En el ecosistema empresarial actual, existe una falsa sensación de calma basada en la adquisición de tecnología. Múltiples organizaciones asumen que por el simple hecho de haber instalado un firewall de última generación, contar con licencias de antivirus en sus equipos o implementar sistemas de monitoreo, han quedado blindadas automáticamente contra el crimen digital.
Sin embargo, la realidad de las amenazas cibernéticas es completamente distinta: los ataques no han dejado de suceder, simplemente han cambiado de puerta de entrada.
Para analizar esta problemática, en esta edición de Neuron IT Talks, Raymundo Carballo conversó con Mauricio Díaz, CTO y Co-fundador de Defendium, una firma especializada en ciberseguridad defensiva y pruebas de intrusión (ethical hacking). A través de esta charla, Díaz desmitifica los errores más comunes de la seguridad digital, evalúa la influencia de la inteligencia artificial en el cibercrimen y explica cómo el factor humano sigue siendo el eslabón más vulnerable tanto en grandes corporativos como en la vida cotidiana de cualquier ciudadano.
1. El Hacker Ético: Atacar para Defender
La conversación inicia con una definición fundamental para comprender cómo se evalúa la seguridad en las empresas: ¿qué diferencia a un atacante real de un hacker ético?
“A diferencia de un atacante que busca vulnerar a una organización para obtener un beneficio ilícito, el hacker ético cuenta con el permiso explícito y legal de la empresa antes de intentar vulnerar sus sistemas”, explica Mauricio Díaz.
El objetivo de firmas como Defendium es simular escenarios de ataque reales sobre aplicaciones web, redes internas y cualquier activo de Tecnologías de Información (TI). Mediante el uso de exploits, la detección de malas configuraciones y el aprovechamiento de malas prácticas internas, los hackers éticos identifican los huecos de seguridad antes de que un criminal los utilice en contra de la organización.
La idea detrás de Defendium no surgió en un entorno meramente teórico. Nació a partir de un incidente real en la empresa donde trabajaba uno de sus socios fundadores: a través de un simple correo electrónico engañoso, un grupo de atacantes logró desviar miles de dólares pertenecientes a un inversionista. Este tipo de eventos demostró que el cibercrimen en México y América Latina no discrimina tamaño ni industria.
2. La ilusión del “A mí no me van a atacar”
Uno de los errores más peligrosos en los negocios es asumir que la empresa no es lo suficientemente grande o relevante como para atraer la atención de un hacker.
Hoy en día, las PyMEs y startups se han convertido en los objetivos favoritos del cibercrimen. A diferencia de un gran corporativo que puede absorber financieramente un incidente o un pago de rescate por extorsión, un ataque efectivo contra una pequeña o mediana empresa suele derivar en su quiebra definitiva.
Asimismo, existe el mito de que el ataque comienza en el instante en que el delincuente vulnera la red interna. Mauricio Díaz destaca que la mayor parte del trabajo de un atacante ocurre mucho antes del primer acceso, mediante técnicas de OSINT (Open Source Intelligence o Inteligencia de Fuentes Abiertas):
- Recolección de datos públicos: Los atacantes analizan todo lo expuesto en internet sobre la empresa (redes sociales, motores de búsqueda, documentos públicos).
- Perfilamiento de empleados: Se mapea la estructura de la compañía para identificar roles clave.
- Diseño del ataque: Con la información recolectada, se estructuran vectores de ataque altamente personalizados y sofisticados.
En palabras del CTO de Defendium, el error más recurrente de las organizaciones es dar por sentado que están protegidas. Un sistema de seguridad es tan efectivo como la persona que lo diseñó y la persona que lo administra. Si la configuración es errónea o el mantenimiento es deficiente, la inversión tecnológica queda neutralizada.
3. El Factor Humano y los Backups Mal Manejados
Durante la entrevista, se abordaron las vulnerabilidades más críticas que suele encontrar el equipo de Defendium al momento de auditar a un cliente:
A. Fallas de configuración básica (Respaldos en la misma red)
Uno de los fallos más insólitos pero frecuentes en las organizaciones es mantener las copias de seguridad (backups) conectadas a la misma red interna que pretenden respaldar. Si un atacante logra comprometer la red principal, el respaldo queda expuesto exactamente al mismo nivel, anulando la capacidad de respuesta y recuperación de la empresa ante un ransomware o un secuestro de datos.
B. Ingeniería Social vs. Vulnerabilidad Tecnológica
Ante la pregunta de qué es más peligroso —si una falla técnica o engañar a un ejecutivo—, la respuesta es contundente: es drásticamente más fácil y destructivo engañar a una persona.
Engañar a un CEO, CTO o director financiero mediante técnicas de phishing (correos falsos) o vishing (llamadas de suplantación) no requiere un conocimiento técnico avanzado. Requiere comprender la psicología humana, ganar la confianza de la víctima y generar un sentido de urgencia. Un solo clic en un enlace malicioso o la autorización de una transferencia basada en un engaño puede colapsar la infraestructura de seguridad más costosa.
Por ello, capacitar al personal de áreas no técnicas (Recursos Humanos, Marketing, Ventas, Atención al Cliente) no es un extra opcional, sino una prioridad defensiva.
4. La Inteligencia Artificial: Ataques automatizados las 24 horas
El surgimiento y democratización de la inteligencia artificial generativa ha transformado el panorama del cibercrimen, cambiando las reglas del juego en dos aspectos fundamentales:
- Democratización del ataque: Hoy en día, individuos con conocimientos técnicos limitados pueden apoyarse en herramientas de IA para orquestar ataques sofisticados que hace cinco años requerían grupos especializados.
- Frecuencia y velocidad: Anteriormente, los ejercicios de evaluación de seguridad (pentesting) se realizaban cada seis meses o cada año, dándole a los equipos de TI meses de margen para corregir vulnerabilidades. Con la IA, los ataques son automatizados y suceden las 24 horas del día, los 7 días de la semana.
En promedio, una empresa de tamaño mediano a grande puede recibir más de 10 intentos de ataque diarios dirigidos a sus aplicaciones, servidores o servicios expuestos. Esto obliga a los responsables de seguridad a competir en una carrera contra el tiempo donde la rapidez de parchado y remediación es la única defensa viable.
5. Recomendaciones de Seguridad: Del Entorno Corporativo a la Vida Personal
La ciberseguridad no se limita al perímetro de las oficinas. En el ámbito personal, cualquier individuo que posea una cuenta bancaria, información sensible o fotos privadas en su dispositivo es un objetivo potencial para los extorsionadores digitales.
Al cierre de la entrevista, Mauricio Díaz compartió tres recomendaciones esenciales para proteger la identidad y los activos digitales en el día a día:
- Uso riguroso de Gestores de Contraseñas: El error personal más grave es reutilizar la misma contraseña en múltiples servicios (redes sociales, correo, plataformas bancarias). Si un servicio sufre una filtración de datos, los atacantes probarán esa misma clave en todas las demás plataformas. La solución es utilizar un gestor de contraseñas (de preferencia almacenado de forma local o cifrada) para generar claves aleatorias y únicas por cada servicio.
- Conciencia sobre la Huella Digital: Todo contenido que se suba a internet permanece en la red de forma indefinida, incluso si es eliminado de las redes sociales del usuario. Es imperativo gestionar de manera responsable el tipo de información e imágenes que se comparten de forma pública o privada.
- Mantener la mente fría ante situaciones de extorsión: La base de los ciberataques personales y las estafas (scams) es infundir pánico y urgencia (mensajes sobre cuentas bloqueadas, supuestos secuestros o amenazas de filtración de fotos). Ante un mensaje o correo de este tipo, la indicación clave es mantener la calma, no realizar pagos ni ceder a la presión, e informar de inmediato a familiares, conocidos o expertos en tecnología para verificar la veracidad del incidente.
Conclusión
La ciberseguridad ha dejado de ser un tema meramente técnico exclusivo del departamento de TI para convertirse en una competencia crítica de cultura general y resiliencia corporativa. En un mundo hiperconectado donde la inteligencia artificial acelera los vectores de riesgo, la protección real no proviene únicamente del software que se compra, sino de la constante evaluación defensiva, la correcta configuración de los activos y, sobre todo, de la educación continua de las personas.
