de acceso electrónico, las credenciales móviles y los sistemas conectados a la nube se convierten en la norma, los cerrajeros están evolucionando hacia profesionales de la seguridad híbridos, que operan en la intersección entre la seguridad física y la digital.

Este cambio se puso de relieve en un artículo reciente de Security Journal Americas, titulado « Looking Ahead to 2026» (De cara al 2026), en el que se analiza cómo el sector y sus profesionales se están adaptando a las nuevas tecnologías y a las expectativas de los clientes. El artículo subraya una realidad clave a la que se enfrenta el sector: la seguridad física ya no puede existir de forma aislada. La confianza digital empieza, cada vez más, en la puerta de entrada.

El cerrajero moderno: ya no es solo una cuestión mecánica

Las cerraduras electrónicas, los sistemas de control de acceso inteligente y los dispositivos conectados al Internet de las cosas (IoT) son ya habituales en entornos comerciales, de viviendas plurifamiliares, sanitarios y empresariales. Con este cambio, a los cerrajeros se les pide mucho más que instalar o cambiar las llaves de los cerrojos. Ahora se encargan de configurar software, gestionar credenciales y garantizar que los sistemas de acceso se integren de forma segura en entornos informáticos más amplios.

El artículo de Security Journal Americas señala que muchos cerrajeros y socios de distribución ya están ampliando sus competencias, incorporando sistemas de control de acceso electrónico, autenticación móvil e incluso servicios básicos de ciberseguridad. Esta evolución viene impulsada por la demanda de los clientes. Las organizaciones buscan comodidad y visibilidad, pero también quieren tener la garantía de que los sistemas de acceso no se conviertan en un punto débil.

Como consecuencia, los cerrajeros asumen cada vez más la responsabilidad de proteger no solo los espacios físicos, sino también las identidades digitales.

Por qué es importante esta evolución: lecciones de las pruebas de penetración físicas

Deviant Ollam, especialista en penetración física, demuestra a través de sus pruebas lo crucial que se ha vuelto la evolución de la seguridad mecánica a la ciberfísica en un episodio de «Darknet Diaries». En una reciente entrevista en un podcast, Ollam describió cómo comenzó su carrera cuando ayudó a un bufete de abogados tras la dimisión de su administrador de sistemas —no mediante la recuperación de la red, sino abriendo puertas cerradas con simples materiales de oficina cuando nadie conseguía encontrar las llaves—.

Este momento puso de manifiesto una idea fundamental: la seguridad física y la digital son inseparables. El hecho de que Ollam pueda eludir un cierre electrónico con un trozo de cartón, clonar credenciales RFID de la noche a la mañana o burlar a los guardias de seguridad mediante técnicas de ingeniería social mientras perfora puertas cerradas pone de manifiesto cómo el control de acceso electrónico genera nuevas vulnerabilidades para las que los cerrajeros tradicionales no están preparados.

Donde la seguridad física se une al riesgo cibernético

Cada cerradura conectada, cada lector de tarjetas o cada credencial móvil representa un posible punto de entrada cibernético. Las credenciales de acceso mal gestionadas, los dispositivos desprotegidos o el firmware obsoleto pueden exponer a las organizaciones a graves riesgos.

Por eso, las decisiones sobre el acceso físico son ahora parte indisoluble de la estrategia de ciberseguridad. ¿Quién tiene acceso? ¿Cuándo? ¿Desde dónde? ¿Y cómo se supervisa, se audita y se revoca ese acceso?

Los cerrajeros suelen ser los primeros —y, a veces, los únicos— profesionales que interactúan con estos sistemas in situ. Esto los sitúa en una posición clave: ya no son meros instaladores, sino garantes de la confianza ciberfísica.

Sin embargo, esta ampliación de funciones conlleva una serie de retos. La gestión de los sistemas de acceso electrónico requiere transparencia, responsabilidad y procesos operativos coherentes, sobre todo a medida que las empresas de cerrajería amplían sus servicios o prestan asistencia a múltiples ubicaciones de clientes.

El factor humano sigue siendo fundamental

Quizás la conclusión más reveladora de las pruebas de penetración de Ollam es que la tecnología por sí sola no basta para garantizar la seguridad de unas instalaciones. En una intervención realizada en una fábrica de un pequeño pueblo, su equipo clonó tarjetas RFID, creó credenciales falsas y logró entrar en el edificio, pero acabó siendo descubierto por un empleado que llevaba 38 años trabajando allí y que reconoció de inmediato unas caras desconocidas.

«Esa fue la primera vez que tuvimos que sacar la “tarjeta para salir de la cárcel gratis”», explicó Ollam, refiriéndose a la carta de autorización que llevan consigo los evaluadores de penetración. La vigilancia del empleado triunfó donde fallaron los sistemas electrónicos, lo que demuestra que los empleados comprometidos que se preocupan por su lugar de trabajo suelen ser la capa de seguridad más sólida, una realidad que no puede replicarse únicamente con el control de acceso.

La brecha operativa que frena a los cerrajeros

En una misión de alta seguridad descrita por Ollam, su equipo pasó casi una semana vigilando una instalación de infraestructura crítica, lo que incluyó arrastrarse por los campos con trajes de camuflaje para fotografiar los lectores de tarjetas de identificación y analizar los sensores de bucle de tierra en los controles de vehículos. Cuando finalmente consiguieron acceder escondiéndose en el maletero de un coche y colándose tras otro vehículo al pasar por la verja, descubrieron que la instalación había realizado una importante inversión en seguridad perimetral, pero había dejado las puertas internas vulnerables a una simple intrusión por colarse detrás de otra persona.

Más revelador aún fue lo que hizo falta para que finalmente los descubrieran: un miembro del equipo tuvo que provocar deliberadamente el caos, taladrando cerraduras, activando alarmas y robando una bicicleta y un carrito de golf antes de que el personal de seguridad se diera cuenta de que algo iba mal. Este tipo de pruebas exhaustivas requiere una documentación operativa detallada, movimientos coordinados del equipo y visibilidad en tiempo real de lo que están haciendo los distintos equipos en todo el recinto.

A medida que los servicios se vuelven más complejos y más sensibles desde el punto de vista digital, estas deficiencias generan riesgos:

• Visibilidad limitada sobre quién ha accedido a los sistemas y cuándo
• Documentación incompleta de las instalaciones, actualizaciones o cambios de credenciales
• Dificultad para demostrar el cumplimiento normativo o la calidad del servicio a los clientes
• Mayor exposición a errores, configuraciones incorrectas o riesgos internos

Para tener éxito en esta nueva era, los cerrajeros necesitan algo más que conocimientos técnicos: necesitan plataformas operativas que favorezcan la rendición de cuentas, la transparencia y el control.

Apoyo a la transición con Trackforce

La profesión de cerrajero siempre se ha basado en la confianza. Sin embargo, a medida que los cerrajeros se han ido transformando en profesionales de la seguridad ciberfísica, esa ecuación de confianza ha cambiado radicalmente. Los cerrajeros de hoy en día no se limitan a duplicar llaves: programan credenciales, configuran sistemas de control de acceso y se encargan del mantenimiento de la infraestructura digital que determina quién puede acceder a espacios sensibles.

Esto plantea preguntas que muchas organizaciones no saben responder: cuando un cerrajero programa credenciales en un sistema de control de acceso, ¿quién lleva un registro de a qué han accedido? ¿Cómo se demuestra qué técnico ha realizado cambios en las cerraduras electrónicas? Si se produce una brecha de seguridad, ¿se pueden documentar todas las visitas de servicio y todas las modificaciones del sistema?

El riesgo interno del que nadie habla

Deviant Ollam, especialista en penetración física, mantiene una tasa de éxito del 100 % a la hora de acceder a edificios durante las evaluaciones de seguridad, a menudo haciéndose pasar por técnicos con credenciales de aspecto auténtico. En una de sus intervenciones, se hizo pasar por un técnico de reparación de ascensores y un guardia de seguridad, que confió en él, le acompañó directamente hasta la sala de servidores.

Ahora bien, pensemos que los cerrajeros autorizados disponen del mismo acceso general, de credenciales auténticas y de relaciones de confianza. Pueden sortear cerraduras, clonar credenciales y acceder a zonas seguras como parte de sus funciones habituales. Sin los controles operativos adecuados, las organizaciones confían en las personas en lugar de verificar los sistemas.

Esto supone una de las vulnerabilidades más ignoradas en materia de seguridad ciberfísica: las personas que instalan y mantienen los sistemas de control de acceso cuentan con los conocimientos y el acceso necesarios para burlarlos.

Incorporar la rendición de cuentas en la prestación de servicios

Trackforce subsana esta carencia proporcionando una infraestructura operativa para gestionar y supervisar a los proveedores de servicios de seguridad que operan en la intersección entre la seguridad física y la digital.

Entre sus principales capacidades se incluyen:

• Registros de auditoría exhaustivos: cada visita de un técnico, cada acceso al sistema y cada modificación de credenciales se registra con la fecha y la hora, la ubicación y la identidad del técnico. Si se produce un incidente de seguridad, las organizaciones pueden rastrear de inmediato qué proveedores de servicios tuvieron acceso a los sistemas afectados y cuándo.
• Visibilidad en tiempo real: realiza un seguimiento de qué técnicos se encuentran en las instalaciones, a qué sistemas acceden y cuánto tiempo permanecen en zonas sensibles. Esta visibilidad disuade de las conductas indebidas y permite verificar que el trabajo se ha realizado según lo acordado.
• Protocolos de seguridad estandarizados: cuando varios cerrajeros prestan servicio en distintas ubicaciones, la falta de uniformidad en las prácticas genera riesgos. Trackforce estandariza los procedimientos para todos los técnicos y en todas las ubicaciones.
• Documentación de cumplimiento normativo: las instalaciones del sector sanitario, de servicios financieros y de infraestructuras críticas pueden demostrar que los proveedores de servicios han seguido los protocolos adecuados y que todos los accesos han sido autorizados y registrados.

Trackforce no sustituye a la confianza, sino que proporciona una capa de verificación que transforma la confianza de una simple suposición en una realidad documentada y auditable. Para las empresas de cerrajería, esta infraestructura demuestra profesionalidad y favorece el crecimiento. Para las organizaciones, aborda el riesgo interno que ha generado el control de acceso electrónico.

A medida que los cerrajeros asumen una mayor responsabilidad en materia de seguridad ciberfísica, necesitan plataformas que garanticen la rendición de cuentas respecto al acceso privilegiado del que disponen; plataformas que transformen el «confía en mí» en un «verifícame».

Preparándonos para 2026 y más allá

El mensaje de Security Journal Americas es claro: el futuro de la seguridad está en manos de los profesionales capaces de tender un puente entre el mundo físico y el digital, aportando al mismo tiempo un valor real y fiable. Para los cerrajeros, esto supone una gran oportunidad, pero solo si están preparados para hacer frente a las exigencias operativas que conlleva.

El futuro pertenece a los profesionales de la seguridad que comprenden lo que Ollam demostró a través de cientos de pruebas de penetración: lograr una tasa de éxito del 100 % a la hora de acceder a los edificios no es el objetivo. El objetivo es que te descubran por las razones adecuadas: gracias a empleados comprometidos, procedimientos adecuados y estrategias de defensa en profundidad que no dependan de una única capa. A medida que el control de acceso electrónico se generalice, los cerrajeros capaces de combinar sus habilidades físicas con la supervisión operativa, la responsabilidad digital y el pensamiento ciberfísico se convertirán en socios indispensables para proteger lo que más importa.

Ollam reflexionó: «La oscuridad no da miedo porque sea oscura. Da miedo porque estás solo». Con las herramientas, la formación y las plataformas operativas adecuadas, los cerrajeros de 2026 no se adentrarán solos en esa oscuridad.