Hay un multimillonario error en ciberseguridad que las empresas están ignorando: Lobitsky

Gabriel Lobitsky de One Identity explica por qué las identidades son el blanco principal de los ciberdelincuentes.

Hace unos años, proteger una empresa de los ciberataques era un asunto de perímetros físicos. Sin embargo, las reglas del juego cambiaron por completo. Instalabas un cortafuegos robusto en la entrada, ponías un antivirus en cada computador y confiabas en que la red estuviera blindada.

Pero esa muralla digital cayó. Hoy en día, la verdadera puerta de entrada para los ciberdelincuentes no es un servidor mal configurado. El objetivo prioritario son las credenciales de las personas y las claves de los sistemas. La gestión de identidades en ciberseguridad se convirtió, en efecto, en la primera y más crítica línea de defensa.

Gabriel Lobitsky, General Manager para América Latina de One Identity, explica en Pixelados la importancia de la gestión de identidades en ciberseguridad (humanas y no humanas) y cómo afectará el panorama tecnológico e industrial en Colombia al convertirse en el blanco prioritario de ciberataques por encima de la infraestructura tradicional.

Más sobre ciberseguridad: De la prevención a la ciberdefensa activa: por qué las empresas colombianas juegan con reglas viejas

Por qué los hackers prefieren robar la clave de tu jefe antes que infectar la red

En la ciberseguridad moderna, el camino más fácil es siempre el más peligroso. Durante una charla franca, Gabriel Lobitsky lo dejó claro desde el principio. Para los ciberdelincuentes es mucho más rentable suplantar a un usuario legítimo que romper un cifrado complejo. De hecho, obtener las claves del director financiero de una gran compañía les da la llave de todo el reino sin hacer ruido.

Por esta razón, los delincuentes no buscan tumbar servidores. En su lugar, prefieren la paciencia y el engaño. Lobitsky me explicó un caso hipotético pero alarmante sobre los sistemas ERP como SAP u Oracle:

Supongamos que un atacante suplanta la identidad del CFO. Ingresa al sistema, cambia la cuenta bancaria de un proveedor por la suya, aprueba una transferencia por un millón de dólares y, una vez realizado el pago, vuelve a dejar registrada la cuenta original. Es posible que pasen varios días antes de que alguien detecte el fraude, y para ese momento el dinero ya habrá desaparecido”.

Por lo tanto, la falta de políticas como la segregación de funciones multiplica este riesgo en las empresas. Si un solo usuario tiene privilegios excesivos, la seguridad colapsa. En consecuencia, el perímetro de la ciberseguridad ya no está en los cables. Ahora habita en las credenciales de cada colaborador.

Más sobre ciberseguridad: Así usan la app de tu banco para dejar en ceros tu cuenta

El peligro invisible de las identidades no humanas y la lección de 1.900 millones de libras

Sin embargo, el problema no termina en los correos de engaño a los empleados. De hecho, existe un frente mucho más extenso y descuidado. Me refiero a las identidades no humanas. Es decir, las APIs, las cuentas de servicio y los bots de inteligencia artificial que hablan entre sí a toda hora.

Para entender la dimensión, basta mirar las cifras. En One Identity calculan que por cada usuario humano existen cerca de 80 identidades digitales no humanas operando en silencio. No obstante, casi nadie les aplica el mismo control. En otras palabras, mientras a un empleado le exigen cambiar su clave cada mes, una API puede conservar la misma contraseña débil por diez años.

Y las consecuencias de este descuido son brutales. Lobitsky recordó el caso público de Jaguar Land Rover ocurrido hace aproximadamente un año:

Las pérdidas estimadas alcanzaron los 1.900 millones de libras esterlinas. ¿La causa? Una identidad no humana. En este caso era una API perteneciente a un proveedor externo. Nadie recordaba que esa API seguía activa. Un ciberdelincuente consiguió acceder a través de ella y logró detener durante meses parte de la operación de las plantas.”

Lo que sí queda claro es que la automatización sin gobierno es una bomba de tiempo. Un ciberdelincuente puede usar inteligencia artificial para probar combinaciones a gran velocidad. Por consiguiente, si la contraseña de una clave API no cambia, la entrada al sistema queda regalada.

Consejos de ciberseguridad: Los errores que jamás debes cometer si han hackeado tu correo

Por qué la ciberseguridad en Colombia sigue corriendo detrás de los hackers

Ahora bien, ¿qué tan preparada está la región para este escenario? La respuesta de Lobitsky es tajante. Desafortunadamente, Latinoamérica sigue muy atrasada en la protección de accesos.

Por ejemplo, menos del 1 % de las conversaciones comerciales con clientes en la región abordan las identidades no humanas. En contraste, las empresas colombianas todavía luchan por resolver tareas básicas. Muchas no han implementado autenticación multifactor (MFA) ni gobiernan bien su Active Directory.

Para ilustrar este descuido, Gabriel me mencionó un caso reciente ocurrido en Brasil. Durante una madrugada, el sistema nacional de alertas envió una falsa alarma de terremoto a millones de ciudadanos. De hecho, el atacante no necesitó un exploit sofisticado. Simplemente usó la cuenta de Active Directory de un exfuncionario público. La credencial llevaba años olvidada pero seguía activa en la dark web.

Por otra parte, cuando hablamos de soluciones, la tecnología PAM (Privileged Access Management) surge como un salvavidas necesario. Este sistema genera contraseñas dinámicas que duran apenas 15 o 20 minutos. Si el usuario no termina a tiempo, debe pedir una nueva clave. Por ende, la ventana de ataque para un hacker se reduce al mínimo.

Ruta prioritaria de madurez digital:

1. Fortalecer Active Directory (8 semanas)
2. Desplegar Autenticación Multifactor – MFA (Proyecto rápido
3. Implementar Gestión de Accesos Privilegiados – PAM (12 semanas)
4. Configurar Gobierno de Identidades – IGA (Hasta 2 años)

Sin embargo, el principal freno no es técnico ni económico. Más bien, radica en la comunicación interna. En muchas empresas, el CISO o el CIO sufren para traducir la ciberseguridad al lenguaje de la junta directiva. Si el proyecto se presenta solo como un gasto tecnológico, el board lo rechaza. Pero si se entienden los datos, la perspectiva cambia. Colombia registró cerca de 10.000 millones de intentos de ataque a identidades en el último año. Basta con que uno solo atraviese el escudo para desatar un caos financiero.

Los agentes de IA no autorizados son la nueva puerta de entrada a tu empresa

Finalmente, abordamos la llegada masiva de los agentes de inteligencia artificial autónomos. Sin duda, estas herramientas aumentan la productividad, pero abren fisuras graves si no se auditan.

Hoy en día, un empleado puede conectar su cuenta personal de ChatGPT a la red interna usando un token privado. Ese agente no oficial no pasa por el filtro del equipo de TI. Por consiguiente, queda expuesto sin gobierno.

Esta amenaza es real ante proyectos nacionales como Bre-B en Colombia, la nueva plataforma de pagos inmediatos. Lobitsky sugirió mirar el espejo de Pix en Brasil. En ese país, los fraudes no ocurrieron vulnerando la infraestructura del Banco Central. Por el contrario, los delincuentes compraron credenciales válidas a empleados de proveedores de servicios financieros.

Ese ejemplo demuestra que, muchas veces, el problema no está en la tecnología, sino en la protección de las identidades. Brasil, al ser el país más atacado de América Latina, también se ha convertido en un laboratorio del que Colombia, México y otros países pueden aprender.”

La lección que nos deja Gabriel Lobitsky es transparente. Puedes comprar la infraestructura más costosa del mercado. Sin embargo, si dejas abierta una clave de API o descuidas una cuenta antigua, la puerta de tu empresa seguirá sin llave.

En un mundo donde los bots de IA ejecutan procesos enteros de forma autónoma, la verdadera pregunta es: ¿sabes exactamente cuántas identidades no humanas operan en este momento dentro de tu compañía sin que nadie las supervise?