Convertir errores de seguridad en fortaleza cibernética: Cómo las organizaciones pueden aprovechar sus propios fallos

Todo comienza con un sitio web hackeado, una llamada telefónica frenética y un rastro que conduce a un parche olvidado desde 2018. Para Megan Benoit, ingeniera principal de seguridad en Nebraska Medicine, estas historias son demasiado familiares - y no son excepciones raras, sino episodios recurrentes en organizaciones de todos los tamaños. Pero, ¿y si estos errores, a menudo ignorados o corregidos en silencio, pudieran en realidad impulsar a las organizaciones hacia un nuevo nivel de madurez en seguridad?

En la Conferencia RSAC 2026 en San Francisco, Benoit no endulzó la realidad de la seguridad empresarial: “No confíes en nada - ni en personas, ni en procesos, ni en proveedores.” Sus dos décadas en la primera línea han demostrado que, aunque la tecnología evoluciona, la naturaleza humana no. Desarrolladores, analistas y administradores siguen tomando decisiones arriesgadas - a menudo para evitar fricciones o complacer a usuarios exigentes - dejando puertas abiertas para atacantes que están más que dispuestos a entrar.

¿Un ejemplo notorio? El sitio web de una empresa, secuestrado y redirigido a un casino en Filipinas, gracias a un sistema de gestión de contenidos sin parchar durante años. La respuesta del cliente: “Solo ha sido hackeado una vez desde 2018.” Pero para los atacantes, una vez es suficiente.

Benoit expuso una serie de “peores mejores prácticas” - desde confiar en una sola herramienta de detección de endpoints (que “tarde o temprano te fallará”) hasta permitir que los usuarios reutilicen o almacenen contraseñas en texto plano. Advierte que los atacantes suelen ser más disciplinados con las contraseñas que los propios defensores, llegando incluso a crear cuentas de respaldo con credenciales “realmente buenas”.

Pero la amenaza moderna más alarmante puede ser la mala gestión de OAuth. Si un usuario cae en phishing, los atacantes pueden secuestrar tokens de OAuth, eludir la autenticación multifactor y extraer todo lo que hay en una cuenta de correo - y a veces sin ser detectados. Microsoft y Google ofrecen soluciones parciales, pero Benoit sostiene que las recomendaciones predeterminadas no son suficientes. Su solución: restringir el consentimiento de los usuarios y requerir revisión administrativa, pero solo por personas de confianza - porque, como señala, “los administradores también toman malas decisiones”.

Más allá de las soluciones técnicas rápidas, Benoit enfatiza que el mayor reto es cultural. Los usuarios resisten las restricciones, especialmente en el acceso a dispositivos y correo electrónico, y los desarrolladores a veces ven la seguridad como un adversario. ¿Su solución? Construir confianza, no culpas. Cuando los equipos de seguridad se convierten en aliados - “sé amable con los desarrolladores” - obtienen información interna y fomentan una cultura donde reportar errores no solo se tolera, sino que se incentiva.

Al final, las organizaciones que tratan sus errores como planos para la mejora, en lugar de esqueletos que esconder, son las que avanzan de nivel. La madurez en seguridad no consiste en no tropezar nunca, sino en aprender, adaptarse y construir un equipo listo para enfrentar juntos la próxima amenaza.

WIKICROOK

• Detección y Respuesta en Endpoints (EDR): EDR son herramientas de seguridad que monitorean computadoras en busca de actividad sospechosa, pero pueden pasar por alto ataques basados en navegador que no dejan archivos.
• OAuth: OAuth es un protocolo que permite a los usuarios dar acceso a aplicaciones a sus cuentas sin compartir contraseñas, mejorando la seguridad pero también presentando algunos riesgos.
• Autenticación Multifactor (MFA): MFA es un método de seguridad que requiere que los usuarios proporcionen dos o más pruebas de identidad antes de acceder a una cuenta.
• Parchado: Parchar significa actualizar el software para corregir fallos de seguridad o errores, ayudando a prevenir que los atacantes exploten vulnerabilidades conocidas en los sistemas.
• Phishing: El phishing es un delito cibernético donde los atacantes envían mensajes falsos para engañar a los usuarios y que revelen datos sensibles o hagan clic en enlaces maliciosos.