Ciberseguridad esencial para equipos de trabajo

Es común pensar que los ciberdelincuentes solo buscan grandes corporaciones. En la práctica, la mayoría de los ataques son automatizados y oportunistas: se envían millones de correos y se escanean miles de redes buscando la puerta que quedó abierta, sin importar el tamaño de la empresa.

Qué buscan

• Credenciales: su usuario y contraseña de correo, banco o Microsoft 365 permiten todo lo demás.
• Fraude de transferencias: suplantar a un proveedor o a la gerencia para desviar un pago. Es uno de los fraudes más rentables y no requiere ningún virus.
• Ransomware: cifrar los archivos de la empresa y exigir un rescate para recuperarlos.
• Datos de clientes: para venderlos o para extorsionar con su publicación.

El factor humano

La gran mayoría de los incidentes comienza con una acción de una persona: un clic, una contraseña reutilizada o una transferencia aprobada sin verificar. La buena noticia es que eso mismo convierte a cada colaborador en la primera línea de defensa. Unos pocos hábitos evitan la mayor parte de los ataques.

El phishing es un mensaje que suplanta a alguien de confianza para que usted entregue datos, abra un archivo o haga un pago. Hoy llega por correo, WhatsApp, SMS, llamadas e incluso códigos QR.

Señales de alerta

• Urgencia o presión: “su cuenta será bloqueada hoy”, “necesito esta transferencia antes de las 12”.
• Remitente parecido, pero no igual: facturacion@rnicrosoft.com o un dominio de su proveedor con una letra cambiada.
• Enlaces que no coinciden: pase el cursor sobre el enlace (sin hacer clic) y revise el dominio real.
• Adjuntos inesperados: archivos .zip, .html, .iso o documentos que piden “habilitar contenido”.
• Cambios de datos bancarios: un proveedor que “cambió de cuenta” es la señal clásica de fraude.
• Pedidos fuera de lo normal: comprar tarjetas de regalo, saltarse un procedimiento, mantener algo en secreto.

Las variantes más actuales

• Voz y video falsificados con IA: una llamada con la voz de su gerente pidiendo un pago urgente. Si algo no calza, corte y llame usted al número que ya conoce.
• Códigos QR maliciosos: en correos o afiches, llevan a páginas falsas de inicio de sesión.
• Falsas notificaciones de despacho o multas por SMS y WhatsApp.

Si ya hizo clic

No se avergüence: avise de inmediato a TI. Cambie la contraseña afectada desde otro dispositivo y no ignore el hecho. Minutos de diferencia pueden evitar un incidente mayor.

Contraseñas que sí protegen

• Largas antes que complejas: una frase de 4 o 5 palabras (tetera-azul-cordillera-lunes) es más segura y fácil de recordar que P@ss2026!.
• Una distinta por servicio. Cuando se filtra una base de datos, los atacantes prueban esa misma contraseña en todas partes.
• Use un gestor de contraseñas (Bitwarden, 1Password, o el gestor de su cuenta de Microsoft o Google). Solo necesita recordar una contraseña maestra.

Verificación en dos pasos (MFA)

Aunque roben su contraseña, el atacante necesita un segundo factor. Es la medida individual que más ataques detiene. No todos los métodos protegen igual:

Passkeys: el reemplazo de las contraseñas

Una passkey permite iniciar sesión con la huella, el rostro o el PIN de su dispositivo. No hay contraseña que robar ni que escribir en un sitio falso. Microsoft, Google y Apple ya las admiten: actívelas donde estén disponibles.

• Actualizaciones automáticas en el sistema operativo, navegador y aplicaciones. La mayoría de los ataques aprovecha fallas ya corregidas.
• Bloqueo de pantalla al levantarse (Windows + L en Windows, Control + Comando + Q en Mac).
• Disco cifrado (BitLocker o FileVault): si pierde el notebook, la información no se puede leer.
• WiFi públicas: evite operar el banco o sistemas de la empresa; use la VPN corporativa o el hotspot de su teléfono.
• Pendrives desconocidos: no los conecte. Son una técnica antigua que sigue funcionando.
• Compartir archivos: use enlaces con acceso restringido a personas específicas y con fecha de vencimiento, no “cualquiera con el enlace”.

Inteligencia artificial y datos de la empresa

No pegue información confidencial, datos de clientes o contraseñas en herramientas de IA que la empresa no haya aprobado. Las versiones empresariales (por ejemplo, Microsoft 365 Copilot o planes corporativos de ChatGPT, Claude o Gemini) ofrecen garantías contractuales sobre el uso de sus datos; las cuentas personales gratuitas, no necesariamente.

La regla 3-2-1-1-0

• 3 copias de la información,
• en 2 medios distintos,
• 1 fuera de la oficina (por ejemplo, en la nube),
• 1 inmutable o desconectada, que el ransomware no pueda cifrar ni borrar,
• 0 errores al restaurar: un respaldo que nunca se ha probado no es un respaldo.

Recuerde que OneDrive o Google Drive sincronizan: si un archivo se cifra o se borra, el cambio también se sincroniza. La sincronización no reemplaza al respaldo.

Los primeros minutos de un incidente

1. Desconecte el equipo de la red (cable y WiFi). No lo apague si no se lo indican: puede perder evidencia.
2. Avise de inmediato a TI o a su proveedor de soporte, por teléfono.
3. No intente “arreglarlo” solo, no borre archivos ni pague rescates.
4. Anote lo ocurrido: qué vio, qué hizo, a qué hora.
5. Cambie contraseñas desde un equipo limpio, siguiendo las instrucciones de TI.

Obligaciones de reporte

Si su organización presta servicios esenciales o fue calificada como operador de importancia vital, la Ley Marco de Ciberseguridad (Ley 21.663) exige reportar los incidentes con efectos significativos a la Agencia Nacional de Ciberseguridad (ANCI) en plazos breves, con una alerta temprana dentro de las primeras horas. Además, si el incidente compromete datos personales, la Ley 21.719 establece deberes de notificación. Consulte con su asesor legal cuáles aplican a su empresa.