Termina una instancia EC2 y su disco raíz se va con ella. Todo volumen conectado después del arranque se queda ahí, y AWS documenta el valor por defecto sin rodeos: DeleteOnTermination es true para el volumen raíz y false para los volúmenes conectados. Nadie eligió eso para tu infraestructura; es lo que hace la cuenta cuando la pregunta no llega a plantearse. Tus ingenieros no fueron descuidados. Tu infraestructura es mayor que tu documentación porque los valores por defecto se ponen del lado de los restos.
Un inventario de activos cloud montado de memoria siempre será un subconjunto de lo que está en marcha y facturando. El State of the Cloud Report 2026 de Flexera, publicado el 18 de marzo de 2026 a partir de 753 responsables de decisión en cloud, situó el gasto cloud desperdiciado en el 29 por ciento, el primer aumento en cinco años. Eso se archiva como una cifra financiera. La versión de seguridad es peor: una máquina que nadie recuerda haber alquilado es una máquina que nadie está parcheando. Sigue guardando la credencial que se le entregó, sigue respondiendo en un puerto, y queda fuera del alcance de tu próxima prueba de penetración, porque la llamada en la que se definió ese alcance trabajó desde la misma lista que tú.
De dónde salen en realidad los recursos cloud huérfanos
El ingeniero que se fue es el ejemplo más limpio. Alguien levantó una prueba de concepto en una región que el equipo no usa para nada más, hizo la demo, y se marchó dieciocho meses después. La instancia sigue funcionando y no está en el Terraform de nadie. A su lado está la segunda cuenta: un proyecto que necesitaba ir más rápido que el departamento de compras, abierto con una tarjeta personal, nunca reintegrado. Cisco sitúa en el 80 por ciento la proporción de empleados que usan tecnología no autorizada. Gartner encontró que un 41 por ciento adquirió, modificó o creó tecnología fuera de la visibilidad de TI en 2022, y sitúa el 38 por ciento de las compras de tecnología bajo responsables de negocio en lugar de TI.
El resto es mecánico. El autoescalado escaló hacia arriba para un lanzamiento y la política de reducción nunca se escribió tan agresiva como la de crecimiento, así que un grupo que debería estar en cuatro está en once. Un balanceador de carga sobrevive al servicio que tenía delante. Los snapshots corren con una programación que alguien fijó en 2022 y sin caducidad. Y en algún rincón de casi cualquier infraestructura un entorno de staging se convirtió en producción por accidente, porque una integración de un cliente se apuntó ahí una vez y nadie quiso ser quien lo apagara.
Una máquina desconocida es una máquina sin parchear
El DBIR 2026 de Verizon, publicado el 20 de mayo de 2026, encontró que la explotación de vulnerabilidades se había convertido en el vector de acceso inicial más común, con el 31 por ciento de las brechas, frente al 20 por ciento del año anterior. Sitúa la mediana de tiempo para remediar una vulnerabilidad de explotación conocida en 43 días, frente a 32, y encuentra que solo el 26 por ciento de las vulnerabilidades de la lista de explotación conocida de CISA llegaron a remediarse por completo. Esas cifras describen las máquinas que conoces. Para las otras, el tiempo de remediación es nunca.
Una instancia anterior a tus herramientas de parcheo sigue además guardando la credencial que le entregaron su primer día. El State of Cloud Security 2025 de Datadog encontró que el 59 por ciento de los usuarios de IAM de AWS tiene una clave de acceso activa de más de un año, que una cuarta parte de todas las claves supera los tres años y que una de cada diez supera los cinco. El Cloud Security Report 2026 de Cybersecurity Insiders y Fortinet, basado en 1.163 profesionales de TI y de seguridad, recoge que el 69 por ciento señala la proliferación de herramientas y las lagunas de visibilidad como el principal factor que limita su seguridad cloud. La máquina olvidada es donde se encuentran esos dos hallazgos.
Qué aspecto tiene el gasto cloud inactivo, línea por línea
Desde el 1 de febrero de 2024 AWS cobra 0,005 dólares por hora por cada dirección IPv4 pública, esté conectada o no, unos 43 dólares al año por una dirección que no hace nada. Un Application Load Balancer en US East (N. Virginia) cuesta 0,0225 dólares la hora, unos 16,43 dólares al mes, y se factura tanto si enruta una petición como si no. Individualmente son errores de redondeo, y por eso sobreviven: ninguna línea es lo bastante grande como para que alguien abra un ticket, y una infraestructura de tamaño medio arrastra cientos de ellas. El dinero de verdad está en los recursos que funcionan correctamente y no hacen nada. El State of Cloud Costs 2024 de Datadog encontró que el 83 por ciento de los costes de contenedores está asociado a recursos inactivos: el 54 por ciento del gasto en contenedores es inactividad de clúster, infraestructura aprovisionada sobre la que nunca se planificó nada, y el 29 por ciento es inactividad de carga de trabajo, peticiones de recursos mayores de lo que las cargas necesitan.
Cómo descubrir lo que hay en cuentas que no abriste tú
Empieza por el dinero y por la identidad, no por las consolas. Toda cuenta está atada a un medio de pago, así que doce meses de extractos de tarjeta y de banco son una fuente de descubrimiento mejor que cualquier API de proveedor; después, tu proveedor de identidad y tus zonas DNS, porque una cuenta que nadie recuerda sigue resolviendo un nombre que alguien registró.
Dentro de una cuenta, las herramientas del proveedor ayudan y a la vez mienten por omisión. AWS Resource Explorer construye un índice por región, permite exactamente uno, y necesita que uno se promueva a agregador para que la búsqueda entre regiones funcione siquiera, así que una región que nunca indexaste no aporta nada a unos resultados que parecen completos. Los recursos etiquetados aparecen en minutos y los no etiquetados tardan hasta dos horas o más, así que los recursos peor documentados son los más lentos en aparecer. Ejecútalo dos veces, con un día de diferencia, antes de creértelo.
Entre proveedores, la fusión es el trabajo, y a mano no termina nunca, porque cada exportación tiene su propia idea de qué cuenta como recurso y no hay dos que nombren las regiones igual. Sencai hace esa fusión como producto: conectas una cuenta con credenciales delimitadas y sus instancias, redes, almacenamiento y DNS existentes llegan en una sola lista, junto a las máquinas de tus propios racks a las que llega un agente instalado en el host, sin migrar ni reconstruir nada. La promoción a recurso gestionado ocurre de uno en uno, así que ver algo no es aceptar operarlo.
Prioriza por radio de impacto, no por coste mensual
La primera pasada devuelve más de lo que ningún equipo puede atender. Una hoja con mil y pico hallazgos ordenada por coste mensual pone un disco de 9 dólares por encima de una instancia expuesta a internet con una clave de acceso de tres años. El State of Cloud Risk 2026 de Wiz encontró que solo el 9 por ciento de los hallazgos son ejecución remota de código; los problemas de exposición y de acceso dominan lo que acaba convirtiéndose en incidente. Ordena en cambio por lo que gana un atacante: primero todo lo alcanzable desde internet que guarde una credencial, luego todo lo que guarde datos, luego las claves y los roles que pertenecen a recursos sin dueño. Las direcciones sin conectar y los balanceadores inactivos van al final, por muy fáciles de arreglar que sean. Equivocarse con uno de esos cuesta 43 dólares.
Borrar es la primera acción equivocada para cualquier cosa sin dueño. Párala y observa. Una instancia que se queda parada treinta días sin que ni una sola persona lo note se puede eliminar sin riesgo; una que genera un ticket de soporte en cuatro horas acaba de identificar a su propietario. Haz un snapshot de todo lo que tenga disco antes de tocarlo. El único error irreversible disponible aquí es borrar el almacenamiento de algo que resultó ser estructural, y todo equipo que lo ha hecho una vez practica la espera de treinta días para siempre.
Un inventario con fecha de fin no vale nada seis semanas después
Una hoja de cálculo es exacta la tarde en que se produce y se degrada desde esa misma noche. Todo lo que produjo la brecha sigue funcionando: los valores por defecto no han cambiado, y el plazo que justificó la segunda cuenta vuelve a llegar en marzo. El artículo 21, apartado 2, letra i), de NIS2 enumera la gestión de activos entre las diez medidas mínimas de gestión de riesgos que deben implantar las entidades dentro del alcance, junto al análisis de riesgos del artículo 21, apartado 2, letra a), y a la higiene cibernética del artículo 21, apartado 2, letra g), y ningún documento satisface ninguna de ellas. El plazo de transposición era el 17 de octubre de 2024; el 8 de julio de 2026 la Comisión llevó a Irlanda, España, Francia y los Países Bajos ante el Tribunal de Justicia por transposición incompleta, pidiendo multas diarias.
El descubrimiento continuo es otra cosa distinta de un proyecto, y es la única versión que sobrevive a una infraestructura real. La configuración gratuita de Sencai, un usuario y una organización con cinco recursos gestionados, ejecuta una pasada de descubrimiento contra una cuenta real y te enseña la lista antes de que promuevas nada a recurso gestionado. Conviene mirar el límite de frente: la gestión en vivo en el proveedor es profunda y no ancha, DNS en cinco proveedores, firewalls en dos y redes en uno, así que buena parte de lo que encuentres lo seguirás cambiando en la consola del proveedor. Uses lo que uses, coge tu cuenta más antigua, enumera todas las regiones incluidas las dos que tienes la certeza de que están vacías, y ordena lo que vuelva por si es alcanzable desde internet, no por lo que cuesta. El primer recurso al que nadie sabe ponerle nombre es donde empieza el trabajo.