En las películas, entrar a un sistema es un duelo: alguien encapuchado teclea muy rápido y una barra de progreso avanza hasta que dice ACCESO CONCEDIDO. Esa escena hace daño, porque deja una conclusión cómoda: si el ataque es una hazaña técnica, entonces la seguridad es asunto de alguien con conocimientos técnicos, y no mío.
La realidad es mucho más aburrida y mucho peor. Casi nadie te ataca a ti. Un programa recorre internet probando la misma falla en millones de direcciones, y entra en las que la tienen. No hubo duelo: había una puerta abierta y la empujó.
La pregunta correcta no es «¿quién querría atacarme a mí?», sino «¿estoy en la lista de los que tienen la puerta abierta?». A la primera todos respondemos que nadie. La segunda tiene respuesta comprobable.
Verizon publica cada año un informe que analiza incidentes reales ocurridos en empresas de todo el mundo. No es una opinión: es el recuento de lo que de verdad pasó. Tres números de la edición de 2026 describen el panorama mejor que cualquier explicación.
Una falla conocida en un programa, un sistema operativo o un complemento de la página web. El fabricante ya publicó la corrección; el equipo no la instaló.
Es la primera vía de entrada, y en 2026 superó por primera vez a las contraseñas robadas.
Casi la mitad de los casos acaban con los archivos cifrados y una petición de dinero para devolverlos.
Es el desenlace más común, y el que convierte un problema informático en una empresa que no puede facturar el lunes.
El mismo enlace engañoso se pulsa mucho más desde el celular que desde el computador: la pantalla es pequeña, la dirección se corta y se revisa a medias, muchas veces caminando.
Fíjate en lo que dice el primer número: hoy entra más gente por un programa sin actualizar que por una contraseña robada. Durante años se repitió que el eslabón débil era siempre la persona. Sigue siendo un eslabón débil -las otras dos cifras lo demuestran-, pero el botón de «actualizar más tarde» pesa más. Y ese botón no lo pulsa un hacker: lo pulsamos nosotros, todos los días, porque estamos ocupados.
Los informes hablan de vectores de acceso inicial. En una oficina de quince personas eso se ve así de concreto.
El computador de la caja que sigue con el aviso de reiniciar aplazado desde hace semanas. El router que trajo el proveedor de internet y nadie volvió a tocar. La página web hecha hace tres años con un gestor de contenidos que no se actualiza desde entonces.
Ninguna de esas tres cosas parece urgente, y las tres aparecen en listas públicas de fallas conocidas que cualquiera puede consultar y que los programas automáticos recorren en busca de coincidencias.
La misma contraseña del correo del trabajo se usó hace cuatro años para registrarse en una tienda en línea. Esa tienda tuvo una fuga y la lista de correos y contraseñas se vende desde entonces.
Nadie tuvo que adivinar nada: la probaron tal cual, y funcionó porque era la misma. Es la razón por la que repetir contraseñas es peor que tener una contraseña corta.
Un correo del proveedor de siempre, con su logo y su firma, que avisa de un cambio de cuenta bancaria justo la semana en que efectivamente hay un pago pendiente. Un mensaje de la entidad financiera un viernes a las seis de la tarde. Un supuesto mensaje del jefe pidiendo algo urgente mientras está de viaje.
Ninguno funciona porque la víctima sea ingenua. Funcionan porque llegan en el momento en que ese mensaje tenía sentido.
Es la frase más repetida y la más peligrosa, porque parte de un error: da por hecho que alguien evaluó el negocio y decidió atacarlo. Nadie lo evaluó. El programa que prueba puertas no sabe si al otro lado hay un banco o una panadería, y le da igual.
Y sí hay algo que robar, aunque no sea dinero directamente:
Si los archivos quedan cifrados, no importa qué tan pequeño sea el negocio: no se factura, no se despacha y no se atiende hasta resolverlo. Para eso no hace falta ser un objetivo valioso, solo estar conectado.
Cédulas, teléfonos, direcciones, historiales de compra. Tienen valor para quien prepara el siguiente engaño, y además son datos personales con obligaciones legales encima.
Un correo enviado desde la cuenta de la empresa engaña muchísimo mejor que uno cualquiera. Una cuenta comprometida no solo es una víctima: se convierte en la herramienta del siguiente ataque, contra los clientes y proveedores de esa misma empresa.
Piensa qué le responderías a cada una. Luego toca la tarjeta.
Aquí está la buena noticia escondida entre las cifras: casi nada de esto requiere conocimientos técnicos. Las tres puertas se cierran con decisiones ordinarias -qué contraseña usas, cuándo actualizas, qué haces antes de pulsar un enlace-, y eso es exactamente lo que recorre el resto del curso.
No vas a salir de aquí sabiendo defender un banco. Vas a salir sabiendo que tu operación no está en la lista fácil, que es de lo que se trata.
Según el informe de 2026, ¿cuál es hoy la primera vía de entrada en un incidente?
El 31% de las brechas empieza por una falla conocida en software que no se actualizó, y en 2026 esa vía superó por primera vez a las contraseñas robadas. Es también la más fácil de cerrar: la corrección ya existe y solo hay que instalarla.
¿Por qué reutilizar la contraseña del correo del trabajo en una tienda en línea es un problema, aunque la contraseña sea larga y complicada?
Nadie tiene que adivinarla: ya la tienen. La complejidad de una contraseña no protege de nada cuando el atacante la obtuvo de otro sitio donde la usaste igual. Por eso lo grave no es que sea corta, sino que sea la misma.
Un negocio de doce personas dice: «aquí no hay nada que robar». ¿Cuál es el error de fondo?
No hubo evaluación ninguna. Lo que recorre internet probando fallas no sabe qué hay al otro lado. Y sí hay qué perder: la operación detenida, los datos de los clientes y el nombre de la empresa como herramienta del siguiente engaño.
Empezamos por la puerta de la llave. Vas a ver qué dice hoy la guía técnica de referencia sobre contraseñas -y por qué contradice tres de las costumbres más extendidas en las empresas, incluida la de obligar a cambiarlas cada mes-.
Siguiente: Contraseñas que sí sirven
Continuar