Ciberdelincuentes atacan puertas débiles: RR.HH., Finanzas y Compras

Según las últimas tendencias identificadas por Minsait Cyber, unidad especializada en ciberseguridad de Indra Group, los ciberdelincuentes han cambiado su estrategia: ya no atacan directamente los sistemas centrales de las empresas, sino que buscan las puertas menos protegidas.

Ese cambio tiene una explicación simple. Los departamentos de IT cuentan cada vez con mayores herramientas de protección y personal especializado. Por eso, los atacantes prefieren dirigirse a áreas como Recursos Humanos, Finanzas, Compras, Atención al Cliente o incluso a la Dirección, donde los controles son más débiles pero la información y el poder de decisión son mucho mayores.

“La estrategia es hacerlo más simple, más barato y con una tasa de éxito mucho mayor. Es como un ladrón que quiere entrar a un domicilio: busca la puerta más fácil de abrir. Hoy es más fácil engañar a un colaborador de Recursos Humanos, Finanzas o Compras mediante un email o una llamada fraudulenta que vulnerar directamente la infraestructura tecnológica. Una vez dentro, el hacker puede moverse dentro de la empresa para alcanzar activos más críticos”, señaló Jordi Ferrer Guillén, profesor de EAE Business School.

Por ello, el docente de EAE Business School nos comparte cinco medidas claves que toda empresa debería implementar para proteger sus puntos más vulnerables:

• Formar a los colaboradores como primera línea de defensa. La mayor parte de los ataques exitosos comienza con una interacción humana. Enseñar a identificar correos fraudulentos, enlaces sospechosos y tácticas de ingeniería social genera un impacto inmediato en la seguridad de la organización, especialmente en departamentos como Finanzas, RR.HH. y Compras.
• Implementar autenticación multifactor (MFA). Este mecanismo, sencillo de implementar en cualquier organización, añade una capa extra de protección que dificulta enormemente el acceso no autorizado, incluso cuando las credenciales de un colaborador han sido comprometidas.
• Limitar accesos a la información estrictamente necesaria. Usuarios que disponen de permisos elevados que no necesitan aumentan innecesariamente la superficie de ataque. Cada colaborador debe tener acceso solo a la información y los sistemas que requiere para su función, revisando estos permisos periódicamente.
• Reforzar los procesos de validación de pagos. Muchos fraudes no explotan una vulnerabilidad tecnológica, sino una debilidad en los procesos internos. Establecer procedimientos claros para validar pagos, cambios de cuentas bancarias y solicitudes urgentes "sospechosas" es una de las medidas con mayor retorno de inversión.
• Realizar simulaciones internas de phishing y evaluaciones de riesgo. Estas prácticas tienen un coste mínimo y ofrecen información muy valiosa sobre el nivel real de exposición de la empresa, permitiendo priorizar las áreas que necesitan mayor atención en capacitación y controles.

El fenómeno tampoco distingue tamaños. Según Minsait Cyber, una parte significativa de los incidentes de ciberseguridad sigue originándose en deficiencias de higiene digital, como configuraciones inseguras, parches tardíos y controles de acceso débiles, lo que impacta especialmente a organizaciones con menor madurez tecnológica. En el Perú, esto se traduce en una creciente exposición tanto de grandes corporaciones en sectores como salud, financiero, retail o telecomunicaciones, como de pequeñas y medianas empresas que representan objetivos atractivos por su facilidad de compromiso.

“Hoy existen dos tipos de empresas en ciberseguridad: las que ya han sido objeto de un ciberataque y las que lo serán en breve. Los ataques están altamente automatizados y la inteligencia artificial permite a los atacantes multiplicar los vectores de ataque. La recomendación es adoptar un enfoque de 'cybersecurity by default' que permita garantizar la continuidad del negocio, detectar los ciberataques, dar respuesta a los mismos y, especialmente, recuperarse de ellos”, agregó Ferrer Guillén de EAE Business School.

En un entorno donde la ciberseguridad ha dejado de ser un asunto técnico para convertirse en un pilar estratégico del negocio, las empresas peruanas que entiendan que su mayor vulnerabilidad no está en los servidores, sino en los procesos y las personas, serán las que construyan modelos verdaderamente resilientes ante la próxima década de amenazas digitales.

SOBRE EAE BUSINESS SCHOOL

EAE Business School es una escuela de negocios internacional, perteneciente a red de educación superior Planeta Formación y Universidades, con una visión de vanguardia e innovadora para abordar los retos del siglo XXI. Más de 88.000 alumnos de más de 100 nacionalidades diferentes se han formado en EAE. Cuenta con un claustro de 500 docentes (35% internacionales) que, en su mayoría, combinan su actividad profesional con la académica. La escuela tiene alianzas internacionales con instituciones de prestigio como Babson College, entre otras.

En su compromiso con el desarrollo profesional de sus alumnos, EAE Business School ha gestionado este año más de 2.000 ofertas de empleo, gracias a una red de empresas colaboradoras. Estos datos han permitido que EAE aumente la tasa de inserción de sus estudiantes y el ROI de sus másteres, por lo que ha sido reconocida en los rankings internacionales Bloomberg y QS.

EAE Business School forma parte de Planeta Formación y Universidades, la red internacional de educación superior de Grupo Planeta. Cuenta con veintidós instituciones educativas en España, Andorra, Francia, Italia, Norte de África, Estados Unidos y Colombia. Cada año más de 160.000 estudiantes procedentes de 100 nacionalidades distintas, se forman a través de sus escuelas de negocios, universidades, escuelas superiores especializadas y centros de formación profesional.