Un correo de un proveedor de siempre, con el asunto de siempre, avisando de que la próxima factura hay que pagarla en un número de cuenta nuevo. Quien lo recibe lleva ocho años en administración, conoce a ese proveedor y ha tramitado decenas de sus facturas. Hace la transferencia.
No hubo virus. No robaron ninguna contraseña. El antivirus no tenía nada que detectar y el cortafuegos funcionaba perfectamente. El ataque entró por donde entran la mayoría: por una persona que estaba haciendo bien su trabajo.
Esa es la parte incómoda de la ciberseguridad en una empresa pequeña o mediana. La inversión técnica es necesaria, pero protege el perímetro, y buena parte de los incidentes no empiezan con una brecha técnica sino con un gesto cotidiano que nadie percibió como peligroso. Estos son los cinco más habituales, y ninguno tiene que ver con descuido ni con falta de profesionalidad.
Abre la puerta a: fraude en la transferencia
1. Confiar en el remitente en lugar de en el mensaje
El fraude del cambio de cuenta funciona porque no pide nada raro. Llega desde una dirección conocida, o casi idéntica a la conocida, dentro de una conversación que ya existía, y solicita algo que esa persona hace todas las semanas. No hay enlaces sospechosos ni archivos adjuntos extraños: solo unos dígitos distintos.
Quien lo recibe no está siendo confiado, está siendo eficiente. El problema es que la eficiencia y la verificación tiran en direcciones opuestas, y en un día con prisa gana la eficiencia.
La medida que mejor funciona no es técnica sino de procedimiento: cualquier cambio de datos bancarios se confirma por un canal distinto al que llegó la petición, y preferiblemente por teléfono a un número que ya se tenía. Y conviene que sea una norma de la empresa, no una decisión personal, para que nadie sienta que desconfía de un cliente.
Abre la puerta a: acceso a todo el correo corporativo
2. Reutilizar la misma contraseña dentro y fuera del trabajo
Cuando una tienda online, un foro o una aplicación cualquiera sufre una filtración, esas credenciales acaban en listas que se prueban automáticamente contra servicios corporativos. Si la contraseña del correo de la empresa es la misma que la de aquella web, el acceso está servido sin necesidad de atacar nada de la empresa.
La reutilización no es pereza: es la respuesta lógica de alguien a quien se le pide recordar veinte claves distintas sin darle ninguna herramienta para hacerlo. Exigir contraseñas únicas sin proporcionar un gestor es pedir algo que no se puede cumplir.
Dos medidas resuelven casi todo el problema: un gestor de contraseñas para la empresa y el segundo factor de autenticación activado en el correo y en las aplicaciones de gestión. Con el segundo factor, una contraseña filtrada deja de ser suficiente.
Abre la puerta a: software sin control en la red
3. Resolver por su cuenta lo que la empresa no le ha resuelto
Alguien necesita convertir un PDF y encuentra una web que lo hace gratis. Otro instala una extensión del navegador que promete ordenar el correo. Un tercero conecta a su ordenador un disco que trae de casa porque es la forma rápida de pasar unos archivos.
En los tres casos la intención es sacar el trabajo adelante, y en los tres se ha introducido en la red algo que nadie ha revisado. Este comportamiento suele aparecer donde falta una herramienta o donde pedirla es lento: la vía informal se impone porque la formal no llega a tiempo.
Aquí la conversación útil no es prohibir, es preguntar qué les falta. Casi siempre hay una necesidad real detrás, y cubrirla con una herramienta autorizada elimina el riesgo mucho mejor que una norma que nadie cumplirá.
Abre la puerta a: fuga de información sin rastro
4. Compartir archivos por el camino más corto
Un presupuesto que sale por WhatsApp porque el cliente lo pidió así. Una base de datos de contactos enviada al correo personal para trabajar el fin de semana. Un enlace de descarga sin caducidad ni contraseña, publicado en un chat de grupo.
Ninguna de estas acciones parece grave en el momento, y todas dejan información de la empresa fuera de su control y sin ningún registro de quién accedió a ella ni cuándo. El día que hay que responder ante un cliente o ante una auditoría, no existe forma de saberlo.
La solución pasa por tener un canal propio para compartir con el exterior, con permisos y caducidad, y por que sea tan cómodo como la alternativa informal. Si es más engorroso, no se usará.
Abre la puerta a: que un incidente pequeño se haga grande
5. No avisar cuando algo ha ido mal
Este es el más caro de los cinco y el que menos se menciona. Alguien pincha en un enlace y se da cuenta un segundo después. O introduce sus credenciales en una página que resulta ser falsa. O nota que su ordenador va raro desde ayer. Y no lo dice, porque teme que le echen la culpa o porque no quiere molestar por algo que quizá no sea nada.
Ese silencio es lo que convierte un incidente de diez minutos en uno de tres días. Entre el clic y el aviso, quien haya entrado tiene tiempo de moverse por la red, leer correo y preparar lo siguiente.
Y no se arregla con formación técnica, se arregla con cultura: dejar dicho, y sostenerlo cuando ocurra, que avisar rápido nunca tiene consecuencias para quien avisa. Una empresa donde la gente reporta sus propios errores detecta los problemas en minutos; una donde se teme el reproche los detecta cuando ya son visibles para todos.
El patrón que comparten los cinco
Ninguno de estos errores es un fallo de conocimiento informático. Los cinco aparecen cuando una persona razonable elige la opción más práctica en un entorno que no le ha dado una mejor. Por eso la respuesta tampoco puede ser solo técnica.
Si quieres una referencia rápida de por dónde anda tu empresa, estas cuatro preguntas suelen bastar:
- ¿Existe una norma escrita sobre cómo se verifica un cambio de datos bancarios?
- ¿Está activado el segundo factor en el correo de toda la plantilla, dirección incluida?
- ¿Sabe tu equipo a quién avisar si sospecha algo, y tiene claro que no habrá reproche?
- ¿Cuándo fue la última vez que alguien habló de esto con la plantilla, más allá de un correo informativo?
Si alguna respuesta es «no» o «no lo sé», ahí hay una puerta abierta, y no se cierra con más software.
En Alana IT ayudamos a empresas de Tarragona, Barcelona y Madrid a cerrar esas puertas por los dos lados: el técnico y el humano. Puedes ver cómo planteamos la ciberseguridad para empresas o, si lo que necesitas es que tu equipo sepa reconocer estas situaciones antes de que ocurran, cómo trabajamos la formación para empresas.