El riesgo más costoso no viene de fuera: cómo evitar que sus colaboradores filtren información interna

Hace poco más de un año, en mayo de 2025, el equipo de seguridad de Coinbase, una de las plataformas de criptomonedas más grandes del mundo, detectó algo que ningún CEO quiere descubrir: varios empleados del área de soporte al cliente habían sido contactados y sobornados por actores externos para acceder a información confidencial de más de 97.000 usuarios.

No hubo un sofisticado ataque informático. No hubo una vulnerabilidad técnica de alta complejidad. Fue la decisión —o la debilidad— de personas con acceso legítimo lo que abrió la puerta.

El daño: datos personales comprometidos, costos legales millonarios y una reputación que tardará años en recuperarse.

Lamentablemente, este caso no es una anomalía. Desde 2024 hasta lo que va de 2026 se han expuesto al menos 422 millones de registros a nivel global, y la cifra real probablemente sea mayor por incidentes no divulgados, de acuerdo con Verizon (2026) [1] y Statista (2024) [2].

Así que, aunque no nos guste, esta es la nueva normalidad. Por lo que si tu empresa opera en Ecuador o en cualquier país de América Latina, la pregunta no es si esto podría pasarte, sino si ya está pasando sin que lo sepas.

El enemigo ya tiene las llaves

Cuando hablamos de ciberseguridad, la imaginación suele ir hacia el mismo lugar: hackers encapuchados frente a pantallas negras intentando vulnerar firewalls. Pero los datos del Ponemon Institute de 2025 cuentan una historia diferente:

El costo promedio anual de los incidentes de riesgo interno en una organización alcanzó los 19,5 millones de dólares. Y el 53% de esos incidentes no fue causado por empleados maliciosos, sino por empleados negligentes: personas bien intencionadas que tomaron una decisión equivocada.

El informe DBIR 2025 de Verizon confirma que el 60% de las brechas de seguridad a nivel global todavía involucran el elemento humano [3]. No el firewall, no el servidor: la persona. Y Bitdefender reporta que más de la mitad de los profesionales de seguridad ha recibido presión para no informar brechas, una señal clara de que el riesgo humano sigue siendo uno de los principales vectores del problema [4].

Hay tres formas en que tus empleados pueden filtrar información confidencial, y solo una de ellas implica mala intención:

1. El descuidado: El empleado negligente reenvía un archivo al correo equivocado, sube un documento sensible a una herramienta de inteligencia artificial gratuita sin considerar que esos datos pueden ser usados para entrenar modelos públicos, o comparte credenciales con un colega «para agilizar el trabajo». Un estudio de 2025 reveló que el 38% de los empleados comparte información laboral confidencial con herramientas de IA sin el consentimiento de su empleador.
2. El vulnerable: Sus credenciales fueron robadas mediante phishing o ingeniería social. El atacante opera con su identidad y accede a sistemas críticos sin levantar sospechas.
3. El malicioso: Motivado por dinero, resentimiento o ideología, usa su acceso legítimo para extraer información valiosa antes de salir de la empresa. El caso Coinbase entra en esta categoría.

Lo que hace diferente a las organizaciones que lo contienen

Las empresas que logran detectar y contener filtraciones internas antes de que se conviertan en crisis no necesariamente tienen más presupuesto de tecnología. Tienen una cultura y una arquitectura de control diferentes.

Estas son las prácticas que marcan la diferencia:

1. Principio de mínimo privilegio aplicado en serio: cada persona accede únicamente a lo que necesita para hacer su trabajo, nada más. Los permisos se revisan cada trimestre y se revocan inmediatamente cuando alguien cambia de rol o sale de la organización. No mañana: inmediatamente.
2. Monitoreo de comportamiento, no solo de amenazas: las herramientas tradicionales detectan virus conocidos. Las organizaciones maduras detectan anomalías de comportamiento: ¿por qué este empleado descargó 2.000 archivos a las 11 PM? ¿Por qué está accediendo a carpetas que nunca abrió antes? Estos patrones son alertas tempranas antes de que el daño esté hecho.
3. Política clara de uso de inteligencia artificial: en el contexto actual, uno de los vectores más subestimados de fuga de datos es el uso no supervisado de herramientas de IA por parte de empleados. La política debe ser explícita: qué herramientas están autorizadas, qué tipo de información nunca puede ingresar a estas plataformas, y cuáles son las consecuencias.
4. Protocolo de offboarding como parte de la seguridad: el día que un empleado sale de la empresa es uno de los momentos de mayor riesgo. ¿Cuánto tiempo tarda tu organización en revocar todos sus accesos? ¿Horas? ¿Días? Gartner advierte que el 53% de los líderes de TI identifica las cuentas de exempleados sin gestionar como su principal miedo en procesos de offboarding.
5. Cultura de seguridad como hábito, no como obligación: la capacitación anual de una hora sobre ciberseguridad no cambia comportamientos. Lo que sí funciona es la formación continua, el refuerzo positivo y la creación de canales seguros donde los empleados puedan reportar incidentes o comportamientos sospechosos sin miedo a represalias.

Lo que debe exigir la alta dirección

La filtración interna de información no es un problema técnico que el equipo de TI puede resolver solo. Es un problema de gobernanza que requiere decisiones desde la alta dirección. Esto implica cumplir con la Ley de Protección de Datos Personales del país en donde opere la empresa. En Ecuador, por ejemplo, la LOPDP establece obligaciones claras respecto al tratamiento, protección y notificación de incidentes relacionados con datos personales —con sanciones que pueden comprometer seriamente la continuidad operativa de una empresa.

Las preguntas que deberías hacerte hoy como CEO, CISO, CFO o CTO son directas:

• ¿Sé exactamente quién tiene acceso a la información más crítica de mi empresa?
• ¿Tengo visibilidad de lo que hacen con ella?
• ¿Qué pasa con esos accesos el día que alguien renuncia?

Si las respuestas no son inmediatas y concretas, hay trabajo por hacer.

La diferencia entre una crisis de reputación y un incidente contenido no está en el presupuesto de tecnología: está en las decisiones que se toman hoy, antes de que ocurra el incidente.

¿Identificaste brechas en tu organización después de leer este artículo? En CSTECH podemos ayudarte a evaluar tu postura de seguridad ante amenazas internas y a desarrollar o verificar tu política de uso aceptable de IA para asegurar tu continuidad operativa y tu confidencialidad.

Reserva una asesoría breve sin costo con nuestros expertos en https://consulting-systems.tech/asesoria-gratuita.

Notas y Referencias

[1] Verizon. (2026). 2026 Data Breach Investigations Report (DBIR). Verizon Business. https://www.verizon.com/business/resources/reports/dbir/

[2] Statista. (2024). Data records breached worldwide Q3 2024. Statista. https://www.statista.com/statistics/1307426/number-of-data-breaches-worldwide

[3] Verizon. (2026). 2026 Data Breach Investigations Report (DBIR). Verizon Business. https://www.verizon.com/business/resources/reports/dbir/

[4] Bitdefender. (2025, junio 23). Informe de Bitdefender: principales amenazas, preocupaciones y retos de los profesionales de seguridad. Bitdefender. https://www.bitdefender.com/es-es/news/informe-de-bitdefender-principales-amenazas-preocupaciones-y-retos-de-los-profesionales-de-la-ciberseguridad-a-nivel-global