# ¿Qué ocurre cuando un programa intenta acceder a datos de identidad que no debería?

**Respuesta breve:** Depende de si el programa es de confianza y de si ha sido comprometido. A una aplicación legítima que simplemente se excede en sus permisos se le entregan datos falsos o se le deniega el acceso discretamente. Una aplicación desconocida o comprometida es rechazada o suspendida. La credencial real nunca se entrega en ninguno de estos casos.

## Por qué una única respuesta sería incorrecta

El diseño obvio es "bloquear todo lo que toque un almacén de credenciales". Falla de inmediato en la práctica, porque el software legítimo interactúa constantemente con esos almacenes: navegadores, gestores de contraseñas, clientes VPN, herramientas de sincronización y agentes de copia de seguridad tienen razones reales para estar ahí.

Bloquear todo rompe el equipo. Permitir todo lo que es de confianza significa que un navegador explotado obtiene lo que solicita. La pregunta útil es más específica: **¿este programa se está comportando como debería?**

## Los cuatro resultados posibles

**1. Permitido.** Una aplicación conocida y no explotada que accede a lo que legítimamente necesita. No cambia nada.

**2. Se devuelven datos falsos.** Una aplicación conocida y no explotada que excede su acceso apropiado. Se aplican las reglas de comportamiento de privacidad: el programa recibe datos plausibles pero falsos. Continúa ejecutándose con normalidad, y la credencial real nunca sale del almacenamiento. Desde la perspectiva del programa, nada falló, y precisamente por eso esto funciona sin romper los flujos de trabajo.

**3. Acceso denegado.** La misma situación, cuando devolver datos falsos no es apropiado. La solicitud se rechaza; la aplicación continúa ejecutándose.

**4. Rechazado o suspendido.** El programa es desconocido, o es un programa conocido cuyo proceso o bibliotecas muestran signos de explotación. Aquí la preocupación no es el exceso de alcance, sino que el programa ya no actúa como sí mismo. Que sea rechazado o suspendido depende de la evaluación del motor de comportamiento y de la configuración establecida.

## Por qué el engaño en lugar del bloqueo

Devolver datos falsos es una decisión deliberada. Una solicitud bloqueada le indica a un atacante que ha sido detectado y lo impulsa a intentar otra vía. Los datos falsos que parecen reales no lo hacen: la herramienta del atacante continúa con credenciales que no desbloquean nada, y el operador puede no enterarse de que algo anda mal durante algún tiempo.

Este es el mismo principio detrás de los archivos señuelo (canary files) en la defensa contra ransomware: darle al atacante algo convincente que capturar y que no le cuesta nada a usted.

## Configurabilidad

El límite entre el rechazo y la suspensión es ajustable. Los entornos con baja tolerancia a las interrupciones —sistemas clínicos, líneas de producción— pueden inclinarse hacia la denegación y los datos falsos en lugar de la suspensión, mientras que los entornos de alta seguridad pueden ser más agresivos.