La puerta que nadie vigilaba
OPINIÓN
En 1453 Constantinopla cayó. Murallas imponentes, defensas sofisticadas, una ciudad que se creía inexpugnable. Sin embargo, según las crónicas de la época, una pequeña puerta secundaria, la Kerkoporta, habría quedado mal cerrada. Por ahí entraron los primeros soldados otomanos.
Algo parecido está ocurriendo hoy en las empresas europeas.
Un reciente informe de CrowdStrike sitúa a Europa como un mercado «premium» para el cibercrimen. No por ser el más débil, sino por combinar tres factores irresistibles: capacidad de pago, alta dependencia digital y una regulación que convierte cualquier incidente en un problema económico, reputacional y legal. Casi la cuarta parte de las víctimas de ransomware publicadas a nivel mundial están en Europa, y las organizaciones europeas tienen más del doble de probabilidades de ser atacadas que las de Asia-Pacífico. España es de los países más afectados y en Galicia la mitad de las empresas de más de 49 empleados han sufrido algún tipo de ataque el año pasado.
Lo inquietante es que no hablamos de ataques sofisticados o de temas técnicos especialmente complejos, sino que, cada vez más, los incidentes empiezan donde menos se invierte, con una persona. La puerta olvidada suele estar donde menos se protege: en el teléfono o en la bandeja de entrada y da lugar a diferentes ataques:
1.- Engaño directo. Correos, mensajes o llamadas creíbles que consiguen que alguien entregue credenciales, autorice un pago o instale un programa malicioso.
2. Credenciales reutilizadas o robadas. Usuarios y contraseñas que se repiten, se comparten o proceden de filtraciones anteriores. Una puerta abierta con llave legítima.
3. Configuraciones inseguras por costumbre. Equipos sin actualizar, dispositivos personales usados para trabajar, archivos sensibles enviados por WhatsApp o correo personal.
4. Conductas internas maliciosas, menos frecuentes.
¿Qué hacer cuando no se tienen grandes presupuestos para invertir en ciberseguridad?
Hay cinco iniciativas que ayudan a reducir el riesgo de forma inmediata:
1.- Limitar accesos. Cada persona debe tener solo lo que necesita. El exceso de privilegios es una invitación al desastre.
2. Proteger identidades con autenticación reforzada y control de accesos.
3. Copias de seguridad probadas No basta con tenerlas. Hay que saber restaurarlas y haberlo ensayado.
4. Exigir mínimos claros a los proveedores y terceros y después auditarlos.
5. Un plan de contingencia Quién decide, a quién se avisa y qué se corta en las primeras horas. Improvisar sale caro.
Según el informe de Osimga-IGE, en el 2025 únicamente el 22 % de las empresas gallegas ofreció formación en ciberseguridad a su plantilla, la mitad en las compañías más grandes. Y es precisamente la formación práctica y continua la que cambia comportamientos y refuerza la primera línea de defensa.
Constantinopla estaba ya debilitada por un largo asedio, la superioridad numérica otomana y la acción de los cañones, pero fue una puerta mal vigilada la que aceleró la caída. Incluso, empresas que invierten en grandes murallas tecnológicas, descuidan las decisiones cotidianas, las personas y los comportamientos. Invertir en formación práctica continua que cambie comportamientos y refuerce motivaciones es uno de los mecanismos de defensa más eficaces.
Empresario, si lees esto, recuerda que en ciberseguridad no suele entrar quien más sabe, sino por donde nadie estaba mirando. Revisa tus puertas. Protege tu legado.