La IA acelera los ataques, pero alguien de su empresa todavía les abre la puerta

Cuando hablamos de inteligencia artificial y ciberseguridad, la conversación suele irse directo al escenario más cinematográfico: hackers apoyados por agentes autónomos, malware que se adapta, ataques ejecutados a velocidad de máquina y sistemas que encuentran vulnerabilidades antes de que el equipo de TI termine su primera junta del día.

Todo eso existe y merece atención. Pero mientras imaginamos al atacante del futuro, el incidente puede comenzar de una manera mucho menos espectacular: un colaborador recibe un correo, abre un archivo, hace clic en un enlace o entrega su contraseña porque alguien se presentó como "soporte técnico".

No hubo sudadera negra, código verde ni música de suspenso. Solamente una persona ocupada que quería quitarse un pendiente de encima.

Microsoft advirtió el 17 de septiembre de 2026 que la IA está permitiendo a los atacantes probar más caminos, adaptar sus técnicas y combinar vulnerabilidades con mayor velocidad. Sin embargo, las puertas que aprovechan siguen siendo bastante conocidas: permisos excesivos, sistemas sin actualizar, credenciales expuestas, autenticación débil y herramientas legítimas de soporte remoto utilizadas en contra de la propia organización.

En uno de los casos descritos por Microsoft, los atacantes se hicieron pasar por personal de soporte a través de Teams. Convencieron a un usuario para permitirles el acceso mediante software legítimo de asistencia remota y, desde ahí, utilizaron PowerShell y otras herramientas normales de administración para intentar desplazarse hacia más sistemas.

El ataque era sofisticado; la puerta de entrada, no tanto.

El enemigo no siempre está afuera

Decir que "el usuario es el eslabón más débil" se ha convertido en una frase cómoda, pero también bastante injusta.

Si una organización entrega computadoras, correo electrónico, acceso a la nube, aplicaciones y datos sin enseñar a utilizarlos con seguridad, el problema no es únicamente del empleado que hizo clic. También es de quien asumió que saber trabajar con una computadora incluye saber defenderse de una campaña de ingeniería social.

No es lo mismo aprender a usar Excel que aprender a reconocer una página falsa de inicio de sesión. Tampoco es evidente para todos por qué no deben reutilizar contraseñas, instalar extensiones sin autorización, conectar cualquier memoria USB o aprobar una solicitud de autenticación que apareció "de la nada".

Para quienes trabajamos todos los días con tecnología puede parecer básico. Para buena parte de una empresa, nadie se los enseñó formalmente.

Por eso, antes de imaginar una defensa llena de agentes inteligentes, conviene resolver una pregunta más incómoda:

¿Las personas que utilizan diariamente los equipos de la organización saben hacerlo de forma segura?

Antes de la gran certificación, hay que construir el hábito

ISO/IEC 27001 es el estándar internacional de referencia para establecer, implementar, mantener y mejorar un sistema de gestión de seguridad de la información. Su enfoque es integral: personas, procesos y tecnología.

Una implementación seria ayuda a identificar riesgos, asignar responsabilidades, establecer controles y mejorar continuamente.

Pero una norma no hace magia. La política puede estar perfectamente redactada y la auditoría puede encontrar todos los documentos en orden; aun así, basta con que alguien entregue sus credenciales en una pantalla falsa para recordar que el cumplimiento y el comportamiento cotidiano no siempre viven en el mismo edificio.

Ahí resulta útil una certificación mucho más básica, pero también más cercana a la operación diaria: C|SCU, Certified Secure Computer User, desarrollada por EC-Council.

C|SCU está dirigida a las personas que utilizan computadoras, correo electrónico, internet, redes sociales y dispositivos, pero que no necesariamente tienen formación técnica en ciberseguridad.

El programa aborda protección de contraseñas, seguridad del correo electrónico, navegación segura, malware, ingeniería social, dispositivos móviles, trabajo remoto, respaldos, redes, nube y protección de datos.

No pretende formar hackers éticos ni convertir al área administrativa en un centro de operaciones de seguridad. Busca algo menos glamoroso y bastante más urgente: que una persona reconozca una amenaza cotidiana y sepa qué hacer antes de regalarle al atacante el acceso que necesita.

C|SCU e ISO/IEC 27001 no compiten

Tampoco se trata de elegir entre capacitar a los usuarios o implementar ISO/IEC 27001. Cumplen funciones distintas y pueden complementarse.

ISO/IEC 27001 proporciona el sistema de gestión: evaluación de riesgos, políticas, controles, responsabilidades, evidencia y mejora continua. C|SCU desarrolla conocimientos prácticos en las personas que utilizan la tecnología todos los días.

Una ayuda a construir la estructura; la otra puede ayudar a que esa estructura sobreviva al lunes por la mañana, cuando llegan correos, mensajes urgentes, facturas inesperadas y supuestos técnicos solicitando acceso.

Para una empresa que todavía no está preparada para iniciar una implementación completa, capacitar y certificar a su personal puede ser un primer paso concreto.

Para una organización que ya trabaja con ISO/IEC 27001, puede convertirse en evidencia de que la concientización no consiste únicamente en enviar un video anual que todos dejan reproduciéndose mientras contestan WhatsApp.

La IA cambia la velocidad, no elimina los fundamentos

Los ataques asistidos por IA pueden investigar, probar y adaptarse mucho más rápido. Eso reduce el tiempo disponible para detectar y contener un incidente.

Sin embargo, la defensa sigue comenzando por principios poco novedosos: mantener los sistemas actualizados, reducir privilegios, proteger las identidades, controlar las herramientas de acceso remoto y enseñar a las personas a reconocer cuándo alguien intenta manipularlas.

La empresa puede comprar la plataforma de seguridad más avanzada del mercado. También puede implementar inteligencia artificial para vigilar la red y presumir un tablero lleno de indicadores.

Pero si cualquier colaborador puede abrir la puerta porque recibió un mensaje con el logotipo correcto y suficiente sentido de urgencia, el atacante no necesitará demostrar que su IA es más inteligente.

Sólo necesitará que alguien haga clic.