# Vulnerabilidades BOLA en plataformas multicliente: cuando un usuario accede a datos de otro cliente

Episodio de [Punto de Brecha](https://escuchario.semeescucha.es/podcast/punto-de-brecha), de Insylux Cybersecurity.

- Publicado: 10 de octubre de 2026
- Duración: 17 min
- Episodio 18
- Audio: https://content.rss.com/episodes/405144/3221970/punto-de-brecha/2026_10_10_00_36_25_d76ad5c2-9408-4256-9ec3-0d7c7c7dd77f.mp3
- Página: https://escuchario.semeescucha.es/podcast/punto-de-brecha/episodio/2201105-vulnerabilidades-bola-en-plataformas-multicliente-cuando-un-usuario-accede-a-de

## Sobre este episodio

¡Hola! Me encantaría saber qué piensas, envíame un mensaje de voz. ¿Qué pasa cuando una plataforma multicliente autentica correctamente a un usuario, pero no comprueba si ese usuario tiene permiso para acceder al objeto que está solicitando? En este episodio de Punto de Brecha analizamos las vulnerabilidades BOLA —Broken Object Level Authorization—, uno de los riesgos más relevantes en la seguridad de APIs. El problema aparece cuando un identificador de factura, expediente, documento, perfil o recurso puede modificarse y el backend devuelve información perteneciente a otro usuario o incluso a otro cliente de la plataforma. Analizamos: • Cómo funciona una vulnerabilidad BOLA. • Por qué autenticación y autorización no son lo mismo. • Qué riesgo adicional existe en arquitecturas SaaS y multitenant. • Cómo un simple cambio de identificador puede provocar exposición o manipulación de datos. • Por qué ocultar IDs o usar UUID no sustituye una comprobación de autorización. • Qué controles deben aplicarse en cada endpoint que accede a objetos. • Cómo probar este tipo de fallos antes de que lleguen a producción. En una plataforma multicliente, el aislamiento entre tenants debe verificarse en cada operación, no asumirse por diseño. Punto de Brecha es un podcast de Insylux Cybersecurity sobre APIs, desarrollo seguro, ciberseguridad empresarial y gestión del riesgo. Insylux Cybersecurity: https://insylux.co Formación en desarrollo seguro — Insylux Academy: https://academia.insylux.co LinkedIn: https://www.linkedin.com/company/insyluxcs/

Anterior: [Criptografía postcuántica: los retos operativos de migrar a tiempo](https://escuchario.semeescucha.es/podcast/punto-de-brecha/episodio/2201106-criptografia-postcuantica-los-retos-operativos-de-migrar-a-tiempo)
Siguiente: [Contratistas temporales: el acceso que nadie recuerda revocar](https://escuchario.semeescucha.es/podcast/punto-de-brecha/episodio/2201104-contratistas-temporales-el-acceso-que-nadie-recuerda-revocar)

## Últimos episodios de Punto de Brecha

- [La falsa ilusión del inventario tecnológico: no puedes proteger lo que no conoces](https://escuchario.semeescucha.es/podcast/punto-de-brecha/episodio/102819791-la-falsa-ilusion-del-inventario-tecnologico-no-puedes-proteger-lo-que-no-conoces) · 23 de octubre de 2026 · 29 min
- [SafePay: los errores fatales que pueden agravar un ataque de ransomware](https://escuchario.semeescucha.es/podcast/punto-de-brecha/episodio/102819792-safepay-los-errores-fatales-que-pueden-agravar-un-ataque-de-ransomware) · 23 de octubre de 2026 · 21 min
- [El espejismo del saldo bancario intacto: cuando el fraude no parece evidente](https://escuchario.semeescucha.es/podcast/punto-de-brecha/episodio/102819793-el-espejismo-del-saldo-bancario-intacto-cuando-el-fraude-no-parece-evidente) · 23 de octubre de 2026 · 22 min
- [Yggdrasil: el ciberataque que puso en riesgo la logística ucraniana](https://escuchario.semeescucha.es/podcast/punto-de-brecha/episodio/102819794-yggdrasil-el-ciberataque-que-puso-en-riesgo-la-logistica-ucraniana) · 23 de octubre de 2026 · 22 min
- [Ataques con IA a Microsoft 365: cuando el correo corporativo se convierte en una amenaza](https://escuchario.semeescucha.es/podcast/punto-de-brecha/episodio/102819795-ataques-con-ia-a-microsoft-365-cuando-el-correo-corporativo-se-convierte-en-una) · 23 de octubre de 2026 · 27 min