Los ataques móviles que marcaron el 2025

En América Latina el panorama móvil tiene rasgos muy claros, la región concentra una gran cantidad de detecciones de malware para Android, enfocándose en México y Brasil, según el último ESET Threat Report. A diferencia de las regiones más al norte o Europa, Android es el sistema operativo más prevalente por una diferencia significativa. En línea con lo que observa ESET, compañía líder en detección proactiva de amenazas, a nivel global, el teléfono es el dispositivo principal para la mayoría de las personas, y conviven equipos recientes con modelos que ya no reciben actualizaciones. Para el equipo de investigación, esa mezcla de alta dependencia, fragmentación y versiones desactualizadas crea un entorno donde muchos códigos maliciosos encuentran espacio para proliferar.

“A esto se suma que muchos de los canales de distribución más efectivos siguen plenamente vigentes en la región. Campañas por SMS o mensajería con enlaces directos, APK modificadas que se comparten fuera de las tiendas oficiales y aplicaciones que logran entrar en tiendas formales con muy pocas reseñas o señales de actividad real siguen siendo vectores clave. Ese ecosistema facilita tanto la circulación de familias conocidas como la aparición constante de variantes nuevas o poco sofisticadas que igual consiguen alcance”, comenta Martina López, Investigadora de Seguridad informática de ESET Latinoamérica

ESET analiza las 3 familias de códigos maliciosos más detectadas en la región, para 2025:

Trojan.Android/Exploit.CVE-2012-6636: Una vulnerabilidad antigua que sigue presente en el ecosistema móvil debido a que muchas aplicaciones de Android continúan usando componentes heredados. El fallo afecta a apps que emplean WebView con una configuración insegura y que fueron compiladas con versiones previas a Android 4.2. Incluso si el dispositivo es moderno, la aplicación puede mantener ese comportamiento vulnerable. En ese contexto, una página web maliciosa cargada dentro del propio WebView puede interactuar con el código interno de la app de formas que no deberían ser posibles, abriendo la puerta a ejecución de acciones no autorizadas.

En el panorama actual de amenazas móviles, este exploit no suele ser el centro de campañas complejas, pero sí aparece integrado en APK distribuidas por fuera de las tiendas oficiales o presente en aplicaciones que ya no reciben actualizaciones. Existen exploits públicos para CVE-2012-6636, incluso módulos incorporados en frameworks como Metasploit, lo que facilita su uso por parte de actores maliciosos. Además, fue reportado como uno de los exploits más prevalentes para Android en 2023, según el ESET Security Report 2024.

Trojan.Android/Exploit.Lotoor: Es una familia de exploits de escalamiento de privilegios utilizada desde hace más de una década para obtener acceso root en dispositivos Android. Agrupa un conjunto de técnicas que abusan vulnerabilidades del sistema operativo en distintas versiones tempranas de Android, especialmente fallos descubiertos entre 2010 y 2013. Bajo ese paraguas aparecen exploits que aprovechan errores en controladores, servicios del sistema o manejos de memoria que permitían ejecutar código con privilegios superiores al de la aplicación.

Sus módulos siguen reapareciendo dentro de herramientas maliciosas que buscan activar funciones avanzadas como desinstalar apps de seguridad, modificar configuraciones internas o instalar payloads adicionales. No es la primera vez que el equipo de investigación observa a Lotoor en los primeros lugares. 

Trojan.Android/Pandora: Es un código malicioso vinculado a una variante de Mirai adaptada para el ecosistema Android. Se observó por primera vez en 2023 dentro de aplicaciones de streaming populares en la región, especialmente en dispositivos Android TV Box y sticks que suelen utilizarse para acceder a contenido no oficial. En esos casos, los atacantes distribuyen APK que funcionan como apps de streaming legítimas, pero que incluyen un componente malicioso capaz de convertir el dispositivo en parte de una botnet. En algunos modelos, incluso se detectó firmware modificado que venía infectado de fábrica, lo que amplificaba el alcance del ataque.

Una vez instalado, Pandora mantiene comunicación con un servidor de comando y control, recibe instrucciones y ejecuta las mismas capacidades típicas de una botnet basada en Mirai, con el foco puesto en lanzar ataques distribuidos de denegación de servicio. 

“Este panorama de 2025 nos muestra que las amenazas para Android siguen apoyándose en vectores bien conocidos y en la falta de actualización de dispositivos y aplicaciones, lo que mantiene vigentes exploits y familias que llevan años circulando. Aun así, esto no significa que el riesgo quede limitado a “lo de siempre”. También persisten amenazas menos masivas, pero igual de relevantes, como los troyanos bancarios o las aplicaciones de préstamos fraudulentos, que actúan de forma mucho más focalizada y buscan un impacto directo sobre la economía del usuario. Y, en paralelo, aparecen amenazas emergentes y técnicas cada vez más innovadoras, como un malware capaz de clonar tarjetas mediante NFC, que reflejan un ecosistema móvil en constante evolución y con un nivel creciente de sofisticación”, concluye López de ESET Latinoamérica.

En este contexto, se vuelve vital proteger la información y dispositivos de estas amenazas. ESET comparte algunos consejos para evitar ser víctima:

Mantener el dispositivo actualizado y no usar versiones antiguas de Android si existe la posibilidad de actualizar.

Instalar aplicaciones solo desde tiendas oficiales o fuentes verificadas.

Evitar APKs de origen desconocido, incluso si prometen funciones “premium” o contenido gratuito.

Revisar permisos, actividad del desarrollador y cantidad real de reseñas antes de instalar una app.

Usar soluciones de seguridad confiables que detecten exploits, troyanos y comportamientos anómalos.

Evitar desactivar protecciones del sistema ni permitir la instalación de apps desconocidas.

Desconfiar de mensajes, enlaces o anuncios que prometen accesos rápidos, descuentos o funciones especiales.

El clásico que nadie suelta: 123456 es la contraseña más usada en 2025.

Utilizar una credencial predecible en el mundo digital, advierte ESET, compañía líder en detección proactiva de amenazas, es como cerrar la puerta de la casa con una traba de papel, o como tener una caja fuerte de última generación, pero que al lado tenga un post-it con la clave de acceso. Este mal hábito está presente ya desde hace varios años y vuelve a confirmarse en informes recientes: 123456 es ser la contraseña más usada en 2025, lo que pone en serio riesgo la integridad de los datos e información sensible de las personas, trasciende las generaciones y no pasa de moda.

Un informe reciente de NordPass y otro de Comparitech destacan que 123456 fue la contraseña más utilizada en 2025, y el 25% de las 1.000 contraseñas principales consisten únicamente en números. Lo que deja en evidencia que las personas optan por credenciales simples y hasta obvias, en detrimento de la seguridad de su información personal y sensible.

“Una de las principales conclusiones que se desprenden de uno de los reportes es que la costumbre de usar contraseñas débiles y predecibles trasciende las generaciones. No importa el rango etario de las personas: en cada una de las categorías 123456 está en el top de las claves más elegidas para acceder a cuentas, servicios y plataformas online. Es decir, un nativo digital que la mayor parte de su vida trascurrió en el mundo online, adopta la misma práctica riesgosa y poco prudente que una persona de 70 años, con, tal vez, menos conocimientos o que usa el celular solo para hablar por teléfono o mensajear”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

En lo que respecta a América Latina, el panorama es un poco más preocupante, ya que, a la falta de conciencia sobre la seguridad digital y el uso poco consciente de contraseñas, se le suma el auge de ciberamenazas en la región. “Usar contraseñas débiles compromete la seguridad individual, pero también contribuye a la vulnerabilidad general de la región frente a posibles ataques”, agrega Gutiérrez Amaya de ESET.

En el ámbito corporativo, el panorama también preocupa. La criticidad de utilizar contraseñas débiles y/o predecibles en un ámbito empresarial es mucha, ya que no solo se puede poner en jaque información personal y sensible de cada usuario, sino también de la propia empresa, sus clientes y proveedores. Además, según ESET, puede significar la pérdida importante de dinero como de la reputación de la organización.

Pero más allá de todas estas alarmas, las contraseñas débiles siguen siendo una constante en las organizaciones. 

“No es para generar alarmismo, pero sí para tomar conciencia: un cibercriminal, con las herramientas y conocimientos adecuados, tarda menos de un segundo en adivinar y vulnerar cualquiera de las claves que figuran en este top. Además, las tres contraseñas más utilizadas en corporaciones no solo que están compuestas simplemente por números, sino que suelen encabezar este tipo de listas año tras año. No llama la atención entonces el dato que aporta Verizon, que indica que el 70 % de las filtraciones de datos en las empresas se debe al uso de contraseñas débiles por parte de los colaboradores”, agrega el investigador de ESET.

Un ejemplo reconocido del mundo, es el Louvre de París, lugar en el que se pensaría que estaría protegida con las medidas más estrictas y potentes de seguridad. Pero, en octubre de este año, el sistema de seguridad del prestigioso museo fue vulnerado por una circunstancia tan grave como preocupante: la contraseña era Louvre. Como resultado se comprometió toda la red de seguridad y permitió el robo de joyas valuadas en más de 100 millones de dólares.

“Este caso de trascendencia internacional muestra que hasta el sistema más sofisticado de seguridad (cámaras, alarmas, puertas blindadas), puede ser vulnerado fácilmente gracias a una contraseña débil o muy obvia”, destacan desde ESET.

Para evitar contraseñas débiles o previsibles, el paso más simple es usar un Generador de Contraseñas, una solución práctica y gratuita que ayuda a crear contraseñas seguras y robustas, esenciales para proteger las cuentas y los datos personales. 

Ahora bien, si se desea crear contraseñas propias personalizadas, desde ESET comparten un par de consejos:

Longitud: las contraseñas más largas proporcionan una barrera que es más difícil de penetrar para los ataques de fuerza bruta. Lo recomendable es que tengan al menos 12 caracteres, pero mientras más larga es aún más segura.

Complejidad: debe incluir variedad de caracteres (mayúsculas, minúsculas, números y símbolos especiales). Esto aumenta exponencialmente el número de combinaciones posibles, haciendo que la contraseña sea mucho más difícil de adivinar.

Aleatoriedad: evita patrones predecibles o secuencias obvias, como palabras comunes, nombres de personas, fechas de nacimiento o cadenas como “123456”.

Diversidad: no uses la misma contraseña para varias cuentas, porque si una contraseña se ve comprometida en una cuenta, todas las demás que comparten esa contraseña son vulnerables.

IA bajo ataque: nuevas tácticas para vulnerar la seguridad digital.

La Inteligencia Artificial cambió las reglas del juego en todos los ámbitos, y la ciberseguridad no escapa a esta afirmación. Al punto que puede ser un elemento clave en la prevención y detección de ciberataques y también una herramienta para potenciar acciones maliciosas. Pero, la IA también puede ser engañada y servir como vector para vulnerar a las víctimas. ESET, compañía líder en detección proactiva de amenazas, analiza la técnica PromptFix, conocida como prompt injection, cuáles pueden ser las consecuencias para las víctimas, y de qué manera protegerse ante esta amenaza.

PromptFix es una variante específica del prompt injection, diseñada para engañar a asistentes integrados en navegadores. Mediante instrucciones ocultas, logra que la IA interactúe con sitios web maliciosos o de phishing. El término surge como evolución de la técnica ClickFix, que engaña a los usuarios para que hagan clic en verificaciones falsas y así ejecutar acciones maliciosas.

“Los actores maliciosos insertan instrucciones ocultas en contenido aparentemente legítimo para que la IA realice ciertas acciones sin que el usuario lo sepa ni tenga que intervenir. Por ejemplo, hacer clic en botones invisibles que simulan verificaciones, descargar archivos maliciosos o interactuar con enlaces fraudulentos”, comenta Martina López, investigadora de Seguridad Informática de ESET Latinoamérica.

Para que un ataque PromptFix sea efectivo, los cibercriminales ocultan instrucciones maliciosas en sitios web comprometidos o en contenido que controlan, incluso en redes sociales o plataformas públicas (comentarios en Reddit, publicaciones en Facebook). Algunas técnicas pueden ser el ocultar instrucciones en texto invisible o en comentarios HTML, incrustar texto oculto dentro de imágenes, u ocultar información en archivos digitales sin alterar su apariencia. 

El ataque funciona cuando un usuario navega por un sitio comprometido y utiliza el asistente de IA del navegador para resumir contenido o extraer puntos clave, el modelo procesa todo el texto sin distinguir entre datos e instrucciones. De esta manera interpreta comandos ocultos como si fueran solicitudes legítimas del usuario. Lo que puede llevar al agente a realizar acciones no deseadas, como interactuar con enlaces fraudulentos o iniciar descargas. 

Algunas consecuencias de un ataque PromptFix pueden inducir a la IA a descargar archivos maliciosos infectados con malware, hacer clic en botones ocultos para evadir pasos de validación, o seguir enlaces de phishing y exponer credenciales.

Dado que una característica distintiva de un ataque PromptFix es que puede realizar acciones sin la intervención y/o conocimiento de la víctima, desde ESET destacan algunos buenos a hábitos implementar para estar protegidos y prevenidos:

No autorizar acciones automáticas por defecto: si la Inteligencia Artificial quiere hacer clic, enviar archivos o completar formularios, primero debe pedirlo y obtener la confirmación del usuario.

Limitar al agente: no otorgar permiso a la IA para que navegue libre por internet, para que acceda a las contraseñas guardadas ni tampoco para usar el autocompletado.

Revisar imágenes y archivos antes de procesarlos: dado que los ciberatacantes pueden esconder instrucciones dentro de imágenes o archivos, lo ideal es que se pase por un filtro que busque texto oculto o señales extrañas

Usar listas de sitios confiables: permitir que el agente solamente interactúe con sitios conocidos y confiables. Ante un link sospechoso, debe bloquearlo y pedir autorización.

Black Friday: evita sitios falsos.

Los descuentos que se prometen en eventos especiales, como el Black Friday o Cyber Monday, generan una especie de fiebre por las ofertas y las “oportunidades únicas”. Las promociones abundan, pero ESET, compañía líder en detección proactiva de amenazas, advierte que también las estafas que se aprovechan de la urgencia que imprimen estas “ofertas por tiempo limitado” y destaca la importancia de estar alertas ya que podrían ser un fraude en el que tus datos personales y tu dinero puede ser robado en sitios falsos.

“Lo que comienza como una estrategia de venta se convierte en terreno fértil para que los ciberdelincuentes te hagan actuar presionado y con apuro. Las estafas más comunes se hacen pasar por empresas de renombre para aprovechar la confianza que generan. Desde un mail promocional hasta un mensaje de WhatsApp”, alerta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

El equipo de investigación de ESET Latinoamérica muestra 4 fraudes de ejemplo, similares a los que año a año se disparan en fechas como Black Friday, Cyber Monday o Hot Sale, en las que los ciberdelincuentes usan campañas cada vez más convincentes para quedarse con tus datos y tu dinero:

Anuncios patrocinados en Gmail: Los correos llegan a las casillas como correos patrocinados, por lo que logran confundir al usuario que puede suponer que existe un control sobre anunciantes. Imitan marcas reconocidas con ofertas irresistibles con el objetivo de que hagas clic y entregues tus datos personales o bancarios, luego de llevarte a un sitio falso de phishing. 

A modo de ejemplo, se ha visto circular una campaña que  en la que se simuló en correos patrocinado de Gmail ofertas especiales de la tienda online StockCenter, u oportunidades especiales en la plataforma Mercado Libre. 

Desde ESET aconsejan para evitar caer en este engaño el verificar siempre la dirección del remitente, no hacer clic en enlaces sospechosos y si se tienen dudas, entrar directamente al sitio oficial.

Sitios falsos en resultados de búsquedas de Google: ESET identificó en el pasado sitios que imitan a tiendas online y empresas varias y figuraban entre los resultados de búsqueda (identificados como patrocinados), en un intento de confundir a los usuarios para que ingresen al sitio falso.

Desde noviembre 2025, Google intenta que la confusión sea menor, dejando más claro qué resultados son patrocinados separándolos en un apartado “resultados patrocinados” más visible y reconocible que en el pasado, separado del resto con un recuadro más identificable y con la posibilidad de ocultar estos resultados.

Para evitar ser víctima de esta estafa en ESET recomiendan revisar la URL antes de comprar, asegurarse de que el sitio tenga certificado SSL (candado en la barra de direcciones) y desconfiar de precios demasiado bajos.

Clones de marcas conocidas con descuentos irrisorios: Páginas que copian el diseño y catálogo de tiendas reales, ofreciendo precios absurdamente bajos para inducir a los usuarios a entregar sus datos personales y financieros haciéndoles creer que están ante una oferta única.

En algunos casos la url es fácilmente identificable como falsa, pero en otros es más difícil de detectar. Por ejemplo, una campaña que está activa actualmente utiliza una url que incluye el nombre de la marca y las palabras hotsale, (entre otras) incluidas en el dominio, lo que a simple vista en la revisión de url puede pasar desapercibido. En lugar de un dominio del tipo: marca.com, te puedes topar con que el dominio es marcahotsale.com, o marca-descuentos.com, y cualquier otra variable.

Desde ESET alertan que si una oferta parece demasiado buena para ser cierta, probablemente lo sea. Además, evitar ingresar a links que te hayan alcanzado en un correo electrónico o mensaje, verificar en el sitio oficial que la supuesta promoción sea real, y solo hacer compras a través de tiendas que hayas corroborado tengan el dominio real de la marca u empresa. 

Falsas oportunidades por WhatsApp: Mensajes de WhatsApp que se hacen pasar por Amazon, Mercado Libre u otras marcas, invitándote a participar en sorteos falsos, y logran que ingreses a formularios falsos o descargues aplicaciones u extensiones maliciosas. 

Desde ESET destacan la importancia de nunca hacer clic en enlaces que llegan por WhatsApp sin confirmar su autenticidad en la web oficial. También, chequear la procedencia de cualquier mensaje que se reciba “de la nada”, y recordar que la excusa de BlackFriday o similares siempre será aprovechada para confundir a los usuarios. Revisar la veracidad del mensaje en el sitio oficial de la marca u empresa antes de realizar cualquier acción. Por último, no descargar aplicaciones desde enlaces externos.

“Es importante prestar especial atención a promociones que parezcan demasiado buenas para ser verdad, especialmente si llegan a tu bandeja de entrada o por otros medios. Si recibes una oferta que te parece interesante siempre verificar si es real en la web oficial de la marca, ya que si buscas el sitio oficial en Google, podrían aparecerte resultados falsos que simulan ser el original. Antes de ingresar datos de tarjetas de crédito u otra información personal, revisa la seguridad del sitio: asegúrate de que tenga protocolos de seguridad -que la URL muestre el candado- y comience con HTTPS. Por último, denuncia cualquier sitio falso o mensaje fraudulento que se haga pasar por una marca conocida para reducir la propagación del engaño”, concluye Gutiérrez Amaya sobre descuentos y estafas en fechas especiales.

Gestores de contraseñas bajo ataque

Según un estudio de 2024, en promedio un usuario de internet tiene unas 168 contraseñas para sus cuentas personales, un aumento del 68% con respecto a cuatro años antes. Dados los riesgos de seguridad asociados a compartir credenciales entre cuentas y al uso de contraseñas fáciles de adivinar, la mayoría de los usuarios utilizan gestores de contraseñas que permiten almacenar y recordar contraseñas largas, seguras y únicas para cada una de las cuentas en línea. En este contexto, ESET, compañía líder en detección proactiva de amenazas, advierte que los mismos se han convertido en un objetivo popular para los ciberdelincuentes y comparte seis riesgos potenciales y algunas ideas para mitigarlos.

Con acceso a las credenciales almacenadas en un gestor de contraseñas, los actores de amenazas podrían secuestrar sus cuentas para cometer fraude de identidad, o vender accesos/contraseñas a otros. Por eso siempre están buscando nuevas formas de atacar. 

ESET comparte 6 problemas a los que prestar atención especialmente:

1. Compromiso de la contraseña maestra: Si los ciberdelincuentes consiguen hacerse de esa contraseña maestra, obtendrán un acceso total a la cuenta. Por ejemplo, pueden obtenerla mediante un ataque de “fuerza bruta” en el que utilizan herramientas automatizadas para probar diferentes contraseñas repetidamente, a través de la explotación de vulnerabilidades del software de gestión de contraseñas, o vía páginas de phishing con las que engañan a los usuarios para que entreguen su información.

2. Anuncios de phishing/estafa: Los actores de amenazas publican anuncios maliciosos en búsquedas de Google diseñados para atraer a las víctimas a sitios falsos que recopilan su dirección de correo electrónico, contraseña maestra y clave secreta. Estos anuncios parecen legítimos, y enlazan a páginas falsas con dominios que intentan falsificar a la auténtica Por ejemplo, un dominio puede ser “the1password[.]com” en lugar del original “1password.com, o “appbitwarden[.com” en lugar de “bitwarden.com”. Al hacer clic en una página de este tipo, se accede a una página de inicio de sesión de aspecto legítimo diseñada para robar todos los inicios de sesión importantes del gestor de contraseñas.

3. Malware para robar contraseñas: En el ingenio que aplican los ciberdelincuentes, algunos han desarrollado malware para robar credenciales de los gestores de contraseñas de las víctimas. Por ejemplo, el equipo de investigación de ESET descubrió recientemente un intento de este tipo por parte de una campaña patrocinada por el estado norcoreano apodada DeceptiveDevelopment, el malware InvisibleFerret que incluía un comando backdoor capaz de filtrar datos tanto de extensiones de navegador como de gestores de contraseñas a través de Telegram y FTP. Entre los gestores de contraseñas atacados se encontraban 1Password y Dashlane. En este caso, el malware estaba oculto en archivos descargados por la víctima como parte de un elaborado proceso de falsa entrevista de trabajo. Pero no hay razón por la que un código malicioso con propiedades similares no pueda propagarse de otras formas, como por correo electrónico, mensajes de texto o redes sociales.

4. La brecha de un proveedor de gestores de contraseñas: Los proveedores de gestores de contraseñas saben que son uno de los principales objetivos de las amenazas. Por eso dedican mucho tiempo y recursos a hacer que sus entornos informáticos sean lo más seguros posible. En 2022, ladrones digitales comprometieron el equipo de un ingeniero de LastPass para acceder al entorno de desarrollo de la empresa. Allí robaron código fuente y documentos técnicos que contenían credenciales, lo que les permitió acceder a las copias de seguridad de los datos de los clientes. 

Esto incluía información personal y de cuentas de clientes, que podría utilizarse para ataques de phishing posteriores. Una lista de todas las URL de los sitios web de sus almacenes. Y los nombres de usuario y contraseñas de todos los clientes. Aunque estaban cifrados, el pirata informático pudo “forzarlos”. Se cree que esto dio lugar a un robo masivo de criptomonedas por valor de 150 millones de dólares.

5. Aplicaciones falsas de gestión de contraseñas: A veces, los ciberdelincuentes se aprovechan de la popularidad de los gestores de contraseñas para intentar robar contraseñas y propagar malware a través de aplicaciones falsas. Incluso la App Store de Apple, normalmente segura, permitió el año pasado que los usuarios descargaran una de estas aplicaciones maliciosas de gestión de contraseñas. Estas amenazas suelen estar diseñadas para robar la importantísima contraseña maestra o descargar malware que roba información en el dispositivo del usuario.

6. Explotación de vulnerabilidades: Los gestores de contraseñas no son más que software, y al estar escrito (en su mayoría) por humanos inevitablemente contiene vulnerabilidades. Si un ciberdelincuente se las arregla para encontrar y explotar uno de estos errores, puede ser capaz de obtener credenciales de su almacén de contraseñas. También podrían aprovecharse de las vulnerabilidades de los complementos de los gestores de contraseñas de los navegadores web para robar credenciales e incluso códigos de autenticación de dos factores (2FA). O podrían atacar los sistemas operativos de los dispositivos para hacer lo mismo. Cuantos más dispositivos tengan descargado el gestor de contraseñas, más oportunidades tendrán de hacerlo.

Para protegerse de las amenazas mencionadas, desde ESET recomiendan tener en cuenta los siguientes puntos:

Piensa en una frase de contraseña maestra segura, larga y única. Piense en cuatro palabras memorables separadas por guiones. Así será más difícil que un atacante pueda “forzarla”.

Aumenta siempre la seguridad de tus cuentas activando el 2FA. Esto significa que aunque los piratas informáticos se hagan con tus contraseñas, no podrán acceder a tus cuentas sin el segundo factor.

Mantenga actualizados los navegadores, los gestores de contraseñas y los sistemas operativos para que tengan las versiones más seguras. Así se reducen las posibilidades de explotar vulnerabilidades.

Descarga únicamente aplicaciones de una tienda de aplicaciones legítima (Google Play, App Store) y comprueba el desarrollador y la calificación de la aplicación antes de hacerlo, por si se tratara de aplicaciones falsas o maliciosas.

Elige solo un gestor de contraseñas de un proveedor de confianza. Compara precios hasta que encuentres uno con el que te sientas cómodo.

Asegúrate de instalar software de seguridad de un proveedor de confianza en todos los dispositivos, para mitigar la amenaza de ataques diseñados para robar contraseñas directamente de tu gestor de contraseñas.

“Los gestores de contraseñas siguen siendo una parte clave de las mejores prácticas de ciberseguridad. Pero solo si toma precauciones adicionales. Los riesgos de seguridad evolucionan constantemente, así que mantente al día de las tendencias actuales en materia de amenazas para asegurarte de que tus credenciales en línea permanecen bajo llave”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

5 acciones clave tras descubrir un ciberataque

El número de filtraciones de datos, durante 2024 e investigadas por Verizon, aumentó 20 puntos porcentuales en total de incidentes, con respecto al año anterior. ESET, compañía líder en detección proactiva de amenazas, advierte que la preparación es la clave de una respuesta a incidentes (IR) eficaz. 

Una vez que las amenazas se introducen en la red, el tiempo juega en contra y detenerlas antes de que lleguen a provocar daño es cada vez más difícil: según las últimas investigaciones, en 2024 los adversarios fueron un 22% más rápidos que en el año anterior para progresar desde el acceso inicial hasta el movimiento lateral (también conocido como «tiempo de fuga»). El tiempo medio de penetración fue de 48 minutos, aunque el ataque más rápido registrado fue casi la mitad: solo 27 minutos.

“Una filtración de datos no tiene por qué ser tan catastrófico como parece para los defensores de la red siempre y cuando los equipos sean capaces de responder con rapidez y decisión a las intrusiones. Aunque cada organización (y cada incidente) es diferente, si todos los miembros del equipo de respuesta a incidentes saben exactamente lo que tienen que hacer, y nada queda librado al azar o a inventar sobre la marcha hay más posibilidades de que la resolución sea rápida, satisfactoria y de bajo costo”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. 

Desde ESET aclaran que ninguna organización es 100% a prueba de brechas y que si se sufre un incidente y sospecha de un acceso no autorizado, se debe trabajar metódicamente y con rapidez. Para ello, una guía de cómo actuar durante las primeras 24 a 48 horas con rapidez y minuciosidad, sin comprometer la precisión ni las pruebas:

1. Recopilar información y comprender el alcance: El primer paso es comprender exactamente qué sucedió, activar el plan de respuesta a incidentes preestablecido y notificarlo al equipo. Este grupo debe incluir a las partes interesadas de toda la empresa, incluidos las áreas de recursos humanos, de relaciones públicas y comunicación, el departamento jurídico y la dirección ejecutiva. Todos ellos tienen un importante papel que desempeñar tras el incidente.

A continuación, se calcula el radio de acción del ataque: ¿Cómo ha entrado el adversario en la red de la empresa? ¿Qué sistemas se han visto comprometidos? ¿Qué acciones maliciosas han realizado ya los atacantes?

Documentar cada paso y recopilar pruebas, tanto para evaluar el impacto del ataque, como para la etapa de investigación forense e, incluso para futuros procesos legales. Mantener la cadena de custodia garantiza la credibilidad en caso de que deban intervenir las fuerzas de seguridad o los tribunales.

2. Notificar a terceros: Una vez que se haya establecido qué sucedió, es necesario informar a las autoridades pertinentes.

Reguladores: Si se ha robado información de identificación personal (PII), hay que ponerse en contacto con las autoridades que correspondan en virtud de las leyes de protección de datos o específicas del sector. En los Estados Unidos, por ejemplo, debe actuarse de acuerdo a las normas de divulgación de ciberseguridad de la SEC o las leyes de violación a nivel estatal.

Aseguradoras: La mayoría de las pólizas de seguros estipularán que se informe a su proveedor de seguros tan pronto como se haya producido una violación.

Clientes, socios y empleados: La transparencia genera confianza y ayuda a evitar la desinformación. Es mejor que se enteren antes de que la información se difunda por redes sociales o medios de comunicación.

Fuerzas y cuerpos de seguridad: Informar de incidentes, especialmente de ransomware, puede ayudar a identificar campañas más grandes y, a veces, proporcionar herramientas de descifrado o apoyo de inteligencia.

Expertos externos: También puede ser necesario ponerse en contacto con especialistas legales e informáticos externos.

3. Aislar y contener: Mientras se mantiene el contacto con los terceros pertinentes, se debe trabajar con rapidez para evitar la propagación del ataque. Se recomienda aislar de internet los sistemas afectados sin apagar los dispositivos, para limitar el alcance del atacante sin comprometer posibles pruebas valiosas.

Todas las copias de seguridad deben estar fuera de línea y desconectadas para evitar que sean secuestradas o el ransomware pueda corromperlas. Desactivar todos los accesos remotos, restablecer las credenciales VPN y utilizar herramientas de seguridad para bloquear cualquier tráfico malicioso entrante y las conexiones de comando y control.

4. Eliminar y recuperar: Se debe realizar el análisis forense para comprender las tácticas, técnicas y procedimientos (TTP) del atacante, desde la entrada inicial hasta el movimiento lateral y (si procede) el cifrado o la extracción de datos. Y eliminar cualquier malware persistente, backdoors, cuentas fraudulentas y otros signos de peligro. Para recuperar y restaurar es clave eliminar el malware y las cuentas no autorizadas, verificar la integridad de los sistemas y datos críticos, restaurar copias de seguridad limpias (tras confirmar que no están comprometidas) y vigilar de cerca la aparición de indicios de un nuevo compromiso o de mecanismos de persistencia.

En esta fase puede aprovecharse la reconstrucción de los sistemas para reforzar los controles de privilegios, implementar una autenticación más estricta y reforzar la segmentación de la red. Para acelerar proceso puede recurrirse a ayuda de socios que ofrezcan herramientas como Ransomware Remediation de ESET.

5. Revisar y mejorar: Una vez pasado el peligro inmediato, es momento de revisar las obligaciones con los organismos reguladores, los clientes y otras partes interesadas (por ejemplo, socios y proveedores). Es necesario actualizar las comunicaciones una vez que se comprenda el alcance de la infracción, lo que podría incluir una presentación ante los organismos reguladores. Esta iniciativa debería impulsarse desde los asesores jurídicos y de relaciones públicas.

La revisión posterior al incidente puede ser un catalizador para la resiliencia. Una vez que se ha calmado el ambiente, también es buena idea averiguar qué ocurrió y qué lecciones se pueden aprender para evitar que se produzca un incidente similar en el futuro. Un punto útil sería introducir ajustes en el plan de gestión de incidentes o recomendar nuevos controles de seguridad y consejos para la formación de los empleados.

Una cultura sólida tras un incidente trata cada brecha como un ejercicio de entrenamiento para la siguiente, mejorando las defensas y la toma de decisiones en situaciones de estrés.

“No siempre es posible evitar una brecha, pero sí minimizar los daños. Si su organización no dispone de recursos para vigilar las amenazas 24 horas al día, 7 días a la semana, considere la posibilidad de contratar un servicio de detección y respuesta gestionadas (MDR) de un tercero de confianza. Pase lo que pase, ponga a prueba su plan de IR, y luego vuelva a ponerlo a prueba. Porque el éxito de la respuesta a incidentes no es solo una cuestión de IT. Requiere que una serie de partes interesadas de toda la organización y externas trabajen juntas en armonía. El tipo de memoria muscular que todos necesitan suele requerir mucha práctica para desarrollarse”, concluye Gutiérrez Amaya de ESET Latinoamérica.

El trabajo remoto abre la puerta al espionaje digital.

En julio de 2024, el proveedor de ciberseguridad KnowBe4 comenzó a observar una actividad sospechosa relacionada con un nuevo empleado que comenzó a manipular y transferir archivos potencialmente dañinos, e intentó ejecutar software no autorizado. Posteriormente, se descubrió que era un trabajador norcoreano que había engañado al equipo de recursos humanos de la empresa para conseguir un empleo a distancia. En total, consiguió superar cuatro entrevistas por videoconferencia, así como una comprobación de antecedentes y previa a la contratación. ESET, compañía líder en detección proactiva de amenazas, analiza este engaño y advierte que ninguna organización es inmune al riesgo de contratar inadvertidamente a un saboteador. 

“Las amenazas basadas en la identidad no se limitan al robo de contraseñas o la apropiación de cuentas, sino que se extienden a las personas que se incorporan a la plantilla. A medida que la IA mejora en la falsificación de la realidad, es el momento de mejorar los procesos de contratación”, advierte Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. 

Esta amenaza ha estado presente desde, al menos, abril de 2017, según una alerta de búsqueda del FBI y rastreado como WageMole por ESET Research. Según Microsoft, el gobierno estadounidense ha descubierto más de 300 empresas -algunas de ellas incluidas en la lista Fortune 500- que han sido víctimas de este tipo de ataques, entre 2020 y 2022. La empresa tecnológica se vio obligada en junio a suspender 3.000 cuentas de Outlook y Hotmail creadas por solicitantes de empleo norcoreanos.

Por otra parte, una acusación estadounidense imputa a dos norcoreanos y tres «facilitadores» por haber obtenido más de 860.000 dólares de 10 de las más de 60 empresas en las que trabajaron. El equipo de investigación de ESET advierte que el foco se ha desplazado recientemente a Europa, incluyendo Francia, Polonia y Ucrania. Por su parte, Google ha advertido de que las empresas británicas también están en el punto de mira.

Este tipo de engaños es posible ya que los estafadores crean o roban identidades que coinciden con la ubicación de la organización objetivo y, a continuación, abren cuentas de correo electrónico, perfiles en redes sociales y cuentas falsas en plataformas de desarrolladores como GitHub para añadir legitimidad. Durante el proceso de contratación, pueden utilizar imágenes y vídeos deepfake, o software de intercambio de caras y cambio de voz, para disfrazar su identidad o crear otras sintéticas.

Según los investigadores de ESET, el grupo WageMole está vinculado a otra campaña norcoreana que rastrea como DeceptiveDevelopment. Esta se centra en engañar a desarrolladores occidentales para que soliciten trabajos inexistentes. Los estafadores piden a sus víctimas que participen en un reto de codificación o en una tarea previa a una entrevista. Pero el proyecto que descargan para participar contiene en realidad código troyanizado. WageMole roba estas identidades de desarrolladores para utilizarlas en sus falsos esquemas de trabajadores.

La clave de la estafa reside en los facilitadores extranjeros:

crear cuentas en sitios web de trabajo autónomo

crear cuentas bancarias, o prestar al trabajador norcoreano la suya propia

comprar números de móvil, o tarjetas SIM

validar la identidad fraudulenta del trabajador durante la verificación del empleo, utilizando servicios de comprobación de antecedentes

Una vez contratado el falso trabajador, estos individuos reciben el portátil corporativo y lo instalan en una granja de portátiles situada en el país de la empresa contratante. A continuación, el trabajador informático norcoreano utiliza VPN, servicios proxy, supervisión y gestión remota (RMM) y/o servidores privados virtuales (VPS) para ocultar su verdadera ubicación.

“El impacto en las organizaciones engañadas podría ser enorme. No solo están pagando involuntariamente a trabajadores de un país fuertemente sancionado, sino que estos mismos empleados a menudo obtienen acceso privilegiado a sistemas críticos. Es una invitación abierta a robar datos confidenciales o incluso a pedir un rescate a la empresa”, resalta el investigador de ESET.

En términos de detección y protección, desde ESET advierten cómo evitar que una organización se convierta en víctima:

Identificar los falsos trabajadores durante el proceso de contratación:

Comprobar el perfil digital del candidato, incluidas las redes sociales y otras cuentas en línea, en busca de similitudes con otras personas cuya identidad puedan haber robado. También pueden crear varios perfiles falsos para solicitar puestos de trabajo con nombres diferentes.

Prestar atención a las discrepancias entre las actividades en línea y la experiencia declarada: un “desarrollador senior” con repositorios de código genéricos o cuentas creadas recientemente debería hacer saltar las alarmas.

Asegurarse de que tiene un número de teléfono legítimo y único, y comprobar que su currículum no presenta incoherencias. Comprobar que las empresas mencionadas existen realmente. Ponerse en contacto directamente con las referencias (teléfono/videollamada) y prestar especial atención a los empleados de las empresas de personal.

Dado que muchos solicitantes pueden utilizar audio, vídeo e imágenes falsificados, insistir en las entrevistas en vídeo y realizarlas varias veces durante la contratación.

Durante las entrevistas, considerar una advertencia importante cualquier afirmación de que la cámara funciona mal. Pedirle al candidato que apague los filtros de fondo para tener más posibilidades de identificar los deepfakes (los indicios podrían incluir fallos visuales, expresiones faciales que parecen rígidas y poco naturales y movimientos de los labios que no se sincronizan con el audio) Hacerles preguntas basadas en la ubicación y la cultura del lugar donde “viven” o “trabajan”, por ejemplo, sobre la comida o los deportes locales.

2. Vigilar a los empleados en busca de actividades potencialmente sospechosas:

Estar atento a señales de alarma como números de teléfono chinos, descarga inmediata de software RMM en un portátil recién entregado y trabajo realizado fuera del horario normal de oficina. Si el portátil se autentica desde direcciones IP chinas o rusas, también debe investigarse.

Vigilar el comportamiento de los empleados y los patrones de acceso al sistema, como inicios de sesión inusuales, transferencias de archivos de gran tamaño o cambios en el horario de trabajo. Centrase en el contexto, no solo en las alertas: la diferencia entre un error y una actividad maliciosa puede estar en la intención.

Utilizar herramientas contra amenazas internas para detectar actividades anómalas.

3. Contener la amenaza:

Si se cree haber identificado a un trabajador norcoreano en la organización, actuar con cautela al principio para no ponerle sobre aviso.

Limitar su acceso a recursos sensibles y revisar su actividad en la red, limitando este proyecto a un pequeño grupo de personas de confianza de los departamentos de seguridad informática, recursos humanos y jurídico.

Conservar las pruebas e informe del incidente a las fuerzas de seguridad, al tiempo que busca asesoramiento jurídico para la empresa.

“Además, es buena idea actualizar los programas de formación sobre ciberseguridad. Y asegurarse de que todos los empleados, especialmente los responsables de contratación de IT y el personal de recursos humanos, comprenden algunas de las señales de alarma a las que hay que prestar atención en el futuro. Las tácticas, técnicas y procedimientos (TTP) de los actores de amenazas evolucionan constantemente, por lo que estos consejos también deberán cambiar periódicamente. Los mejores métodos para evitar que los falsos candidatos se conviertan en informadores maliciosos combinan los conocimientos humanos y los controles técnicos. Asegurarse de cubrir todas las bases”, sugiere Gutiérrez Amaya de ESET.

¿Es posible infectarse con solo hacer clic?

Cada vez es más común escuchar casos de personas que intentaron descargar aplicaciones para ver películas y series gratis y sus credenciales fueron robadas, o que entraron a sitios maliciosos desde un enlace que les llegó por mail, simulando ser de una entidad conocida, e ingresaron sus datos voluntariamente, aunque engañados. El equipo de ESET, compañía líder en detección proactiva de amenazas, analiza como un enlace malicioso puede ser la puerta de entrada para una cadena de engaños que requiere necesariamente de la acción de un usuario para ejecutarse.

“Entré a una página y me vaciaron la cuenta bancaria” es una de las frases más escuchadas luego de que una persona cuenta su experiencia de haber sido “hackeado”. Pero, una simple visita a una web no puede vaciar una cuenta bancaria por sí sola. Los navegadores no permiten acceso directo a las credenciales bancarias o apps financieras sin interacción. Para que eso ocurra debe haber o un robo previo de credenciales o un acceso remoto tras una instalación maliciosa”, comenta Fabiana Ramírez Cuenca, investigadora de Seguridad Informática de ESET Latinoamérica.  

Lo más probable, en caso de sospecha de robo mediante un clic, es que el usuario haya entrado a una página falsa (creada por criminales para engañarlo) y haya introducido sus credenciales bancarias. Podría ser una página falsa de compra y venta de productos, por ejemplo, o incluso una página que suplante la identidad del banco. Una vez introducidas las credenciales, los atacantes se hacen con ellas y de esa manera acceden a la cuenta de la víctima.

Otra posibilidad es que se haya ingresado un sitio que derive a descargar un archivo malicioso (scripts, ejecutables, etc.), estos archivos podrían tener dentro de sus funcionalidades el recopilar información del dispositivo, capturas de teclados, contraseñas almacenadas en el navegador y consecuentemente permitiría que los cibercriminales se hagan con las credenciales.

Los criminales implementan métodos cada vez más sofisticados para poder atravesar las barreras de seguridad, y pueden forzar la descarga de un archivo. Estas técnicas, como los llamados “drive-by downloads”, malvertising o exploit kits, solo funcionan si el sistema del usuario tiene vulnerabilidades técnicas sin corregir. Si el navegador, el sistema operativo o algún componente adicional (como plugins o extensiones) está desactualizado o tiene fallas de seguridad, el clic puede bastar para iniciar una infección sin que el usuario lo note.

Los tipos de ataques más comunes dependen de engañar al usuario o conseguir permisos indebidos (ingeniería social) y del aprovechamiento de vulnerabilidades en sistemas o aplicaciones: Spyware, un malware que en forma oculta “espía” a la víctima, recopilando datos de teclado, de navegadores, del sistema, sacando captura de pantalla, grabando audio, entre muchas otras funcionalidades; Phishing / Spear-phishing, son engaños vía email, mensajes de texto, redes sociales, para que el usuario entregue credenciales, información o ejecute acciones como descargar archivos o entrar a sitios falsos, y Troyanos bancarios, que son un tipo de software malicioso orientado a obtener información bancaria o financiera, como credenciales. Usualmente, capturan teclado, impersonan entidades bancarias redirigiendo a sitios falsos, entre otros.

“Entonces, si bien es posible infectarse por solo hacer un clic, es importante aclarar cuáles son las condiciones por las que esta situación puede suceder. Al hacer clic en un enlace, el navegador simplemente carga una página web. Los sistemas modernos (Android, iOS, Chrome, Safari, etc.) tienen barreras que impiden que un sitio instale software automáticamente. Por eso, con solo el clic no se descarga ni ejecuta el malware, al menos en principio”, agrega Ramírez Cuenca.

En el caso en que se sospeche que hubo acceso a cuentas bancarias, o a credenciales, o de hecho se ha sufrido perdida de dinero, es recomendable:

Cambiar contraseñas desde un dispositivo seguro.

Avisar al banco o entidad financiera inmediatamente.

Revisar movimientos de las cuentas y desactivar transferencias automáticas.

Activar la autenticación de dos factores (2FA)

“La mayoría de los ataques que inician con ingeniería social requieren de la participación del usuario con actividades como instalar, aceptar permisos o entregar información. A la hora de hacer clic es importante tener cierto criterio y prestar atención a posibles señales de alerta. Está claro que como humanos podemos ser engañados caer en estas amenazas. Por eso es importante contar con las medidas de seguridad básicas, como contraseñas robustas, dobles factores de autenticación, sistemas y aplicaciones actualizadas y siempre con contar con soluciones de seguridad como antivirus o antiphishing capaces de detectar y detener potenciales comportamientos maliciosos”, recomienda la Investigadora de ESET Latinoamérica.

Así pueden robar tu información en Google Chrome.

El Laboratorio de investigación de ESET Latinoamérica, compañía líder en detección proactiva de amenazas, identificó un código malicioso que afecta a los sistemas operativos Windows y se hace pasar por una extensión de seguridad para Google Chrome. Es detectado por las soluciones de ESET como JS/Spy.Banker.CV y se trata de un infostealer con capacidades de robar información sensible.

Este malware se propaga en la región, principalmente por México, mediante archivos adjuntos comprimidos en correos electrónicos que aparentar ser de instituciones financieras reconocidas. En su código se observan palabras nombres de variables y reemplazos en portugués, lo que evidencia que este tipo de amenazas trascienden fronteras.

Esta amenaza tiene la capacidad de modificar visualmente de detectar cuando el usuario se encuentra en una página financiera -hallando patrones comunes en este tipo de sitios- y cuando lo hace, puede modificar el DOM (Document Object Model) cambiando cómo se ve y funciona la página, sin que el usuario lo note. De esta forma, presenta formularios apócrifos con la apariencia real. Toda información ingresada en esos formularios es desviada a un servidor controlado por los cibercriminales.

Además, este malware tiene la capacidad de sustituir datos de billeteras de criptomonedas y bancarios del usuario por los de los cibercriminales, lo que habilitaría el desvío de fondos hacia los atacantes.

“Estamos ante un infostealer que posee capacidades para robar información sensible de una víctima cuando completa un formulario en una página de internet. Con capacidad de modificar la wallet y otros datos de pagos de la víctima, es una clara demostración de los cibercriminales buscan un rédito financiero.  Esta amenaza trasciende fronteras y aprovecha la reputación de instituciones financieras en toda la región”, comenta Mario Micucci, investigador de Seguridad Informática de ESET Latinoamérica.

Durante la etapa de análisis, el equipo de ESET observó que esta muestra se propaga sobre México mediante archivos adjuntos comprimidos enviados por correo electrónico. También halló dentro de la extensión maliciosa dos archivos JavaScript con capacidades para robar datos sensibles, manipular visualmente sitios web y exfiltrar información a servidores de Comando y Control (C2).  

Al analizar el archivo se identifica una manipulación visual de sitios bancarios. ESET encontró patrones comunes en páginas relacionadas con bancos o pagos, como "CPF", "CNPJ", "valor", que modifican el DOM para engañar al usuario. Esto incluye el reemplazo de datos reales por datos controlados por los atacantes. Por ejemplo, se ejecuta sobre el contenido del <body> de la página buscando patrones de texto relacionados con depósitos bancarios  “epósito”, “CPF”, “Valor”). Si detecta que la página contiene términos como “depósito”, “CPF/CNPJ” y “alor” (probablemente parte de “Valor”), procede a inyectar lógica maliciosa.

“Durante el análisis notamos que la extensión maliciosa de Internet Google Chrome, persiste en la maquina víctima. Las muestras que contienen la extensión operan de manera sincronizada. Mientras una recolecta datos sensibles, la otra manipula el entorno visual del usuario para inducir a errores o desviar transferencias. Todas las interacciones son canalizadas a dominios maliciosos comunes. Es importante mencionar que esta persistencia actúa sobre el navegador afectado, puntualmente el malware se va a ejecutar cada vez que el mismo este en uso por la víctima”, explica Micucci de ESET Latinoamérica.

El uso de capacidades avanzadas de manipulación visual, dirigidas principalmente a usuarios en entornos financieros, así como su arquitectura modular y las técnicas de evasión obligan a implementar medidas específicas para lograr su detección. Desde ESET recuerdan que es muy importante verificar las extensiones instaladas en los sistemas y también que las fuentes sean confiables antes de instalar cualquier aplicación.

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/investigaciones/malware-extension-chrome-robo-datos-bancarios/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

5 mitos sobre ciberseguridad que pueden ponerte en riesgo.

Durante octubre se celebra el mes de la Concienciación sobre la Ciberseguridad, una iniciativa global para reforzar los hábitos seguros en el entorno digital. En la región latinoamericana los riesgos en ciberseguridad son concretos, según el último ESET Security Report 2025, 1 de cada 4 empresas ya ha sufrido un ciberataque en el último año. No solo las empresas son vulnerables ya que las campañas masivas de phishing buscan atraer al público general y simulan mensajes de empresas de correos con supuestos problemas de entregas, o de organismos gubernamentales que comunican multas inexistentes, citaciones judiciales, entre tantos otros intentos de engañar y generar urgencia para que se actúe bajo presión. 

En este contexto, ESET, compañía líder en detección proactiva de amenazas, advierte que cualquier persona usuaria de servicios en línea es blanco de ataque y comenta que es necesario abordar algunos mitos que aún persisten sobre la seguridad digital y que pueden poner en riesgo tanto a usuarios como a sistemas corporativos: 

1. No soy un objetivo, porque no tengo nada de valor: Es común que las personas crean que los ciberataques solo apuntan a grandes empresas o figuras públicas. La realidad es que cualquier dato personal tiene valor para los ciberdelincuentes, desde información bancaria hasta credenciales de correo electrónico o redes sociales. Las estafas digitales llegan a millones de usuarios comunes, independientemente de su perfil o relevancia en línea.

“Subestimar el riesgo crea una falsa sensación de seguridad y conduce a comportamientos riesgosos, como no habilitar la autenticación multifactor, usar contraseñas débiles o hacer clic en enlaces sospechosos. Estas debilidades son una oportunidad única para ataques que resultan en robo de datos, clonación de tarjetas, apropiación de cuentas o incluso extorsión digital, a usuarios que creen no ser blanco de ataques”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica. 

2.  Mi antivirus me protege contra todo: El antivirus es una pieza importante de la defensa, pero no cubre todos los vectores de ataque. La ingeniería social, las fallas en los procesos, la mala administración de privilegios, los ataques a la cadena de suministro y brechas de visibilidad operativa, son acciones que un antivirus por sí solo no puede resolver.

Un ejemplo de esto se dio en Brasil, el caso de C&M Software expuso cómo las lagunas en los procedimientos, la falta de controles y las fallas en la gestión de terceros permitieron el desvío de recursos y comprometieron la seguridad operativa de la organización. Esto demostró que la seguridad no es solo tecnología, también es proceso y gobernanza. Otro punto crítico es que muchos ataques explotan credenciales filtradas, debilidades humanas o flujos de autorización inseguros, escenarios en los que una solución antivirus no evita la intrusión inicial o la escalada de acceso. Por lo tanto, la estrategia de defensa actual debe estar en capas.

3. Mi contraseña es segura, puedes usarla en todo: Aunque una contraseña sea segura, reutilizarlas en múltiples servicios presenta un riesgo. En la práctica, los delincuentes que se especializan en ataques automatizados, como el relleno de credenciales (credential stuffing) donde utilizan combinaciones de correo electrónico y contraseña filtradas para intentar acceder a otras cuentas automáticamente. Si la contraseña es la misma, el acceso es inmediato y silencioso.

Por otro lado, la reutilización de contraseñas hace que estafas como el phishing y la apropiación de cuentas sean más efectivas, porque los ciberdelincuentes pueden combinar información de diferentes servicios para engañar al usuario de manera más convincente. Incluso si una plataforma tiene una protección sólida, si se usa la misma contraseña en un sitio web con seguridad débil, el riesgo se replica.

“Confiar exclusivamente en contraseñas seguras y únicas crea una falsa sensación de seguridad y deja a los usuarios vulnerables a intrusiones, robo de identidad y fraude financiero. La protección eficaz requiere no solo contraseñas seguras, sino también una combinación de autenticación multifactor, monitoreo de actividades sospechosas y buenas prácticas de administración de credenciales”, agrega Gutiérrez Amaya de ESET.

4. Mi celular está seguro, solo tengo que preocuparme por la computadora: Muchas personas creen que sus teléfonos inteligentes o tabletas están protegidos porque son dispositivos más pequeños o modernos, y que los ataques cibernéticos no les afectan. Los dispositivos móviles son objetivos frecuentes de estafas sofisticadas, y los riesgos aumentan a medida que se concentra información personal, financiera y profesional en ellos. La defensa móvil efectiva implica contraseñas seguras, autenticación multifactor, tener cuidado con las aplicaciones y enlaces sospechosos, actualizaciones periódicas y prestar atención a llamadas telefónicas inesperadas.

Además de los casos de phishing y vishing y otros de ingeniería social, también los dispositivos, tanto Android como Apple, y otros, son blanco de distribución de malware, con aplicaciones falsas y explotación de vulnerabilidades del sistema, que pueden comprometer el dispositivo incluso sin interacción directa del usuario. De hecho, se ha identificado en el pasado como apps maliciosas han permanecido en las tiendas oficiales de Google por un tiempo considerable sin ser detectadas. O cómo, hacia fines de 2023, se había advertido un aumento de las aplicaciones de préstamos en Android que no eran más que vías de entrada para programas espías.

5. La ciberseguridad es responsabilidad exclusiva del sector IT: Todo usuario tiene un papel esencial en la protección de datos y sistemas. La persona que adopta buenas prácticas contribuye a fortalecer la seguridad de toda la organización o comunidad en línea. Hábitos simples como verificar enlaces antes de hacer clic, mantener contraseñas seguras y únicas, habilitar la autenticación multifactor y reportar actividades sospechosas crean barreras efectivas que complementan las tecnologías y políticas de IT.

“Cuando todos nos involucramos, la conciencia colectiva se convierte en una poderosa defensa, capaz de prevenir estafas, fraudes e invasiones, proteger la información personal y corporativa y la comunidad digital en su conjunto. Cuanto más actúe cada persona de forma consciente, más resistente será el ecosistema digital. Es importante recordar que la ciberseguridad es responsabilidad de todos, y los pequeños hábitos marcan una gran diferencia”, concluye el investigador de ESET Latinoamérica. 

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/seguridad-digital/5-mitos-ciberseguridad-riesgos/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

Cómo saber si una app de préstamo es confiable o segura.

En 2023, el equipo de investigación de ESET, compañía líder en detección proactiva de amenazas, analizó el crecimiento de las  aplicaciones de préstamos maliciosas en muchos países de Latinoamérica, como México, Colombia y Chile, cuyo objetivo era recopilar y exfiltrar datos confidenciales de sus víctimas, o chantajearlas para obtener dinero. Con esta tendencia en ascenso, ESET comparte cómo saber si una aplicación de préstamo es segura o no, de qué manera pueden afectar a los usuarios, qué pasos seguir si ya se descargó una en un dispositivo y cómo se puede realizar un reclamo si se fue víctima de este tipo de engaño.

Las aplicaciones fraudulentas, circulan a través de anuncios por mensajes SMS y en redes sociales como WhatsApp, TikTok, Facebook, YouTube e Instagram, y buscan que las víctimas descarguen la aplicación. Para ganar la confianza de las personas, muchas simulan ser un banco, o un proveedor de préstamos y servicios financieros de buena reputación.

Solo entre 2021 y 2024 se registraron más de 1.000 apps de préstamo fraudulentas, según informó el Consejo Ciudadano para la Seguridad y Justicia de la Ciudad de México. Por otro lado, según una encuesta de Kardmatch, 3 de cada 10 personas que solicitaron un préstamo vía app en México, fueron víctima de fraude, ya sea con acreditación de préstamos no solicitados o pagos anticipados sin recibir depósito de supuesto empréstito. Esta situación llevó a la Secretaría de Seguridad y Protección Ciudadana a alertar a los habitantes mexicanos sobre los riesgos de las apps de préstamos “montadeudas” y a la Policía de Investigaciones de Chile a difundir un video de prevención en su cuenta oficial de TikTok.

En un contexto en el cual conviven aplicaciones oficiales y seguras con otras fraudulentas y maliciosas, desde ESET comentan que es importante saber identificarlas, para no ser una víctima más de este tipo de engaño. Para eso, comparten este checklist práctico de señales y alarmas concretas a prestarle atención:

Se descarga de repositorios no oficiales: Si la aplicación se descarga desde un link de WhatsApp, redes sociales o una página de dudosa reputación, debe llamar la atención. Lo correcto es realizar descargas desde repositorios oficiales, como Google Play, App Store o la tienda del banco.

Es demasiado bueno para ser verdad: Este tipo de estafas ofrecen dinero sin ningún tipo de requisito, con tasas muy bajas y aprobación inmediata. Estos son claros señuelos que utilizan los cibercriminales para aprovechar la urgencia de las víctimas.

Solicita dinero de antemano: Si pide transferir dinero a título de “garantía” o “comisión”, es un fraude. En un préstamo legítimo nunca se solicita un pago antes de desembolsar el crédito.

Cuenta con reseñas muy buenas o malas: Las reseñas y opiniones son otro factor para tener en cuenta ya que si son repetitivas y exageradamente positivas; o si existen quejas y reclamos por robo de datos o estafa, claramente es una señal de fraude.

Términos y condiciones poco claros o nulos: Es importante que la app explique detalladamente sus tasas de interés, plazos, comisiones y tenga términos, condiciones y políticas de privacidad claras. Si eso no existe, es mejor desconfiar.

Sin presencia en redes ni registro legal: Una aplicación que no cuenta con página web oficial, atención al cliente, redes sociales activas y registro ante un ente regulador local, debe levantar sospecha.

Pide permisos innecesarios: Si solicita acceder a los contactos, fotos, micrófono o hasta ubicación, entonces, lo que busca esa app es robar datos para luego extorsionar al usuario.

“Otro punto para tener en cuenta es que la supuesta página oficial desde donde se descarga la aplicación puede ser falsa. El cibercrimen crea webs que lucen como las reales, utilizando el mismo diseño, logos e imágenes. El consejo es verificar que la empresa esté avalada por el organismo regulador de tu país. Por último, que no existan denuncias a través de los medios de comunicación y las redes sociales, tampoco garantiza nada. De hecho, puede tratarse de un fraude incipiente, que todavía no fue descubierto ni denunciado”, advierte Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

El instalar una aplicación de préstamo fraudulenta puede tener diversas consecuencias. Por ejemplo:

Suplantación de identidad: Este tipo de apps fraudulentas suelen ir en busca de los datos personales de sus víctimas (nombre, apellido, documento de identidad, domicilio, información bancaria, entre tantos otros). Una vez obtenida esa información, pueden emplearla para suplantar la identidad y, por ejemplo, sacar un préstamo real a su nombre, abrir cuentas en un banco u otro tipo de actividades maliciosas.

Pérdida de dinero: Como señuelo, muchas veces estas apps incitan a la víctima a pagar un monto inicial, como parte de un supuesto estudio de crédito, comisiones, fianza o garantía. Luego, no sólo que el préstamo nunca sucede, sino que también se quedan con ese pago inicial.

Infección con malware: En el caso analizado por el equipo de ESET, se confirma que las aplicaciones SpyLoan suponen una importante amenaza, ya que gracias a su código malicioso pueden extraer sigilosamente una amplia gama de información personal de usuarios desprevenidos: lista de cuentas, registros de llamadas, eventos del calendario, información del dispositivo, listas de aplicaciones instaladas, información de la red Wi-Fi local, entre otras.

Extorsión: También es común que estas apps fraudulentas soliciten el acceso a contactos, fotos y mensajes. Lo que sucede luego es que los cibercriminales usan toda esa información íntima y personal para extorsionar a la víctima, amenazando que harán públicos los datos o avisarán a familiares y amigos de esta morosidad, pidiendo a cambio altas suma de dinero.

En caso de que ya haber instalado una app de préstamos fraudulenta en el dispositivo, desde ESET comentan que se pueden realizar diversas acciones concretas para no correr riesgos innecesarios. En primer lugar, no interactuar más con la app, no ingresar más a la aplicación, ni responder ningún tipo de mensaje o aviso relacionado a ella. El segundo paso es desinstalar la aplicación del dispositivo. Lo ideal, luego, es reiniciar el teléfono y volver a revisar apps y permisos para confirmar la acción. Además, realizar un análisis del dispositivo con una solución de seguridad ya que estas apps pueden contener componentes maliciosos ocultos, que, incluso desinstalándola, pueden dejar restos. Finalmente, actualizar las claves de las cuentas desde dispositivo seguro: homebanking, correo electrónico, redes sociales y otros servicios vinculados. En casos en los que el dispositivo haya sido comprometido profundamente, la opción es restauración de fábrica. Se recomienda antes realiza un backup consciente de los archivos e información imprescindible.

Para iniciar un reclamo en caso de que se haya sido víctima de una estafa relacionada a préstamos fraudulentos, ESET acerca los siguientes pasos:

Reunir toda la información posible: Para iniciar un reclamo, es ideal contar con toda la información disponible, para que las entidades pertinentes puedan iniciar la investigación: Nombre y detalles de la aplicación (desarrollador y versión), capturas de pantalla, permisos, mensajes, comprobantes de pagos, datos bancarios, correos, fechas, montos.

Denunciar el delito informático ante la autoridad judicial o policial: Esto es clave, ya que cada denuncia suma a un patrón de casos, que le permite a las autoridades pertinentes a bloquear estas apps en las tiendas o emitir alertas. A su vez, si los datos fueron usados para abrir cuentas o pedir créditos, tener una denuncia es una prueba de que se es víctima y no cómplice.

Lo ideal es recurrir a las Fuerzas de Seguridad de cada país: Por ejemplo, en México se debe contactar a la Guardia Nacional, Chile cuenta con la Policía de Investigación, mientras que en Colombia se realiza a través de la Policía Nacional.

Reclamar ante el organismo regulador del sistema financiero: La figura del Banco Central (o su equivalente según cada país) es la que puede instar a una entidad financiera a responder un reclamo. Por ejemplo, si se realizó una transferencia a una cuenta de una app fraudulenta, el banco receptor podría bloquear esa cuenta, pero solo si existe la instrucción del ente regulador.

Reportar en las plataformas oficiales (si aplica): En caso de que la app haya sido descargada de repositorios oficiales como Google Play o App Store, es importante reportarlo. Esto ayudará a que otras personas no sean estafadas por esa misma aplicación.

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/consejos-seguridad/como-saber-si-app-prestamo-es-confiable-o-segura/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw

El fin de Windows 10: qué hacer para proteger tu equipo.

El 14 de octubre de 2025 es el día que Microsoft decretó para el final de vida (End of Life) de ese sistema operativo. De esta manera, dejará de brindar soporte oficial y no habrá más actualizaciones de seguridad ni correcciones. Esto toma real trascendencia si se tiene en cuenta que según estimaciones de julio, cerca del 47 % de usuarios globales utilizaban Windows 10. Ante este escenario, ESET, compañía líder en detección proactiva de amenazas, analiza qué se puede hacer, y a qué riesgos se podría estar expuesto a partir del 14 de octubre si se decide mantener ese sistema operativo y no llevar a cabo ninguna acción preventiva.

“Seguir utilizando Windows 10 después del 14 de octubre trae aparejadas consecuencias reales que pueden traer impacto tanto para usuarios como para las empresas. Los sistemas sin soporte se transforman en un entorno de alto riesgo y en un objetivo más que apetecible para los ciberatacantes. Se brinda la posibilidad de quedar expuesto a problemas de seguridad, así como la información personal y la operatoria de muchas empresas”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

Algunos puntos destacados para tener en cuenta con relación al fin del soporte son la exposición al cibercrimen, ya que los cibercriminales saben que millones de usuarios seguirán en Windows 10 debido a que no tiene el hábito de actualizar el software, transformándolos en un blanco tan recurrente como vulnerable. Sin parches de seguridad ni actualizaciones, las vulnerabilidades no serán corregidas y así quedarán las puertas abiertas al malware y diversos tipos de exploits. Por otro lado, es importante tener en cuenta que la compatibilidad con ciertas aplicaciones será cada vez menor, por lo cual podrían no instalarse o bloquearse por políticas de soporte. A su vez, se perderá el soporte en navegadores, que puede exponer a los usuarios a fallos críticos vía web y ciertos drivers y hardware podrían no funcionar correctamente. También se podrían evidenciar bloqueos en entornos corporativos: servicios como Microsoft 365, Teams o Zoom podrían impedir su uso por compliance, y podrían existir restricciones en servicios en la nube, ya que OneDrive, Google Drive y Dropbox (por citar algunos) pueden limitar sus funciones. Por último, están las obligaciones legales, ya que el riesgo legal y de cumplimiento existe para algunos sectores, donde usar un sistema operativo sin soporte puede implicar sanciones o pérdida de certificaciones.

Ante este escenario, desde ESET repasan de qué manera es importante prepararse para no quedar expuestos a los riesgos innecesarios:

Migrar a Windows 11: La primera opción sería migrar a Windows 11, que es gratuita si el equipo cumple con los requisitos mínimos requeridos. Esto se comprueba a través de: Menú Inicio > Configuración > Actualización y seguridad > Windows Update > Buscar actualizaciones. Siguiendo esos pasos se podrá identificar si un equipo es compatible o no.

Migrar a Windows 11 asegura el seguir recibiendo soporte, actualizaciones y correcciones, además cuenta con dos upgrades importantes a nivel seguridad. Por un lado, Win 11 que ofrece un Control de aplicaciones inteligentes (Smart App Control) que proporciona una capa de seguridad extra al permitir que solamente se instalen aplicaciones con buena reputación, funciona como una barrera para filtrar apps falsas o que esconden alguna intención maliciosa detrás, con base en su reputación en la nube. Por otro lado, integra las Passkeys, con Windows Hello, lo que significa que los usuarios de Windows 11 podrán sustituir las contraseñas por Passkeys para sus sitios web y aplicaciones. Estas claves digitales son almacenadas y protegidas con cifrado en el dispositivo, por lo cual no pueden ser interceptadas por actores maliciosos.

Programa de actualizaciones de seguridad extendidas: el ESU (Extended Security Updates), puede ser útil para aquellas personas o empresas que necesitan más tiempo antes de migrar ya que este programa puede proteger cualquier dispositivo con Windows 10 hasta un año después del 14 de octubre de 2025. La inscripción tiene un costo variable dependiente del tipo de usuario, y solo proporciona el acceso a actualizaciones de seguridad críticas e importantes, pero no a otro tipo de correcciones, mejoras de funciones ni mejoras del producto, ni tampoco incluye soporte técnico.

Long-term servicing channel: Las versiones LTSC son pensadas puntualmente para organizaciones y ofrecen un ciclo de soporte mucho más largo que el de las versiones convencionales. En ese contexto, para los usuarios que ya cuenten con este tipo de licencia, no habrá costos adicionales asociados al soporte extendido, ya que forma parte del paquete original. Y podría extenderse hasta 2032, según la versión que se tenga instalada obviamente.

Migrar a Linux: Existe una última opción y es migrar a Linux. Obviamente que esta decisión puede requerir el tener que invertir algo de tiempo en la curva de aprendizaje, pero existen diversas distribuciones para explorar, como Fedora, Linux Mint y o Ubuntu, entre tantas otras. Y un dato no menor: es gratuito.

Hay ejemplos icónicos en la historia reciente de la ciberseguridad sobre parches no aplicados a tiempo. En 2017 el ransomware WannaCry provocó un hackeo mundial al infectar a miles de computadoras en más de 150 países del mundo. Los actores maliciosos aprovecharon una vulnerabilidad que Microsoft ya había corregido, pero muchos sistemas no habían instalado el parche.

Otro ejemplo fue Zerologon, una falla crítica en el protocolo Netlogon que permitía a un atacante autenticarse como administrador de dominio sin credenciales a través de una vulnerabilidad. En ese caso, la CISA emitió una directiva de emergencia para que todas las agencias federales lo parchearan. Y, aunque el parche estuvo disponible desde septiembre del 2020, meses después muchas organizaciones fueron comprometidas por no haber aplicado el parche. 

Lo mismo ocurrió con ProxyLogon, que fue explotado masivamente incluso después de que Microsoft lanzara el parche. En este caso, una vulnerabilidad en Microsoft Exchange permitió a atacantes instalar web shells y robar datos de más de 60.000 organizaciones. Si bien el parche fue lanzado rápidamente, miles de servidores siguieron expuestos por la falta de actualización.

“El End of Life de Windows 10 invita a reflexionar sobre la importancia de estar al día con los parches y las actualizaciones de software. Muchas personas dilatan el actualizar sus equipos, y ese mal hábito es muy aprovechado por los cibercriminales. Los parches de seguridad son esenciales. No basta con que el fabricante los publique, sino que hay que aplicarlos. Así que, si estás usando un sistema operativo sin soporte o tienes actualizaciones pendientes, es un buen momento para reforzar tu seguridad digital”, agrega el investigador de ESET Latinoamérica. 

El fin de Windows 10: qué hacer para proteger tu equipo.

El 14 de octubre de 2025 es el día que Microsoft decretó para el final de vida (End of Life) de ese sistema operativo. De esta manera, dejará de brindar soporte oficial y no habrá más actualizaciones de seguridad ni correcciones. Esto toma real trascendencia si se tiene en cuenta que según estimaciones de julio, cerca del 47 % de usuarios globales utilizaban Windows 10. Ante este escenario, ESET, compañía líder en detección proactiva de amenazas, analiza qué se puede hacer, y a qué riesgos se podría estar expuesto a partir del 14 de octubre si se decide mantener ese sistema operativo y no llevar a cabo ninguna acción preventiva.

“Seguir utilizando Windows 10 después del 14 de octubre trae aparejadas consecuencias reales que pueden traer impacto tanto para usuarios como para las empresas. Los sistemas sin soporte se transforman en un entorno de alto riesgo y en un objetivo más que apetecible para los ciberatacantes. Se brinda la posibilidad de quedar expuesto a problemas de seguridad, así como la información personal y la operatoria de muchas empresas”, comenta Camilo Gutiérrez Amaya, jefe del Laboratorio de Investigación de ESET Latinoamérica.

Algunos puntos destacados para tener en cuenta con relación al fin del soporte son la exposición al cibercrimen, ya que los cibercriminales saben que millones de usuarios seguirán en Windows 10 debido a que no tiene el hábito de actualizar el software, transformándolos en un blanco tan recurrente como vulnerable. Sin parches de seguridad ni actualizaciones, las vulnerabilidades no serán corregidas y así quedarán las puertas abiertas al malware y diversos tipos de exploits. Por otro lado, es importante tener en cuenta que la compatibilidad con ciertas aplicaciones será cada vez menor, por lo cual podrían no instalarse o bloquearse por políticas de soporte. A su vez, se perderá el soporte en navegadores, que puede exponer a los usuarios a fallos críticos vía web y ciertos drivers y hardware podrían no funcionar correctamente. También se podrían evidenciar bloqueos en entornos corporativos: servicios como Microsoft 365, Teams o Zoom podrían impedir su uso por compliance, y podrían existir restricciones en servicios en la nube, ya que OneDrive, Google Drive y Dropbox (por citar algunos) pueden limitar sus funciones. Por último, están las obligaciones legales, ya que el riesgo legal y de cumplimiento existe para algunos sectores, donde usar un sistema operativo sin soporte puede implicar sanciones o pérdida de certificaciones.

Ante este escenario, desde ESET repasan de qué manera es importante prepararse para no quedar expuestos a los riesgos innecesarios:

Migrar a Windows 11: La primera opción sería migrar a Windows 11, que es gratuita si el equipo cumple con los requisitos mínimos requeridos. Esto se comprueba a través de: Menú Inicio > Configuración > Actualización y seguridad > Windows Update > Buscar actualizaciones. Siguiendo esos pasos se podrá identificar si un equipo es compatible o no.

Migrar a Windows 11 asegura el seguir recibiendo soporte, actualizaciones y correcciones, además cuenta con dos upgrades importantes a nivel seguridad. Por un lado, Win 11 que ofrece un Control de aplicaciones inteligentes (Smart App Control) que proporciona una capa de seguridad extra al permitir que solamente se instalen aplicaciones con buena reputación, funciona como una barrera para filtrar apps falsas o que esconden alguna intención maliciosa detrás, con base en su reputación en la nube. Por otro lado, integra las Passkeys, con Windows Hello, lo que significa que los usuarios de Windows 11 podrán sustituir las contraseñas por Passkeys para sus sitios web y aplicaciones. Estas claves digitales son almacenadas y protegidas con cifrado en el dispositivo, por lo cual no pueden ser interceptadas por actores maliciosos.

Programa de actualizaciones de seguridad extendidas: el ESU (Extended Security Updates), puede ser útil para aquellas personas o empresas que necesitan más tiempo antes de migrar ya que este programa puede proteger cualquier dispositivo con Windows 10 hasta un año después del 14 de octubre de 2025. La inscripción tiene un costo variable dependiente del tipo de usuario, y solo proporciona el acceso a actualizaciones de seguridad críticas e importantes, pero no a otro tipo de correcciones, mejoras de funciones ni mejoras del producto, ni tampoco incluye soporte técnico.

Long-term servicing channel: Las versiones LTSC son pensadas puntualmente para organizaciones y ofrecen un ciclo de soporte mucho más largo que el de las versiones convencionales. En ese contexto, para los usuarios que ya cuenten con este tipo de licencia, no habrá costos adicionales asociados al soporte extendido, ya que forma parte del paquete original. Y podría extenderse hasta 2032, según la versión que se tenga instalada obviamente.

Migrar a Linux: Existe una última opción y es migrar a Linux. Obviamente que esta decisión puede requerir el tener que invertir algo de tiempo en la curva de aprendizaje, pero existen diversas distribuciones para explorar, como Fedora, Linux Mint y o Ubuntu, entre tantas otras. Y un dato no menor: es gratuito.

Hay ejemplos icónicos en la historia reciente de la ciberseguridad sobre parches no aplicados a tiempo. En 2017 el ransomware WannaCry provocó un hackeo mundial al infectar a miles de computadoras en más de 150 países del mundo. Los actores maliciosos aprovecharon una vulnerabilidad que Microsoft ya había corregido, pero muchos sistemas no habían instalado el parche.

Otro ejemplo fue Zerologon, una falla crítica en el protocolo Netlogon que permitía a un atacante autenticarse como administrador de dominio sin credenciales a través de una vulnerabilidad. En ese caso, la CISA emitió una directiva de emergencia para que todas las agencias federales lo parchearan. Y, aunque el parche estuvo disponible desde septiembre del 2020, meses después muchas organizaciones fueron comprometidas por no haber aplicado el parche. 

Lo mismo ocurrió con ProxyLogon, que fue explotado masivamente incluso después de que Microsoft lanzara el parche. En este caso, una vulnerabilidad en Microsoft Exchange permitió a atacantes instalar web shells y robar datos de más de 60.000 organizaciones. Si bien el parche fue lanzado rápidamente, miles de servidores siguieron expuestos por la falta de actualización.

“El End of Life de Windows 10 invita a reflexionar sobre la importancia de estar al día con los parches y las actualizaciones de software. Muchas personas dilatan el actualizar sus equipos, y ese mal hábito es muy aprovechado por los cibercriminales. Los parches de seguridad son esenciales. No basta con que el fabricante los publique, sino que hay que aplicarlos. Así que, si estás usando un sistema operativo sin soporte o tienes actualizaciones pendientes, es un buen momento para reforzar tu seguridad digital”, agrega el investigador de ESET Latinoamérica. 

Para saber más sobre seguridad informática visite el portal corporativo de ESET: https://www.welivesecurity.com/es/seguridad-digital/como-prepararse-fin-de-soporte-de-windows-10/

Por otro lado, ESET invita a conocer Conexión Segura, su podcast para saber qué está ocurriendo en el mundo de la seguridad informática. Para escucharlo ingrese a: https://open.spotify.com/show/0Q32tisjNy7eCYwUNHphcw