5 mitos sobre ciberseguridad que pueden ponernos en riesgo

Durante octubre se celebra el mes de la Concienciación sobre la Ciberseguridad, una iniciativa global para reforzar los hábitos seguros en el entorno digital. En la región latinoamericana los riesgos en ciberseguridad son concretos: según el último ESET Security Report 2025, 1 de cada 4 empresas ya ha sufrido un ciberataque en el último año.

Pero no solo las empresas son vulnerables. Las campañas masivas de phishing que buscan enganchar al público general. Por ejemplo, simulan mensajes de empresas de correos con supuestos problemas de entregas, o de organismos gubernamentales que comunican multas inexistentes, citaciones judiciales, entre tantos otros intentos de engañar y generar urgencia para que actúes bajo presión. Cualquier persona usuaria de servicios en línea es blanco de ataque.

En este contexto, es necesario abordar algunos mitos que aún persisten sobre la seguridad digital y que pueden poner en riesgo tanto a usuarios como a sistemas corporativos.

1. «No soy un objetivo, porque no tengo nada de valor»

Es común que las personas crean que los ciberataques solo apuntan a grandes empresas o figuras públicas. La realidad, como vimos, es otra: cualquier dato personal tiene valor para los ciberdelincuentes, desde información bancaria hasta credenciales de correo electrónico o redes sociales. Las estafas digitales llegan a millones de usuarios comunes, independientemente de su perfil o relevancia en línea.

Subestimar el riesgo crea una falsa sensación de seguridad y conduce a comportamientos riesgosos, como no habilitar la autenticación multifactor, usar contraseñas débiles o hacer clic en enlaces sospechosos. Estas debilidades son una oportunidad única para ataques que resultan en robo de datos, clonación de tarjetas, apropiación de cuentas o incluso extorsión digital, a usuarios que creen no ser blanco de ataques.

2. «Mi antivirus me protege contra todo»

El antivirus es una pieza importante de la defensa, pero no cubre todos los vectores de ataque. La ingeniería social, las fallas en los procesos, la mala administración de privilegios, los ataques a la cadena de suministro y brechas de visibilidad operativa, todas cosas que un antivirus por sí solo no puede resolver.

Un claro ejemplo se dio en Brasil y muestra cómo los problemas de los procesos pueden causar enormes pérdidas incluso cuando existen controles técnicos: el caso de C&M Software expuso cómo las lagunas en los procedimientos, la falta de controles y las fallas en la gestión de terceros permitieron el desvío de recursos y comprometieron la seguridad operativa de la organización. Esto ilustra que la seguridad no es solo tecnología, también es proceso y gobernanza.

Otro punto crítico es que muchos ataques explotan credenciales filtradas, debilidades humanas o flujos de autorización inseguros, escenarios en los que una solución antivirus no evita la intrusión inicial o la escalada de acceso. Por lo tanto, la estrategia de defensa actual debe estar en capas.

Autenticación multifactor: una barrera clave

La autenticación multifactor (MFA) es una defensa altamente efectiva contra la apropiación de cuentas. Agregar un segundo factor bloquea casi todos los ataques automatizados y reduce drásticamente el éxito de campañas de phishing masivas.

Google ha indicado que los desafíos basados en dispositivos o códigos ayudan a prevenir el 100% de los bots automatizados, mientras que Microsoft afirma que la adopción de MFA puede evitar más del 99,9% de los ataques automatizados de compromiso de cuentas. Controlar el acceso es tan importante como detener el malware.

3. «Mi contraseña es segura, puedes usarla en todo»

Aunque una contraseña sea segura, reutilizarlas en múltiples servicios presenta un riesgo. En la práctica, los delincuentes que se especializan en ataques automatizados, como el relleno de credenciales (credential stuffing) donde utilizan combinaciones de correo electrónico y contraseña filtradas para intentar acceder a otras cuentas automáticamente. Si la contraseña es la misma, el acceso es inmediato y silencioso.

Por otro lado, la reutilización de contraseñas hace que estafas como el phishing y la apropiación de cuentas sean más efectivas, porque los ciberdelincuentes pueden combinar información de diferentes servicios para engañar al usuario de manera más convincente. Incluso si una plataforma tiene una protección sólida, si se usa la misma contraseña en un sitio web con seguridad débil, el riesgo se replica.

Por lo tanto, confiar exclusivamente en contraseñas seguras y únicas crea una falsa sensación de seguridad y deja a los usuarios vulnerables a intrusiones, robo de identidad y fraude financiero. La protección eficaz requiere no solo contraseñas seguras, sino también una combinación de autenticación multifactor, monitoreo de actividades sospechosas y buenas prácticas de administración de credenciales.

4. «Mi celular está seguro, solo tengo que preocuparme por la computadora»

Muchas personas creen que sus teléfonos inteligentes o tabletas están protegidos porque son dispositivos más pequeños o modernos, y que los ataques cibernéticos solo llegan a las computadoras. En realidad, los dispositivos móviles son objetivos frecuentes de estafas sofisticadas, y los riesgos aumentan a medida que concentramos información personal, financiera y profesional en ellos.

En Brasil, por ejemplo, los ataques por SMS van en aumento. Una encuesta de Serasa Experian reveló que, en marzo de 2025, el país registró 1.106.846 intentos de fraude, lo que equivale a un promedio de 25 ocurrencias por minuto o una cada 2,4 segundos. Además, el volumen de intentos de fraude evitados en mayo de 2025 fue de 1.222.550, lo que representa un intento cada 2,2 segundos.

También los teléfonos celulares son el flanco de ataque para el vishing, donde los delincuentes se hacen pasar por asistentes de bancos o empresas para obtener información personal o financiera. Este tipo de estafa se ha vuelto más común, aprovechando la confianza de las personas en llamadas telefónicas aparentemente legítimas.

Fuera de estos casos de ingeniería social, también los dispositivos, tanto Android como Apple, y otros, son blanco de distribución de malware, con aplicaciones falsas y explotación de vulnerabilidades del sistema, que pueden comprometer el dispositivo incluso sin interacción directa del usuario.

Los dispositivos móviles no son inmunes a amenazas complejas y, a modo de ejemplo, se ha identificado en el pasado como apps maliciosas han permanecido en las tiendas oficiales de Google por un tiempo considerable sin ser detectadas. O cómo, hacia fines de 2023, se había advertido un aumento de las aplicaciones de préstamos en Android que no eran más que vías de entrada para programas espías.

La defensa móvil efectiva implica contraseñas seguras, autenticación multifactor, tener cuidado con las aplicaciones y enlaces sospechosos, actualizaciones periódicas y prestar atención a llamadas telefónicas inesperadas.

5. «La ciberseguridad es responsabilidad exclusiva del sector TI»

Mucha gente todavía cree que la seguridad digital es tarea exclusiva del sector de TI, pero en realidad, todos tienen un papel esencial en la protección de datos y sistemas. Cada usuario que adopta buenas prácticas contribuye a fortalecer la seguridad de toda la organización o comunidad en línea. Hábitos simples como verificar enlaces antes de hacer clic, mantener contraseñas seguras y únicas, habilitar la autenticación multifactor y reportar actividades sospechosas crean barreras efectivas que complementan las tecnologías y políticas de TI.

Cuando todos se involucran, la conciencia colectiva se convierte en una poderosa defensa, capaz de prevenir estafas, fraudes e invasiones, proteger la información personal y corporativa y la comunidad digital en su conjunto. Cuanto más actúe cada persona de forma consciente, más resistente será el ecosistema digital. Recuerda: la ciberseguridad es responsabilidad de todos, y los pequeños hábitos marcan una gran diferencia.