La nueva ciberseguridad: Cómo se hackean personas (y cómo evitarlo)

Tradicionalmente, la ciberseguridad se entendía como una batalla de máquinas: potentes antivirus contra virus informáticos complejos. Sin embargo, el panorama ha cambiado radicalmente. Hoy en día, la "nueva ciberseguridad" no se libra solo en los servidores, sino en la mente de los usuarios. Ya no basta con tener el software más actualizado si quien maneja el dispositivo puede ser persuadido para entregar sus claves. Esta disciplina ahora combina la tecnología con la psicología, enfocándose en proteger el comportamiento humano, ya que los atacantes han descubierto que es mucho más sencillo engañar a una persona que vulnerar un sistema de encriptación bancaria, por ejemplo.

Evolución de los ataques

En las décadas pasadas, el objetivo principal de los hackers eran las vulnerabilidades del software (los famosos exploits). Sin embargo, a medida que los sistemas operativos y los cortafuegos se volvieron más robustos y difíciles de penetrar, los delincuentes cambiaron de estrategia. Pasaron de atacar "sistemas" a atacar "personas". Este cambio dio lugar al auge de la ingeniería social, el arte de manipular a alguien para que divulgue información confidencial. Actualmente, los métodos técnicos por sí solos ya no son la mayor amenaza porque las empresas han invertido millones en muros digitales; por ello, los criminales prefieren simplemente "pedir la llave" a un empleado o usuario desprevenido mediante engaños, siendo este el camino de menor resistencia y mayor éxito.

El papel del factor humano

El error humano está detrás de más del 80% de los incidentes de seguridad digital. El ser humano es, a menudo, el eslabón más débil, pero también la primera línea de defensa. La mayoría de las intrusiones exitosas ocurren por errores del usuario, como el exceso de confianza o la falta de atención ante señales de alerta. Un ejemplo común es el phishing, donde recibimos un correo que imita perfectamente a nuestro banco solicitando una validación de datos urgente.

También ocurre con la suplantación, donde un atacante puede llamarnos haciéndose pasar por un técnico de Microsoft, por ejemplo, para "arreglar un fallo" en nuestro equipo, o los fraudes digitales en redes sociales, donde se ofrecen cupones de descuento falsos de marcas conocidas solo para capturar nuestras credenciales de acceso. En todos estos casos, la vulnerabilidad no está en el dispositivo, sino en nuestra tendencia natural a confiar o a reaccionar ante la urgencia.

Cómo piensan y actúan los ciberdelincuentes

Los ciberdelincuentes modernos operan como verdaderas organizaciones criminales con departamentos de "marketing" y "atención al cliente". Su metodología se basa en el estudio de la víctima: analizan qué aplicaciones usamos, dónde trabajamos y qué tono de voz nos genera confianza para luego lanzar el ataque.

Técnicas más comunes de ataque

• Phishing (correos engañosos): es el envío de correos que suplantan a entidades legítimas. El diseño suele ser idéntico al original y utilizan ganchos como "su cuenta ha sido bloqueada" o "ha ganado un premio" para forzar al usuario a hacer clic en un enlace malicioso.
• Smishing (mensajes SMS fraudulentos): es la variante del phishing por mensajería móvil. Recibes un SMS, supuestamente de una empresa de logística o de tu banco, con un enlace que te dirige a una página web falsa diseñada para capturar tus datos bancarios en tiempo real.
• Suplantación de identidad: no se limita a crear perfiles falsos en redes sociales. Incluye el vishing (suplantación por voz), donde el atacante llama por teléfono simulando ser un empleado de una entidad de confianza para obtener códigos de verificación, o incluso el uso de identidades corporativas para engañar a proveedores.
• Robo de credenciales / compromiso de cuentas: mediante el uso de bases de datos filtradas de otros sitios, los atacantes intentan entrar en tus cuentas principales. Una vez dentro, no solo roban tu información, sino que usan tu identidad para estafar a tus contactos, quienes no sospecharán al recibir un mensaje desde tu cuenta real.

Casos reales y tendencias

Para entender la magnitud del problema, basta mirar las estadísticas: según el IC3 del FBI, las pérdidas por compromisos de correos electrónicos empresariales superan los 2.700 millones de dólares anuales. Un caso real muy sonado fue el ataque a Twitter (ahora X) en 2020, donde hackers jóvenes no usaron virus complejos, sino que llamaron por teléfono a empleados de soporte de la propia empresa, se ganaron su confianza y obtuvieron acceso a las herramientas internas para secuestrar cuentas de figuras como Barack Obama o Elon Musk. En España, el Instituto Nacional de Ciberseguridad (INCIBE) reporta que los fraudes de ingeniería social son la categoría de incidente más gestionada, destacando la tendencia del "fraude del CEO", donde se suplanta la identidad de un directivo para ordenar transferencias urgentes a empleados de contabilidad.

Errores comunes que facilitan los hackeos

Existen ciertos hábitos que, aunque parecen inofensivos, facilitan enormemente el trabajo de los ciberdelincuentes:

• Hábitos inseguros en el uso del correo electrónico, móvil y herramientas colaborativas: Mezclar el uso personal y profesional en el mismo dispositivo o descargar aplicaciones de fuentes no oficiales en el móvil son puertas abiertas para el malware.
• Automatismos y exceso de confianza: Responder a solicitudes de información sensible solo porque el logo de la empresa parece real, o aceptar "cookies" y permisos de ubicación en sitios web desconocidos sin leer las condiciones.
• Mala gestión de contraseñas y redes sociales: Dejar sesiones abiertas en ordenadores compartidos o utilizar información pública (como la fecha de nacimiento) para configurar preguntas de seguridad.

Ejemplos de errores frecuentes según expertos en ciberseguridad

Los profesionales del sector insisten en que pequeñas negligencias acumuladas generan grandes riesgos:

• Reutilizar contraseñas débiles: usar la misma clave para el correo, el banco y una tienda online poco segura.
• No activar autenticación de múltiples factores: ignorar el segundo paso de verificación, dejando la cuenta protegida por una sola barrera.
• Hacer clic en enlaces sospechosos: ceder a la curiosidad de mensajes tipo "mira quién ha muerto" o "mira estas fotos".
• Ignorar actualizaciones de software: dejar el sistema operativo sin parchear, permitiendo que agujeros de seguridad conocidos sigan abiertos.

Buenas prácticas para evitar hackeos

Protegerse no requiere ser un experto en informática, sino adoptar hábitos preventivos constantes:

Seguridad básica para todos

• Uso de contraseñas fuertes y únicas: deben tener al menos 12 caracteres, mezclando mayúsculas, números y símbolos.
• Autenticación de múltiples factores (MFA): es vital activar el MFA en cuentas críticas. Esto garantiza que, aunque te roben la contraseña, no puedan entrar sin el código temporal de tu móvil.

Hábitos digitales seguros

• Evitar redes Wi-Fi públicas: los atacantes pueden "escuchar" el tráfico de datos en estas redes. Si es necesario usarlas, hazlo siempre a través de una VPN.
• Desconfía de enlaces y archivos desconocidos: antes de hacer clic, pasa el cursor sobre el enlace para ver la dirección real a la que te dirige.
• Mantener sistemas y aplicaciones actualizados: configura las actualizaciones automáticas para que tu equipo siempre tenga los últimos parches de seguridad.

Herramientas y medidas adicionales

Más allá de los buenos hábitos, existen soluciones tecnológicas que nos facilitan la vida:

• Uso de gestores de contraseñas: aplicaciones que generan y guardan claves complejas por ti, permitiendo que solo tengas que recordar una contraseña maestra.
• Antivirus / firewalls: siguen siendo necesarios para bloquear intentos de intrusión y analizar archivos descargados en busca de amenazas ocultas.
• Monitorización de filtraciones de datos: herramientas que escanean la "dark web" para avisarte si tus datos han sido expuestos en un hackeo masivo, permitiéndote reaccionar a tiempo.

Uso responsable de redes sociales y reputación digital

Nuestras redes sociales son el escaparate donde los atacantes obtienen la "materia prima" para sus engaños. Es así que la huella digital puede facilitar ataques: cada foto de tus vacaciones, cada mención a tu lugar de trabajo o incluso las etiquetas de tus amigos forman un rompecabezas de tu vida. Un atacante puede usar esta información para crear un ataque de spear phishing (phishing dirigido) extremadamente creíble. Por ejemplo, si publicas que estás de viaje, un delincuente podría llamar a un familiar tuyo suplantando a una autoridad y dándole detalles reales sobre tu ubicación para extorsionarlos. Controlar la privacidad de nuestros perfiles y ser conscientes de que "lo que subes a internet, se queda en internet" es fundamental para proteger no solo nuestra reputación, sino nuestra seguridad física y financiera.

Si quieres profundizar más sobre este tema, apúntate a nuestra próxima conferencia sobre: La nueva ciberseguridad: cómo se hackean personas y cómo evitarlo.