Ciberseguridad para idiotas: así caen las empresas una y otra vez

Ni ransomware sofisticado ni hackers rusos. El 90% de los problemas empieza por un PDF mal abierto.

Spoiler: el eslabón débil no es el firewall, es el becario

Nos encanta imaginar ataques cibernéticos como escenas de Hollywood: luces verdes, líneas de código y un ruso en un sótano. Pero la realidad es mucho más triste: alguien en contabilidad abrió un archivo llamado factura_urgente_lol.exe.pdf y le dio a “habilitar contenido”. Fin de la historia. Empresa comprometida.

No es un ataque sofisticado. Es pura idiotez organizativa. Y pasa todos los días. Porque seguimos confiando la ciberseguridad a formaciones PowerPoint de 30 minutos y a sistemas que dan acceso root al primer que dice "es para IT".

Manual corporativo de desastre: versión 2025

1. Contratar una solución carísima de ciberseguridad.

2. Ignorar el 90% de sus recomendaciones.

3. Usar contraseñas tipo Empresa2024.

4. Compartir accesos por Slack porque “es más cómodo”.

5. Fingir sorpresa cuando se filtran 40.000 registros.

Y claro, el comunicado oficial siempre es el mismo: “Estamos investigando el incidente con ayuda de expertos externos”. Traducción: no tenemos ni idea de lo que pasó y el responsable ya está en su casa con un NDA firmado.

Phishing: la pandemia silenciosa

Olvida los virus mutantes. El mayor peligro para tu empresa está en un email con faltas de ortografía. Y no, no es porque sean sofisticados. Es porque nadie revisa nada. El 90% de los ataques exitosos empiezan con un empleado haciendo clic donde no debe.

Y mientras tanto, los departamentos de IT cruzan los dedos esperando que el sistema EDR funcione, que el antivirus reaccione, o que al menos alguien no haya reenviado la estafa al grupo de WhatsApp de la empresa.

La nube: ese lugar inseguro con nombre bonito

Migrar a la nube es la excusa favorita de los directivos para desentenderse de la seguridad. “Eso lo lleva Microsoft, ¿no?”. Claro. Hasta que alguien configura mal los permisos y tu base de datos queda indexada en Google. Suele pasar. Mucho más de lo que te gustaría saber.

Y cuando llega el auditor y pregunta por el cifrado, el compliance y los backups… silencio. Pero todos tienen su archivo “copia-final-definitiva-última.xlsx” en el escritorio.

Lo que nadie te cuenta sobre esto

• Las fugas internas son más frecuentes que los ataques externos. Pero es más fácil culpar a “hackers de fuera”.

• La mayoría de empresas no tiene plan de respuesta. Lo improvisan el día del ataque.

• Tus datos ya están en la dark web. Pero como nadie los busca, nadie lo sabe.

• Los backups existen, pero nadie los prueba. Hasta que no restauran, no se enteran de que están corruptos.

Conclusión: el problema no es la tecnología, es la estupidez

Podemos tener firewalls de última generación, SOCs 24/7 y pentests trimestrales. Pero nada de eso sirve si el de RRHH sigue usando “123456” como contraseña. La ciberseguridad no es cuestión de inversión, es cuestión de cultura. Y hasta que eso no cambie, el próximo ataque ya está en camino. Con asunto en mayúsculas y archivo adjunto incluido.