La seguridad del siglo XXI se construye con tecnología
Los fraudes a la sociedad han adquirido un rostro más sofisticado: los delincuentes, desde el anonimato, atacan utilizando la digitalización y las nuevas herramientas
Por: Mauricio Espinoza Gómez, especialista en ciberseguridad
Durante años, la conversación sobre seguridad en México se ha centrado en amenazas físicas, crimen organizado y capacidades operativas tradicionales, una parte creciente de los riesgos que enfrenta el país; sin embargo, ya no transita por carretera: viaja por fibra óptica.
En noviembre de 2019, un ataque de ransomware paralizó áreas administrativas de Pemex. En 2024, un ataque del grupo LockBit a la cadena Coppel afectó cerca de mil 800 sucursales y dejó pérdidas estimadas en más de 15 millones de dólares. En febrero de 2025, la filtración Inferno Leaks expuso más de 700 GB de información electoral, bancaria, sanitaria y de telecomunicaciones. Ninguno fue un evento aislado, y ninguno fue el último.
La acelerada digitalización de sectores como energía, telecomunicaciones, manufactura, salud y servicios financieros amplió la dependencia tecnológica del país y, con ella, su superficie de exposición. El fortalecimiento tecnológico ya no consiste únicamente en adquirir herramientas; requiere construir capacidades reales de prevención, detección, respuesta y recuperación.
Los ataques modernos rara vez se parecen al malware de hace una década. Combinan robo de credenciales, explotación de servicios expuestos a internet, movimiento lateral y abuso de servicios legítimos de la nube para evadir controles convencionales.
Los atacantes pueden permanecer semanas o meses en la red sin ser detectados. La convergencia entre tecnologías de información y tecnologías operacionales e industriales (OT e ICS) agrava el cuadro: sistemas históricamente aislados están al alcance de cualquier credencial comprometida.
El cumplimiento regulatorio ocupa hoy un lugar central: ISO 27001, NIST, SOC2 y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), entre otros, forman parte del vocabulario cotidiano. La seguridad real, sin embargo, no se mide por las políticas firmadas, sino por la velocidad con la que se detecta un incidente y el daño que se logra contener. Un certificado sin capacidad operativa que lo respalde ofrece una garantía limitada.
La conversación sobre riesgo se desplaza del análisis cualitativo al cuantitativo. Modelos como Annual Loss Expectancy estiman pérdidas anuales y dimensionan inversiones. La pregunta deja de ser ¿qué tan vulnerable es una organización? para convertirse en ¿cuánto puede costar una interrupción y cuánto conviene invertir para evitarla? Esa formulación conecta la seguridad con las decisiones del consejo de administración.
El factor humano continúa siendo el frente más vulnerable. La ingeniería social permanece como el vector inicial más utilizado del mundo: phishing por correo, quishing por QR, smishing por mensajes y vishing por llamada. Hoy se apoya en inteligencia artificial (IA), clonación de voz y sitios fraudulentos casi indistinguibles de los legítimos. El Business Email Compromise genera pérdidas relevantes: una conversación legítima secuestrada es más eficaz que cualquier exploit técnico.
La autenticación tradicional muestra sus límites. La autenticación multifactor basada en códigos temporales representa un avance, pero existen técnicas capaces de secuestrar sesiones autenticadas después del segundo factor. La evolución natural apunta hacia esquemas resistentes a phishing como FIDO2 y passkeys, donde la validación depende de biometría y dispositivos de confianza, no de un código copiable.
Frente a las vulnerabilidades de día cero, la velocidad de reacción resulta determinante. Las organizaciones mejor preparadas mantienen alertas alineadas con su tecnología real y utilizan IA para interpretar reportes y priorizar parches. Los atacantes también automatizan el escaneo de internet con IA en busca de activos expuestos, lo que convierte la protección de la superficie de ataque externa en prioridad operativa.
Conviene revisar un supuesto extendido: que sólo las tecnologías propietarias ofrecen seguridad de nivel empresarial. La infraestructura de Google, Meta o Netflix se sostiene, parcial o totalmente, sobre tecnologías open source que, bien implementadas, resultan competitivas y auditables. En el terreno ofensivo, las pruebas de penetración asistidas por IA y los programas de bug bounty —aún poco aprovechados en México— identifican fallas antes de ser explotadas.
La prevención por sí sola no basta. La continuidad de negocio y los table top exercises —simulacros de sismo de la ciberseguridad— adquieren relevancia. No evitan el incidente, pero impiden que escale a crisis.
Han surgido, además, actores híbridos —criminales, estatales y mercenarios digitales— que combinan ciberataque, desinformación y automatización para impactar economías e instituciones. Reducir este fenómeno a un problema exclusivamente tecnológico subestima su alcance. La seguridad del Estado mexicano del siglo XXI se decidirá, en buena medida, en los sistemas digitales que sostienen su economía, sus comunicaciones y la operación de sus instituciones.
Técnicas de ingeniería social
Phishing
Estafa digital en que ciberdelincuentes se hacen pasar por empresa o institución conocida para robar datos personales, contraseñas o información bancaria.
Quishing
Tipo de amenaza de ciberseguridad en que atacantes crean códigos QR para redirigir a las víctimas a visitar o descargar contenido malicioso.
Smishing
Fraude cibernético que usa mensajes de texto (SMS) o de aplicaciones de mensajería para engañar a personas y robar su información personal o bancaria.
Vishing
Fraude telefónico en el que un ciberdelincuente suplanta la identidad de una empresa o banco para robar datos personales, códigos o dinero.
