En el día a día de una empresa, los archivos se abren, se editan, se comparten. Las contraseñas se anotan en cuadernos. Se reenvían mails con adjuntos sensibles. ¿Te preguntaste alguna vez qué pasa con esos datos cuando vos no estás frente a la pantalla?
Un martes a las 3 de la tarde
Imaginá este escenario real que vemos todo el tiempo en WIT: es martes, las 3 de la tarde. Tu gerente administrativo abre el correo, y encuentra un mensaje que parece venir de tu proveedor de hosting. El asunto dice «Factura pendiente – acción requerida». El diseño, el logo, todo se ve correcto. Hace clic en el botón que dice «Ingresar aquí».
Son 5 segundos. El usuario entra sin saberlo a un sitio falso y pone sus credenciales. En ese momento exacto, alguien al otro lado del mundo ya tiene acceso a su cuenta de correo, a los documentos compartidos, a las facturas de clientes, a los números de proyectos en curso.
¿Lo malo? Que nadie se da cuenta hasta una semana después, cuando una cliente pregunta por qué recibió un mail tuyo pidiendo datos de su empresa. Para entonces, el daño ya está hecho. Los datos ya viajaron a otro lado. La confianza con ese cliente está comprometida.
Este no es un escenario ficticio. Es lo que ocurre en empresas medianas argentinas cada semana. Y casi siempre, el problema no fue el antivirus. Fue un clic.
La mayoría de las empresas presta atención a su información solo cuando hay un problema
Los riesgos más comunes —pérdidas de datos, accesos indebidos, ataques de phishing— no ocurren de forma visible. Suceden cuando menos lo esperás. Y la mayoría de los directores que hablamos reconocen que nunca pensaron en ciberseguridad hasta que algo pasó.
Un servidor que crashea es obvio. Un ataque de ciberseguridad no lo es. Muchas veces los datos están siendo exfiltrados sin que nadie lo sepa.
La seguridad no es solo para grandes empresas
Las pymes y estudios también son blanco frecuente. En WIT lo vemos a diario. Y de hecho, somos blancos más fáciles que las grandes corporaciones, que tienen departamentos de IT dedicados a defensa.
Los escenarios más comunes que encontramos:
- Un link de phishing abierto por desconocimiento: Un empleado recibe un correo que parece ser de tu banco, de un proveedor importante, o de tu propio jefe pidiendo una «confirmación urgente». Abre el link. Descarga un archivo adjunto. Ingresa datos. Es el primer eslabón del ataque.
- Un backup mal configurado: Tenés una solución en la nube, pero nadie verificó si realmente se está haciendo copia de seguridad. La mayoría de las empresas medianas asume que está configurado cuando en realidad nunca nadie lo validó. Hasta que hay un ransomware y descubrís que no hay nada que restaurar.
- Permisos mal asignados en carpetas compartidas: Cuando crece la empresa y cambian roles, los permisos en SharePoint o Google Drive quedan desordenados. El gerente comercial ve los numeros financieros. El practicante nuevo tiene acceso a datos de clientes. Nadie se da cuenta porque no hay forma fácil de auditar quién ve qué.
- Contraseñas compartidas o reutilizadas: Esa contraseña del WiFi que todos en la oficina saben. Esa cuenta de Netflix que usa la mitad del equipo. Ese usuario genérico «empresa» que utilizan tres personas. Cuando alguien se va, ese acceso no se revoca. O peor: se reutiliza en otras plataformas.
- Archivos sensibles en descargas o email: Facturas con números de cliente. Datos de empleados. Presupuestos ganados. Todo llega por mail y termina en la carpeta Descargas de 5 computadoras diferentes. Si una computadora se infecta, todo está disponible.
Pero el mayor riesgo no es tecnológico. Es cultural. Es decir: si vos y tu equipo no saben qué datos son sensibles, cómo protegerlos y por qué importa, ninguna herramienta va a funcionar.
La cultura tecnológica como primera línea de defensa
No alcanza con tener herramientas si la gente no sabe usarlas o no entiende por qué son importantes. Un usuario capacitado no abre cualquier archivo adjunto, no reenvía credenciales por WhatsApp, entiende el valor de los datos que maneja, y avisa cuando algo le parece raro.
Los errores humanos que más impacto generan:
- Abrir adjuntos sin pensar: Vos recibís un Excel que te manda alguien de tu dominio, lo abrís. En realidad, ese correo fue falsificado. El archivo tiene un virus. Para cuando te das cuenta, ya se ejecutó.
- Usar la misma contraseña en todo: Tu empleado usa «empresa123» en el correo corporativo, en LinkedIn, en su cuenta bancaria personal, en Facebook. Alguien hackea un sitio menor, obtiene la contraseña, y prueba en todos lados. Entra a tu sistema de la primera.
- Compartir pantalla sin revisar qué hay atrás: En una videollamada, el contador comparte pantalla para mostrar un documento, pero en la barra de tareas quedan visibles 15 pestañas abiertas con datos sensibles. Alguien las anota. O directamente toma una foto.
- Responder a correos de «verificación»: «Ingresá tu usuario y contraseña para verificar tu cuenta». Parece oficial. Tiene el logo. Pero no lo es. Y ahora alguien tiene tus credenciales.
Cómo capacitar sin asustar:
La capacitación en ciberseguridad no tiene que ser un sermón aburrido. No se trata de decir «ahora todos van a ser hackeados». Se trata de crear conciencia con ejemplos reales que resonén con el trabajo diario.
En WIT usamos simulaciones de phishing real: mandamos correos falsos al equipo (sin riesgos), vemos quién cae, y ahí sí capacitamos. Al día siguiente, nadie vuelve a caer. No es castigo. Es aprendizaje en contexto.
También ayuda ser sincero: la seguridad perfecta no existe. Lo que sí existe es «estar preparado». Y estar preparado significa que si pasa algo, lo detectás rápido, limitás el daño, y recuperás. Eso tranquiliza más que cualquier promesa de seguridad total.
El equipo necesita entender que cuidar la información no es trabajo del que administra los servidores. Es trabajo de todos. Si alguien recibe un mail sospechoso y lo reporta en lugar de abrirlo, esa persona está protegiendo a toda la empresa.
Las herramientas que usamos para cuidar la información
El ecosistema Microsoft 365 es lo que recomendamos para la mayoría de empresas medianas porque ofrece cobertura sin complejidad. Acá va qué hace cada una, en lenguaje que el dueño o director de empresa entiende:
Defender for Office 365: el guardia en la puerta del correo
Antes de que un correo llegue a tu bandeja, pasa por un análisis automático que verifica si es phishing, si tiene malware, si el link es falso. Si algo parece peligroso, no llega. Así evitás los escenarios que describimos al principio.
¿Por qué importa? Porque una empresa mediana recibe cientos de correos por día. Es imposible revisar cada uno. Esta herramienta lo hace por vos, 24/7, sin costo adicional si ya tenés Microsoft 365.
Simulación de phishing: entrenar con escenarios reales sin riesgo
Cada mes (o cada semana, según necesites), se envían correos falsos a tu equipo. Son diseñados para verse legítimos, pero no van a afectar nada si alguien cae. Podés ver quién abrió el link, quién ingresó datos.
Luego, WIT capacita específicamente a los que cayeron. Es como un simulacro de incendio, pero para ciberseguridad. Cuando llegue el ataque real, nadie cae.
MFA (autenticación de dos factores): la llave que no se puede falsificar fácil
Obligás a que cada ingreso a cuentas críticas (correo, acceso a sistemas, OneDrive compartido) requiera algo más que contraseña: un código en el celular, una biometría, una aprobación en otra app.
¿Por qué importa? Porque aunque alguien robe la contraseña en un phishing, no puede entrar sin ese segundo factor. Es la diferencia entre perder la llave de la puerta y perder la llave y el código de la cerradura.
Auditoría de accesos: ver exactamente quién vio qué y cuándo
Cada vez que alguien abre un archivo en SharePoint o descarga algo de OneDrive, queda registrado: quién fue, a qué hora, desde dónde, qué dispositivo usó. Si algo sospechoso ocurre, podés rastrearlo exactamente.
¿Por qué importa? Porque cuando hay un incidente (datos filtrados, archivo borrado, acceso no autorizado), no estás adivinando. Tenés un registro claro. Y ese registro es responsabilidad legal también: en caso de un litigio, probás qué pasó.
Alertas y automatización: detección temprana de problemas
Configuramos alertas que te avisan si alguien intenta acceder desde un país extraño, si hay un cambio sospechoso en permisos, si alguien baja muchos archivos de golpe. Y además automatizamos respaldos: el backup se hace sin que nadie tenga que acordarse.
¿Por qué importa? Porque detectar temprano es la diferencia entre «alguien probes acceder» y «alguien se lleva todo».
Versionado de archivos: recuperar lo que se borró o se modificó
Tus archivos en OneDrive y SharePoint guardan versiones anteriores. Si alguien borra sin querer (o a propósito), recuperás. Si un ransomware cifra todo, tenés un punto atrás que no está cifrado.
¿Por qué importa? Porque los errores humanos ocurren. Y los ataques de ransomware también. Cuando pasa uno u otro, el versionado es lo que te salva.
Los 3 errores más comunes que vemos en empresas medianas
1. No revisar quién accede a qué después de cambios de rol
Alguien se va de la empresa. Lo obvio es deshabilitar su usuario. Pero ¿qué pasa con los permisos de carpetas compartidas? ¿Los grupos de distribución de mail? ¿Las licencias de software? En la mayoría de los casos, nadie lo revisa. Entonces el expreferidor sigue teniendo acceso a información sensible. O peor: algún mal intencionado entra con esas credenciales.
Lo que deberías hacer: cuando alguien se va, hay un checklist. Correo deshabilitado. Acceso físico revocado. Permisos en todos los sistemas auditados. Licencias reasignadas. Toma tiempo, pero es crítico.
2. Asumir que el backup está funcionando sin validarlo
Uno de nuestros clientes pagaba un servicio de backup en la nube desde hace tres años. Nadie lo cuestionaba. Hasta que un ransomware cifró todo y se dieron cuenta: el backup estaba configurado pero no estaba realmente respaldan nada. Tres años de dinero tirado a la basura, y sin forma de recuperar datos.
Lo que deberías hacer: auditar el backup. Verificar que funciona. Cada tanto, hacer un restauro de prueba de un archivo para confirmar que se puede recuperar realmente.
3. Usar contraseñas débiles o compartidas para accesos críticos
La contraseña de admin del servidor es «empresa» desde 2015. El acceso a la máquina virtual que alberga la base de datos es compartido entre 4 personas. El correo de soporte tiene una contraseña que figura en un Post-it pegado en el monitor.
Son situaciones reales. Y son críticas porque si alguien entra desde afuera, o alguien interno actúa maliciosamente, no hay forma de saber quién hizo qué.
Lo que deberías hacer: cada usuario crítico tiene su propia credencial fuerte. MFA obligatorio. Cambio periódico. Nunca compartido. Nunca anotado en papeles.
¿Cómo saber si tu empresa está expuesta?
No necesitás esperar a que algo malo pase. Hacé estos 4 preguntas hoy mismo:
- ¿Sabés qué datos tenés y dónde están? Tomá 15 minutos: listá dónde guardás información sensible (correos, facturas, datos de clientes, números de proyectos). ¿En la nube? ¿En una computadora vieja? ¿En ambas? Si no sabés, significa que no estás controlando nada.
- ¿Qué pasaría si mañana una computadora se infecta? ¿Tenés un backup de ayer? ¿De la semana pasada? ¿O no sabés? Llamá a tu proveedor IT y preguntale directamente: «Demostrá que tengo un backup funcional». Si no puede, ese es tu problema número 1.
- ¿Cuántos exempleados todavía tienen acceso a tus sistemas? Pensá en los últimos tres que se fueron. ¿Alguien deshabilitó sus cuentas? ¿En todos lados? ¿O solo en la obvia? Si no sabés, preguntale a tu gerente administrativo. Si no sabe, ya encontraste otro problema.
- ¿Tu equipo sabe reconocer un correo de phishing? Preguntale a 5 empleados (de diferentes áreas): ¿Qué hacés si recibes un correo pidiendo que confirmes tu contraseña? Si la mayoría responde «lo haría», ese es un problema cultural que necesita capacitación urgente.
Respondé estas preguntas. Si en alguna no sabés la respuesta, o si la respuesta te preocupa, ya sabés qué resolver primero.
La información es un activo
Y como todo activo, necesita cuidado, visibilidad y responsabilidad compartida. No es algo que delegás y listo. Es algo en lo que tu empresa invierte, junto con IT, para evitar riesgos.
La pregunta ya no es «¿qué pasa si…?», sino «¿estamos preparados para cuando pase?».
En WIT hacemos diagnósticos gratuitos de seguridad para empresas medianas. Evaluamos qué está bien, qué está expuesto, y por dónde empezar. ¿Tu empresa está cuidando bien sus datos? Hacé nuestro diagnóstico gratuito acá.
— Martín Díaz
Director de WIT Consultora IT
Especialista en ciberseguridad
