Los atacantes no tiran servidores; usan las credenciales que tu proveedor se llevó a su casa. Por qué ver gráficas bonitas no es hacer ciberseguridad.

En las organizaciones persiste una costumbre tan costosa como peligrosa: sentarse frente a pantallas llenas de gráficas y asumir que, porque una consola de seguridad muestra millones de intentos de conexión bloqueados, el negocio está a salvo.

Resulta cómodo autorizar presupuestos para infraestructura, enlaces dedicados y herramientas de monitoreo respaldadas por consultoras internacionales. Esa información es útil; ayuda a parchar vulnerabilidades conocidas y a contener ataques automatizados. Sin embargo, mirar tableros se ha convertido en el sustituto perfecto del trabajo de fondo. Las empresas pagan fortunas para vigilar la infraestructura perimetral, mientras la información crítica sale por los accesos cotidianos sin que suene una sola alarma.

La realidad operativa de cualquier CIO o director de tecnología es cruda: las filtraciones más graves rara vez ocurren porque un adversario derribe la red a la fuerza. Ocurren porque alguien inició sesión con credenciales legítimas y descargó lo que quiso. Mientras el equipo se felicita por los ataques repelidos en el tablero, las puertas traseras y las ventanas rotas siguen abiertas dentro de la propia casa.

La resistencia arriba y el ángulo ciego en TI

El descontrol empieza en los escritorios con mayor jerarquía. Los puestos directivos concentran los datos más sensibles del negocio: estados financieros, nóminas, listas de precios, contratos estratégicos y accesos bancarios. Sin embargo, cuando se les pide cumplir con controles elementales —autenticación por hardware, caducidad de sesiones o restricciones de descarga—, la respuesta habitual es la molestia: «A mí no me quites tiempo» o «Haz una excepción con mi cuenta porque soy el director». Es una contradicción grave: quienes administran el mayor impacto operativo son los primeros en exigir privilegios que debilitan a toda la organización.

Pero la resistencia directiva es solo la mitad del problema. El otro flanco, casi nunca auditado, vive dentro del propio departamento de tecnología: los administradores de sistemas y los equipos de TI.

¿Quién vigila a quienes tienen las llaves maestras? En muchas empresas, el personal técnico opera en servidores de producción, consolas de nube y motores de bases de datos sin bitácoras independientes ni supervisión cruzada. Comparten contraseñas de superusuario por practicidad, dejan sesiones abiertas y ejecutan cambios sin registro. Asumir que un usuario no representa un riesgo de fuga solo porque está en la nómina de TI es una ingenuidad que cuesta millones.

El espejismo del proveedor y el papel mojado del NDA

El eslabón más vulnerable, sin embargo, entra con gafete de visitante: los proveedores de servicios, casas de desarrollo, plataformas SaaS y consultores que vienen a implementar soluciones, incluidas las de inteligencia artificial.

Para conectar una herramienta o entrenar un modelo, la práctica habitual es entregarles credenciales directas a bases de datos con información real de clientes y operaciones. Meses después, cuando los registros aparecen publicados en internet, la organización entra en pánico: «¿Quién se llevó los datos?». La respuesta suele ser obvia: el desarrollador externo al que nadie le revocó el acceso, la agencia que usó llaves sin rotar o el consultor que se llevó un respaldo completo a su computadora personal para «trabajar el fin de semana».

En ese momento, el área legal saca con orgullo el acuerdo de confidencialidad (NDA). Un NDA es papel mojado frente a una fuga consumada. No repara el daño reputacional, no frena la extorsión y no detiene a las autoridades que hoy investigan y persiguen de oficio a las organizaciones por descuidar los datos de sus clientes. Ningún contrato firmado exime a la empresa de su responsabilidad fiduciaria ante una mala gobernanza técnica.

La caja negra interna: empleados armando APIs y puentes ciegos con IA

Hay un riesgo todavía más oscuro y desatendido, una verdadera caja negra gestándose en los escritorios de cada área operativa.

Hoy, cualquier colaborador con acceso a plataformas de desarrollo asistidas por inteligencia artificial puede resolver problemas por su cuenta sin pedirle permiso ni ayuda a TI. En cinco minutos, el analista de Cuentas por Cobrar, el gerente de operaciones o la gente de ventas

genera un script o monta una pequeña aplicación que automatiza su reporte y le arregla el día. Salen felices de la jornada porque se saltaron la burocracia técnica del área de sistemas. Lo que nadie les explicó —porque la organización no se molestó en formarlos ni en poner reglas claras— es lo que esas herramientas generan por debajo: APIs. Esa palabra técnica que todo el mundo repite pero muy pocos entienden cómo funciona en la práctica.

Para que su flamante aplicación funcione, el empleado conecta esa herramienta directo al ERP, al CRM o a la base de datos corporativa. Abre conexiones vivas, genera llaves de acceso sin expiración y expone canales de comunicación directos con los repositorios centrales del negocio. Son puertas traseras creadas por el propio personal operativo, completamente invisibles para el equipo de seguridad y desprovistas de cualquier control básico de autenticación, cifrado o privilegios mínimos.

El golpe no vendrá de inmediato. La bomba de tiempo queda armada en silencio. En seis o doce meses, cuando la base de datos completa de clientes, contratos y estados de cuenta aparezca a la venta o en manos de la competencia, nadie sabrá cómo salió. Nadie en el comité va a sospechar que la fuga masiva no vino de un ataque externo sofisticado, sino de una API descuidada que Juan, el de Cuentas por Cobrar, dejó abierta al mundo para ahorrarse diez clics en su reporte semanal.

Menos burocracia de papel, más trabajo de seguridad real

La seguridad no se resuelve llenando listas de verificación para pasar auditorías de ISO 27001, ni se gestiona contemplando consolas de monitoreo. El cumplimiento en papel no equivale a control operativo.

Proteger los activos del negocio exige levantarse del escritorio y hacer el trabajo de campo que casi nadie quiere encarar:

• Mapear el inventario real: Conocer la ubicación exacta de cada base de datos, entender cómo está estructurada y saber con precisión quién tiene privilegios para consultarla o exportarla.
• Eliminar privilegios heredados: Suprimir cuentas genéricas de administrador, revocar accesos acumulados por promociones internas y cortar de inmediato las credenciales de proveedores cuyos proyectos ya concluyeron.
• Aislar ambientes y anonimizar datos: Prohibir de manera tajante el uso de información real de clientes en entornos de desarrollo, pruebas o despliegue de modelos de terceros; utilizar datos sintéticos o enmascarados.
• Auditar integraciones y conexiones de usuario: Rastrear qué llaves de API, conectores y scripts se han generado desde las áreas de negocio hacia los sistemas centrales (ERP, CRM), imponiendo visibilidad y control sobre las herramientas de IA generativa que el personal utiliza por su cuenta.
• Verificar respaldos en frío: Asegurar que las copias de seguridad estén protegidas contra escritura, aisladas de accesos directos de red y probadas periódicamente con ejercicios reales de restauración.

Las pantallas de monitoreo ayudan, pero no hacen la tarea por nosotros. Si las organizaciones no asumen la disciplina de revisar sus estructuras, supervisar a sus propios administradores, controlar con rigor a cada proveedor y gobernar las conexiones que sus propios empleados crean a ciegas, seguirán gastando millones en vigilar la entrada, mientras el negocio se drena por los accesos que nadie se molestó en cerrar.