Cualquier empleado sin formación en programación puede construir hoy un sistema de aprobación de facturas, un portal de gestión de proveedores o un flujo automatizado para responder clientes en cuestión de minutos. La democratización del desarrollo de software mediante plataformas de bajo código o sin código (Low-Code/No-Code o LCNC) ha permitido a los departamentos de operaciones, finanzas y recursos humanos resolver problemas inmediatos sin depender de las eternas listas de espera del departamento de tecnología.
Esta agilidad operativa ha cambiado la forma en que se construye el software dentro del tejido corporativo. Sin embargo, la aceleración del desarrollo descentralizado ha dejado al descubierto un flanco crítico: la creación masiva de aplicaciones fuera del radar del departamento de seguridad informática.
El fenómeno, conocido históricamente como Shadow IT, ha evolucionado hacia lo que los especialistas denominan Shadow Development. Ya no se trata de empleados usando un servicio de almacenamiento en la nube no autorizado, sino de usuarios de negocio diseñando conectores, bases de datos y automatizaciones sin controles de autenticación ni revisiones de código, exponiendo información confidencial a la red pública.
El auge del ‘desarrollador ciudadano’ y la caída del control técnico
Las plataformas LCNC como Microsoft Power Platform, Mendix, OutSystems y AppSheet ofrecen interfaces visuales basadas en bloques prefabricados y conectores listos para usar. Esta simplicidad es su mayor virtud y, al mismo tiempo, su principal debilidad en materia de ciberseguridad.
Al empaquetar la complejidad técnica detrás de una interfaz gráfica, estas herramientas delegan las decisiones de arquitectura de datos en los llamados «desarrolladores ciudadanos» (citizen developers). Se trata de profesionales de negocio que comprenden el flujo operativo pero desconocen los principios fundamentales de la seguridad del software, tales como el saneamiento de variables de entrada, el principio de menor privilegio o la gestión segura de tokens de acceso.
El resultado es la proliferación de flujos de trabajo que conectan bases de datos internas con servicios SaaS de terceros o carpetas públicas en la nube sin requerir métodos de autenticación robustos como el factor de doble autenticación (MFA) o tokens OAuth adecuados.
Anatomía del riesgo: las vulnerabilidades más comunes en LCNC
El Consorcio Abierto de Seguridad en Aplicaciones Web (OWASP) reconoció formalmente la dimensión del problema al publicar la lista OWASP Top 10 for Low-Code/No-Code Applications, un proyecto dedicado a catalogar los fallos sistémicos en estas arquitecturas.
[Usuario de Negocio] ──► [App Low-Code sin MFA] ──► [Conector PII / ERP] ──► [Base de Datos Interna]
│
▼
(Punto de Exfiltración Pública)
Entre las vulnerabilidades más frecuentes identificadas por investigadores de ciberseguridad destacan:
- Inyección de identidades y permisos excesivos: Para facilitar el funcionamiento de una automatización, el creador suele configurar la aplicación utilizando credenciales de cuenta administrativa o de servicio. Si la aplicación queda expuesta, un usuario malintencionado hereda de inmediato permisos elevados sobre sistemas críticos como ERP o CRM.
- Manejo inseguro de conectores (Data Exfiltration): Las plataformas permiten arrastrar conectores para enviar correos, publicar en redes sociales o subir archivos a servidores externos. Un conector mal configurado puede extraer automáticamente datos personales (PII) o registros financieros y enviarlos a repositorios externos sin dejar rastro en los registros de auditoría tradicionales.
- Componentes de terceros no verificados: Los mercados de plantillas y componentes (marketplaces) integrados en estas plataformas albergan extensiones creadas por la comunidad. Muchos de estos módulos carecen de análisis estáticos de código (SAST) y pueden incluir vulnerabilidades conocidas o código malicioso integrado.
Investigaciones e incidentes documentados en el sector
Las advertencias sobre las plataformas de bajo código han dejado de ser teóricas para convertirse en casos documentados por firmas de ciberseguridad e instituciones del sector.
Investigadores de la firma especializado en seguridad de identidades Lasso Security expusieron previamente cómo miles de entornos públicos de Microsoft Power Apps filtraron decenas de millones de registros confidenciales. La causa principal no fue un fallo de día cero en la infraestructura del fabricante, sino una configuración predeterminada en la que la API de consulta de la plataforma permitía el acceso anónimo a las tablas si el creador no activaba explícitamente los permisos de columna.
De igual forma, análisis publicados por la firma Tenable han detallado cómo los atacantes aprovechan la confianza implícita que los filtros de correo otorgan a los dominios legítimos de estas plataformas. Al hospedar formularios de suplantación de identidad (phishing) dentro de dominios oficiales de AppSheet o Power Automate, las campañas maliciosas logran esquivar los cortafuegos y filtros de correo empresarial (SEG) sin levantar sospechas.
El impacto operativo y regulatorio en las organizaciones
El compromiso de una aplicación de bajo código rara vez se limita a la herramienta individual; suele funcionar como una plataforma de salto (pivot) hacia la red profunda de la empresa.
Para los departamentos de TI, el desafío radica en la visibilidad. Los paneles tradicionales de gestión de activos (SIEM y EDR) monitorientan servidores, endpoints y máquinas virtuales, pero frecuentemente ignoran las automatizaciones que se ejecutan directamente en la capa SaaS de los proveedores de nube.
Desde la perspectiva del cumplimiento regulatorio, exponer registros mediante una aplicación LCNC mal configurada conlleva las mismas sanciones bajo el Reglamento General de Protección de Datos (RGPD) o normativas de ciberseguridad sectoriales como NIS2 que una brecha sufrida en un servidor convencional. La responsabilidad legal sigue recayendo sobre la organización, independientemente de quién haya desarrollado el flujo.
Estrategias de defensa y gobernanza para entornos de bajo código
Proteger el ecosistema LCNC no implica prohibir el uso de estas herramientas, una medida que históricamente solo impulsa el desarrollo clandestino. Las organizaciones están adoptando esquemas de gobernanza activa basados en tres pilares clave:
Implementación de un Centro de Excelencia (CoE)
Establecer un equipo multifuncional que combine especialistas de TI, ciberseguridad y unidades de negocio. El CoE define los entornos permitidos, supervisa el despliegue de soluciones y valida que las aplicaciones que manejan información sensible pasen por una revisión técnica previa a su puesta en producción.
Segmentación de conectores y políticas DLP
Configurar políticas de prevención de pérdida de datos (Data Loss Prevention) a nivel de inquilino (tenant). Las plataformas permiten clasificar los conectores en categorías (por ejemplo, «Empresarial», «No empresarial» y «Bloqueado»), impidiendo que un flujo combine conectores internos del base de datos con servicios públicos de almacenamiento o redes sociales.
Monitorización de la postura de seguridad (SSPM)
Adoptar soluciones de Gestión de la Postura de Seguridad de SaaS (SaaS Security Posture Management). Estas herramientas escanean de manera continua las aplicaciones LCNC construidas en la organización, identificando automatizaciones huérfanas, flujos compartidos con usuarios externos y configuraciones de acceso anónimo en tiempo real.
La redefinición de la superficie de ataque corporativa
La convergencia entre la democratización del desarrollo y la ciberseguridad ha redefinido el perímetro defensivo de las empresas. El software ya no se escribe únicamente en entornos de desarrollo controlados con pipelines de integración continua y revisiones por pares; se construye en la interfaz web de una herramienta SaaS durante una jornada laboral rutinaria.
Garantizar la resiliencia operativa exige que los equipos de ciberseguridad adapten sus herramientas de visibilidad a la velocidad del desarrollo ciudadano. Integrar gobernanza, monitorización automatizada y educación técnica para los creadores de negocio determinará si las plataformas de bajo código continúan siendo un motor de productividad o se consolidan como la puerta trasera preferida del ciberdelito.
Deja una respuesta