Ingeniería Social: Cuando el Mayor Riesgo Eres Tú.

En Siesa, la seguridad de la información no es solo tecnología: es personas, procesos y cultura. Siendo la información el pilar de cada operación, su mayor vulnerabilidad no siempre está en la tecnología, sino en las personas.

La ingeniería social aprovecha el error humano, la confianza y la falta de atención para manipular y obtener acceso a datos sensibles. A través de tácticas cada vez más refinadas, los atacantes pueden comprometer la confidencialidad, integridad y disponibilidad de la información, generando pérdidas financieras, afectaciones reputacionales y consecuencias legales.
Reconocer estas amenazas y actuar con consciencia es clave, porque muchas veces el mayor riesgo no es el sistema, sino quien lo usa.

Un empleado que configura mal los permisos de acceso a un archivo o sistema puede exponer información sensible sin intención. Esto sucede cuando los nuevos colaboradores reciben credenciales con permisos demasiado amplios, cuando alguien cambia de departamento pero sus accesos anteriores no se revisan, o cuando se comparten carpetas pensando que solo será vista por un equipo específico, sin considerar que la red corporativa es más amplia de lo esperado.

En muchas organizaciones, los permisos no se auditan regularmente. Los sistemas confían en que la configuración inicial fue correcta y nadie la toca, pero la realidad es que las responsabilidades cambian, los equipos se reorganizan, y esos accesos quedan huérfanos o mal documentados.

Esto incluye enviar datos confidenciales al destinatario equivocado. Sucede más de lo que se cree, especialmente cuando se trabaja bajo presión y el autocomplete del correo sugiere un nombre similar. También ocurre al dejar documentos impresos desatendidos en mesas de reuniones, donde visitas o personal de otras áreas pueden verlos.

El problema se extiende a la eliminación inadecuada de información: algunos colaboradores desechan papeles directamente a la basura sin destruirlos, guardan contraseñas en archivos de texto, o simplemente no cierran sesión en sistemas críticos después de terminar su trabajo. Cualquiera que acceda a esa estación puede continuar como si fuera el usuario original.

Acceder a redes públicas con dispositivos corporativos es una práctica común en cafeterías o espacios compartidos. Del mismo modo, muchos colaboradores utilizan contraseñas débiles o las reutilizan en múltiples servicios por conveniencia. Y no es raro encontrar descargas de software no autorizado porque alguien lo recomendó o parecía útil.

Cada una de estas acciones expande el perímetro de riesgo. Una red pública es un espacio donde terceros pueden espiar tráfico de datos. Una contraseña reutilizada significa que si se filtra en un servicio, varios quedan comprometidos simultáneamente. Y ese software descargado informalmente podría contener malware o spyware dormido.

Los empleados que no están capacitados en las políticas y mejores prácticas de seguridad son más susceptibles a caer en ataques de phishing o cometer descuidos que parecen menores pero tienen consecuencias grandes. No saben qué preguntas hacer cuando alguien llama diciendo ser de TI. No identifican los signos de un correo falso. Creen que un error ocasional no importa, sin entender que los atacantes cuentan precisamente con eso.

La prevención de riesgos de los datos ligados al factor humano se centra en tres pilares:

Capacitación continua: No es un seminario de una vez. Son entrenamientos periódicos, cortos, con ejemplos que el equipo reconoce de su día a día.

Concienciación constante: Cuando todos comprenden por qué una política existe, no la ven como un obstáculo sino como protección.

Implementación de políticas claras: Sobre uso de información, manejo de datos, acceso a sistemas, destrucción de documentos, uso de redes y herramientas. Y que estas políticas se revisen regularmente, no se arquiven en un manual que nadie consulta.