Los ciberdelincuentes creen que es un blanco fácil. Demuéstreles que no

A nadie le gusta tener que gestionar decenas, o incluso cientos, de contraseñas que cambian constantemente. Por eso, no sorprende que el director de operaciones (COO) de una firma de capital privado, frustrado con esta situación, simplemente decidiera no hacerlo. En su lugar, utilizaba una única contraseña para la mayoría de sus cuentas, tanto personales como profesionales.

Lo que ocurrió después tampoco debería sorprender: en un ataque informático que no tenía relación con su trabajo, unos ciberdelincuentes obtuvieron su contraseña. A partir de ahí, la utilizaron para primero acceder a su correo electrónico personal, luego al profesional y, finalmente, a toda la empresa.

El resultado: un ataque de secuestro de datos (ransomware). Los sistemas de la firma quedaron paralizados y los empleados no pudieron trabajar durante semanas, sin contar los costos financieros y el daño a la reputación. Una pequeña molestia personal podría haber evitado la brecha de seguridad y sus consecuencias.

Prevenir los ciberataques va mucho más allá de implementar la tecnología de seguridad adecuada. Su empresa —incluidas las personas que la integran y sus procesos— también puede ser vulnerable. Con frecuencia, los ciberdelincuentes buscan una vía de entrada a través de dispositivos que les permita permanecer allí sin ser detectados, recopilar información y entender cómo opera antes de lanzar un ataque de mayor envergadura.

Muchas familias con patrimonios importantes, empresas y oficinas familiares están, en gran medida, poco preparadas para hacer frente a estas amenazas.

Un panorama delictivo sofisticado

Ciberataques, bots automatizados, contenidos falsos creados con inteligencia artificial (deepfakes), vulnerabilidades en el software de la cadena de suministro, secuestro de datos (ransomware): el panorama actual de la ciberdelincuencia es mucho más sofisticado que hace apenas unos años. Y esto afecta a empresas de todos los tamaños, no solo a las grandes organizaciones cuyas brechas de seguridad aparecen en las noticias.

De hecho, el 75% de los ciberataques tiene como objetivo a pequeñas y medianas empresas¹. Esto se debe, en parte, a que no cuentan con las defensas sólidas de las organizaciones más grandes y, en parte, a que muchos empresarios creen erróneamente que estar en la nube garantiza la seguridad. Una vez que un ciberdelincuente consigue acceder a una compañía, intentará abrirse paso por sus sistemas para extraer datos valiosos y, en general, causar estragos.

En busca de un blanco fácil

Las personas y familias con grandes patrimonios, las oficinas de inversión y familiares y las empresas privadas resultan especialmente atractivas para los ciberdelincuentes por la riqueza que se les atribuye, sus importantes recursos y su amplia huella digital. En nuestro Informe Global de Oficinas Familiares 2024, el 24% de las oficinas familiares encuestadas afirmó haber sido víctima de ciberataques. Entre aquellas con más de mil millones de dólares en activos, el 40% señaló haber sufrido una brecha de seguridad.

Sin embargo, nuestra investigación revela que, en general, las oficinas familiares no están suficientemente preparadas. Solo el 39% exige que su personal reciba capacitación en ciberseguridad y apenas el 34% ha contratado a un proveedor de servicios de ciberdefensa². Casi una cuarta parte —el 23%— no cuenta con ningún tipo de protección frente a las amenazas cibernéticas.

Al igual que otros delincuentes, los ciberdelincuentes buscan el eslabón más débil. Y, con frecuencia, ese eslabón son las personas. Para obtener información que, de otro modo, estaría protegida, recurren a distintas técnicas de ingeniería social, como el fraude por correo electrónico y mensajes de texto y la manipulación de códigos QR y de la voz. Mantenga una actitud escéptica ante cualquier solicitud de dinero o información sobre su organización y verifíquela siempre a través de otro canal.

Asegúrese de que la inteligencia artificial trabaje a su favor, no en su contra

Si bien la inteligencia artificial (IA) puede mejorar la productividad, también plantea riesgos para la seguridad.

Las plataformas y herramientas de IA pueden conservar todo lo que usted introduce en ellas. Por ello, es fundamental establecer medidas que protejan la información empresarial y personal. Si utiliza una herramienta pública de IA para leer y revisar currículums sin disponer de una licencia empresarial, todo el contenido procesado —nombres, direcciones y otros datos potencialmente confidenciales— pasa a formar parte de una plataforma basada en un modelo de lenguaje de gran tamaño (LLM) que usted no controla.

Para utilizar la IA de forma segura:

• Use una dirección de correo electrónico independiente dedicada exclusivamente a la herramienta de IA. Si ésta es pública, no emplee la misma dirección que usa para comunicarse con su banco o gestionar información confidencial.
• Asegúrese de verificar todas las solicitudes a través de dos canales de comunicación, como videollamadas, llamadas telefónicas o mensajes de texto. Una falsificación digital creada con IA puede resultar tan convincente que lleve a una persona a revelar información confidencial o autorizar una transacción.
• Es especialmente importante revisar los procesos y protocolos de pago para determinar si podrían resistir un ataque de ingeniería social impulsado por IA. Actúe de forma proactiva y manténgase alerta ante la rápida evolución de estas herramientas y su incorporación al entorno laboral. Incluso el personal con menos experiencia debe tener la confianza necesaria para cuestionar una solicitud relacionada con información confidencial y validarla a través de otro canal.

Evaluación y mejora de la preparación en ciberseguridad

No existe una forma infalible de proteger su empresa de los ciberdelincuentes. Sin embargo, todo empresario, persona con un gran patrimonio u oficina familiar puede adoptar medidas para reducir los riesgos y limitar los daños en caso de una brecha de seguridad.

• Recurra a profesionales:

Si no es experto en ciberseguridad, no intente desenvolverse por su cuenta en un entorno tan complejo. Busque especialistas y asesores de confianza para evaluar y establecer controles que abarquen a las personas, los procesos y la tecnología de su organización. Incluso si ya cuenta con este tipo de apoyo, es importante revisar y mantener las medidas implementadas para garantizar que sus defensas sigan siendo sólidas y estén actualizadas.

• Realice una evaluación de ciberseguridad:

Considere comenzar con una evaluación integral a cargo de una firma reconocida. Este proceso permitirá identificar vulnerabilidades específicas, priorizar las más importantes y abordarlas de manera eficaz. Un análisis exhaustivo permite detectar posibles puntos débiles mediante pruebas de red, controles de acceso físico y evaluaciones de ingeniería social.

• Entrene al personal y a la familia:

Informe a su personal sobre posibles vulnerabilidades, como el fraude por correo electrónico, mensajes de texto, códigos QR y llamadas telefónicas, así como solicitudes de pago fraudulentas y otros métodos que utilizan los ciberdelincuentes para acceder a información o dinero. Fomentar una cultura de vigilancia ayudará a reducir el riesgo de que la seguridad se vea comprometida.

Los miembros de la familia también deben estar preparados. Si alguien tiene edad suficiente para abrir una cuenta en redes sociales, también debe aprender a utilizarla de forma segura. Es importante enseñar a los adolescentes a no compartir información que revele demasiado sobre las actividades y ubicación de la familia. Disfrute de ese gran viaje, pero espere a regresar a casa para compartirlo con el mundo.

• Autenticación multifactor:

Puede suponer una pequeña molestia, pero nada comparable con un ataque de secuestro de datos o extorsión. Además, es una de las capas de defensa más sólidas disponibles tanto para particulares como para empresas. Utilícela siempre que sea posible, tanto en el ámbito personal como profesional, especialmente para proteger datos críticos y accesos remotos. Y una ventaja adicional: su uso podría incluso reducir las primas de su seguro contra riesgos cibernéticos.

• Controle el acceso:

Adopte en toda su organización una política basada en el principio de “necesidad de saber”, de modo que solo las personas, aplicaciones y herramientas que realmente necesiten determinada información tengan acceso a ella. Estas políticas no tienen que ver con confiar o desconfiar de los empleados, sino con limitar los daños en caso de que alguien acceda a sus sistemas utilizando las credenciales de uno de ellos; en esencia, haciéndose pasar por esa persona.

Ante la rápida evolución de las amenazas cibernéticas y su creciente gravedad, es mucho mejor invertir una suma razonable en evaluación y prevención que terminar pagando un precio exorbitante —en dinero, reputación y complicaciones— por un ataque de secuestro de datos o extorsión que podría haberse evitado.

Podemos ayudarle

Proteger sus activos e información es nuestra prioridad. En un entorno de amenazas en constante evolución, mantenemos el compromiso de ofrecer servicios seguros y resilientes a nuestros clientes y socios. Para obtener más información y recursos que contribuyan a reforzar la seguridad de su familia y su empresa, comuníquese con su equipo de J.P. Morgan.