El factor humano se convierte en el nuevo frente de batalla para la ciberseguridad en Colombia

Las organizaciones han invertido durante años en fortalecer sus barreras tecnológicas frente a los ciberdelincuentes. Firewalls, sistemas de cifrado, monitoreo permanente y diferentes mecanismos de protección hacen parte de las estrategias utilizadas para blindar la infraestructura digital. Sin embargo, existe un punto de vulnerabilidad que no puede resolverse únicamente con herramientas tecnológicas: las decisiones que toma una persona cuando recibe un mensaje, un correo electrónico, un enlace o una llamada que aparenta ser legítima.

Las cifras de la industria señalan que nueve de cada diez brechas de ciberseguridad están relacionadas con errores humanos, una situación que adquiere mayor relevancia a medida que las técnicas de fraude se vuelven más sofisticadas y personalizadas. Los delincuentes ya no dependen exclusivamente de ataques masivos, sino que pueden utilizar información disponible sobre sus potenciales víctimas para construir engaños capaces de resultar convincentes.

Esta realidad ha impulsado una nueva mirada sobre la seguridad digital: el riesgo humano. Se trata de analizar no solamente qué tan protegidos están los sistemas de una organización, sino también qué tan preparados se encuentran sus colaboradores para identificar y enfrentar intentos de manipulación.

En Colombia, la startup de ciberseguridad Fensivo trabaja precisamente sobre esta dimensión mediante simulaciones de ingeniería social hiperpersonalizadas. La compañía busca reproducir diferentes escenarios de engaño para identificar cómo reaccionan las personas ante ellos y utilizar los resultados como una herramienta de prevención y entrenamiento.

La propuesta está relacionada con una experiencia empresarial poco convencional dentro del sector de la ciberseguridad. Su fundador, José Vicente Chávez, desarrolló durante ocho años su carrera en Rappi, donde se desempeñó como Head of Advertising y lideró equipos en nueve países, además de estrategias publicitarias para más de 350 marcas de consumo masivo.

Ese recorrido le permitió estudiar durante años la manera en que las audiencias reciben mensajes, qué elementos captan su atención y cuáles pueden generar determinadas respuestas. Ahora, esos conocimientos son trasladados a un escenario diferente: comprender el comportamiento de las personas cuando se enfrentan a una potencial situación de fraude digital.

Chávez también participó en el crecimiento de una compañía colombiana de tecnología que multiplicó por 9,5 veces su operación y que fue reconocida por Forbes como empresa promesa. Actualmente es mentor en 30X, donde acompaña a emprendedores y equipos que trabajan en procesos de crecimiento y escalabilidad.

La lógica de Fensivo parte de una premisa: así como la publicidad ha utilizado durante décadas herramientas de segmentación y análisis de comportamiento para aumentar la efectividad de los mensajes, ese conocimiento puede contribuir a comprender las circunstancias que hacen que una persona sea más susceptible de caer ante una estrategia de ingeniería social.

El fenómeno adquiere una dimensión adicional debido al volumen de información personal que circula en internet y a los datos que han quedado expuestos en diferentes filtraciones. Para Chávez, esta acumulación de información puede facilitar que los delincuentes construyan perfiles detallados antes de establecer contacto con una potencial víctima.

“Hoy circula un bot que entrega el nombre completo, la cédula y el banco de cualquier colombiano con solo su número de celular. Se vende como servicio: no hace falta saber de tecnología, solo pagar”, advierte el fundador de Fensivo.

Según explica, el problema no está únicamente en cada filtración de información considerada de manera individual, sino en la posibilidad de cruzar datos provenientes de diferentes fuentes. “Cada filtración deja un sedimento que no se limpia, y cuando alguien las cruza, el delincuente que llama ya no está adivinando, está leyendo un perfil construido con años de brechas ajenas”, señala.

A partir de este escenario, las simulaciones de Fensivo buscan ir más allá de las tradicionales pruebas de seguridad informática. Mientras el hacking ético se concentra principalmente en descubrir vulnerabilidades técnicas presentes en sistemas, redes o aplicaciones, la ingeniería social pone el foco en las respuestas humanas.

La metodología consiste en recrear situaciones que pueden presentarse durante un ataque y analizar la reacción de los colaboradores. El propósito no es simplemente determinar quién respondió de manera equivocada frente a una simulación, sino identificar patrones que permitan conocer cuáles son las circunstancias que aumentan la exposición de una organización.

La información obtenida puede utilizarse posteriormente para fortalecer los procesos de capacitación y preparar a los equipos frente a situaciones similares. De esta manera, la simulación se convierte en una herramienta preventiva que permite detectar comportamientos de riesgo antes de que estos sean aprovechados por un delincuente.

Este enfoque plantea un cambio en la manera de entender la seguridad empresarial. Una organización puede contar con sistemas tecnológicos robustos y, aun así, mantener un nivel de exposición significativo si sus colaboradores no tienen las herramientas necesarias para reconocer señales de engaño.

El desafío también aumenta por el uso de información personal obtenida de filtraciones, redes digitales y diferentes fuentes disponibles en internet. En ese contexto, un atacante puede tener la posibilidad de diseñar mensajes o llamadas mucho más creíbles que las utilizadas en los fraudes tradicionales.

Para Fensivo, el reto de los próximos años será incorporar el comportamiento humano como una variable medible dentro de las estrategias de seguridad, de la misma manera en que las compañías evalúan actualmente sus redes, servidores y aplicaciones.

“En ciberseguridad hemos aprendido a medir prácticamente todo lo que ocurre dentro de una infraestructura. El siguiente paso es entender qué ocurre cuando el ataque llega a una persona”, sostiene Chávez.

El fundador de la compañía asegura que el objetivo es llevar esta discusión a los niveles directivos de las organizaciones y convertir el riesgo humano en un asunto estratégico, no únicamente en un tema de capacitación para empleados.

“Nuestra meta es llevar esta conversación a las mesas directivas de la región y ayudar a las organizaciones a anticipar el engaño antes de que se convierta en una pérdida real”, agrega.