Credenciales embebidas
Credenciales de acceso incrustadas de forma permanente en una aplicación, firmware o dispositivo — a menudo idénticas en todas las unidades e imposibles de cambiar para el usuario. Frecuente e infame en dispositivos IoT, donde una única contraseña por defecto filtrada puede comprometer millones de aparatos.
Se diferencia de los «secretos en el código» (subidos por accidente) en que son incorporados deliberadamente — por ejemplo, una cuenta de administrador oculta, una contraseña por defecto en el firmware, o una clave de API compilada dentro de una app. El problema: las credenciales se pueden extraer (descompilar la app, volcar el firmware) y suelen ser idénticas en todos los dispositivos → si alguien encuentra una, TODAS las unidades quedan vulnerables. Es tristemente célebre en IoT (cámaras, routers), donde el mismo admin/admin o una puerta trasera secreta aparece en toda una línea de productos — la botnet Mirai se construyó precisamente sobre credenciales por defecto embebidas. Defensa: forzar contraseñas únicas en el primer arranque, ninguna cuenta oculta, obtener los secretos de una fuente segura en lugar de incrustarlos, y autenticación basada en certificados. Está surgiendo regulación (por ejemplo, prohibir las contraseñas universales por defecto). Relacionado con secretos en el código y passwordless auth.