Conocé cómo un clic, una contraseña reutilizada y la falta de doble factor pueden abrirle la puerta a un atacante, y por qué la identidad digital se convirtió en el blanco favorito de los ciberdelincuentes, según el diagnóstico de Carlos Tapia, Líder de Seguridad Informática de Prominente.
Carlos Tapia lo repite con la calma de quien lo ha visto pasar decenas de veces: los ataques informáticos casi nunca son producto de un único error. “Rara vez el problema es un único error; normalmente es la combinación de varios pequeños descuidos la que permite que un ataque tenga éxito”, explica el Líder de Seguridad Informática de Prominente. Un correo aparentemente legítimo, dice, suele ser apenas el primer eslabón de una cadena que termina en un incidente de magnitud.
Esa mirada atraviesa toda la conversación con Tapia, que recorre desde el error humano más subestimado hasta el rol ambivalente de la inteligencia artificial en el tablero de la ciberseguridad corporativa.
El descuido que nadie ve venir
Si hay un riesgo que Tapia identifica como sistemáticamente ignorado, es la reutilización de contraseñas. La lógica del error es casi intuitiva: muchas personas asumen que si comprometen una cuenta personal —una red social, un sitio de compras— el daño queda confinado a ese servicio. El problema aparece cuando esa misma contraseña abre también la puerta a recursos corporativos. “Si esa misma contraseña también se utiliza para acceder a recursos corporativos, una filtración externa puede abrir la puerta a la empresa”, advierte. Y cuando esa identidad no está protegida con autenticación multifactor, el riesgo escala: el atacante entra con credenciales legítimas, sin necesidad de explotar ninguna vulnerabilidad técnica.
Consultado por la proporción entre error humano y falla técnica en los incidentes que atiende, Tapia no ofrece una cifra propia sino que se apoya en el consenso de la industria: entre el 70% y el 90% de los incidentes tienen algún componente humano. La tecnología falla, sí, pero el punto de entrada sigue siendo mayoritariamente una persona —por desconocimiento, por subestimar el riesgo o directamente por incumplir controles ya establecidos.
Los atacantes hoy nutren sus campañas con información pública de LinkedIn, sitios corporativos o redes sociales, e incluso recurren a inteligencia artificial para imitar el tono y la forma de escribir de una organización o de una persona puntual.
¿Y el phishing?
La descripción que hace Tapia del phishing actual desarma un lugar común: ya no se trata de detectar mensajes mal escritos o diseños poco profesionales. Los atacantes hoy nutren sus campañas con información pública de LinkedIn, sitios corporativos o redes sociales, e incluso recurren a inteligencia artificial para imitar el tono y la forma de escribir de una organización o de una persona puntual. A esto se suma el crecimiento del quishing: correos que ya no contienen un enlace sospechoso, sino un código QR que redirige a una página de autenticación falsa.
“Hoy los mensajes pueden ser prácticamente indistinguibles de una comunicación legítima”, resume. La consecuencia práctica es clara: verificar la identidad del remitente, el contexto y el destino real de los enlaces se volvió una tarea que ya no puede delegarse solo al equipo de IT. Todo colaborador, de cualquier área, necesita hoy un piso mínimo de conocimiento en ciberseguridad.
Otro mito que Tapia desarma es el del “perfil vulnerable”: no existe un rol dentro de la empresa que sea sistemáticamente más débil que otro. Los atacantes van detrás de quien tenga mayor acceso, información sensible o poder de decisión, sea un administrativo, un gerente o incluso alguien de IT. Lo que cambia, dice, es el storytelling que arman para cada perfil.
La ciberseguridad como decisión de negocio
Para Tapia, el retorno de invertir en prevención se mide en negativo: en los incidentes que no ocurren, en las horas de interrupción evitadas, en el impacto económico que nunca llega a materializarse. Ese cambio de enfoque —de gasto técnico a inversión estratégica— es también el que atravesó puertas adentro de Prominente: la ciberseguridad dejó de ser un proyecto puntual o la responsabilidad exclusiva de un área, para incorporarse desde la planificación misma de las iniciativas de negocio.
Consultado sobre el punto ciego de las empresas argentinas, Tapia no duda: la identidad digital. Comprometer una cuenta válida es hoy más simple y más barato para un atacante que explotar una vulnerabilidad técnica en un sistema. Y la inteligencia artificial no hace más que amplificar ese vector, al permitir campañas de engaño cada vez más convincentes.
El consejo más accionable que ofrece Tapia se apoya en un concepto que, según él, no tiene la difusión que merece: la ciber-higiene. La idea, inspirada en la Ley de Pareto, es simple: mantener muy saludables relativamente pocos controles clave, en lugar de diseñar planes de ciberseguridad exhaustivos que lucen bien en una presentación pero terminan implementados solo parcialmente. Autenticación multifactor en todos los accesos, sistemas actualizados y capacitación periódica para reconocer intentos de fraude: tres medidas de bajo costo con un beneficio desproporcionadamente alto.
Sobre el rol de la inteligencia artificial, Tapia no elige bando u equipo: la ve como amenaza y como herramienta de defensa al mismo tiempo. Permite a los atacantes automatizar ataques y personalizar fraudes a escala, pero también les da a los equipos de ciberseguridad capacidad de detección más rápida y de análisis de grandes volúmenes de información. “La diferencia no está en la herramienta, sino en cómo se utiliza”, cierra.
Entrevista realizada a Carlos Tapia, Líder de Seguridad Informática en Prominente, empresa tecnológica de Grupo Roggio.