Un correo electrónico que parece provenir del Servicio de Administración Tributaria (SAT), una supuesta factura pendiente de pago o un aviso que exige resolver una inconsistencia en la declaración fiscal pueden convertirse en la puerta de entrada para un ciberataque capaz de paralizar las operaciones de una empresa en cuestión de minutos.

No se necesita un virus extraordinariamente sofisticado ni un ataque directo contra los sistemas de una organización. En ocasiones, basta con que un trabajador, presionado por la carga laboral y la urgencia de resolver pendientes, haga clic en un archivo malicioso para desencadenar una crisis que afecte desde la contabilidad hasta la producción y la cobranza.

Esta fue una de las principales advertencias que compartieron Suk Ho, cofundador de Syxbit, y Laura Cárdenas, directora de Expansión Corporativa de la misma empresa, durante el webinar “Anatomía en un ciberataque”, organizado por Coparmex León.

Durante la sesión, los especialistas explicaron cómo funcionan algunas de las amenazas digitales más comunes, por qué las empresas pueden quedar vulnerables a pesar de invertir en tecnología y qué medidas pueden tomar para reducir los riesgos y responder cuando ocurre un incidente.

Así comienza un ciberataque: un correo que parece legítimo

Suk Ho planteó un escenario que puede ocurrir en prácticamente cualquier negocio: es viernes, son las tres de la tarde y el personal administrativo trabaja a contrarreloj para cerrar el mes. Los teléfonos no dejan de sonar, se acumulan los mensajes y hay facturas urgentes por procesar.

En medio de esa presión llega un correo electrónico aparentemente legítimo. Tiene el logotipo de una institución o de un proveedor conocido y un asunto alarmante: una inconsistencia en la declaración fiscal, un aviso del SAT o una factura que debe pagarse de inmediato.

El trabajador abre el mensaje, descarga el archivo adjunto y espera resolver el pendiente. En la pantalla no ocurre nada extraordinario; quizá el documento no abre o aparece un supuesto error de Internet.

Sin embargo, detrás de esa acción puede comenzar un ataque informático.

El especialista explicó que, en un caso de ransomware o secuestro de datos, el programa malicioso puede bloquear los archivos de la computadora infectada y tratar de extenderse a otros equipos conectados a la red de la empresa.

El objetivo puede incluir carpetas compartidas, servidores, sistemas contables, plataformas de monitoreo e incluso los respaldos de información.

El resultado: una sola computadora comprometida puede convertirse en el punto de entrada para afectar a toda una organización.

“Ese simple clic es el detonante de todo”, explicó Suk Ho al describir cómo un ataque puede avanzar silenciosamente mientras el trabajador cree que solamente tuvo un problema con un archivo.

El problema no siempre es el trabajador: la presión también juega en contra

Ante un incidente de este tipo, la reacción de algunos directivos puede ser buscar inmediatamente al responsable y cuestionar cómo fue posible que alguien abriera un correo falso.

Sin embargo, Laura Cárdenas pidió considerar las condiciones en las que trabaja el personal.

Un empleado que recibe instrucciones de atender asuntos urgentes, tiene pendientes acumulados y debe evitar retrasos puede actuar de manera automática cuando encuentra un mensaje que aparenta provenir de una autoridad o de un proveedor.

La palabra SAT, una amenaza de multa o una factura pendiente pueden provocar preocupación y acelerar una decisión sin verificar primero el origen del correo.

Por eso, señaló que el trabajador no necesariamente actúa con negligencia o malas intenciones: también puede ser víctima de una estrategia diseñada para aprovechar el estrés, la confianza y la presión cotidiana.

Para los especialistas, esta diferencia es fundamental. Si la empresa solamente culpa o castiga a quien cometió el error, deja sin resolver el problema de fondo: la falta de mecanismos que impidan que una equivocación individual se convierta en una crisis general.

Los hackers atacan la confianza, no solamente la tecnología

Durante el webinar, Suk Ho explicó que los delincuentes digitales no siempre necesitan vulnerar directamente los sistemas de seguridad de una compañía. En ocasiones, resulta más sencillo engañar a una persona para conseguir acceso a la información o a las herramientas de trabajo.

El especialista afirmó que, según los datos que presentó durante la sesión, el 62% de los ataques registrados en México en lo que va del año corresponden a este tipo de método basado en la confianza humana. Esta cifra se atribuye a su exposición y no fue acompañada, en el material compartido, de una fuente estadística que permita verificar su alcance.

La estrategia consiste en utilizar elementos cotidianos para generar confianza o miedo: suplantar la identidad de una institución, imitar a un proveedor, solicitar una contraseña o advertir que una cuenta será bloqueada si no se actúa inmediatamente.

Los delincuentes pueden enviar grandes cantidades de mensajes fraudulentos y esperar a que alguna persona caiga en la trampa.

Según Suk Ho, esta modalidad puede resultar rentable para los criminales porque no necesitan desarrollar un ataque altamente especializado contra cada empresa. Basta con encontrar una víctima que les abra la puerta.

El riesgo no se limita a las grandes corporaciones. También alcanza a los pequeños negocios que manejan facturación, datos de clientes, información bancaria y documentos administrativos.

¿Qué pierde una empresa cuando sufre un ataque?

Un ciberataque no significa únicamente perder archivos o tener que reparar una computadora. Cuando el incidente alcanza los sistemas centrales de una organización, las consecuencias pueden extenderse a toda su operación.

Laura Cárdenas advirtió que un ataque puede provocar:

• Parálisis de la producción: los equipos y sistemas necesarios para trabajar dejan de funcionar.
• Problemas de cobranza: la empresa puede perder temporalmente el acceso a sus registros y plataformas de facturación.
• Interrupciones administrativas: el personal puede quedarse sin acceso a contratos, bases de datos y documentos contables.
• Pérdidas económicas: cada hora sin operar puede representar ventas no realizadas, retrasos y gastos de recuperación.
• Riesgo para la información: los datos pueden quedar bloqueados, ser robados o utilizarse para presionar a la organización.

En algunos casos, los atacantes exigen un pago para devolver el acceso a los archivos. Sin embargo, pagar no garantiza que la información será recuperada ni que los delincuentes eliminarán las copias que hayan obtenido.

La afectación, por tanto, puede continuar incluso después de recuperar los equipos.

Tener antivirus y equipos costosos no garantiza estar protegido

Uno de los puntos centrales de la exposición fue que comprar tecnología de seguridad no equivale, por sí solo, a tener una estrategia eficaz de ciberseguridad.

Suk Ho advirtió que las empresas pueden invertir en antivirus, equipos de protección de redes y contraseñas, pero mantener puntos vulnerables que los delincuentes aprovechan para ingresar.

Un ejemplo es el trabajo remoto. Cuando un empleado utiliza una computadora desde su casa o se conecta a una red externa, los mecanismos de protección instalados exclusivamente en la oficina pueden no ser suficientes para proteger ese dispositivo.

Por eso, las medidas de seguridad deben acompañar a los equipos y trabajadores también fuera de las instalaciones, con controles adecuados para los accesos, las conexiones y la información.

El especialista también se refirió a las certificaciones y auditorías internacionales que algunas empresas deben cumplir para trabajar con determinados clientes. En esos casos, las organizaciones necesitan revisar los requisitos específicos de seguridad aplicables a su sector, sus contratos y sus certificaciones, en lugar de asumir que cualquier antivirus o dispositivo será suficiente.

La recomendación es evaluar la protección como un sistema completo, no como una colección de productos tecnológicos.

Un disco duro externo no siempre es un respaldo seguro

Otro de los riesgos señalados durante la sesión fue la falsa sensación de seguridad que puede generar tener copias de los archivos en un disco duro externo o en una plataforma en la nube.

Aunque realizar respaldos es indispensable, no todas las copias ofrecen el mismo nivel de protección.

Si el dispositivo está conectado permanentemente a la computadora o al servidor comprometido, el malware podría alcanzar también la información respaldada, dependiendo de los permisos y de la configuración utilizada.

Suk Ho destacó la importancia de los respaldos inmutables, diseñados para impedir que la información guardada sea modificada o eliminada durante un periodo determinado, incluso si un atacante obtiene ciertos accesos.

Estos mecanismos pueden implementarse mediante soluciones especializadas y políticas de almacenamiento que protejan las copias frente a cambios no autorizados.

Para una empresa, la diferencia puede ser decisiva: contar con información recuperable permite reducir el tiempo de inactividad y evitar que un incidente se convierta en una crisis prolongada.

No obstante, disponer de respaldos no es suficiente. También es necesario comprobar periódicamente que funcionan y que los datos pueden recuperarse.

Las tres medidas para reducir el riesgo de un ciberataque

Durante el webinar, Suk Ho sostuvo que la ciberseguridad empresarial debe apoyarse en tres elementos esenciales: capacitación continua, mecanismos de contención y una estrategia que permita recuperar la operación.

1. Capacitar al personal con ejercicios periódicos

La primera medida consiste en enseñar a los trabajadores a reconocer correos sospechosos y practicar mediante simulaciones controladas de ataques.

En lugar de esperar a que ocurra un incidente para señalar errores, las empresas pueden realizar ejercicios inofensivos que ayuden al personal a identificar señales de alerta.

El objetivo es que los colaboradores desarrollen el hábito de detenerse y verificar antes de abrir archivos, compartir información o ingresar sus contraseñas.

2. Contener el ataque cuando ocurre

La segunda medida consiste en contar con un protocolo claro para actuar rápidamente cuando alguien detecta que abrió un enlace sospechoso o descargó un archivo desconocido.

Suk Ho recomendó desconectar de inmediato de la red el equipo posiblemente comprometido, desactivando el Wi-Fi o desconectando el cable de red, sin apagarlo inicialmente, y avisar al área de sistemas o al responsable de seguridad informática.

Esto puede ayudar a limitar la propagación del incidente, aunque no garantiza que el ataque quede detenido.

El equipo especializado deberá evaluar lo ocurrido, proteger las cuentas afectadas, revocar sesiones activas cuando corresponda, cambiar las credenciales comprometidas desde un dispositivo seguro y determinar si otros sistemas fueron afectados.

La actuación debe ajustarse al protocolo de respuesta de cada organización.

3. Preparar la recuperación de la empresa

La tercera medida consiste en asegurarse de que la compañía pueda recuperar su información y continuar operando si los sistemas quedan fuera de servicio.

Esto implica mantener respaldos protegidos, probar su restauración, limitar los accesos de cada usuario a lo estrictamente necesario y establecer procedimientos para recuperar los sistemas prioritarios.

La pregunta no es solamente cómo impedir que un delincuente entre, sino qué tan preparada está la empresa para resistir el ataque y recuperarse si logra ingresar.

¿Cómo identificar un correo falso antes de hacer clic?

Suk Ho compartió tres recomendaciones prácticas para que trabajadores, directivos y cualquier usuario puedan reconocer señales de un posible fraude digital.

1. Revisa la dirección real del remitente.

No basta con que el mensaje muestre el nombre o el logotipo del SAT, un banco o un proveedor. Hay que verificar la dirección completa desde la que fue enviado y comprobar que corresponda al canal oficial.

Una dirección extraña, con errores de escritura o perteneciente a un servicio de correo gratuito puede ser una señal de alerta. Aun así, una dirección aparentemente legítima tampoco garantiza que el mensaje sea auténtico.

2. Desconfía de las amenazas y la urgencia excesiva.

Los mensajes que exigen pagar inmediatamente, advierten de multas, amenazan con bloquear una cuenta o establecen plazos muy cortos buscan presionar al destinatario para que actúe sin verificar.

Ante una solicitud inesperada, lo más seguro es consultar directamente el portal oficial o contactar al supuesto remitente mediante un número o canal previamente conocido.

3. Comprueba los enlaces antes de abrirlos.

En una computadora, se puede colocar el cursor sobre un enlace sin hacer clic para revisar la dirección de destino que muestra el navegador o el programa de correo.

Si el sitio no coincide con el dominio oficial, contiene palabras extrañas o presenta variaciones sospechosas, no debe abrirse.

En teléfonos celulares, donde no siempre es posible revisar el destino de la misma manera, conviene mantener presionado el enlace solo si la aplicación permite mostrar una vista previa segura, o evitarlo y entrar directamente al sitio oficial.

También es importante recordar que los mensajes fraudulentos pueden tener buena ortografía, logotipos correctos e incluso imitar conversaciones reales.

¿Qué hacer si ya abriste un enlace sospechoso?

Una de las recomendaciones más importantes de los especialistas fue que el trabajador informe inmediatamente lo ocurrido, incluso si siente vergüenza o temor a recibir una sanción.

Si se descargó un archivo sospechoso o se hizo clic en un enlace que podría ser malicioso, se recomienda:

• Desconectar el equipo de la red si existe sospecha de infección, siguiendo el protocolo de la empresa.
• Avisar de inmediato al área de sistemas o al responsable de seguridad informática.
• No borrar archivos, intentar limpiar el equipo por cuenta propia ni continuar utilizando el dispositivo como si nada hubiera pasado.
• Si se ingresó una contraseña, informar qué cuenta pudo quedar expuesta para que el equipo de seguridad tome medidas desde un dispositivo confiable.
• Si se proporcionaron datos bancarios o se autorizó una operación, contactar de inmediato a la institución financiera por sus canales oficiales.

Los especialistas insistieron en que actuar rápido puede ayudar a reducir el daño. La comunicación inmediata permite investigar el incidente, proteger otros equipos y evitar que el problema avance sin que la organización lo sepa.

De la cultura del regaño a la cultura de la prevención

Para Laura Cárdenas y Suk Ho, una empresa no puede depender únicamente de que sus trabajadores nunca cometan errores. La presión laboral, la distracción y los engaños cada vez más convincentes hacen necesario contar con mecanismos que reduzcan las consecuencias de una equivocación.

Por ello, plantearon la importancia de cambiar la cultura organizacional: en lugar de castigar automáticamente a quien reporta un error, las empresas deben promover que los empleados comuniquen cualquier incidente de inmediato.

Si una persona teme perder su empleo por admitir que abrió un correo sospechoso, puede optar por guardar silencio y permitir que el ataque avance.

En cambio, cuando sabe que puede reportar lo sucedido sin ocultarlo por miedo, la organización tiene más posibilidades de reaccionar a tiempo.

La prevención también implica revisar los permisos de acceso, mantener los sistemas actualizados, proteger las cuentas con autenticación multifactor y establecer procedimientos claros para responder a incidentes.

La pregunta que deben hacerse los empresarios

El mensaje central del webinar organizado por Coparmex León fue que la ciberseguridad no debe considerarse únicamente un asunto del departamento de sistemas, sino una responsabilidad de toda la organización.

La protección de la información está directamente relacionada con la continuidad del negocio, la confianza de los clientes y la capacidad de una empresa para seguir trabajando ante una emergencia.

Por eso, los especialistas invitaron a los directivos a cuestionarse si sus equipos están preparados para identificar amenazas, si cuentan con respaldos que realmente puedan recuperar y si existe un plan para responder cuando un sistema queda comprometido.

Porque, como expusieron durante la sesión, un ciberataque puede comenzar con un solo clic, pero sus consecuencias pueden alcanzar a toda la empresa.

La diferencia entre una interrupción controlada y una crisis de grandes dimensiones puede estar en la preparación previa, la rapidez de respuesta y la capacidad de aprender de los errores antes de que sea demasiado tarde.