Oversharing corporativo: el nuevo aliado de los ciberdelincuentes

La defensa de los empleados existe como concepto desde hace más de una década. Pero lo que comenzó como una forma bienintencionada de mejorar el perfil corporativo, el liderazgo intelectual y el marketing, también tiene algunas consecuencias no deseadas. Cuando los profesionales publican sobre su trabajo, su empresa y su función, esperan llegar a profesionales con ideas afines, así como a clientes potenciales y socios. Desde ESET, compañía líder en detección proactiva de amenazas, advierten que los actores maliciosos también están prestando atención y que cuanta más información haya, más oportunidades habrá para llevar a cabo actividades maliciosas que podrían acabar afectando gravemente a una organización. Una vez que esa información es de dominio público, a menudo se utiliza para ayudar a crear ataques convincentes de spearphishing o de compromiso del correo electrónico empresarial (BEC). 

“La primera etapa de un ataque típico de ingeniería social es la recopilación de información. La siguiente es utilizar esa información como arma en un ataque de spearphishing diseñado para engañar al destinatario y que instale sin saberlo malware en su dispositivo. O, potencialmente, para que comparta sus credenciales corporativas para obtener acceso inicial. Esto podría lograrse a través de un correo electrónico, un mensaje de texto o incluso una llamada telefónica. Alternativamente, podrían utilizar la información para suplantar a un ejecutivo de alto nivel o a un proveedor en un correo electrónico, una llamada telefónica o una videollamada en la que soliciten una transferencia bancaria urgente.”, revela Martina López, investigadora de Seguridad Informática de ESET Latinoamérica. 

Las principales plataformas para compartir este tipo de información son las habituales. LinkedIn es quizás la más utilizada. Se podría describir como la mayor base de datos abierta de información corporativa del mundo: un auténtico tesoro de puestos de trabajo, funciones, responsabilidades y relaciones internas. También es el lugar donde los reclutadores publican ofertas de empleo, que pueden revelar demasiados detalles técnicos que luego pueden aprovecharse en ataques de spearphishing.

GitHub es quizás más conocido en el contexto de la ciberseguridad como un lugar donde los desarrolladores distraídos publican secretos codificados, direcciones IP y datos de clientes. Pero también pueden compartir información más inocua sobre nombres de proyectos, nombres de canalizaciones CI/CD e información sobre las pilas tecnológicas y las bibliotecas de código abierto que utilizan. También pueden compartir direcciones de correo electrónico corporativas en las configuraciones de Git commit.

Luego están las plataformas sociales clásicas orientadas al usuario final, como Instagram y X. Aquí es donde los empleados suelen compartir detalles sobre sus planes de viaje a conferencias y otros eventos, lo que podría utilizarse en su contra y en contra de su organización. Incluso la información que aparece en el sitio web de su empresa podría ser útil para un posible estafador o hacker. Piense en detalles sobre plataformas técnicas, proveedores y socios, o anuncios corporativos importantes, como actividades de fusiones y adquisiciones. Todo ello podría servir de pretexto para un phishing sofisticado.

Estos ataques suelen requerir una combinación de suplantación de identidad, urgencia y relevancia. A continuación se presentan algunos ejemplos hipotéticos:

Un atacante encuentra información en LinkedIn sobre un nuevo empleado que ocupa un puesto en el departamento de TI de la empresa A, incluyendo sus funciones y responsabilidades principales. Se hace pasar por un proveedor tecnológico clave y afirma que es necesaria una actualización de seguridad urgente, haciendo referencia al nombre, los datos de contacto y el puesto del objetivo. El enlace de la actualización es malicioso.

Un agente malicioso encuentra información sobre dos compañeros de trabajo en GitHub, incluido el proyecto en el que están trabajando. Se hace pasar por uno de ellos en un correo electrónico en el que le pide al otro que revise un documento adjunto, que contiene malware.

Un estafador encuentra un video de un ejecutivo en LinkedIn o en el sitio web de una empresa. Ve en el feed de Instagram/X de esa persona que va a dar una conferencia y que estará fuera de la oficina. Sabiendo que puede ser difícil ponerse en contacto con el ejecutivo, lanza un ataque BEC deepfake utilizando video o audio para engañar a un miembro del equipo financiero y que transfiera fondos urgentes a un nuevo proveedor.

Desde ESET describen ejemplos reales de actores maliciosos que utilizan técnicas de «inteligencia de fuentes abiertas» (OSINT) en las primeras etapas de los ataques. Entre ellos se incluyen:

Un ataque BEC que le costó 3.6 millones de dólares a Children's Healthcare of Atlanta (CHOA): es probable que los actores maliciosos revisaran los comunicados de prensa sobre un campus recién anunciado para obtener más detalles, incluido el socio constructor del hospital. A continuación, habrían utilizado LinkedIn y/o el sitio web de la empresa para identificar a los principales ejecutivos y miembros del equipo financiero de la empresa constructora implicada (JE Dunn). Por último, se hicieron pasar por el director financiero en un correo electrónico enviado al equipo financiero de CHOA en el que solicitaban que actualizaran sus datos de pago para JE Dunn.

Los grupos SEABORGIUM, con sede en Rusia, y TA453, alineado con Irán, utilizan OSINT para realizar reconocimientos antes de lanzar ataques de spearphishing contra objetivos preseleccionados. Según el NCSC del Reino Unido, utilizan las redes sociales y las plataformas de networking profesional para «investigar los intereses [de sus objetivos] e identificar sus contactos sociales o profesionales en el mundo real». Una vez que han establecido la confianza y la relación a través del correo electrónico, envían un enlace para recopilar las credenciales de las víctimas.

“Si bien los riesgos de compartir en exceso son reales, las soluciones son sencillas. El arma más potente es la educación, actualizar los programas de concienciación sobre seguridad es un punto fundamental para garantizar que quienes integran una compañía comprendan la importancia de no compartir en exceso en las redes sociales. Solicitar al personal que evite compartir información a través de mensajes directos no solicitados, incluso si reconocen al usuario (ya que su cuenta podría haber sido suplantada) y asegurarse de que sean capaces de detectar los intentos de phishing, BEC y deepfake”, aconseja López de ESET Latinoamérica.

Además, dentro de las recomendaciones de seguridad de ESET Latinoamérica, se encuentra el respaldar esto con una política estricta sobre el uso de las redes sociales, definiendo límites claros sobre lo que se puede y no se puede compartir, y aplicando fronteras claras entre las cuentas personales y las profesionales/oficiales. Es posible que también sea necesario revisar y actualizar los sitios web y las cuentas corporativas para eliminar cualquier información que pueda ser utilizada como arma.

También, chequear la autenticación multifactorial (MFA) y las contraseñas seguras (almacenadas en un administrador de contraseñas) también deben ser una práctica habitual en todas las cuentas de redes sociales, por si las cuentas profesionales son comprometidas para atacar a los compañeros de trabajo.

Por último, supervisar las cuentas de acceso público, siempre que sea posible, para detectar cualquier información que pueda ser utilizada para el spearphishing y el BEC, y realizar ejercicios de equipo rojo con los empleados para poner a prueba su concienciación.

“La IA está haciendo que sea más rápido y fácil que nunca para los actores maliciosos perfilar a sus objetivos, recopilar OSINT y luego redactar correos electrónicos/mensajes convincentes en un lenguaje natural perfecto. Los deepfakes impulsados por IA aumentan aún más sus opciones. La conclusión debería ser que, si algo es de dominio público, hay que esperar que un ciberdelincuente también lo sepa y que pronto llamará a la puerta”, cierra Martina López de ESET.

LinkedIn: oportunidades profesionales y riesgos ocultos

En noviembre, el Servicio de Seguridad británico comenzó alertó a los miembros del Parlamento sobre un plan de recopilación de inteligencia extranjera: dos perfiles en LinkedIn estaban contactando a personas que trabajaban en la política británica para solicitarles “información privilegiada”. Las revelaciones del MI5 precipitó una iniciativa gubernamental de 170 millones de libras (230 millones de dólares) para abordar las amenazas de espionaje contra el Parlamento. Si bien se trata de un caso de alto perfil desde  ESET, compañía líder en detección proactiva de amenazas, aseguran que está lejos de ser el primero. El sitio también puede ser un verdadero tesoro de datos corporativos que pueden utilizarse para apoyar campañas de fraude o amenazas. 

LinkedIn acumula más de mil millones de “miembros” en todo el mundo desde su fundación en 2003. Eso representa una gran cantidad de posibles objetivos para actores de amenazas respaldados por Estados o con motivaciones financieras. En primera instancia, se trata de una fuente de información extraordinaria en la que actores maliciosos pueden descubrir las funciones y responsabilidades de personas clave dentro de una empresa objetivo y reconstruir las relaciones entre individuos y de los proyectos en los que podrían estar trabajando. Además, aporta credibilidad y cobertura ya que al tratarse de una red profesional, está frecuentada tanto por ejecutivos de alto nivel como por trabajadores de menor rango y es un contexto en el que una víctima está más propensas a abrir un mensaje directo o un InMail proveniente de alguien en la plataforma que un correo electrónico no solicitado. 

Por otro lado, elude la seguridad “tradicional” porque no existe garantía de que no mensajes de phishing, malware o spam no logren pasar, y debido a la credibilidad que inspira el sitio, los objetivos pueden tener más probabilidades de hacer clic en contenido malicioso. Por último, es fácil comenzar a operar, cualquiera puede crear un perfil y empezar a merodear por el sitio para extraer inteligencia o para el envío de mensajes de phishing y fraudes tipo BEC. Además, los atacantes pueden secuestrar cuentas existentes o crear identidades falsas antes de hacerse pasar por candidatos o reclutadores. La gran cantidad de credenciales comprometidas que circulan en foros de ciberdelincuencia (debido en parte a los infostealers) hace que esto no sea difícil.

Desde ESET destacan que existen varias maneras en que los actores de amenazas pueden operacionalizar sus campañas maliciosas a través de esta red, por ejemplo:

Phishing y spearphishing: Al utilizar la información que los usuarios comparten en sus perfiles, los atacantes pueden personalizar campañas de phishing (correos falsos) para aumentar su tasa de éxito.

Ataques directos: El contacto puede ser directamente con enlaces maliciosos diseñados para desplegar malware, como infostealers, o promover ofertas laborales falsas destinadas a robar credenciales. 

BEC: Al igual que en el caso del phishing, LinkedIn proporciona una gran cantidad de inteligencia que puede utilizarse para hacer que los ataques de Business Email Compromise luzcan más convincentes. Puede ayudar a los estafadores a identificar quién reporta a quién, en qué proyectos están trabajando y los nombres de socios o proveedores.

Deepfakes: LinkedIn también puede alojar videos de los objetivos, que pueden utilizarse para crear deepfakes y emplearlos en posteriores ataques de phishing, BEC o estafas en redes sociales.

Secuestro de cuentas: Páginas falsas de LinkedIn (phishing), infostealers, credential stuffing y otras técnicas pueden ayudar a los atacantes a tomar control de cuentas de usuarios. Estas cuentas secuestradas pueden usarse en ataques posteriores dirigidos a sus contactos.

Ataques a proveedores: LinkedIn también puede rastrearse en busca de información sobre socios de una empresa objetivo, quienes pueden ser atacados con phishing como parte de un ataque en “efecto dominó”.

“El desafío que plantean las amenazas en LinkedIn es que a los departamentos de IT les resulta difícil obtener información real sobre el alcance del riesgo al que se exponen sus empleados y las tácticas que se utilizan para atacarlos. Sin embargo, tiene sentido incluir en los cursos de concientización en seguridad escenarios de amenazas en LinkedIn como los descritos anteriormente. También debería advertirse a los empleados sobre el riesgo de compartir información en exceso en la plataforma y brindarles orientación para detectar cuentas falsas y señuelos típicos de phishing”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

ESET informa sobre distintos grupos de amenazas que han utilizado algunas de estas tácticas:

Lazarus Group (Corea del Norte) se ha hecho pasar por reclutadores en LinkedIn para instalar malware en los equipos de personas que trabajaban en una empresa aeroespacial, según descubrió ESET Research. De hecho, el equipo de investigacón también describió recientemente las campañas “Wagemole”, en las que individuos alineados con Corea del Norte intentan obtener empleo en empresas extranjeras.

ScatteredSpider llamó a la mesa de ayuda de MGM haciéndose pasar por un empleado cuya identidad obtuvo en LinkedIn, con el fin de acceder a la organización. El posterior ataque de ransomware provocó pérdidas por 100 millones de dólares.

Una campaña de spearphishing denominada “Ducktail” apuntó a profesionales de marketing y recursos humanos en LinkedIn, entregando malware y robando información a través de enlaces enviados por DM. El malware se alojaba en la nube.

“Para evitar el secuestro de cuentas, se debería seguir una política de actualización periódica de parches, instalar software de seguridad en todos los dispositivos (proveniente de un proveedor confiable) y activar la autenticación multifactor. Además, en ámbitos corporativos, puede valer la pena organizar capacitaciones específicas para ejecutivos, que suelen ser objetivo de ataques con mayor frecuencia. Sobre todo, asegurarse de que el equipo de trabajo sea consciente de que, incluso en una red considerada confiable como LinkedIn, no todas las personas actúan en su mejor interés”, recomienda el investigador de ESET.

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/seguridad-corporativa/por-que-linkedin-terreno-caza-para-los-actores-maliciosos-y-como-protegerte/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

Mineros invisibles: la amenaza silenciosa que se esconde en miles de sitios web

El cryptojacking es una técnica utilizada por ciberdelincuentes para realizar minería de criptomonedas sin autorización, aprovechando la capacidad de procesamiento del dispositivo de una víctima -esté activo o inactivo- mediante la ejecución de código malicioso. Las víctimas pueden no ser conscientes de que esto ocurre en segundo plano, pero sí experimentar reducción del rendimiento, sobrecalentamiento y aumento de la actividad del ventilador (con ruido perceptible). En dispositivos Android, la carga de trabajo puede incluso “hinchar” la batería y provocar daños físicos o la destrucción del equipo. ESET, compañía líder en detección proactiva de amenazas, identificó a través de su telemetría los principales sitios donde se detectan con mayor frecuencia mineros maliciosos en la región.

Esta amenaza estuvo muy presente durante 2025, en julio, por ejemplo, una campaña comprometió más de 3.500 sitios web para realizar minería ilícita. Dentro de los datos de la telemetría de ESET en Latinoamérica durante el segundo semestre de 2025 se destacan dos perfiles de dominios asociados a detecciones de scripts de minería:

Sitios de riesgo “esperable”: pueden ser páginas de piratería, descarga de archivos no oficiales y sitios de streaming. Las características comunes de estos sitios, monetizadas por los cibercriminales, son el tiempo prolongado de permanencia, la presencia de publicidades agresivas (malvertising) y la ejecución constante de scripts de terceros.

Sitios legítimos comprometidos: como escuelas, pymes, medios de noticias locales o cualquier otro sitio que en principio no supone riesgos especiales. En estos casos, el beneficio para los atacantes no está en el tiempo de permanencia del visitante, sino en el volumen de sitios comprometidos.

Los 5 tipos de sitios con más detecciones según la telemetría de ESET en la región durante 2025, son:

1 - Sitios para descargas piratas a través de torrents / repacks (descargas no oficiales): Si bien estos sitios pueden minar directamente, generalmente muestran anuncios maliciosos que contienen el script. Estos anuncios suelen ser muy agresivos, con pop-ups constantes, y también ejecutan scripts de terceros.

Ejemplos: piratebays.to (34,8%) ; thepiratebay3.to; thepiratebay2.to; switchtorrent.org o fitgirl-repacks.site

2 - Anime/manga: Son entornos de consumo prolongado. Los visitantes leen o ven capítulos por mucho tiempo, navegan en el sitio y están acostumbrados al bombardeo constante de pop-ups. Este comportamiento los convierte en un escenario ideal para el cryptojacking basado en navegador.

Ejemplos: Dominio madre: mangany---.com ; Subdominios con series/anime: ; onepiece.manga----.com ; chainsawman.manga-----.com ; spyfamily.manga---.com ; tokyorevengers.manga----.com ; onepunchman.manga-----.com ; sololeveling.manga---.com ; boruto.manga----.com ; snk.manga----.com ; tensura.manga----.com ; nagatoro.manga----.com ; tonikawa.manga----.com ; shikimori.manga----.com ; mashle.manga-----.com

3 – Educación: Entre los sitios con más detecciones también figuran muchos que parecen instituciones educativas (privadas y públicas) de Colombia, México, Brasil o Argentina, entre otros países. Según el histórico de las detecciones, algunos están siendo utilizados para el cryptojacking desde hace dos años.

“Este tipo de sitios son atractivos para los ciberatacantes por el volumen, ya que comprometer muchos sitios pequeños, de pocas visitas, y les genera rentabilidad. Una característica típica de este perfil es que se hayan visto comprometidos por el CMS (WordPress/plugins, credenciales débiles, hosting compartido) y así terminen siendo víctimas de inyección de JavaScript. Es decir, no es una intención de la institución, sino que son víctimas por falta de seguridad, sitios web desatendidos o recursos limitados”, comenta Martina López, investigadora de Seguridad Informática de ESET Latinoamérica. 

Ejemplos: colfre----.edu.co ; gimnasiosa----.edu.co ; centroeducativo----.edu.co ; liceolos-----.edu.co ; colgarcia----.com ; colmer----.com ; colsanluis----.com ; colmetropo----.com ; liceodomingo-----.com ; col-----bogota.com ; colegio----bga.com ; colsan-----.com ; quipux.gobierno-----.gob.ec ; educacao.palo---.pr.gov.br ; oev.unm---.edu.pe ; gd---.gob---.ve

4 - Pymes y comercios locales: Muchos dominios son de pequeñas empresas legítimas, de diversos rubros como servicios, autopartes, metalúrgica, logística y contabilidad, entre otros. Desde ESET señalan que es probable que el sitio haya sido comprometido por terceros y que el propietario no esté enterado de que está al servicio del cryptojacking.

Ejemplos: mar-pla---.com ; ceola---.com.mx ; rvmmo----.com.ar ; nettocontab----.com.br ; tetrac----.com.br ; metal----.ind.br ; dietrich-log----.com.co ; deauto----.com ; octopus---.com ; shield---.com.br ; tiagoramosarq----.com.br

5 - Medios / noticias locales: Las detecciones la telemetría de ESET muestran varios medios regionales y sitios de noticias, haciendo foco en México y Brasil. Este tipo de sitios suelen atraer muchas visitas, utilizan ads para monetizar y también CMS, widgets, plugins y otras herramientas de terceros. Si bien tienen más visitas, no son tan prolongadas como los de streaming y aunque usan ads, no son tan agresivas.

Ejemplos: hidalgo.quad----.com.mx ; tribunarib----.com.br ; jornalab----.com.br ; met----cmx.com ; elacarig----.com

Ante este escenario, ESET comparte distintas acciones concretas a tomar para evitar ser víctima del minado de criptomoneda:

Para usuarios: 

Mantener el sistema operativo y el navegador actualizados, ya que muchas campañas explotan vulnerabilidades conocidas.

Utilizar una solución de seguridad confiable que detecte scripts de minería en tiempo real, tanto en equipos de escritorio como en dispositivos móviles.

Desconfiar de aquellos sitios con exceso de pop ups o publicidad invasiva, especialmente en plataformas de streaming no oficiales o descargas piratas.

Cerrar pestañas que provoquen sobrecalentamiento, lentitud extrema o un uso inusual del CPU, incluso si el sitio parece legítimo.

Para pymes, instituciones educativas y medios de noticias:

Mantener actualizado el CMS, plugins y temas, y eliminar extensiones que no se utilicen.

Revisar periódicamente el código del sitio para detectar inyecciones de JavaScript sospechosas.

Implementar contraseñas robustas y autenticación de múltiples factores para accesos administrativos.

Elegir proveedores de hosting con monitoreo de seguridad y soporte ante incidentes.

Auditar scripts de terceros y redes de anuncios, ya que muchas infecciones se producen a través de servicios externos legítimos comprometidos.

Asignar revisiones periódicas de seguridad.

Limitar privilegios de usuarios y accesos al panel administrativo.

Contar con respaldos frecuentes, para poder restaurar el sitio rápidamente ante un compromiso.

“El minado de criptomoneda ya no es una amenaza marginal ni tampoco se limita a sitios ilegales: hoy afecta a organizaciones legítimas de toda Latinoamérica y se sostiene en campañas persistentes y silenciosas”, concluye López de ESET Latinoamérica.

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/seguridad-digital/5-tipos-de-sitios-detectan-mineros-criptomonedas-en-latam/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

¿Qué hacen los cibercriminales con la información que roban?

Para el cibercrimen, la información representa dinero, puerta de acceso y también una herramienta para cometer nuevos delitos. Es por lo que los datos personales y sensibles o privado, como nombre completo, datos de contacto, números de tarjetas y credenciales bancarias, datos sobre salud, credenciales de acceso a redes sociales y servicios, entre otros, se convirtieron en uno de los botines más codiciados por los actores maliciosos. ESET, compañía líder en detección proactiva de amenazas, analiza qué es lo que hacen los cibercriminales una vez que obtienen información robada.

Dentro de las acciones más comunes, identificadas por ESET, se encuentran: 

La venden en foros clandestinos: Uno de los principales réditos que los cibercriminales sacan de la información robada es lisa y llanamente dinero. Los datos personales tienen un valor importante para el ecosistema delictivo. La comercializan principalmente en foros clandestinos y en mercados de la DarkWeb, donde los datos personales, credenciales de acceso, información bancaria y financiera, claves corporativas y cualquier otra información sensible son requeridos por otros ciberdelincuentes para usarlos en otras acciones ilegales. 

Cometen otros delitos: 

Suplantación de identidad: mientras más información los cibercriminales obtengan de una persona, más herramientas tendrán para crear un perfil falso digital y así estafar a sus contactos, o cometer ciberdelitos en su nombre. 

Fraude financiero: ciertos datos personales facilitan el acceso a los recursos financieros, y así los ciberdelincuentes pueden obtener ganancias ilícitas. Desde realizar compras hasta solicitar tarjetas de crédito.

Ataques de phishing personalizados: la información robada les puede permitir a los cibercriminales crear correos de phishing mucho más creíbles y puntualizados. Datos como el correo laboral o la empresa donde la víctima trabaja pueden dar una sensación de falsa autenticidad a un correo cuyos fines son maliciosos.

Extorsionan a sus víctimas: La información representa una herramienta muy poderosa que, en manos equivocadas, puede ser utilizada como instrumento de extorsión y chantaje.  Así, los cibercriminales suelen emplearla para presionar a sus víctimas, desde una amenaza concreta de hacer públicos datos confidenciales, venderlos a los competidores o simplemente causar un daño reputacional. En la mayoría de estos casos, es obtener dinero. 

Espionaje y sabotaje: En el ámbito empresarial o gubernamental una simple contraseña robada puede ser la puerta de entrada a las redes internas, infraestructuras críticas y hasta información confidencial de clientes, proveedores y socios comerciales. 

En contraposición a los puntos anteriores, en estos casos el objetivo no es monetario, sino espiar sin ser visto, accediendo a redes, correos y comunicaciones internas, alterar procesos productivos o logísticos, y hasta borrar, modificar o corromper información clave.

En este contexto, se vuelve imprescindible tomar acciones concretas para cuidar los datos sensibles y confidenciales, sean personales y/o corporativos.  ESET Latinoamérica comparte recomendaciones para reducir sensiblemente el riesgo de que los datos se vean expuestos o caigan en manos equivocadas:

Cuidar la información: evitar compartir datos personales en línea.

Utilizar contraseñas seguras: deben ser robustas y únicas para cada cuenta.

Activar el doble factor de autenticación en cada cuenta que lo permita.

Mantener actualizados tanto los dispositivos como el software. 

Contar con una solución de seguridad robusta y confiable.

Mantenerse al tanto sobre las últimas noticias en ciberseguridad. 

Los ataques móviles que marcaron el 2025

En América Latina el panorama móvil tiene rasgos muy claros, la región concentra una gran cantidad de detecciones de malware para Android, enfocándose en México y Brasil, según el último ESET Threat Report. A diferencia de las regiones más al norte o Europa, Android es el sistema operativo más prevalente por una diferencia significativa. En línea con lo que observa ESET, compañía líder en detección proactiva de amenazas, a nivel global, el teléfono es el dispositivo principal para la mayoría de las personas, y conviven equipos recientes con modelos que ya no reciben actualizaciones. Para el equipo de investigación, esa mezcla de alta dependencia, fragmentación y versiones desactualizadas crea un entorno donde muchos códigos maliciosos encuentran espacio para proliferar.

“A esto se suma que muchos de los canales de distribución más efectivos siguen plenamente vigentes en la región. Campañas por SMS o mensajería con enlaces directos, APK modificadas que se comparten fuera de las tiendas oficiales y aplicaciones que logran entrar en tiendas formales con muy pocas reseñas o señales de actividad real siguen siendo vectores clave. Ese ecosistema facilita tanto la circulación de familias conocidas como la aparición constante de variantes nuevas o poco sofisticadas que igual consiguen alcance”, comenta Martina López, Investigadora de Seguridad informática de ESET Latinoamérica

ESET analiza las 3 familias de códigos maliciosos más detectadas en la región, para 2025:

Trojan.Android/Exploit.CVE-2012-6636: Una vulnerabilidad antigua que sigue presente en el ecosistema móvil debido a que muchas aplicaciones de Android continúan usando componentes heredados. El fallo afecta a apps que emplean WebView con una configuración insegura y que fueron compiladas con versiones previas a Android 4.2. Incluso si el dispositivo es moderno, la aplicación puede mantener ese comportamiento vulnerable. En ese contexto, una página web maliciosa cargada dentro del propio WebView puede interactuar con el código interno de la app de formas que no deberían ser posibles, abriendo la puerta a ejecución de acciones no autorizadas.

En el panorama actual de amenazas móviles, este exploit no suele ser el centro de campañas complejas, pero sí aparece integrado en APK distribuidas por fuera de las tiendas oficiales o presente en aplicaciones que ya no reciben actualizaciones. Existen exploits públicos para CVE-2012-6636, incluso módulos incorporados en frameworks como Metasploit, lo que facilita su uso por parte de actores maliciosos. Además, fue reportado como uno de los exploits más prevalentes para Android en 2023, según el ESET Security Report 2024.

Trojan.Android/Exploit.Lotoor: Es una familia de exploits de escalamiento de privilegios utilizada desde hace más de una década para obtener acceso root en dispositivos Android. Agrupa un conjunto de técnicas que abusan vulnerabilidades del sistema operativo en distintas versiones tempranas de Android, especialmente fallos descubiertos entre 2010 y 2013. Bajo ese paraguas aparecen exploits que aprovechan errores en controladores, servicios del sistema o manejos de memoria que permitían ejecutar código con privilegios superiores al de la aplicación.

Sus módulos siguen reapareciendo dentro de herramientas maliciosas que buscan activar funciones avanzadas como desinstalar apps de seguridad, modificar configuraciones internas o instalar payloads adicionales. No es la primera vez que el equipo de investigación observa a Lotoor en los primeros lugares. 

Trojan.Android/Pandora: Es un código malicioso vinculado a una variante de Mirai adaptada para el ecosistema Android. Se observó por primera vez en 2023 dentro de aplicaciones de streaming populares en la región, especialmente en dispositivos Android TV Box y sticks que suelen utilizarse para acceder a contenido no oficial. En esos casos, los atacantes distribuyen APK que funcionan como apps de streaming legítimas, pero que incluyen un componente malicioso capaz de convertir el dispositivo en parte de una botnet. En algunos modelos, incluso se detectó firmware modificado que venía infectado de fábrica, lo que amplificaba el alcance del ataque.

Una vez instalado, Pandora mantiene comunicación con un servidor de comando y control, recibe instrucciones y ejecuta las mismas capacidades típicas de una botnet basada en Mirai, con el foco puesto en lanzar ataques distribuidos de denegación de servicio. 

“Este panorama de 2025 nos muestra que las amenazas para Android siguen apoyándose en vectores bien conocidos y en la falta de actualización de dispositivos y aplicaciones, lo que mantiene vigentes exploits y familias que llevan años circulando. Aun así, esto no significa que el riesgo quede limitado a “lo de siempre”. También persisten amenazas menos masivas, pero igual de relevantes, como los troyanos bancarios o las aplicaciones de préstamos fraudulentos, que actúan de forma mucho más focalizada y buscan un impacto directo sobre la economía del usuario. Y, en paralelo, aparecen amenazas emergentes y técnicas cada vez más innovadoras, como un malware capaz de clonar tarjetas mediante NFC, que reflejan un ecosistema móvil en constante evolución y con un nivel creciente de sofisticación”, concluye López de ESET Latinoamérica.

En este contexto, se vuelve vital proteger la información y dispositivos de estas amenazas. ESET comparte algunos consejos para evitar ser víctima:

Mantener el dispositivo actualizado y no usar versiones antiguas de Android si existe la posibilidad de actualizar.

Instalar aplicaciones solo desde tiendas oficiales o fuentes verificadas.

Evitar APKs de origen desconocido, incluso si prometen funciones “premium” o contenido gratuito.

Revisar permisos, actividad del desarrollador y cantidad real de reseñas antes de instalar una app.

Usar soluciones de seguridad confiables que detecten exploits, troyanos y comportamientos anómalos.

Evitar desactivar protecciones del sistema ni permitir la instalación de apps desconocidas.

Desconfiar de mensajes, enlaces o anuncios que prometen accesos rápidos, descuentos o funciones especiales.

El clásico que nadie suelta: 123456 es la contraseña más usada en 2025.

Utilizar una credencial predecible en el mundo digital, advierte ESET, compañía líder en detección proactiva de amenazas, es como cerrar la puerta de la casa con una traba de papel, o como tener una caja fuerte de última generación, pero que al lado tenga un post-it con la clave de acceso. Este mal hábito está presente ya desde hace varios años y vuelve a confirmarse en informes recientes: 123456 es ser la contraseña más usada en 2025, lo que pone en serio riesgo la integridad de los datos e información sensible de las personas, trasciende las generaciones y no pasa de moda.

Un informe reciente de NordPass y otro de Comparitech destacan que 123456 fue la contraseña más utilizada en 2025, y el 25% de las 1.000 contraseñas principales consisten únicamente en números. Lo que deja en evidencia que las personas optan por credenciales simples y hasta obvias, en detrimento de la seguridad de su información personal y sensible.

“Una de las principales conclusiones que se desprenden de uno de los reportes es que la costumbre de usar contraseñas débiles y predecibles trasciende las generaciones. No importa el rango etario de las personas: en cada una de las categorías 123456 está en el top de las claves más elegidas para acceder a cuentas, servicios y plataformas online. Es decir, un nativo digital que la mayor parte de su vida trascurrió en el mundo online, adopta la misma práctica riesgosa y poco prudente que una persona de 70 años, con, tal vez, menos conocimientos o que usa el celular solo para hablar por teléfono o mensajear”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

En lo que respecta a América Latina, el panorama es un poco más preocupante, ya que, a la falta de conciencia sobre la seguridad digital y el uso poco consciente de contraseñas, se le suma el auge de ciberamenazas en la región. “Usar contraseñas débiles compromete la seguridad individual, pero también contribuye a la vulnerabilidad general de la región frente a posibles ataques”, agrega Gutiérrez Amaya de ESET.

En el ámbito corporativo, el panorama también preocupa. La criticidad de utilizar contraseñas débiles y/o predecibles en un ámbito empresarial es mucha, ya que no solo se puede poner en jaque información personal y sensible de cada usuario, sino también de la propia empresa, sus clientes y proveedores. Además, según ESET, puede significar la pérdida importante de dinero como de la reputación de la organización.

Pero más allá de todas estas alarmas, las contraseñas débiles siguen siendo una constante en las organizaciones. 

“No es para generar alarmismo, pero sí para tomar conciencia: un cibercriminal, con las herramientas y conocimientos adecuados, tarda menos de un segundo en adivinar y vulnerar cualquiera de las claves que figuran en este top. Además, las tres contraseñas más utilizadas en corporaciones no solo que están compuestas simplemente por números, sino que suelen encabezar este tipo de listas año tras año. No llama la atención entonces el dato que aporta Verizon, que indica que el 70 % de las filtraciones de datos en las empresas se debe al uso de contraseñas débiles por parte de los colaboradores”, agrega el investigador de ESET.

Un ejemplo reconocido del mundo, es el Louvre de París, lugar en el que se pensaría que estaría protegida con las medidas más estrictas y potentes de seguridad. Pero, en octubre de este año, el sistema de seguridad del prestigioso museo fue vulnerado por una circunstancia tan grave como preocupante: la contraseña era Louvre. Como resultado se comprometió toda la red de seguridad y permitió el robo de joyas valuadas en más de 100 millones de dólares.

“Este caso de trascendencia internacional muestra que hasta el sistema más sofisticado de seguridad (cámaras, alarmas, puertas blindadas), puede ser vulnerado fácilmente gracias a una contraseña débil o muy obvia”, destacan desde ESET.

Para evitar contraseñas débiles o previsibles, el paso más simple es usar un Generador de Contraseñas, una solución práctica y gratuita que ayuda a crear contraseñas seguras y robustas, esenciales para proteger las cuentas y los datos personales. 

Ahora bien, si se desea crear contraseñas propias personalizadas, desde ESET comparten un par de consejos:

Longitud: las contraseñas más largas proporcionan una barrera que es más difícil de penetrar para los ataques de fuerza bruta. Lo recomendable es que tengan al menos 12 caracteres, pero mientras más larga es aún más segura.

Complejidad: debe incluir variedad de caracteres (mayúsculas, minúsculas, números y símbolos especiales). Esto aumenta exponencialmente el número de combinaciones posibles, haciendo que la contraseña sea mucho más difícil de adivinar.

Aleatoriedad: evita patrones predecibles o secuencias obvias, como palabras comunes, nombres de personas, fechas de nacimiento o cadenas como “123456”.

Diversidad: no uses la misma contraseña para varias cuentas, porque si una contraseña se ve comprometida en una cuenta, todas las demás que comparten esa contraseña son vulnerables.

IA bajo ataque: nuevas tácticas para vulnerar la seguridad digital.

La Inteligencia Artificial cambió las reglas del juego en todos los ámbitos, y la ciberseguridad no escapa a esta afirmación. Al punto que puede ser un elemento clave en la prevención y detección de ciberataques y también una herramienta para potenciar acciones maliciosas. Pero, la IA también puede ser engañada y servir como vector para vulnerar a las víctimas. ESET, compañía líder en detección proactiva de amenazas, analiza la técnica PromptFix, conocida como prompt injection, cuáles pueden ser las consecuencias para las víctimas, y de qué manera protegerse ante esta amenaza.

PromptFix es una variante específica del prompt injection, diseñada para engañar a asistentes integrados en navegadores. Mediante instrucciones ocultas, logra que la IA interactúe con sitios web maliciosos o de phishing. El término surge como evolución de la técnica ClickFix, que engaña a los usuarios para que hagan clic en verificaciones falsas y así ejecutar acciones maliciosas.

“Los actores maliciosos insertan instrucciones ocultas en contenido aparentemente legítimo para que la IA realice ciertas acciones sin que el usuario lo sepa ni tenga que intervenir. Por ejemplo, hacer clic en botones invisibles que simulan verificaciones, descargar archivos maliciosos o interactuar con enlaces fraudulentos”, comenta Martina López, investigadora de Seguridad Informática de ESET Latinoamérica.

Para que un ataque PromptFix sea efectivo, los cibercriminales ocultan instrucciones maliciosas en sitios web comprometidos o en contenido que controlan, incluso en redes sociales o plataformas públicas (comentarios en Reddit, publicaciones en Facebook). Algunas técnicas pueden ser el ocultar instrucciones en texto invisible o en comentarios HTML, incrustar texto oculto dentro de imágenes, u ocultar información en archivos digitales sin alterar su apariencia. 

El ataque funciona cuando un usuario navega por un sitio comprometido y utiliza el asistente de IA del navegador para resumir contenido o extraer puntos clave, el modelo procesa todo el texto sin distinguir entre datos e instrucciones. De esta manera interpreta comandos ocultos como si fueran solicitudes legítimas del usuario. Lo que puede llevar al agente a realizar acciones no deseadas, como interactuar con enlaces fraudulentos o iniciar descargas. 

Algunas consecuencias de un ataque PromptFix pueden inducir a la IA a descargar archivos maliciosos infectados con malware, hacer clic en botones ocultos para evadir pasos de validación, o seguir enlaces de phishing y exponer credenciales.

Dado que una característica distintiva de un ataque PromptFix es que puede realizar acciones sin la intervención y/o conocimiento de la víctima, desde ESET destacan algunos buenos a hábitos implementar para estar protegidos y prevenidos:

No autorizar acciones automáticas por defecto: si la Inteligencia Artificial quiere hacer clic, enviar archivos o completar formularios, primero debe pedirlo y obtener la confirmación del usuario.

Limitar al agente: no otorgar permiso a la IA para que navegue libre por internet, para que acceda a las contraseñas guardadas ni tampoco para usar el autocompletado.

Revisar imágenes y archivos antes de procesarlos: dado que los ciberatacantes pueden esconder instrucciones dentro de imágenes o archivos, lo ideal es que se pase por un filtro que busque texto oculto o señales extrañas

Usar listas de sitios confiables: permitir que el agente solamente interactúe con sitios conocidos y confiables. Ante un link sospechoso, debe bloquearlo y pedir autorización.

Black Friday: evita sitios falsos.

Los descuentos que se prometen en eventos especiales, como el Black Friday o Cyber Monday, generan una especie de fiebre por las ofertas y las “oportunidades únicas”. Las promociones abundan, pero ESET, compañía líder en detección proactiva de amenazas, advierte que también las estafas que se aprovechan de la urgencia que imprimen estas “ofertas por tiempo limitado” y destaca la importancia de estar alertas ya que podrían ser un fraude en el que tus datos personales y tu dinero puede ser robado en sitios falsos.

“Lo que comienza como una estrategia de venta se convierte en terreno fértil para que los ciberdelincuentes te hagan actuar presionado y con apuro. Las estafas más comunes se hacen pasar por empresas de renombre para aprovechar la confianza que generan. Desde un mail promocional hasta un mensaje de WhatsApp”, alerta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

El equipo de investigación de ESET Latinoamérica muestra 4 fraudes de ejemplo, similares a los que año a año se disparan en fechas como Black Friday, Cyber Monday o Hot Sale, en las que los ciberdelincuentes usan campañas cada vez más convincentes para quedarse con tus datos y tu dinero:

Anuncios patrocinados en Gmail: Los correos llegan a las casillas como correos patrocinados, por lo que logran confundir al usuario que puede suponer que existe un control sobre anunciantes. Imitan marcas reconocidas con ofertas irresistibles con el objetivo de que hagas clic y entregues tus datos personales o bancarios, luego de llevarte a un sitio falso de phishing. 

A modo de ejemplo, se ha visto circular una campaña que  en la que se simuló en correos patrocinado de Gmail ofertas especiales de la tienda online StockCenter, u oportunidades especiales en la plataforma Mercado Libre. 

Desde ESET aconsejan para evitar caer en este engaño el verificar siempre la dirección del remitente, no hacer clic en enlaces sospechosos y si se tienen dudas, entrar directamente al sitio oficial.

Sitios falsos en resultados de búsquedas de Google: ESET identificó en el pasado sitios que imitan a tiendas online y empresas varias y figuraban entre los resultados de búsqueda (identificados como patrocinados), en un intento de confundir a los usuarios para que ingresen al sitio falso.

Desde noviembre 2025, Google intenta que la confusión sea menor, dejando más claro qué resultados son patrocinados separándolos en un apartado “resultados patrocinados” más visible y reconocible que en el pasado, separado del resto con un recuadro más identificable y con la posibilidad de ocultar estos resultados.

Para evitar ser víctima de esta estafa en ESET recomiendan revisar la URL antes de comprar, asegurarse de que el sitio tenga certificado SSL (candado en la barra de direcciones) y desconfiar de precios demasiado bajos.

Clones de marcas conocidas con descuentos irrisorios: Páginas que copian el diseño y catálogo de tiendas reales, ofreciendo precios absurdamente bajos para inducir a los usuarios a entregar sus datos personales y financieros haciéndoles creer que están ante una oferta única.

En algunos casos la url es fácilmente identificable como falsa, pero en otros es más difícil de detectar. Por ejemplo, una campaña que está activa actualmente utiliza una url que incluye el nombre de la marca y las palabras hotsale, (entre otras) incluidas en el dominio, lo que a simple vista en la revisión de url puede pasar desapercibido. En lugar de un dominio del tipo: marca.com, te puedes topar con que el dominio es marcahotsale.com, o marca-descuentos.com, y cualquier otra variable.

Desde ESET alertan que si una oferta parece demasiado buena para ser cierta, probablemente lo sea. Además, evitar ingresar a links que te hayan alcanzado en un correo electrónico o mensaje, verificar en el sitio oficial que la supuesta promoción sea real, y solo hacer compras a través de tiendas que hayas corroborado tengan el dominio real de la marca u empresa. 

Falsas oportunidades por WhatsApp: Mensajes de WhatsApp que se hacen pasar por Amazon, Mercado Libre u otras marcas, invitándote a participar en sorteos falsos, y logran que ingreses a formularios falsos o descargues aplicaciones u extensiones maliciosas. 

Desde ESET destacan la importancia de nunca hacer clic en enlaces que llegan por WhatsApp sin confirmar su autenticidad en la web oficial. También, chequear la procedencia de cualquier mensaje que se reciba “de la nada”, y recordar que la excusa de BlackFriday o similares siempre será aprovechada para confundir a los usuarios. Revisar la veracidad del mensaje en el sitio oficial de la marca u empresa antes de realizar cualquier acción. Por último, no descargar aplicaciones desde enlaces externos.

“Es importante prestar especial atención a promociones que parezcan demasiado buenas para ser verdad, especialmente si llegan a tu bandeja de entrada o por otros medios. Si recibes una oferta que te parece interesante siempre verificar si es real en la web oficial de la marca, ya que si buscas el sitio oficial en Google, podrían aparecerte resultados falsos que simulan ser el original. Antes de ingresar datos de tarjetas de crédito u otra información personal, revisa la seguridad del sitio: asegúrate de que tenga protocolos de seguridad -que la URL muestre el candado- y comience con HTTPS. Por último, denuncia cualquier sitio falso o mensaje fraudulento que se haga pasar por una marca conocida para reducir la propagación del engaño”, concluye Gutiérrez Amaya sobre descuentos y estafas en fechas especiales.

Gestores de contraseñas bajo ataque

Según un estudio de 2024, en promedio un usuario de internet tiene unas 168 contraseñas para sus cuentas personales, un aumento del 68% con respecto a cuatro años antes. Dados los riesgos de seguridad asociados a compartir credenciales entre cuentas y al uso de contraseñas fáciles de adivinar, la mayoría de los usuarios utilizan gestores de contraseñas que permiten almacenar y recordar contraseñas largas, seguras y únicas para cada una de las cuentas en línea. En este contexto, ESET, compañía líder en detección proactiva de amenazas, advierte que los mismos se han convertido en un objetivo popular para los ciberdelincuentes y comparte seis riesgos potenciales y algunas ideas para mitigarlos.

Con acceso a las credenciales almacenadas en un gestor de contraseñas, los actores de amenazas podrían secuestrar sus cuentas para cometer fraude de identidad, o vender accesos/contraseñas a otros. Por eso siempre están buscando nuevas formas de atacar. 

ESET comparte 6 problemas a los que prestar atención especialmente:

1. Compromiso de la contraseña maestra: Si los ciberdelincuentes consiguen hacerse de esa contraseña maestra, obtendrán un acceso total a la cuenta. Por ejemplo, pueden obtenerla mediante un ataque de “fuerza bruta” en el que utilizan herramientas automatizadas para probar diferentes contraseñas repetidamente, a través de la explotación de vulnerabilidades del software de gestión de contraseñas, o vía páginas de phishing con las que engañan a los usuarios para que entreguen su información.

2. Anuncios de phishing/estafa: Los actores de amenazas publican anuncios maliciosos en búsquedas de Google diseñados para atraer a las víctimas a sitios falsos que recopilan su dirección de correo electrónico, contraseña maestra y clave secreta. Estos anuncios parecen legítimos, y enlazan a páginas falsas con dominios que intentan falsificar a la auténtica Por ejemplo, un dominio puede ser “the1password[.]com” en lugar del original “1password.com, o “appbitwarden[.com” en lugar de “bitwarden.com”. Al hacer clic en una página de este tipo, se accede a una página de inicio de sesión de aspecto legítimo diseñada para robar todos los inicios de sesión importantes del gestor de contraseñas.

3. Malware para robar contraseñas: En el ingenio que aplican los ciberdelincuentes, algunos han desarrollado malware para robar credenciales de los gestores de contraseñas de las víctimas. Por ejemplo, el equipo de investigación de ESET descubrió recientemente un intento de este tipo por parte de una campaña patrocinada por el estado norcoreano apodada DeceptiveDevelopment, el malware InvisibleFerret que incluía un comando backdoor capaz de filtrar datos tanto de extensiones de navegador como de gestores de contraseñas a través de Telegram y FTP. Entre los gestores de contraseñas atacados se encontraban 1Password y Dashlane. En este caso, el malware estaba oculto en archivos descargados por la víctima como parte de un elaborado proceso de falsa entrevista de trabajo. Pero no hay razón por la que un código malicioso con propiedades similares no pueda propagarse de otras formas, como por correo electrónico, mensajes de texto o redes sociales.

4. La brecha de un proveedor de gestores de contraseñas: Los proveedores de gestores de contraseñas saben que son uno de los principales objetivos de las amenazas. Por eso dedican mucho tiempo y recursos a hacer que sus entornos informáticos sean lo más seguros posible. En 2022, ladrones digitales comprometieron el equipo de un ingeniero de LastPass para acceder al entorno de desarrollo de la empresa. Allí robaron código fuente y documentos técnicos que contenían credenciales, lo que les permitió acceder a las copias de seguridad de los datos de los clientes. 

Esto incluía información personal y de cuentas de clientes, que podría utilizarse para ataques de phishing posteriores. Una lista de todas las URL de los sitios web de sus almacenes. Y los nombres de usuario y contraseñas de todos los clientes. Aunque estaban cifrados, el pirata informático pudo “forzarlos”. Se cree que esto dio lugar a un robo masivo de criptomonedas por valor de 150 millones de dólares.

5. Aplicaciones falsas de gestión de contraseñas: A veces, los ciberdelincuentes se aprovechan de la popularidad de los gestores de contraseñas para intentar robar contraseñas y propagar malware a través de aplicaciones falsas. Incluso la App Store de Apple, normalmente segura, permitió el año pasado que los usuarios descargaran una de estas aplicaciones maliciosas de gestión de contraseñas. Estas amenazas suelen estar diseñadas para robar la importantísima contraseña maestra o descargar malware que roba información en el dispositivo del usuario.

6. Explotación de vulnerabilidades: Los gestores de contraseñas no son más que software, y al estar escrito (en su mayoría) por humanos inevitablemente contiene vulnerabilidades. Si un ciberdelincuente se las arregla para encontrar y explotar uno de estos errores, puede ser capaz de obtener credenciales de su almacén de contraseñas. También podrían aprovecharse de las vulnerabilidades de los complementos de los gestores de contraseñas de los navegadores web para robar credenciales e incluso códigos de autenticación de dos factores (2FA). O podrían atacar los sistemas operativos de los dispositivos para hacer lo mismo. Cuantos más dispositivos tengan descargado el gestor de contraseñas, más oportunidades tendrán de hacerlo.

Para protegerse de las amenazas mencionadas, desde ESET recomiendan tener en cuenta los siguientes puntos:

Piensa en una frase de contraseña maestra segura, larga y única. Piense en cuatro palabras memorables separadas por guiones. Así será más difícil que un atacante pueda “forzarla”.

Aumenta siempre la seguridad de tus cuentas activando el 2FA. Esto significa que aunque los piratas informáticos se hagan con tus contraseñas, no podrán acceder a tus cuentas sin el segundo factor.

Mantenga actualizados los navegadores, los gestores de contraseñas y los sistemas operativos para que tengan las versiones más seguras. Así se reducen las posibilidades de explotar vulnerabilidades.

Descarga únicamente aplicaciones de una tienda de aplicaciones legítima (Google Play, App Store) y comprueba el desarrollador y la calificación de la aplicación antes de hacerlo, por si se tratara de aplicaciones falsas o maliciosas.

Elige solo un gestor de contraseñas de un proveedor de confianza. Compara precios hasta que encuentres uno con el que te sientas cómodo.

Asegúrate de instalar software de seguridad de un proveedor de confianza en todos los dispositivos, para mitigar la amenaza de ataques diseñados para robar contraseñas directamente de tu gestor de contraseñas.

“Los gestores de contraseñas siguen siendo una parte clave de las mejores prácticas de ciberseguridad. Pero solo si toma precauciones adicionales. Los riesgos de seguridad evolucionan constantemente, así que mantente al día de las tendencias actuales en materia de amenazas para asegurarte de que tus credenciales en línea permanecen bajo llave”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

5 acciones clave tras descubrir un ciberataque

El número de filtraciones de datos, durante 2024 e investigadas por Verizon, aumentó 20 puntos porcentuales en total de incidentes, con respecto al año anterior. ESET, compañía líder en detección proactiva de amenazas, advierte que la preparación es la clave de una respuesta a incidentes (IR) eficaz. 

Una vez que las amenazas se introducen en la red, el tiempo juega en contra y detenerlas antes de que lleguen a provocar daño es cada vez más difícil: según las últimas investigaciones, en 2024 los adversarios fueron un 22% más rápidos que en el año anterior para progresar desde el acceso inicial hasta el movimiento lateral (también conocido como «tiempo de fuga»). El tiempo medio de penetración fue de 48 minutos, aunque el ataque más rápido registrado fue casi la mitad: solo 27 minutos.

“Una filtración de datos no tiene por qué ser tan catastrófico como parece para los defensores de la red siempre y cuando los equipos sean capaces de responder con rapidez y decisión a las intrusiones. Aunque cada organización (y cada incidente) es diferente, si todos los miembros del equipo de respuesta a incidentes saben exactamente lo que tienen que hacer, y nada queda librado al azar o a inventar sobre la marcha hay más posibilidades de que la resolución sea rápida, satisfactoria y de bajo costo”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. 

Desde ESET aclaran que ninguna organización es 100% a prueba de brechas y que si se sufre un incidente y sospecha de un acceso no autorizado, se debe trabajar metódicamente y con rapidez. Para ello, una guía de cómo actuar durante las primeras 24 a 48 horas con rapidez y minuciosidad, sin comprometer la precisión ni las pruebas:

1. Recopilar información y comprender el alcance: El primer paso es comprender exactamente qué sucedió, activar el plan de respuesta a incidentes preestablecido y notificarlo al equipo. Este grupo debe incluir a las partes interesadas de toda la empresa, incluidos las áreas de recursos humanos, de relaciones públicas y comunicación, el departamento jurídico y la dirección ejecutiva. Todos ellos tienen un importante papel que desempeñar tras el incidente.

A continuación, se calcula el radio de acción del ataque: ¿Cómo ha entrado el adversario en la red de la empresa? ¿Qué sistemas se han visto comprometidos? ¿Qué acciones maliciosas han realizado ya los atacantes?

Documentar cada paso y recopilar pruebas, tanto para evaluar el impacto del ataque, como para la etapa de investigación forense e, incluso para futuros procesos legales. Mantener la cadena de custodia garantiza la credibilidad en caso de que deban intervenir las fuerzas de seguridad o los tribunales.

2. Notificar a terceros: Una vez que se haya establecido qué sucedió, es necesario informar a las autoridades pertinentes.

Reguladores: Si se ha robado información de identificación personal (PII), hay que ponerse en contacto con las autoridades que correspondan en virtud de las leyes de protección de datos o específicas del sector. En los Estados Unidos, por ejemplo, debe actuarse de acuerdo a las normas de divulgación de ciberseguridad de la SEC o las leyes de violación a nivel estatal.

Aseguradoras: La mayoría de las pólizas de seguros estipularán que se informe a su proveedor de seguros tan pronto como se haya producido una violación.

Clientes, socios y empleados: La transparencia genera confianza y ayuda a evitar la desinformación. Es mejor que se enteren antes de que la información se difunda por redes sociales o medios de comunicación.

Fuerzas y cuerpos de seguridad: Informar de incidentes, especialmente de ransomware, puede ayudar a identificar campañas más grandes y, a veces, proporcionar herramientas de descifrado o apoyo de inteligencia.

Expertos externos: También puede ser necesario ponerse en contacto con especialistas legales e informáticos externos.

3. Aislar y contener: Mientras se mantiene el contacto con los terceros pertinentes, se debe trabajar con rapidez para evitar la propagación del ataque. Se recomienda aislar de internet los sistemas afectados sin apagar los dispositivos, para limitar el alcance del atacante sin comprometer posibles pruebas valiosas.

Todas las copias de seguridad deben estar fuera de línea y desconectadas para evitar que sean secuestradas o el ransomware pueda corromperlas. Desactivar todos los accesos remotos, restablecer las credenciales VPN y utilizar herramientas de seguridad para bloquear cualquier tráfico malicioso entrante y las conexiones de comando y control.

4. Eliminar y recuperar: Se debe realizar el análisis forense para comprender las tácticas, técnicas y procedimientos (TTP) del atacante, desde la entrada inicial hasta el movimiento lateral y (si procede) el cifrado o la extracción de datos. Y eliminar cualquier malware persistente, backdoors, cuentas fraudulentas y otros signos de peligro. Para recuperar y restaurar es clave eliminar el malware y las cuentas no autorizadas, verificar la integridad de los sistemas y datos críticos, restaurar copias de seguridad limpias (tras confirmar que no están comprometidas) y vigilar de cerca la aparición de indicios de un nuevo compromiso o de mecanismos de persistencia.

En esta fase puede aprovecharse la reconstrucción de los sistemas para reforzar los controles de privilegios, implementar una autenticación más estricta y reforzar la segmentación de la red. Para acelerar proceso puede recurrirse a ayuda de socios que ofrezcan herramientas como Ransomware Remediation de ESET.

5. Revisar y mejorar: Una vez pasado el peligro inmediato, es momento de revisar las obligaciones con los organismos reguladores, los clientes y otras partes interesadas (por ejemplo, socios y proveedores). Es necesario actualizar las comunicaciones una vez que se comprenda el alcance de la infracción, lo que podría incluir una presentación ante los organismos reguladores. Esta iniciativa debería impulsarse desde los asesores jurídicos y de relaciones públicas.

La revisión posterior al incidente puede ser un catalizador para la resiliencia. Una vez que se ha calmado el ambiente, también es buena idea averiguar qué ocurrió y qué lecciones se pueden aprender para evitar que se produzca un incidente similar en el futuro. Un punto útil sería introducir ajustes en el plan de gestión de incidentes o recomendar nuevos controles de seguridad y consejos para la formación de los empleados.

Una cultura sólida tras un incidente trata cada brecha como un ejercicio de entrenamiento para la siguiente, mejorando las defensas y la toma de decisiones en situaciones de estrés.

“No siempre es posible evitar una brecha, pero sí minimizar los daños. Si su organización no dispone de recursos para vigilar las amenazas 24 horas al día, 7 días a la semana, considere la posibilidad de contratar un servicio de detección y respuesta gestionadas (MDR) de un tercero de confianza. Pase lo que pase, ponga a prueba su plan de IR, y luego vuelva a ponerlo a prueba. Porque el éxito de la respuesta a incidentes no es solo una cuestión de IT. Requiere que una serie de partes interesadas de toda la organización y externas trabajen juntas en armonía. El tipo de memoria muscular que todos necesitan suele requerir mucha práctica para desarrollarse”, concluye Gutiérrez Amaya de ESET Latinoamérica.

El trabajo remoto abre la puerta al espionaje digital.

En julio de 2024, el proveedor de ciberseguridad KnowBe4 comenzó a observar una actividad sospechosa relacionada con un nuevo empleado que comenzó a manipular y transferir archivos potencialmente dañinos, e intentó ejecutar software no autorizado. Posteriormente, se descubrió que era un trabajador norcoreano que había engañado al equipo de recursos humanos de la empresa para conseguir un empleo a distancia. En total, consiguió superar cuatro entrevistas por videoconferencia, así como una comprobación de antecedentes y previa a la contratación. ESET, compañía líder en detección proactiva de amenazas, analiza este engaño y advierte que ninguna organización es inmune al riesgo de contratar inadvertidamente a un saboteador. 

“Las amenazas basadas en la identidad no se limitan al robo de contraseñas o la apropiación de cuentas, sino que se extienden a las personas que se incorporan a la plantilla. A medida que la IA mejora en la falsificación de la realidad, es el momento de mejorar los procesos de contratación”, advierte Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. 

Esta amenaza ha estado presente desde, al menos, abril de 2017, según una alerta de búsqueda del FBI y rastreado como WageMole por ESET Research. Según Microsoft, el gobierno estadounidense ha descubierto más de 300 empresas -algunas de ellas incluidas en la lista Fortune 500- que han sido víctimas de este tipo de ataques, entre 2020 y 2022. La empresa tecnológica se vio obligada en junio a suspender 3.000 cuentas de Outlook y Hotmail creadas por solicitantes de empleo norcoreanos.

Por otra parte, una acusación estadounidense imputa a dos norcoreanos y tres «facilitadores» por haber obtenido más de 860.000 dólares de 10 de las más de 60 empresas en las que trabajaron. El equipo de investigación de ESET advierte que el foco se ha desplazado recientemente a Europa, incluyendo Francia, Polonia y Ucrania. Por su parte, Google ha advertido de que las empresas británicas también están en el punto de mira.

Este tipo de engaños es posible ya que los estafadores crean o roban identidades que coinciden con la ubicación de la organización objetivo y, a continuación, abren cuentas de correo electrónico, perfiles en redes sociales y cuentas falsas en plataformas de desarrolladores como GitHub para añadir legitimidad. Durante el proceso de contratación, pueden utilizar imágenes y vídeos deepfake, o software de intercambio de caras y cambio de voz, para disfrazar su identidad o crear otras sintéticas.

Según los investigadores de ESET, el grupo WageMole está vinculado a otra campaña norcoreana que rastrea como DeceptiveDevelopment. Esta se centra en engañar a desarrolladores occidentales para que soliciten trabajos inexistentes. Los estafadores piden a sus víctimas que participen en un reto de codificación o en una tarea previa a una entrevista. Pero el proyecto que descargan para participar contiene en realidad código troyanizado. WageMole roba estas identidades de desarrolladores para utilizarlas en sus falsos esquemas de trabajadores.

La clave de la estafa reside en los facilitadores extranjeros:

crear cuentas en sitios web de trabajo autónomo

crear cuentas bancarias, o prestar al trabajador norcoreano la suya propia

comprar números de móvil, o tarjetas SIM

validar la identidad fraudulenta del trabajador durante la verificación del empleo, utilizando servicios de comprobación de antecedentes

Una vez contratado el falso trabajador, estos individuos reciben el portátil corporativo y lo instalan en una granja de portátiles situada en el país de la empresa contratante. A continuación, el trabajador informático norcoreano utiliza VPN, servicios proxy, supervisión y gestión remota (RMM) y/o servidores privados virtuales (VPS) para ocultar su verdadera ubicación.

“El impacto en las organizaciones engañadas podría ser enorme. No solo están pagando involuntariamente a trabajadores de un país fuertemente sancionado, sino que estos mismos empleados a menudo obtienen acceso privilegiado a sistemas críticos. Es una invitación abierta a robar datos confidenciales o incluso a pedir un rescate a la empresa”, resalta el investigador de ESET.

En términos de detección y protección, desde ESET advierten cómo evitar que una organización se convierta en víctima:

Identificar los falsos trabajadores durante el proceso de contratación:

Comprobar el perfil digital del candidato, incluidas las redes sociales y otras cuentas en línea, en busca de similitudes con otras personas cuya identidad puedan haber robado. También pueden crear varios perfiles falsos para solicitar puestos de trabajo con nombres diferentes.

Prestar atención a las discrepancias entre las actividades en línea y la experiencia declarada: un “desarrollador senior” con repositorios de código genéricos o cuentas creadas recientemente debería hacer saltar las alarmas.

Asegurarse de que tiene un número de teléfono legítimo y único, y comprobar que su currículum no presenta incoherencias. Comprobar que las empresas mencionadas existen realmente. Ponerse en contacto directamente con las referencias (teléfono/videollamada) y prestar especial atención a los empleados de las empresas de personal.

Dado que muchos solicitantes pueden utilizar audio, vídeo e imágenes falsificados, insistir en las entrevistas en vídeo y realizarlas varias veces durante la contratación.

Durante las entrevistas, considerar una advertencia importante cualquier afirmación de que la cámara funciona mal. Pedirle al candidato que apague los filtros de fondo para tener más posibilidades de identificar los deepfakes (los indicios podrían incluir fallos visuales, expresiones faciales que parecen rígidas y poco naturales y movimientos de los labios que no se sincronizan con el audio) Hacerles preguntas basadas en la ubicación y la cultura del lugar donde “viven” o “trabajan”, por ejemplo, sobre la comida o los deportes locales.

2. Vigilar a los empleados en busca de actividades potencialmente sospechosas:

Estar atento a señales de alarma como números de teléfono chinos, descarga inmediata de software RMM en un portátil recién entregado y trabajo realizado fuera del horario normal de oficina. Si el portátil se autentica desde direcciones IP chinas o rusas, también debe investigarse.

Vigilar el comportamiento de los empleados y los patrones de acceso al sistema, como inicios de sesión inusuales, transferencias de archivos de gran tamaño o cambios en el horario de trabajo. Centrase en el contexto, no solo en las alertas: la diferencia entre un error y una actividad maliciosa puede estar en la intención.

Utilizar herramientas contra amenazas internas para detectar actividades anómalas.

3. Contener la amenaza:

Si se cree haber identificado a un trabajador norcoreano en la organización, actuar con cautela al principio para no ponerle sobre aviso.

Limitar su acceso a recursos sensibles y revisar su actividad en la red, limitando este proyecto a un pequeño grupo de personas de confianza de los departamentos de seguridad informática, recursos humanos y jurídico.

Conservar las pruebas e informe del incidente a las fuerzas de seguridad, al tiempo que busca asesoramiento jurídico para la empresa.

“Además, es buena idea actualizar los programas de formación sobre ciberseguridad. Y asegurarse de que todos los empleados, especialmente los responsables de contratación de IT y el personal de recursos humanos, comprenden algunas de las señales de alarma a las que hay que prestar atención en el futuro. Las tácticas, técnicas y procedimientos (TTP) de los actores de amenazas evolucionan constantemente, por lo que estos consejos también deberán cambiar periódicamente. Los mejores métodos para evitar que los falsos candidatos se conviertan en informadores maliciosos combinan los conocimientos humanos y los controles técnicos. Asegurarse de cubrir todas las bases”, sugiere Gutiérrez Amaya de ESET.

¿Es posible infectarse con solo hacer clic?

Cada vez es más común escuchar casos de personas que intentaron descargar aplicaciones para ver películas y series gratis y sus credenciales fueron robadas, o que entraron a sitios maliciosos desde un enlace que les llegó por mail, simulando ser de una entidad conocida, e ingresaron sus datos voluntariamente, aunque engañados. El equipo de ESET, compañía líder en detección proactiva de amenazas, analiza como un enlace malicioso puede ser la puerta de entrada para una cadena de engaños que requiere necesariamente de la acción de un usuario para ejecutarse.

“Entré a una página y me vaciaron la cuenta bancaria” es una de las frases más escuchadas luego de que una persona cuenta su experiencia de haber sido “hackeado”. Pero, una simple visita a una web no puede vaciar una cuenta bancaria por sí sola. Los navegadores no permiten acceso directo a las credenciales bancarias o apps financieras sin interacción. Para que eso ocurra debe haber o un robo previo de credenciales o un acceso remoto tras una instalación maliciosa”, comenta Fabiana Ramírez Cuenca, investigadora de Seguridad Informática de ESET Latinoamérica.  

Lo más probable, en caso de sospecha de robo mediante un clic, es que el usuario haya entrado a una página falsa (creada por criminales para engañarlo) y haya introducido sus credenciales bancarias. Podría ser una página falsa de compra y venta de productos, por ejemplo, o incluso una página que suplante la identidad del banco. Una vez introducidas las credenciales, los atacantes se hacen con ellas y de esa manera acceden a la cuenta de la víctima.

Otra posibilidad es que se haya ingresado un sitio que derive a descargar un archivo malicioso (scripts, ejecutables, etc.), estos archivos podrían tener dentro de sus funcionalidades el recopilar información del dispositivo, capturas de teclados, contraseñas almacenadas en el navegador y consecuentemente permitiría que los cibercriminales se hagan con las credenciales.

Los criminales implementan métodos cada vez más sofisticados para poder atravesar las barreras de seguridad, y pueden forzar la descarga de un archivo. Estas técnicas, como los llamados “drive-by downloads”, malvertising o exploit kits, solo funcionan si el sistema del usuario tiene vulnerabilidades técnicas sin corregir. Si el navegador, el sistema operativo o algún componente adicional (como plugins o extensiones) está desactualizado o tiene fallas de seguridad, el clic puede bastar para iniciar una infección sin que el usuario lo note.

Los tipos de ataques más comunes dependen de engañar al usuario o conseguir permisos indebidos (ingeniería social) y del aprovechamiento de vulnerabilidades en sistemas o aplicaciones: Spyware, un malware que en forma oculta “espía” a la víctima, recopilando datos de teclado, de navegadores, del sistema, sacando captura de pantalla, grabando audio, entre muchas otras funcionalidades; Phishing / Spear-phishing, son engaños vía email, mensajes de texto, redes sociales, para que el usuario entregue credenciales, información o ejecute acciones como descargar archivos o entrar a sitios falsos, y Troyanos bancarios, que son un tipo de software malicioso orientado a obtener información bancaria o financiera, como credenciales. Usualmente, capturan teclado, impersonan entidades bancarias redirigiendo a sitios falsos, entre otros.

“Entonces, si bien es posible infectarse por solo hacer un clic, es importante aclarar cuáles son las condiciones por las que esta situación puede suceder. Al hacer clic en un enlace, el navegador simplemente carga una página web. Los sistemas modernos (Android, iOS, Chrome, Safari, etc.) tienen barreras que impiden que un sitio instale software automáticamente. Por eso, con solo el clic no se descarga ni ejecuta el malware, al menos en principio”, agrega Ramírez Cuenca.

En el caso en que se sospeche que hubo acceso a cuentas bancarias, o a credenciales, o de hecho se ha sufrido perdida de dinero, es recomendable:

Cambiar contraseñas desde un dispositivo seguro.

Avisar al banco o entidad financiera inmediatamente.

Revisar movimientos de las cuentas y desactivar transferencias automáticas.

Activar la autenticación de dos factores (2FA)

“La mayoría de los ataques que inician con ingeniería social requieren de la participación del usuario con actividades como instalar, aceptar permisos o entregar información. A la hora de hacer clic es importante tener cierto criterio y prestar atención a posibles señales de alerta. Está claro que como humanos podemos ser engañados caer en estas amenazas. Por eso es importante contar con las medidas de seguridad básicas, como contraseñas robustas, dobles factores de autenticación, sistemas y aplicaciones actualizadas y siempre con contar con soluciones de seguridad como antivirus o antiphishing capaces de detectar y detener potenciales comportamientos maliciosos”, recomienda la Investigadora de ESET Latinoamérica.

Así pueden robar tu información en Google Chrome.

El Laboratorio de investigación de ESET Latinoamérica, compañía líder en detección proactiva de amenazas, identificó un código malicioso que afecta a los sistemas operativos Windows y se hace pasar por una extensión de seguridad para Google Chrome. Es detectado por las soluciones de ESET como JS/Spy.Banker.CV y se trata de un infostealer con capacidades de robar información sensible.

Este malware se propaga en la región, principalmente por México, mediante archivos adjuntos comprimidos en correos electrónicos que aparentar ser de instituciones financieras reconocidas. En su código se observan palabras nombres de variables y reemplazos en portugués, lo que evidencia que este tipo de amenazas trascienden fronteras.

Esta amenaza tiene la capacidad de modificar visualmente de detectar cuando el usuario se encuentra en una página financiera -hallando patrones comunes en este tipo de sitios- y cuando lo hace, puede modificar el DOM (Document Object Model) cambiando cómo se ve y funciona la página, sin que el usuario lo note. De esta forma, presenta formularios apócrifos con la apariencia real. Toda información ingresada en esos formularios es desviada a un servidor controlado por los cibercriminales.

Además, este malware tiene la capacidad de sustituir datos de billeteras de criptomonedas y bancarios del usuario por los de los cibercriminales, lo que habilitaría el desvío de fondos hacia los atacantes.

“Estamos ante un infostealer que posee capacidades para robar información sensible de una víctima cuando completa un formulario en una página de internet. Con capacidad de modificar la wallet y otros datos de pagos de la víctima, es una clara demostración de los cibercriminales buscan un rédito financiero.  Esta amenaza trasciende fronteras y aprovecha la reputación de instituciones financieras en toda la región”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Durante la etapa de análisis, el equipo de ESET observó que esta muestra se propaga sobre México mediante archivos adjuntos comprimidos enviados por correo electrónico. También halló dentro de la extensión maliciosa dos archivos JavaScript con capacidades para robar datos sensibles, manipular visualmente sitios web y exfiltrar información a servidores de Comando y Control (C2).  

Al analizar el archivo se identifica una manipulación visual de sitios bancarios. ESET encontró patrones comunes en páginas relacionadas con bancos o pagos, como "CPF", "CNPJ", "valor", que modifican el DOM para engañar al usuario. Esto incluye el reemplazo de datos reales por datos controlados por los atacantes. Por ejemplo, se ejecuta sobre el contenido del <body> de la página buscando patrones de texto relacionados con depósitos bancarios  “epósito”, “CPF”, “Valor”). Si detecta que la página contiene términos como “depósito”, “CPF/CNPJ” y “alor” (probablemente parte de “Valor”), procede a inyectar lógica maliciosa.

“Durante el análisis notamos que la extensión maliciosa de Internet Google Chrome, persiste en la maquina víctima. Las muestras que contienen la extensión operan de manera sincronizada. Mientras una recolecta datos sensibles, la otra manipula el entorno visual del usuario para inducir a errores o desviar transferencias. Todas las interacciones son canalizadas a dominios maliciosos comunes. Es importante mencionar que esta persistencia actúa sobre el navegador afectado, puntualmente el malware se va a ejecutar cada vez que el mismo este en uso por la víctima”, explica Micucci de ESET Latinoamérica.

El uso de capacidades avanzadas de manipulación visual, dirigidas principalmente a usuarios en entornos financieros, así como su arquitectura modular y las técnicas de evasión obligan a implementar medidas específicas para lograr su detección. Desde ESET recuerdan que es muy importante verificar las extensiones instaladas en los sistemas y también que las fuentes sean confiables antes de instalar cualquier aplicación.

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/investigaciones/malware-extension-chrome-robo-datos-bancarios/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

5 mitos sobre ciberseguridad que pueden ponerte en riesgo.

Durante octubre se celebra el mes de la Concienciación sobre la Ciberseguridad, una iniciativa global para reforzar los hábitos seguros en el entorno digital. En la región latinoamericana los riesgos en ciberseguridad son concretos, según el último ESET Security Report 2025, 1 de cada 4 empresas ya ha sufrido un ciberataque en el último año. No solo las empresas son vulnerables ya que las campañas masivas de phishing buscan atraer al público general y simulan mensajes de empresas de correos con supuestos problemas de entregas, o de organismos gubernamentales que comunican multas inexistentes, citaciones judiciales, entre tantos otros intentos de engañar y generar urgencia para que se actúe bajo presión. 

En este contexto, ESET, compañía líder en detección proactiva de amenazas, advierte que cualquier persona usuaria de servicios en línea es blanco de ataque y comenta que es necesario abordar algunos mitos que aún persisten sobre la seguridad digital y que pueden poner en riesgo tanto a usuarios como a sistemas corporativos: 

1. No soy un objetivo, porque no tengo nada de valor: Es común que las personas crean que los ciberataques solo apuntan a grandes empresas o figuras públicas. La realidad es que cualquier dato personal tiene valor para los ciberdelincuentes, desde información bancaria hasta credenciales de correo electrónico o redes sociales. Las estafas digitales llegan a millones de usuarios comunes, independientemente de su perfil o relevancia en línea.

“Subestimar el riesgo crea una falsa sensación de seguridad y conduce a comportamientos riesgosos, como no habilitar la autenticación multifactor, usar contraseñas débiles o hacer clic en enlaces sospechosos. Estas debilidades son una oportunidad única para ataques que resultan en robo de datos, clonación de tarjetas, apropiación de cuentas o incluso extorsión digital, a usuarios que creen no ser blanco de ataques”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. 

2.  Mi antivirus me protege contra todo: El antivirus es una pieza importante de la defensa, pero no cubre todos los vectores de ataque. La ingeniería social, las fallas en los procesos, la mala administración de privilegios, los ataques a la cadena de suministro y brechas de visibilidad operativa, son acciones que un antivirus por sí solo no puede resolver.

Un ejemplo de esto se dio en Brasil, el caso de C&M Software expuso cómo las lagunas en los procedimientos, la falta de controles y las fallas en la gestión de terceros permitieron el desvío de recursos y comprometieron la seguridad operativa de la organización. Esto demostró que la seguridad no es solo tecnología, también es proceso y gobernanza. Otro punto crítico es que muchos ataques explotan credenciales filtradas, debilidades humanas o flujos de autorización inseguros, escenarios en los que una solución antivirus no evita la intrusión inicial o la escalada de acceso. Por lo tanto, la estrategia de defensa actual debe estar en capas.

3. Mi contraseña es segura, puedes usarla en todo: Aunque una contraseña sea segura, reutilizarlas en múltiples servicios presenta un riesgo. En la práctica, los delincuentes que se especializan en ataques automatizados, como el relleno de credenciales (credential stuffing) donde utilizan combinaciones de correo electrónico y contraseña filtradas para intentar acceder a otras cuentas automáticamente. Si la contraseña es la misma, el acceso es inmediato y silencioso.

Por otro lado, la reutilización de contraseñas hace que estafas como el phishing y la apropiación de cuentas sean más efectivas, porque los ciberdelincuentes pueden combinar información de diferentes servicios para engañar al usuario de manera más convincente. Incluso si una plataforma tiene una protección sólida, si se usa la misma contraseña en un sitio web con seguridad débil, el riesgo se replica.

“Confiar exclusivamente en contraseñas seguras y únicas crea una falsa sensación de seguridad y deja a los usuarios vulnerables a intrusiones, robo de identidad y fraude financiero. La protección eficaz requiere no solo contraseñas seguras, sino también una combinación de autenticación multifactor, monitoreo de actividades sospechosas y buenas prácticas de administración de credenciales”, agrega Gutiérrez Amaya de ESET.

4. Mi celular está seguro, solo tengo que preocuparme por la computadora: Muchas personas creen que sus teléfonos inteligentes o tabletas están protegidos porque son dispositivos más pequeños o modernos, y que los ataques cibernéticos no les afectan. Los dispositivos móviles son objetivos frecuentes de estafas sofisticadas, y los riesgos aumentan a medida que se concentra información personal, financiera y profesional en ellos. La defensa móvil efectiva implica contraseñas seguras, autenticación multifactor, tener cuidado con las aplicaciones y enlaces sospechosos, actualizaciones periódicas y prestar atención a llamadas telefónicas inesperadas.

Además de los casos de phishing y vishing y otros de ingeniería social, también los dispositivos, tanto Android como Apple, y otros, son blanco de distribución de malware, con aplicaciones falsas y explotación de vulnerabilidades del sistema, que pueden comprometer el dispositivo incluso sin interacción directa del usuario. De hecho, se ha identificado en el pasado como apps maliciosas han permanecido en las tiendas oficiales de Google por un tiempo considerable sin ser detectadas. O cómo, hacia fines de 2023, se había advertido un aumento de las aplicaciones de préstamos en Android que no eran más que vías de entrada para programas espías.

5. La ciberseguridad es responsabilidad exclusiva del sector IT: Todo usuario tiene un papel esencial en la protección de datos y sistemas. La persona que adopta buenas prácticas contribuye a fortalecer la seguridad de toda la organización o comunidad en línea. Hábitos simples como verificar enlaces antes de hacer clic, mantener contraseñas seguras y únicas, habilitar la autenticación multifactor y reportar actividades sospechosas crean barreras efectivas que complementan las tecnologías y políticas de IT.

“Cuando todos nos involucramos, la conciencia colectiva se convierte en una poderosa defensa, capaz de prevenir estafas, fraudes e invasiones, proteger la información personal y corporativa y la comunidad digital en su conjunto. Cuanto más actúe cada persona de forma consciente, más resistente será el ecosistema digital. Es importante recordar que la ciberseguridad es responsabilidad de todos, y los pequeños hábitos marcan una gran diferencia”, concluye el investigador de ESET Latinoamérica. 

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/seguridad-digital/5-mitos-ciberseguridad-riesgos/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw