¿Qué es un ataque de seguimiento en ciberseguridad?

Un ataque de «tailgating» se produce cuando alguien que no debería estar en una zona accede a ella siguiendo muy de cerca a otra persona a la que sí se le permite estar allí. Este tipo de ataque suele comenzar en una puerta o en un edificio protegido. Puede acarrear graves problemas de ciberseguridad si esa persona consigue acceder a ordenadores, servidores o documentos importantes.

Cuando los responsables de la seguridad piensan en cómo alguien podría colarse, suelen pensar en personas que intentan entrar desde fuera o en quienes envían correos electrónicos falsos para intentar engañar a los demás. Pero si alguien consigue entrar en un edificio, puede causar tantos problemas como cualquiera: puede acceder a la red, ver información privada, infringir las normas y desbaratar todo el sistema.

Según los estudios, los ataques de ingeniería social son cada vez más frecuentes, con 989 000 ataques de phishing distintos detectados en todo el mundo en 2024. Y los ataques de «tailgating» funcionan porque utilizan los mismos trucos que hacen que esos correos electrónicos falsos surtan efecto.

En esta guía se explica qué son los ataques de «tailgating», por qué suponen un problema para la ciberseguridad y qué pueden hacer las empresas para impedir que personas no autorizadas accedan a sus instalaciones.

Puntos clave

El «tailgating» es un ataque físico de ingeniería social en el que una persona no autorizada sigue a un usuario autorizado para acceder a una zona restringida.
Aunque en un principio se trata de un problema de acceso físico, el «tailgating» puede dar lugar a incidentes de ciberseguridad si los atacantes logran acceder a los sistemas, los servidores o los datos confidenciales.
El «tailgating», el «phishing», el «spoofing» y el «business email compromise» se aprovechan de la confianza, la urgencia o los procesos de verificación deficientes.
Las organizaciones deberían combinar la formación de los empleados, los controles de visitantes, la supervisión de los accesos y la notificación de incidentes para reducir el riesgo.
Protocolos de autenticación de correo electrónico como DMARC, SPFy DKIM ayudan a reducir la suplantación de identidad por correo electrónico, complementando las defensas más amplias contra la ingeniería social.

¿Qué es el «tailgating» en el ámbito de la ciberseguridad?

En ciberseguridad, un «ataque de tailgating» se produce cuando alguien que no debería estar allí accede a una zona o sistema seguro siguiéndole los pasos a otra persona que sí tiene permiso para estar allí. Esta persona suele llevar ropa que le hace parecer parte del personal, para que nadie se fije en ella. Puede acceder a lugares como salas de servidores u otras zonas donde hay ordenadores y datos.

Por ejemplo, alguien que quiera causar problemas podría disfrazarse de técnico y esperar junto a la puerta de la sala de servidores de una empresa. Cuando un empleado con autorización para acceder a la sala utilice su tarjeta de identificación para abrir la puerta, el intruso entrará rápidamente detrás de él. No necesita utilizar ninguna tarjeta ni contraseña para entrar. Una vez dentro, puede conectar una memoria USB a un ordenador, instalar programas espía en el sistema o acceder a información confidencial.

Aunque esta persona no esté accediendo al sistema mediante un ordenador, puede seguir causando problemas para la ciberseguridad de la empresa. El ataque de «tailgating» es una realidad y puede afectar a los ordenadores y los datos de la empresa. La persona que consigue entrar puede causar mucho daño, aunque no sea muy hábil con los ordenadores. La ciberseguridad de la empresa corre peligro cuando alguien que no debería estar allí entra en el edificio.

«Tailgating» frente a «piggybacking»: ¿cuál es la diferencia?

Aunque a menudo se utilizan indistintamente, «tailgating» y el «piggybacking» presentan una diferencia significativa en el contexto de la ciberseguridad:

Conducción pegada al vehículo de delante: La persona no autorizada entra sin el conocimiento ni el consentimiento de la persona autorizada. Por ejemplo, colarse justo detrás de alguien mientras se cierra la puerta.
Aprovecharse de la situación: Se permite la entrada a la persona no autorizada con el consentimiento de la persona autorizada, a menudo debido a una confianza mal depositada o a la presión social. Por ejemplo, alguien pide que le dejen entrar y la persona autorizada accede.

En resumen: «Tailgating» frente a «Piggybacking»

Factor	Tailgating	A cuestas
Sensibilización de los usuarios autorizados	Sin darse cuenta	Consciente
Consentimiento otorgado	No	Sí (aunque sea un error)
Ejemplo de situación	Pasar desapercibido al atravesar una puerta que se está cerrando	Pedir a un empleado que mantenga la puerta abierta
Vulnerabilidad principal	Falta de atención	Presión social / cortesía
Prevención y control	Barreras de seguridad, torniquetes, acceso exclusivo con tarjeta de identificación	Formación sobre la verificación de credenciales y políticas de acompañamiento

Cómo se relaciona el «tailgating» con la seguridad del correo electrónico

Conducción pegada al coche de delante y el phishing se basan en la misma debilidad fundamental: la confianza mal depositada. En un entorno físico, un atacante puede seguir a un empleado a través de una puerta de seguridad. En el correo electrónico, un atacante puede suplantar la identidad de un dominio de confianza, un directivo, un proveedor o un prestador de servicios para eludir las sospechas de las personas.

Es aquí donde los controles a nivel de dominio resultan esenciales. DMARC, SPF y DKIM ayudan a verificar si un correo electrónico está legítimamente autorizado para enviarse en nombre de tu dominio, lo que reduce el riesgo de suplantación de identidad, el phishing y compromiso del correo electrónico empresarial. PowerDMARC ofrece a los equipos de seguridad una visión centralizada de los fallos de autenticación, las fuentes de envío no autorizadas y los intentos de suplantación de dominio, para que puedan responder rápidamente y mantener el control.

¿Cómo funcionan los ataques de «tailgating»?

Los ataques de «tailgating» siguen una secuencia reconocible. Comprender cada paso ayuda a las organizaciones a identificar y subsanar las vulnerabilidades que aprovechan los atacantes:

Reconocimiento: Lo primero que hacen los atacantes se denomina «reconocimiento». Es el momento en el que el atacante analiza la organización a la que quiere atacar e intenta averiguar cómo acceder a ella. Busca vías de acceso. Observa lo que hacen los empleados cada día, por ejemplo, cuándo entran y salen y cómo visten. Los atacantes pueden obtener esta información a través de medios de comunicación, observando la organización en persona o realizando investigaciones.
Preparación: El atacante decide a quién se va a hacer pasar, por ejemplo, por un técnico, un repartidor o un contratista. Elige una puerta por la que entra y sale mucha gente y en la que nadie presta realmente atención.
Aproximación y señales sociales: A continuación, el agresor intenta pasar desapercibido entre los empleados. Calcula el momento para entrar cuando un empleado está entrando y puede que lleve algunas cajas o parezca ocupado para que nadie piense que es raro.
Entrada: El atacante sigue a la persona autorizada a través de la puerta de seguridad antes de que se cierre, colándose en la zona restringida sin utilizar en ningún momento sus propias credenciales.
Aprovechamiento tras el acceso: Una vez que el atacante ha entrado en el edificio, podría hacer cosas como utilizar un ordenador que nadie esté vigilando, conectar una memoria USB o hacer fotos de información confidencial , mirar lo que aparece en las pantallas e intentar obtener contraseñas o instalar un keylogger.
Exfiltración o movimiento lateral: Por último, el atacante podría abandonar el edificio con la información que ha obtenido. Podría utilizar dicha información para lanzar un ataque digital, como el phishing, o podría intentar acceder a la red de la organización una vez que se encuentre fuera del edificio.

Por qué el «tailgating» supone un riesgo para la ciberseguridad

El acceso físico y la ciberseguridad no son problemas independientes. Cuando una persona no autorizada accede a una zona segura, las consecuencias digitales que se derivan de ello pueden ser graves:

Acceso no autorizado a una estación de trabajo: Un intruso puede acceder a sesiones abiertas, copiar archivos confidenciales o instalar software malicioso en dispositivos desbloqueados.
Compromiso de la sala de servidores: El acceso físico al hardware de red permite la interceptación del tráfico, la manipulación de dispositivos o la introducción de puntos de acceso de red no autorizados.
Instalación de malware a través de soportes extraíbles: Una memoria USB insertada en un ordenador conectado a la red puede instalar ransomware, keyloggers o herramientas de exfiltración de datos en cuestión de segundos.
Robo de credenciales: Las contraseñas visibles en notas adhesivas, las credenciales de acceso impresas o los gestores de contraseñas sin proteger proporcionan a los atacantes las claves para acceder a una parte más amplia de la red.
Riesgo de incumplimiento normativo: Una infracción física en sectores regulados como la sanidad (HIPAA), las finanzas (PCI DSS) o el sector público puede dar lugar a la obligación de notificar la infracción, a actas de auditoría y a importantes sanciones económicas.
Phishing y suplantación de identidad posteriores: La información recopilada durante una intrusión física —nombres de empleados, procesos internos, esquemas de los sistemas— puede utilizarse como arma en campañas de phishing dirigidas, suplantación de identidad por correo electrónico o ataques de compromiso del correo electrónico empresarial una vez que el intruso haya abandonado el edificio.
Daño a la reputación: Una brecha de seguridad física confirmada, especialmente si da lugar al robo de datos, socava la confianza de los clientes y socios de una forma que resulta difícil y costosa de reparar.

Métodos habituales de conducción pegada al vehículo de delante y señales de alerta

Una técnica habitual en los ataques de «tailgating» consiste en hacerse pasar por un empleado con ropa o aspecto similar, por ejemplo, llevando un uniforme o una mochila idénticos a los que utilizan los empleados, y luego seguirles al entrar por la puerta.

Otros métodos habituales son:

Método	Cómo funciona en la práctica
Suplantación de identidad mediante el uso de un uniforme o una placa	Llevar ropa similar a la del personal o una tarjeta de identificación falsa con los mismos logotipos y marcas. Los atacantes pueden incluso dar el número de identificación de otra persona si les pregunta el personal de seguridad.
Historia de portada sobre la entrega o el contratista	Hacerse pasar por un mensajero, un técnico o un contratista con un motivo plausible para estar allí y, a continuación, pedir a un empleado que le sostenga la puerta.
La excusa de la insignia olvidada	Reclamar una tarjeta de acceso olvidada y pedir que te dejen entrar. La mayoría de la gente accede, en lugar de arriesgarse a parecer poco servicial.
Credenciales robadas o compradas	Utilizar la tarjeta de identificación robada de otra persona, o credenciales compradas en mercados de robo de identidad, para hacerse pasar por una persona autorizada.
Aprovechamiento de la sincronización	Entrar durante los cambios de turno, las horas de comida o los eventos de la empresa, es decir, en los momentos en que el control de seguridad suele ser menos estricto.
Tácticas de distracción	Dejar caer objetos cerca de una puerta cerrada con llave o entablar conversación con alguien para crear una oportunidad que permita colarse.
Seguimiento de las estaciones de trabajo desatendidas	Una vez dentro, basta con encontrar un puesto de trabajo que un empleado haya dejado sin cerrar con llave mientras se ausentaba brevemente para tener tiempo suficiente para copiar archivos, instalar malware o obtener credenciales.
Coworking o explotación multitenant	En los edificios de oficinas compartidas, seguir a un visitante que se dirige a la planta de otro inquilino, aprovechando la falta de controles de acceso específicos para cada inquilino.

Cómo detectar los intentos de seguir de cerca a otro vehículo

La detección es la primera línea de defensa. Forma a los empleados y al personal de seguridad para que reconozcan estas señales de alerta, tanto conductuales como físicas:

Personas que se encuentran en zonas de seguridad sin una tarjeta de identificación visible y válida.
Personas que merodean cerca de puertas cerradas sin un motivo claro.
Peticiones repetidas para que se mantengan abiertas las puertas, sobre todo por parte de personas desconocidas.
Las personas que evitan pasar por el mostrador de recepción o el proceso de registro de visitantes.
Uniformes, credenciales o documentos de identificación que no se ajustan a los formatos estándar de la organización.
Registros de acceso que muestran varias entradas atribuidas a un único paso de la tarjeta de identificación en un breve intervalo de tiempo.
Imágenes de las cámaras de vigilancia en las que se ve a dos o más personas pasando por una puerta de acceso con autenticación mediante tarjeta de identificación.
Las alertas del sistema anti-passback indican que se ha utilizado una tarjeta para entrar, pero no para salir, o al revés, lo que rompe la secuencia prevista.

Cómo prevenir los ataques de «tailgating»

Para reducir el riesgo de acceso no autorizado es necesaria la coordinación entre los servicios de instalaciones, TI, seguridad, RR. HH. y los usuarios finales. Una prevención eficaz requiere que los controles físicos y digitales funcionen de forma conjunta. Utiliza la siguiente lista de comprobación para asignar controles y mejorar la rendición de cuentas.

Control	Cómo ayuda	Propietario
Verificación de la insignia	Garantiza que solo los usuarios autorizados accedan a las zonas restringidas	Instalaciones / Seguridad
Formación para sensibilizar a los empleados	Reduce la presión social y mejora la confianza a la hora de denunciar	Seguridad / Recursos Humanos
Política de gestión y acompañamiento de visitantes	Restringe el acceso a contratistas, invitados y proveedores	Instalaciones
Vigilancia y revisión de los registros de acceso	Permite la detección, la investigación y la recogida de pruebas	Seguridad / TI
Canales de notificación de incidentes	Ofrece a los empleados una vía segura y clara para informar de comportamientos sospechosos	Recursos Humanos / Seguridad
Autenticación de correo electrónico (DMARC, SPF, DKIM)	Reduce la suplantación de dominios y la suplantación de identidad en los ataques de ingeniería social relacionados	Tecnologías de la información / Seguridad
Auditorías y simulacros de seguridad periódicos	Detecta las deficiencias en los controles físicos antes de que lo hagan los atacantes	Seguridad / Gestión

¿Quiénes corren mayor riesgo de sufrir ataques por «tailgating»?

Cualquier organización que cuente con espacios físicos protegidos es un objetivo potencial, pero hay determinados entornos que se enfrentan a un mayor riesgo:
Tailgating

Los centros de datos ocupan los primeros puestos de la lista simplemente por lo que albergan en su interior: el hardware de gran valor y el acceso directo a la red los convierten en un objetivo prioritario. Las trampas de seguridad y los sensores antirremolque son la solución más adecuada en este caso, ya que estas instalaciones no pueden permitirse ni una sola entrada que pase desapercibida.

Los centros sanitarios se enfrentan a un tipo de riesgo diferente. El elevado tráfico de personas y los datos regulados por la HIPAA implican que hay más gente pasando por más puntos de acceso, lo que ofrece a un atacante más oportunidades de pasar desapercibido. La gestión de visitantes y la formación continua del personal son más importantes en este caso que las barreras físicas.

Las entidades financieras deben cumplir los requisitos de la norma PCI DSS y, al mismo tiempo, gestionan datos de gran valor, lo que las convierte en un objetivo atractivo en dos frentes: el normativo y el financiero. La supervisión de los registros de acceso, combinada con el análisis de las imágenes de CCTV, proporciona a los equipos de seguridad el registro de auditoría que necesitan en caso de que surja algún problema.

Los espacios de coworking tienen una debilidad estructural inherente: los inquilinos comparten puntos de acceso comunes, sin apenas control específico por parte de cada uno sobre quién entra y sale. Las zonas con tarjetas de acceso individuales para cada inquilino y un control más estricto en recepción subsanan esa carencia.

Las instalaciones gubernamentales se enfrentan a lo más importante: la seguridad nacional y la exposición de datos clasificados, por lo que la respuesta debe estar a la altura: autenticación física multifactorial y personal de seguridad especializado, no solo lectores de tarjetas de identificación.

Las universidades y los campus son una excepción. Su cultura abierta y el flujo constante de visitantes dificultan la aplicación de medidas de seguridad física estrictas, a pesar de que, a menudo, los valiosos datos de investigación se encuentran justo al otro lado de la puerta. Las campañas de concienciación y los controles de acceso más estrictos, especialmente en torno a las salas de servidores, suelen ser más eficaces en este caso que los cierres generales.

Qué hacer si sospechas que se ha producido un incidente de conducción demasiado pegada

Si un empleado o un miembro del personal de seguridad sospecha que se ha producido un acceso físico no autorizado, siga esta lista de comprobación de medidas a adoptar:

No te enfrentes de forma agresiva: Evita la confrontación directa con el presunto intruso para evitar que la situación se agrave o que se produzca un riesgo físico.
Avisa inmediatamente al personal de seguridad o a un responsable: Informa de la hora, el lugar y la descripción de la persona a través del canal de denuncia establecido por tu organización.
Datos del registro: Anota la hora exacta, el punto de acceso, la descripción física y cualquier objeto que llevara consigo la persona.
Revisa los registros de acceso y los registros de tarjetas de identificación: Identifica qué tarjeta se utilizó en el punto de acceso y si el registro muestra una sola entrada o varias entradas por cada pasada.
Revisar las grabaciones de las cámaras de vigilancia: Recopila las grabaciones de las cámaras del punto de acceso correspondiente y de las zonas circundantes para confirmar si se ha producido una entrada no autorizada.
Comprueba si se ha accedido a algún sistema o sala: Compruebe si hay indicios de manipulación, inicios de sesión no autorizados o dispositivos conectados en las estaciones de trabajo.
Restablece las credenciales afectadas si es necesario: Si se ha accedido a una estación de trabajo o si las credenciales podrían haberse visto comprometidas, revoca y restablece inmediatamente las contraseñas y los tokens de acceso.
Documenta el suceso para su revisión en el marco de la política: Registre por escrito todo lo ocurrido y utilice esta información para actualizar la política de seguridad o la formación.

Conclusión: Reducir el riesgo de seguir demasiado de cerca a otros vehículos

El «tailgating» pone de manifiesto lo rápido que la confianza mal depositada se convierte en un riesgo para la seguridad. Lo que empieza en una puerta puede acabar con servidores comprometidos, credenciales robadas y una filtración de datos lo suficientemente grave como para dar lugar a investigaciones regulatorias. La seguridad física y la digital no son problemas independientes; proteger una sin la otra sigue dejándote expuesto.

La misma lógica se aplica al correo electrónico. Los dominios falsificados, los remitentes falsos y los mensajes de phishing se aprovechan de esa misma brecha de desconfianza humana cuando los controles de autenticación son débiles. Si estás enseñando a los empleados a cuestionar a un desconocido que llama a la puerta, tu dominio de correo electrónico merece el mismo escrutinio.

PowerDMARC ayuda a las organizaciones a obtener visibilidad y control sobre la autenticación del correo electrónico a través de DMARC, SPF, DKIM, BIMI, MTA-STS y TLS-RPT. Gracias a la generación centralizada de informes, la rápida detección de incidencias y un servicio de asistencia global ágil, los equipos de seguridad pueden reducir el riesgo de suplantación de identidad, mejorar la capacidad de entrega y mantener el cumplimiento normativo sin complicaciones innecesarias.

Empieza tu prueba de 15 días para descubrir cómo PowerDMARC te ofrece un control más claro sobre la seguridad de tu dominio.

Preguntas frecuentes

¿Cuál es un ejemplo de «tailgating» en el ámbito de la ciberseguridad?

Un ejemplo habitual es el de un atacante disfrazado de técnico que espera cerca de la entrada de una sala de servidores. Cuando un empleado autorizado pasa con su tarjeta de acceso, el atacante se cuela detrás de él. Una vez dentro, puede conectar un dispositivo USB malicioso a un ordenador conectado a la red o fotografiar credenciales confidenciales.

¿Cuál es la diferencia entre el «tailgating» y el «piggybacking» en el ámbito de la ciberseguridad?

El «tailgating» se produce sin que la persona autorizada se dé cuenta; el atacante simplemente entra tras ella por una puerta sin que nadie lo note. El «piggybacking» es cuando la persona autorizada, a sabiendas —aunque sea de forma errónea—, deja entrar a otra persona. Ambos casos dan lugar a un acceso físico no autorizado, pero el «piggybacking» se aprovecha de la cortesía o la presión social, más que de la falta de atención.

¿Cómo funciona el «tailgating» en el ámbito de la ciberseguridad?

Un ataque de «tailgating» se desarrolla por etapas: el atacante investiga al objetivo, elige un disfraz o una coartada, calcula el momento de su aproximación para que coincida con una entrada autorizada, sigue a la persona autorizada a través de la puerta de seguridad y, a continuación, aprovecha su acceso físico para comprometer sistemas, robar datos o instalar herramientas maliciosas.

¿El «tailgating» es un ciberataque o un ataque a la seguridad física?

El «tailgating» es un ataque de ingeniería social de tipo físico, pero a menudo da lugar a incidentes de ciberseguridad. Una vez que el intruso accede a las estaciones de trabajo, los servidores o los puntos de acceso a la red, la intrusión física se convierte en digital, con consecuencias que pueden incluir el robo de datos, la instalación de malware, el incumplimiento de la normativa y campañas posteriores de phishing o suplantación de identidad.

¿Puede el «tailgating» dar lugar a un ataque de phishing o al acceso no autorizado al correo electrónico?

Sí. El acceso físico puede ayudar a los atacantes a recabar nombres de empleados, información sobre procesos internos, datos de acceso a dispositivos o credenciales que posteriormente podrían utilizarse en campañas de phishing dirigido, suplantación de dominios o compromiso del correo electrónico empresarial. Por eso, las organizaciones de sectores regulados deben considerar la seguridad física y la seguridad del correo electrónico como aspectos complementarios, y no como cuestiones independientes.

Acerca de
Últimas publicaciones

Ahona Rudra

Experto en seguridad de dominios y correo electrónico en PowerDMARC

Ahona es la Directora de Marketing de PowerDMARC, con más de 5 años de experiencia escribiendo sobre temas de ciberseguridad, especializada en seguridad de dominios y correo electrónico. Ahona tiene un posgrado en Periodismo y Comunicaciones, consolidando su carrera en el sector de la seguridad desde 2019.

Últimas publicaciones de Ahona Rudra (ver todas)

Seguridad del fax: guía completa para proteger documentos confidenciales en 2026 - 30 de julio de 2026
¿Qué es un servicio de filtrado de correo electrónico? - 29 de julio de 2026
Suplantación de identidad en el correo electrónico: qué es y cómo evitarla - 29 de julio de 2026