Publicado: septiembre 24, 2026, 12:23 pm
<![CDATA[
Una contraseña de wifi compartida en recepción puede parecer un detalle menor dentro de una empresa, pero cuando una red, un dispositivo o una cuenta quedan expuestos, el problema puede escalar hacia sistemas que contienen información de clientes, nóminas, operaciones o transacciones. El punto de entrada no siempre está donde una empresa espera. Puede comenzar con una red mal protegida, una contraseña compartida, un dispositivo conectado o un acceso que nadie recuerda quién administra. La infraestructura digital de una compañía puede acumular certificados, llaves criptográficas e identidades digitales sin que exista un registro completo de qué son, dónde están, quién las administra o cuándo deben renovarse.
Una empresa, muchas puertas de entrada al cibercrimen
“Solamente 34% de las organizaciones cuenta con una visión completa de todos sus certificados digitales e infraestructura criptográfica”, explica Santos Campa , vicepresidente de Latinoamérica y el Caribe de Futurex, al citar el Global PKI Research Report 2026 , elaborado por DigiCert y Omdia. El dato significa que el problema no es que el resto de las compañías carezca de certificados o infraestructura criptográfica. El problema es que no necesariamente conoce todo lo que tiene. El estudio encontró que 50% de las organizaciones tiene un inventario parcial de sus certificados y 16% ni siquiera sabe cuántos tiene o dónde se utilizan. Al mismo tiempo, 73% está muy o extremadamente preocupada por sufrir interrupciones a causa de certificados vencidos. Kaspersky señala que un router comprometido puede poner en riesgo los dispositivos de una misma red y permitir a un atacante monitorear tráfico, redirigir conexiones o interferir con la comunicación. Esto no significa que compartir una contraseña de wifi en recepción vaya a derribar por sí mismo una empresa. El punto radica en que una mala práctica aparentemente pequeña puede abrir una ventana a una infraestructura mucho más grande si la organización no separa correctamente sus redes, accesos y sistemas. Campa señala que existen puertas de entrada aún más sensibles, por ejemplo, una llave criptográfica puede funcionar, como la llave de una casa. Si una empresa utiliza una caja criptográfica para proteger información como la nómina de sus empleados o los datos de las tarjetas de sus clientes, esa llave permite acceder a la información protegida. “Ese es el nivel de importancia que tiene una llave”, señala. Los certificados cumplen otra función, son mecanismos digitales que permiten comprobar que un usuario, dispositivo o sistema es quien dice ser y que cuenta con autorización para entrar a determinados recursos. Por ejemplo, un certificado puede estar asociado con el acceso de un empleado a una base de datos, un CRM o algún otro sistema interno.
El riesgo no depende del tamaño
La identidad digital, por su parte, funciona como una representación de una persona o entidad dentro del entorno digital. Gonzalo Alonso , CEO de Ditto, explica que puede construirse a partir de distintos elementos que, mediante procesos matemáticos, permiten comprobar que una persona es quien dice ser. Estos mecanismos forman parte de una infraestructura que permite autenticar usuarios y sistemas, cifrar información y establecer relaciones de confianza entre diferentes aplicaciones y dispositivos. El problema aparece cuando esa infraestructura crece más rápido que la capacidad de una empresa para administrarla. Una empresa puede contratar nuevos servicios en la nube, incorporar aplicaciones, conectar dispositivos, cambiar proveedores o sustituir a los responsables de tecnología. Cada movimiento puede dejar nuevos certificados, llaves o accesos dentro de la organización. Si nadie sabe exactamente qué existe, quién es responsable o cuándo debe renovarse, la empresa acumula lo que Campa describe como una especie de deuda criptográfica, con diferentes espacios que pueden dar acceso a los servidores, redes u otros espacios digitales sensibles para una organización. El reporte de DigiCert y Omdia muestra que en 2025 se emitieron 4,100 millones de certificados públicos, 55% más que los 2,600 millones registrados en 2024. El estudio también señala que las organizaciones utilizan, en promedio, entre dos y tres métodos diferentes para administrar certificados, desde procesos manuales y hojas de cálculo hasta plataformas especializadas. La falta de control no es un problema exclusivo de las grandes corporaciones. Campa advierte que una empresa pequeña puede estar más expuesta que una organización grande si maneja información especialmente sensible.
Qué debería revisar una empresa
Una compañía de cobranza, por ejemplo, puede tener pocos empleados, pero manejar datos financieros y personales de cientos o miles de personas. Lo mismo puede ocurrir con un despacho de abogados que tenga menos de 10 trabajadores, pero almacene información confidencial de sus clientes. “Realmente, ¿cómo dimensionar en qué riesgo estamos? En la cantidad de información que manejamos y la sensibilidad de la misma”, plantea. Por eso, dice, el primer error sería pensar que una Pyme puede postergar la seguridad simplemente porque no tiene el tamaño o el presupuesto de una gran corporación. La consecuencia puede ir mucho más allá de una falla técnica. Campa recuerda el caso de una compañía que tenía comprometidas las tarjetas de lealtad de sus clientes. Sin dar nombre, el especialista comparte que las llaves utilizadas para generarlas no estaban debidamente protegidas, no estaba claro quién las administraba y tampoco existían procedimientos documentados. Parte del personal que había trabajado en ciberseguridad ya no estaba en la empresa. El resultado fue operativo y financiero, pues se duplicaban transacciones, se realizaban reversos y se utilizaba dinero que no existía. La compañía perdió “miles de dólares” y, de acuerdo con Campa, llegó a estar cerca de la quiebra antes de invertir en una estrategia criptográfica. Es así como compartir una contraseña con un compañero, dejar una sesión abierta, entregar las credenciales a un tercero o utilizar una red pública para realizar operaciones críticas son acciones que pueden parecer inofensivas, pero que forman parte de la superficie de riesgo de una organización. “La compañía debe no solamente tener la infraestructura adecuada, sino también capacitar y hacer la concientización de todos los usuarios”, explica Campa. Para Campa, el primer paso es dejar de tratar la seguridad como un gasto que solo aparece cuando ocurre un incidente y comenzar a incorporarla en la estrategia y el presupuesto de la compañía. El responsable de tecnología debe saber qué infraestructura tiene la empresa, qué herramientas utiliza, qué proveedores intervienen y qué cambios requieren actualización o sustitución. También debe mantener comunicación con los proveedores de nube, bases de datos y otros servicios para conocer los riesgos y cambios que puedan afectar la operación. El punto de partida más básico es poder responder preguntas aparentemente sencillas: ¿cuántos certificados tenemos?, ¿dónde están?, ¿quién los administra?, ¿cuándo vencen?, ¿qué sistema depende de cada uno?, ¿qué ocurre si uno deja de funcionar? Si una empresa no puede responderlas, dice Campa, tiene un problema de visibilidad.
]]>
