Los casos de este artículo son escenarios ilustrativos, construidos a partir de situaciones que vemos con frecuencia. No corresponden a una empresa específica.
Imagina un grupo hospitalario que amanece sin sistemas: cirugías reprogramadas, expedientes inaccesibles y una nota de rescate de varios millones de pesos. La investigación apunta a alguien que conocía la red mejor que nadie: un exresponsable de seguridad de la propia empresa. Es un caso extremo, pero ilustra algo que muchas empresas en México todavía subestiman: el ataque no siempre viene de afuera. A veces ya tiene credencial de acceso.
La amenaza más común no es un traidor: es un descuido
Antes de hablar de mala fe, hay que hablar de distracción. La amenaza interna tiene dos caras: la voluntaria y la involuntaria. La segunda es, por mucho, la más frecuente, sobre todo desde que el trabajo remoto se volvió permanente y muchas personas mezclan su computadora personal con la del trabajo.
- El navegador no es una caja fuerte. Guardar contraseñas corporativas en el navegador de una computadora personal es una invitación para los infostealers, programas que roban credenciales en silencio. Si el equipo de casa ya está infectado, el atacante entra con la llave, sin forzar nada.
- La casa se volvió una extensión de la oficina. Archivos copiados a una USB, a la nube personal o al NAS que instaló alguien de la familia "porque el internet está lento". Si ese dispositivo se compromete, los datos de la empresa se van con él.
La respuesta no es prohibir el trabajo remoto, sino cerrar estas puertas: equipos corporativos administrados, almacenamiento autorizado y un gestor de contraseñas empresarial.
Cinco perfiles de la amenaza voluntaria
- La venganza. Un despido mal gestionado, un ascenso negado. Es el perfil más espectacular y el más dañino cuando la persona tenía privilegios altos.
- El dinero. Vender accesos a un grupo criminal o vender información: carteras de clientes, propuestas comerciales, datos estratégicos. A veces por cantidades sorprendentemente bajas.
- El espionaje industrial. En plantas de manufactura y maquiladoras, el riesgo también es físico: un trabajador temporal con lentes o un celular que graban procesos de producción.
- El robo de información técnica. Planos, datos de producción, código fuente. Sectores como energía, automotriz y aeroespacial son blancos naturales.
- El que se va. El perfil más banal y el más extendido: el vendedor o gerente que, sabiendo que renunciará, copia propuestas, bases de clientes y plantillas. Casi un reflejo. Y una parte de la empresa termina en manos de la competencia.
Detectar sin vigilar a todos: señuelos en vez de sospechas
No se trata de desconfiar de cada colaborador, sino de que el comportamiento anormal se note solo. Un buen esquema combina varias capas:
- Una línea base del comportamiento normal. Se centralizan las bitácoras de toda la infraestructura y se compara la actividad real contra lo esperado. Cuando un equipo se sale del patrón, se investiga. La mayoría de las veces es un cambio no documentado; el resto merece atención.
- Señuelos. Cuentas, carpetas, documentos o tablas falsas con nombres atractivos como "pagos", "nómina" o "clientes VIP". Nadie tiene una razón legítima para abrirlos. Si alguien lo hace, es un administrador demasiado curioso… o alguien buscando lo que no debe.
- Análisis de comportamiento. Un usuario que normalmente abre diez archivos al día y de pronto descarga diez mil en una hora dispara una alerta. Con aprendizaje automático también se detectan las fugas lentas, las que sacan un poco de información cada semana para pasar desapercibidas.
- Lo básico, automatizado. Antivirus de nueva generación (EDR), monitoreo gestionado y firewall se encargan de los ataques comunes, para que el equipo de seguridad se concentre en lo que intenta parecer legítimo.
El enemigo también puede pasar la entrevista
En industrias sensibles (manufactura, energía, finanzas, centros de desarrollo), el frente se movió al reclutamiento. Ya se han documentado públicamente casos de "trabajadores de TI" falsos: identidad real pero robada, foto retocada con IA, entrevistas por videollamada aparentemente impecables. El día que reciben su equipo, comienzan a instalar software malicioso o a operar desde otro país.
Algunas medidas sencillas reducen mucho el riesgo:
- Al menos una entrevista con cámara encendida y verificación de identidad en vivo.
- Entrega de equipos con privilegios mínimos durante las primeras semanas.
- Atención a señales técnicas: conexiones desde ubicaciones inesperadas, herramientas de acceso remoto, comportamiento del teclado que no corresponde a una persona frente al equipo.
Confianza y control no son opuestos
La pregunta incómoda es cómo vigilar sin romper la confianza. La respuesta está en el equilibrio: confiar en las personas, pero diseñar los sistemas bajo un enfoque Zero Trust, donde nadie tiene más acceso del que necesita y cada acceso se verifica. Nadie es sospechoso de antemano; simplemente, quien husmea donde no debe termina por notarse.
Tres prácticas hacen gran parte del trabajo:
- Mínimo privilegio: cada persona accede solo a lo que su puesto requiere, y se revisa periódicamente.
- Salidas bien cerradas: los accesos se revocan el mismo día en que alguien deja la empresa. Lo explicamos en qué hacer cuando un exempleado pide borrar sus datos.
- Reglas claras y conocidas: el monitoreo debe estar informado en el aviso de privacidad y en el reglamento interno, y conviene recordar las consecuencias legales de sustraer información. La sensibilización frena más de lo que impide, pero frena.
Lista rápida para tu empresa
- ¿Puedes saber hoy quién descargó un volumen inusual de archivos la semana pasada?
- ¿Los equipos que se usan desde casa son corporativos y administrados?
- ¿Cuánto tardas en revocar todos los accesos de alguien que renuncia?
- ¿Tienes algún señuelo que te avise si alguien explora donde no debe?
- ¿Tus nuevas contrataciones de TI empiezan con privilegios limitados?
Si contestaste "no" a dos o más, ese es tu punto de partida.
Por dónde empezar
No hace falta convertir la empresa en una fortaleza paranoica. Hace falta saber quién accede a qué y notar cuando algo se sale de lo normal. Una auditoría informática lo documenta, y nuestros 15 hallazgos típicos en filiales muestran qué suele aparecer. Para la parte de protección continua, conoce nuestro servicio de ciberseguridad para empresas en México.
¿Quieres saber si hoy detectarías una fuga interna? Escríbenos y lo revisamos contigo.
Este artículo es informativo y no constituye asesoría legal.
Imaginado por nosotros. Realizado por nosotros. Asistido por IA.
