El progreso también tiene sombra: cómo la tecnología impulsa el ciberdelito y cómo la IA puede defendernos

Una guía práctica y equilibrada sobre exposición, contraseñas, MFA, CVE, ataques de intermediario y el uso responsable de la IA para reducir riesgos, sin convertir la educación en seguridad en una búsqueda de datos personales.

Cada gran avance técnico reduce el costo de hacer algo: el correo electrónico abarató la comunicación, la nube hizo que la infraestructura estuviera disponible bajo demanda y los teléfonos inteligentes pusieron sensores y herramientas de pago en casi todos los bolsillos. El mismo patrón tiene un lado oscuro. Los delincuentes pueden reutilizar la automatización, la conectividad y la capacidad de cómputo que ayudan a crecer a las organizaciones legítimas. La IA generativa sigue el patrón: puede mejorar el análisis defensivo, pero también hacer más convincentes las estafas y permitir que delincuentes con menos experiencia trabajen a mayor escala.

No es una razón para rechazar el progreso. Es una razón para incorporar la seguridad a las operaciones normales, decidir cuidadosamente qué datos se usan y mantener a las personas involucradas. Ningún producto, modelo de IA, regla de contraseñas o certificación evita todos los incidentes. La buena seguridad tiene varias capas, es proporcional a las consecuencias y se practica antes de una crisis.

Qué significa la exposición en la “dark web”

La dark web es una parte de internet accesible mediante redes y programas especializados, en lugar de los buscadores habituales. Tiene usos legítimos, como la denuncia de irregularidades y la comunicación bajo censura, pero algunas comunidades criminales también anuncian credenciales robadas, servicios de extorsión o supuestas bases de datos. Por eso, “dark web” no es sinónimo de “todo hackeo”, y aparecer en un foro no demuestra que una afirmación sea auténtica.

Para una persona o empresa, exposición suele significar que información relacionada con una cuenta u organización apareció en una brecha, una publicación, un volcado de phishing, un registro robado por malware o un anuncio criminal. Una comprobación responsable debe usar un servicio reconocido de notificación de brechas o un proveedor de respuesta a incidentes, enviar la menor cantidad posible de datos y explicar qué se comprobó y cuándo. No se debe crear ni utilizar una herramienta no aprobada para buscar información personal, extraer mercados criminales o redistribuir registros filtrados. Nunca hay que “verificar” un hallazgo entrando en una cuenta expuesta.

Si se sospecha una exposición, cambie la contraseña afectada desde un dispositivo confiable, cierre sesiones y revoque tokens, active MFA, contacte a la organización responsable de la cuenta y vigile las estafas posteriores. Las empresas deben preservar evidencia, involucrar a los equipos legales, de privacidad y seguridad cuando corresponda, notificar a las personas afectadas si la ley lo exige y no publicar los datos expuestos en un informe.

Contraseñas: longitud, unicidad y cómo las consiguen los atacantes

Las recomendaciones modernas dan prioridad a contraseñas largas y únicas, o frases de contraseña, sobre reglas arbitrarias de complejidad. Un gestor puede generar y guardar una contraseña aleatoria diferente para cada servicio; una frase fácil de recordar es una alternativa razonable cuando no se puede usar un gestor. Las organizaciones deben aceptar contraseñas largas, permitir pegar y autocompletar desde gestores, comparar contraseñas nuevas con listas de contraseñas comprometidas y limitar los intentos de acceso.

El cambio obligatorio periódico no siempre protege. La guía de NIST favorece cambiar una contraseña cuando hay evidencia de compromiso, el usuario lo solicita o un control basado en riesgo lo exige, no obligar a todos a cambiarla cada 30 o 90 días sin motivo. No reutilice contraseñas entre el trabajo, correo, banca y redes sociales. El correo merece protección especial porque controlarlo puede permitir restablecer muchas otras cuentas.

Los atacantes obtienen contraseñas mediante phishing e ingeniería social, relleno de credenciales tras una brecha en otro sitio, malware que roba sesiones del navegador o pulsaciones, páginas falsas de inicio de sesión, adivinación de opciones débiles o predecibles y compromisos internos o de proveedores. Pueden usar una contraseña robada en el servicio original, probarla en otros, tomar el correo, crear reglas de reenvío, robar sesiones o suplantar a un empleado. Las defensas son contraseñas únicas, un gestor, MFA resistente al phishing, alertas de acceso, actualizaciones y revocación rápida de sesiones y tokens.

MFA es un control, no una garantía

La autenticación multifactor pide dos o más tipos de prueba: algo que se sabe, se tiene o se es. Una contraseña más una llave de seguridad o una aplicación autenticadora es más fuerte que una contraseña sola. Las llaves físicas y las passkeys resisten el phishing porque vinculan la autenticación con el sitio legítimo; los códigos temporales siguen siendo útiles, mientras que los SMS son una opción de respaldo con riesgos conocidos como el cambio fraudulento de número y la interceptación.

Active MFA primero en el correo, las cuentas de administrador, servicios financieros, consolas en la nube y acceso remoto. Enseñe a rechazar solicitudes inesperadas y reportarlas, en lugar de aprobar avisos repetidos. Guarde los códigos de recuperación de forma segura, mantenga otro método de recuperación aprobado y pruebe los procedimientos de recuperación. MFA reduce mucho la toma de cuentas, pero no detiene un dispositivo comprometido, un permiso OAuth malicioso, una cookie de sesión robada o un atacante que convenza al soporte de restablecer una cuenta.

CVE: un lenguaje común para corregir debilidades

Un CVE (Common Vulnerabilities and Exposures) es una etiqueta estandarizada para una vulnerabilidad divulgada públicamente, como CVE-AAAA-NNNN. Permite que proveedores, defensores, investigadores y responsables de activos hablen del mismo problema. El identificador no es por sí solo una puntuación de gravedad, un exploit ni una prueba de que una máquina concreta sea vulnerable. La entrada puede enlazar un aviso, versiones afectadas, correcciones y referencias técnicas.

CVSS ayuda a describir la gravedad técnica, pero no es un veredicto de riesgo empresarial. Priorice combinando el CVE y las indicaciones del proveedor con la exposición del activo, si el componente está habilitado, la actividad de explotación, las mitigaciones disponibles, la sensibilidad de los datos y el impacto de recuperación. Mantenga un inventario, relacione versiones con avisos, corrija primero sistemas expuestos a internet o explotados activamente, use controles compensatorios si el parche debe esperar y verifique que la versión vulnerable desapareció. Evite afirmar que algo es un “zero-day” sin pruebas.

Ataques de intermediario y conexiones seguras

Un atacante intermediario se coloca entre dos partes para observar, redirigir o modificar la comunicación. Redes Wi-Fi no confiables, routers comprometidos, DNS malicioso, puntos de acceso falsos y certificados o credenciales robados pueden crear oportunidades. HTTPS, la validación de certificados, TLS moderno y los servicios cifrados de extremo a extremo dificultan la alteración silenciosa, pero el cifrado no ayuda si se ignora una advertencia de certificado o se introducen credenciales en un sitio parecido.

Use HTTPS y software actualizado, compruebe el dominio antes de iniciar sesión, nunca ignore advertencias de certificados y trate como sospechosos los avisos de red inesperados. En Wi-Fi público, prefiera una red confiable o la conexión celular; una VPN reconocida puede proteger el tramo de la red local, pero no vuelve seguros los sitios de phishing ni anonimiza toda actividad. Las empresas deben configurar DNS y Wi-Fi seguros, administrar dispositivos, segmentar redes, vigilar certificados y alertar sobre accesos inusuales.

Dónde ayuda la IA y dónde requiere prudencia

La IA puede ayudar a resumir alertas, agrupar eventos relacionados, traducir riesgos a lenguaje sencillo, preparar educación, detectar actividad inusual para revisión humana y priorizar parches usando inventario e inteligencia de explotación. También puede ayudar a una organización pequeña a crear una lista de respuesta o ensayar un ejercicio. Estos usos deben limitarse con privilegios mínimos, registros de auditoría, fuentes aprobadas y una persona que valide la recomendación.

La misma tecnología puede producir phishing más convincente, suplantación de voz o imagen, estafas multilingües, código malicioso y personalización a gran escala. La IA puede inventar detalles de un CVE, perder contexto, filtrar información incluida en la consulta o reproducir sesgos. No pegue secretos, registros de clientes, detalles de incidentes sin publicar ni datos regulados en un modelo sin evaluar privacidad y retención. Exija fuentes para las afirmaciones, pruebe los sistemas de detección contra abusos realistas y deje claro cuándo una decisión importante la tomó una persona, no un modelo.

Una base práctica para personas y equipos

Para las personas: use un gestor y contraseñas únicas, active MFA con passkey o llave de seguridad cuando sea posible, actualice dispositivos, respalde datos importantes, pause ante solicitudes urgentes y use canales oficiales de recuperación. Para las empresas: inventaríe activos y responsables, aplique parches según riesgo, proteja las copias contra ransomware, separe cuentas administrativas, registre y revise accesos, capacite con práctica y sin culpabilizar, limite el acceso de terceros y mantenga un plan probado de respuesta y comunicación.

La seguridad es un proceso continuo de gestión del riesgo, no una promesa de prevención perfecta. La tecnología cambia la economía del atacante, pero los valores predeterminados seguros, los avisos transparentes, las comprobaciones de exposición respetuosas de la privacidad y el criterio humano practicado pueden cambiar también la economía del defensor. El objetivo no es el miedo ni la vigilancia; es hacer más fácil la conducta segura y más rápida la recuperación.