Así entra un ciberdelincuente en una empresa y qué busca

Un ciberataque contra una empresa rara vez empieza con una escena de película. Lo habitual es que el intruso aproveche una cuenta expuesta, un programa sin actualizar o un engaño dirigido a un empleado, y que avance poco a poco mientras intenta pasar inadvertido. El objetivo puede ser robar información, extorsionar al negocio, obtener dinero mediante fraude o usar sus sistemas como acceso a otra organización.

El tamaño de la compañía no la deja al margen. Muchos ataques se lanzan de forma automatizada en busca de servicios vulnerables y credenciales reutilizadas; otros se preparan con información pública sobre el negocio y sus trabajadores. La diferencia no siempre está en quién resulta interesante, sino en qué puerta está abierta y qué valor puede extraerse de ella.

El ataque empieza antes de entrar en los sistemas

Antes de probar una cuenta o enviar un mensaje, el atacante puede reunir pistas en la web de la empresa, sus perfiles profesionales y las redes sociales de sus empleados. Los cargos, los nombres de proveedores, las herramientas que utiliza el negocio y los cambios de personal ayudan a construir un retrato operativo. Cada dato aislado parece inocuo; reunidos, permiten redactar un correo creíble o adivinar qué servicios pueden dar acceso a información valiosa.

En otros casos, no hay una investigación específica sobre la compañía. Un programa automatizado recorre servicios conectados a internet y busca fallos conocidos, accesos remotos expuestos o configuraciones débiles. Si encuentra una puerta accesible, el negocio puede entrar en la lista de posibles víctimas sin que nadie haya decidido previamente que era un objetivo. El rastreo automático convierte la exposición técnica en un riesgo cotidiano, incluso para empresas que apenas tienen presencia pública.

Que la búsqueda sea indiscriminada no significa que todos los ataques sean iguales. Una campaña masiva puede probar miles de combinaciones de correo y contraseña, mientras que una operación dirigida puede seguir la relación entre la empresa y un proveedor para hacerse pasar por alguien de confianza. La primera apuesta por el volumen; la segunda, por la precisión. Ambas pueden comenzar con información que ya circula fuera de los sistemas internos.

El engaño aprovecha relaciones de confianza

El phishing consiste en hacerse pasar por una persona o entidad legítima para inducir a alguien a revelar credenciales, abrir un archivo o aprobar una operación. El mensaje puede imitar una comunicación bancaria, una notificación tributaria, una factura de un proveedor o una instrucción de un responsable. No siempre contiene errores evidentes: a veces utiliza el nombre correcto, reproduce el tono habitual de la empresa y llega en un momento oportuno.

La personalización hace que el engaño resulte más convincente. Un atacante que conoce el nombre de un proveedor, el calendario de pagos o la función de quien recibe el correo puede construir una historia con apariencia rutinaria. El mensaje no necesita vulnerar por sí mismo el programa de correo: basta con que una persona introduzca su contraseña en una página falsa, entregue un código de acceso o ejecute un adjunto malicioso. La confianza y la urgencia son parte del mecanismo técnico del ataque.

El factor humano aparece con frecuencia en las investigaciones de incidentes, pero eso no convierte al empleado en la causa única del problema. El informe Verizon Data Breach Investigations Report de 2023 atribuyó un componente humano a más del 74% de las brechas analizadas. Esa cifra abarca distintos tipos de participación y no significa que tres de cada cuatro ataques se deban simplemente a un clic: también entran en juego decisiones, errores y formas de abuso de cuentas legítimas. La formación ayuda, pero debe acompañarse de controles que reduzcan el daño si alguien cae en el engaño.

El correo tampoco es la única vía. Un mensaje de texto, una llamada o una conversación en una plataforma de trabajo pueden servir para preparar el mismo fraude. El atacante puede hacerse pasar por un directivo y pedir una transferencia, o por el servicio técnico y solicitar acceso a una cuenta. En estos casos, la meta inmediata puede no ser instalar un programa, sino conseguir que la propia víctima autorice una acción que parezca normal.

Una contraseña reutilizada puede abrir varias puertas

Las credenciales robadas en una filtración anterior suelen probarse en otros servicios. Si una persona utiliza la misma contraseña en el correo, una aplicación empresarial y una cuenta personal, la exposición de uno de esos servicios puede facilitar el acceso a los demás. Este método, conocido como reutilización de credenciales o credential stuffing, no exige adivinar cada contraseña desde cero: aprovecha combinaciones que ya se han filtrado.

También existen intentos de fuerza bruta, en los que se prueban muchas claves posibles, y ataques contra contraseñas débiles o previsibles. Los límites de acceso, la detección de intentos anómalos y la autenticación multifactor dificultan estas maniobras. Esta última añade una comprobación además de la contraseña, aunque no vuelve invulnerable una cuenta: un atacante puede intentar robar el segundo factor mediante engaño o aprovechar sesiones ya abiertas. Una credencial válida puede parecer una entrada legítima para los sistemas de seguridad.

Por eso resulta difícil distinguir a veces entre la actividad de un empleado y la de un intruso. Si alguien inicia sesión con una cuenta real, puede acceder a archivos y servicios que el sistema permite a esa persona. Las señales aparecen en el contexto: un inicio desde un lugar inusual, una hora poco habitual, una descarga masiva o cambios en las reglas del correo. Sin registros y vigilancia adecuados, esas pistas pueden confundirse con trabajo corriente durante días o semanas.

Del acceso inicial al robo de información

Con una cuenta comprometida o un equipo infectado, el atacante intenta entender qué puede alcanzar desde ese primer punto. Puede buscar documentos compartidos, cuentas con más permisos, sistemas de facturación o información de clientes y empleados. En una red mal segmentada, el acceso inicial puede extenderse a otros dispositivos; en una organización con permisos limitados, la misma intrusión podría quedar confinada. La forma en que está organizada la red influye en cuánto puede avanzar un intruso.

El malware es el término general para los programas diseñados para realizar acciones dañinas, como robar información, espiar la actividad o permitir el control remoto de un dispositivo. Puede llegar en un archivo adjunto, una descarga manipulada o mediante la explotación de un fallo. No todo programa malicioso cifra archivos ni todos los ataques requieren que alguien abra un documento: algunas intrusiones explotan vulnerabilidades directamente en servicios expuestos.

El ransomware es una modalidad especialmente disruptiva. Puede cifrar archivos para impedir su uso y paralizar procesos como la facturación, la atención al cliente o la gestión de pedidos. En ataques de doble extorsión, además, los delincuentes pueden copiar información y amenazar con publicarla. Recuperar los archivos a partir de copias de seguridad puede reducir el impacto operativo, pero no elimina necesariamente el riesgo asociado a los datos sustraídos ni garantiza una vuelta inmediata a la actividad. Pagar un rescate tampoco asegura que los archivos se recuperen o que la información desaparezca.

Las estimaciones económicas dependen de qué costes se incluyan y de qué incidentes se analicen. El artículo original citaba una cifra de IBM superior a los 5 millones de dólares como coste medio global de un ataque de ransomware, contando interrupción, recuperación y daño reputacional. No debe interpretarse como una factura típica para cada empresa: los resultados varían según el tamaño del incidente, el sector y el alcance del cálculo. Para una pyme, incluso una interrupción mucho menor puede comprometer ingresos, relaciones con clientes y continuidad del negocio.

La empresa pequeña también puede ser una vía hacia otra

Los atacantes no siempre buscan el beneficio en la primera organización que comprometen. Un proveedor con acceso a sistemas de clientes puede convertirse en una vía para alcanzar a una compañía mayor. Este tipo de intrusión en la cadena de suministro aprovecha la relación de confianza entre empresas: el tercero utiliza herramientas, permisos o conexiones que ya forman parte de la actividad normal.

Eso no significa que toda pyme sea un trampolín para una gran corporación ni que el tamaño determine el riesgo por sí solo. Una empresa pequeña puede ser atacada directamente para robar datos, desviar pagos o exigir un rescate; también puede quedar expuesta por los servicios digitales que usa o por los accesos que concede a socios y proveedores. La seguridad de una organización depende en parte de las conexiones que mantiene con otras.

Las compañías grandes suelen disponer de más recursos para vigilar sus redes, aunque también concentran información y servicios de mayor escala. Las pequeñas pueden tener menos personal especializado y menos procedimientos, pero sus sistemas no son necesariamente fáciles de atacar ni están condenados a sufrir una brecha. Lo decisivo es qué servicios quedan expuestos, cómo se administran los accesos y si la organización detecta y contiene una intrusión a tiempo.

Qué buscan los delincuentes y por qué lo hacen

El dinero es una motivación habitual, aunque no la única. Los datos personales y empresariales pueden venderse, utilizarse para cometer fraude o servir para preparar nuevas campañas de suplantación. Una cuenta de correo comprometida puede ayudar a engañar a clientes y proveedores; el acceso a un sistema de pagos puede facilitar cambios fraudulentos en los datos bancarios. En un ataque de extorsión, la presión puede apoyarse tanto en la interrupción del negocio como en la amenaza de divulgar información.

Los grupos que cometen estos delitos pueden organizarse como redes con tareas especializadas, herramientas compartidas y servicios ilícitos. Esa apariencia de estructura empresarial no los hace legítimos: refleja que el delito digital puede funcionar como una actividad económica organizada. También existen ataques motivados por espionaje, activismo o sabotaje, pero no conviene asumir que cada intrusión persigue una causa política o un objetivo espectacular. A menudo, el propósito es más simple: encontrar una oportunidad rentable con el menor esfuerzo posible.

La información robada puede tener valor aunque parezca corriente. Una lista de contactos, documentos internos o credenciales de acceso adquieren importancia cuando permiten suplantar a alguien, conocer operaciones o entrar en otros sistemas. Por eso, mantener un perfil discreto no garantiza que una empresa pase inadvertida. En muchas campañas, basta con que sus datos o sus accesos puedan aprovecharse.

La prevención reduce oportunidades, no promete riesgo cero

Una protección eficaz combina medidas técnicas y hábitos de trabajo. Mantener actualizados los sistemas reduce la exposición a fallos corregidos; limitar los permisos evita que cada cuenta pueda llegar a toda la información; y activar la autenticación multifactor añade una barrera frente al robo de contraseñas. Separar las redes y los sistemas críticos también puede impedir que una intrusión pequeña se convierta en un problema generalizado.

Las copias de seguridad son importantes cuando hay pérdida de datos o ransomware, pero solo sirven si se pueden recuperar y no quedan expuestas junto con los sistemas principales. La empresa necesita saber qué información respalda, con qué frecuencia se actualiza y si el proceso de restauración funciona. Una copia que nunca se ha probado puede fallar justo cuando más se necesita. La continuidad depende tanto de conservar los datos como de poder devolverlos a una actividad operativa.

La formación del personal funciona mejor si no se limita a pedir que nadie pulse enlaces sospechosos. Conviene que las personas sepan reconocer cambios extraños en una solicitud, confirmar por otro canal una modificación de pagos y comunicar un posible incidente sin temor a ocultarlo. La tecnología también debe facilitar esa conducta: filtros de correo, controles de acceso y procedimientos claros disminuyen la dependencia de la atención perfecta de cada empleado.

No todas las empresas necesitan el mismo nivel de inversión ni un gran departamento interno de ciberseguridad. Los controles deben responder a los datos que maneja el negocio, los servicios de los que depende y las consecuencias de una interrupción. Un proveedor especializado puede ayudar a evaluar esos riesgos, pero contratar un servicio externo no sustituye la responsabilidad de conocer quién tiene acceso, qué sistemas son esenciales y cómo se mantendrá la actividad si algo falla.

Detectar una intrusión exige mirar más allá del antivirus

Un antivirus puede bloquear amenazas conocidas, pero no detecta por sí solo todas las formas de abuso. Una cuenta legítima usada desde un dispositivo autorizado, una regla de reenvío de correo creada sin permiso o una descarga inusual pueden no parecer un virus. La detección requiere combinar alertas técnicas con registros de acceso y conocimiento de cómo funciona normalmente la empresa.

Las señales no siempre son evidentes: pueden incluir bloqueos inesperados, cambios en archivos, accesos desde ubicaciones extrañas, mensajes enviados que nadie reconoce o interrupciones en servicios. Ninguna de ellas demuestra por sí sola que haya habido un ataque; también pueden deberse a fallos técnicos. Pero investigarlas permite distinguir una avería corriente de una actividad que necesita respuesta. Cuanto antes se identifica el alcance, más opciones hay para contener sus efectos.

Las empresas también pueden reducir los puntos ciegos al revisar quién conserva acceso a las cuentas cuando cambia de función o deja la organización, qué permisos tienen los proveedores y qué aplicaciones pueden conectarse entre sí. Las cuentas antiguas y los accesos excesivos suelen pasar inadvertidos porque el negocio sigue funcionando. Sin embargo, cada permiso que no se necesita amplía las consecuencias potenciales de una contraseña robada.

Cuando ocurre un incidente, improvisar puede agravar el daño

Ante una intrusión, la prioridad es comprender qué sistemas están afectados y frenar la expansión sin destruir información útil para investigar. Desconectar un equipo comprometido de la red puede ayudar a contenerlo, pero las decisiones dependen del tipo de incidente y de los sistemas implicados. En casos complejos, el equipo técnico especializado y las autoridades pueden necesitar preservar registros y evidencias para reconstruir lo ocurrido.

También es importante documentar los hechos conocidos, las horas y los sistemas afectados, en vez de borrar archivos o reinstalar equipos de inmediato sin una evaluación. Una investigación propia puede determinar el alcance y orientar la recuperación, mientras que la comunicación con las autoridades permite valorar la denuncia y la colaboración correspondiente. La respuesta ordenada protege tanto la continuidad del negocio como la posibilidad de esclarecer el ataque.

La recuperación no termina cuando vuelve a funcionar un ordenador. Hay que revisar cómo se obtuvo el acceso, si quedaron cuentas comprometidas y qué servicios pueden volver a conectarse con seguridad. Si se restaura todo sin cerrar la vía utilizada, el atacante puede regresar. Además, cuando se han visto afectados datos de clientes, empleados o terceros, las obligaciones de comunicación pueden depender de la naturaleza del incidente y de la normativa aplicable; su valoración corresponde a profesionales y autoridades competentes, no a una regla universal.

Una empresa no puede garantizar que nunca será objeto de un intento, del mismo modo que una puerta cerrada no impide que alguien pruebe el picaporte. Sí puede hacer que los accesos sean más difíciles de aprovechar, limitar lo que un intruso alcanza y prepararse para recuperarse. La diferencia entre un incidente contenido y una crisis prolongada suele estar en las barreras previas y en la respuesta, no en el tamaño del negocio.