Honeytoken.

Un honeytoken es un artefacto de engaño incrustado en sistemas reales, de modo que cualquier uso suyo es, por diseño, malicioso o anómalo. El término fue acuñado por Augusto Paes de Barros en un intercambio en una lista de correo de febrero de 2003 con Lance Spitzner, del Honeynet Project, extendiendo la idea del honeypot desde sistemas completos hasta elementos de datos individuales. Los ejemplos incluyen cuentas de usuario plantadas, filas de base de datos falsas, claves de acceso de nube señuelo, documentos con marca de agua y registros DNS que emiten una baliza al resolverse.

flowchart LR
  P[Plantar honeytoken<br/>en repo / recurso / BD] --> W[Esperar: sin uso legítimo]
  W --> X((El atacante lo<br/>encuentra y usa))
  X --> T[El uso dispara<br/>alerta de alta fidelidad]
  T --> IR[IR: identificar origen,<br/>acotar la brecha]

Como los honeytokens son inertes y nunca los tocan procesos legítimos, producen casi cero falsos positivos y dan una señal temprana y de alta fidelidad de robo de credenciales, preparación de datos o abuso interno. Un patrón práctico es la clave canary de AWS: una clave IAM plantada cuyo uso detecta CloudTrail; Thinkst Canarytokens popularizó versiones gratuitas y autoalojables (tokens de URL, documento y clave de AWS). Los honeytokens extienden la visibilidad a lugares con pocos registros —SaaS de terceros, repositorios de código y copias de seguridad— y se asignan a técnicas defensivas de Decoy de ATT&CK. Advertencias: el token debe ser plausible pero nunca alcanzable por flujos normales, y los escáneres de credenciales filtradas o pipelines de CI descuidados pueden dispararlo, por lo que cada alerta aún necesita triaje contra su ubicación plantada.