La tecnología no puede detener estas amenazas; sus empleados sí pueden

OPINIÓN

Como debería hacerlo cualquier artículo sólido, comenzaré con una advertencia: los controles técnicos de seguridad son críticos. Impleméntelos todos (los manuales de estrategia SOAR, las capturas de registros SIEM, los clientes EDR) y utilice tantos como tenga presupuesto, tiempo y personal. Y por amor a la seguridad, no dejes de optimizarlas.

Sin embargo, estos mismos controles técnicos no pueden detener una categoría creciente de ataques cibernéticos que están diseñados específicamente para eludir o abusar de sistemas reales y empleados de confianza para hacer su trabajo sucio.

En estos casos, su mejor (y a veces única) defensa no es otro panel o detección; Es un empleado que sabe lo que ve y qué puede hacer para evitarlo.

uno nuevo informe El análisis del panorama de amenazas humanas realizado el último trimestre reveló que un total de 10 amenazas cibernéticas importantes están en camino de superar el uso de controles de seguridad.

Lo que me llamó la atención de estos hallazgos no es sólo cómo funcionó el ataque, sino también cómo la contramedida más efectiva en un momento dado dependía del comportamiento humano, no como un recurso provisional mientras se desarrollaba una mejor tecnología, sino como un control compensatorio verdaderamente irremplazable.

Relacionado:ShinyHunters informa segundo ataque contra Instructure

En una revisión rápida, seleccioné cuatro tendencias cibernéticas que pensé que eran particularmente relevantes a medida que los equipos de seguridad comienzan a analizar el comportamiento humano explotado y las tendencias de ataques en el primer trimestre de 2026.

BEC: El control de los ataques de ingeniería social no puede parar

Compromiso del correo electrónico empresarial Es estadísticamente el ataque más eficiente en el panorama de amenazas moderno.

Según 2025 «Informe de defensa digital de Microsoft» Los ataques BEC representaron sólo el 2% de todos los intentos de ataque el año pasado, pero representaron el 21% de todos los ataques exitosos. En comparación, el ransomware solo representó el 16% de los ataques exitosos, a pesar de atraer mucha más atención e inversión en seguridad.

¿Por qué BEC es tan eficaz? Porque es un ataque de pura ingeniería social. No hay malware que detectar, ningún enlace malicioso que bloquear, ni carga útil que transferir al sandbox.

El atacante engaña a un empleado autorizado para que mueva dinero intencionalmente como parte de procesos comerciales «normales», o incluso lo engaña para que eluda un control técnico de seguridad para un pago «urgente». Pretenden ser un gerente interno impaciente o un proveedor externo bien intencionado, cada uno con un sentido de urgencia que suena legítimo.

No se sabe que ningún EDR indique buenos procesos comerciales. Ninguna puerta de enlace de seguridad de correo electrónico intercepta todos los intentos, ya que algunos llegan como llamadas de phishing de voz fuera de la bandeja de entrada. Estos controles técnicos funcionan exactamente según lo previsto: desde su punto de vista, no ha ocurrido nada inusual.

Relacionado:Una violación de la estructura escolar expone la dependencia de las escuelas de los proveedores

La solución humana aquí no es complicada, pero requiere inversión para que realmente funcione: crear, capacitar y hacer cumplir las políticas para solicitudes fuera de banda y, lo más importante, no penalizar a los empleados que frenan una solicitud de transferencia porque vino de un correo electrónico del CEO un viernes por la tarde.

Durante este descanso el control funciona. Trátelo así.

Porque si CrowdStrike “Informe sobre amenazas globales 2026” dice que el 83% de sus incidentes fueron causados ​​por infecciones «sin malware»? Tenemos más ataques como este por delante.

Shadow AI: la filtración de datos que ninguna herramienta DLP espera

IA de las sombras – donde los empleados conectan herramientas de IA generativa no autorizadas a los sistemas de trabajo – fue uno de los mayores factores de riesgo en todos los entornos de clientes de Fable el último trimestre. Estos hallazgos están respaldados por un creciente conjunto de investigaciones que cuantifican el riesgo real de herramientas de IA no controladas y no autorizadas en el lugar de trabajo.

Uno Encuesta de opiniónPor ejemplo, se descubrió que el 51% de los empleados tenían herramientas de IA no autorizadas conectadas a los sistemas de trabajo y casi un tercio de estos empleados habían cargado información financiera confidencial a la herramienta de IA no supervisada.

Con este riesgo cibernético, el desafío del control técnico es estructural. Las herramientas de prevención de pérdida de datos (DLP) están entrenadas para evaluar qué es el contenido, en lugar de si es apropiado compartirlo en un contexto particular. Son muy difíciles de afinar y tienen un valor medio. 47% de tasa de falsos positivos Esto hace que los equipos de seguridad no estén dispuestos a responder agresivamente a las alertas.

Relacionado:Los ataques abusan del enlace de Windows Phone para robar SMS y evitar 2FA

Por otro lado, si el empleado carga un resumen del contrato en una herramienta de inteligencia artificial no autorizada, no está actuando de manera maliciosa; Están tratando de hacer su trabajo más rápido y simplemente no conocen nada mejor. El nivel humano puede hacer aquí dos cosas que los controles técnicos no pueden hacer:

Este riesgo se vuelve aún mayor con las herramientas de inteligencia artificial de agentes, donde los sistemas autónomos responden a datos confidenciales y heredan los permisos de un usuario anterior. En los últimos meses, hemos escuchado innumerables historias aterradoras sobre lo que sucede cuando los humanos controlan a los agentes de IA sin barreras de seguridad. Entre los dos peores que he visto recientemente se encuentra (supuestamente) un agente de codificación. causando Interrupciones del servicio de 13 horas en AWS y actores de amenazas Cortar Administrador de contraseñas porque un agente de inteligencia artificial que navegaba detectó un mensaje malicioso.

Y estas son sólo algunas de las historias de terror que han llegado a la prensa. Pregúntele a cualquier CISO, líder de SOC o auditor en un pasillo de conferencias y escuchará más y peores rumores sobre problemas de gobernanza de la IA en la sombra. Estos susurros solo se harán más fuertes hasta que enseñemos a nuestros empleados humanos lo que les dan a sus compañeros agentes de IA:

Las herramientas de lenguaje natural siempre tienen vulnerabilidades de lenguaje natural hasta cierto punto, independientemente de lo que prometan los controles técnicos. Tus empleados son el único parche que puede solucionar ambos.

Evasión de MFA con phishing de voz: tecnología costosa, solución humana sencilla

En enero de 2026, el grupo de amenazas ShinyHunters demostró una técnica de derivación que comprometió más de 100 tokens y aplicaciones de autenticación. Organizaciones.

Los investigadores publican sobre estos ataques antes de que puedan atribuirse al atacante anotado«No hay sustituto para imponer resistencia al phishing para acceder a los recursos», continuó, enumerando Yubikeys, un tipo de administrador de acceso de identidad, o soluciones sin contraseña.

Pero estas soluciones suelen ser prohibitivamente caras o llevar tiempo implementarlas. ShinyHunters y cualquiera que compre este kit de phishing en la web oscura actualmente están estafando a la gente.

Afortunadamente, aprender el control humano cuesta casi nada y proporciona protección instantánea en cualquier lugar, incluso si la solución no está disponible o todavía está en uso. Ningún miembro legítimo del equipo de TI o de seguridad le pedirá a un empleado una contraseña de un solo uso o un código de autenticación. Punto. Si alguien pregunta, por correo electrónico, por teléfono, en Slack, en un ticket, en Telegram, entonces ese es el ataque. Que el empleado sepa esto y se niegue representa un control más confiable que la capa de autenticación que el atacante acaba de eludir.

Este ataque (y cada vez más) no son casos en los que la capacitación pueda ser la solución alternativa. De hecho, para una parte importante de su base de usuarios, es su principal defensa.

Distracción cuántica y lo que realmente hacen los atacantes

La computación cuántica a menudo se analiza en las conversaciones sobre seguridad como una amenaza inminente para el cifrado. Ahora, «Día Q«Definitivamente es un problema a largo plazo. Si está renovando contratos gubernamentales o almacenando datos confidenciales buscados por espías a nivel nacional, debe invertir.

Sin embargo, Decodificación cuántica Es casi seguro que no sea su problema más urgente en este momento.

¿Sabes cuál es el problema en este momento? Datos previamente filtrados. El año pasado, el 85% de los nombres de usuario específicos se utilizaron en violaciones de datos. apareció en filtraciones de credenciales anteriores. ¿Por qué los atacantes se molestarían en romper el cifrado para acceder a los datos cuando simplemente pueden iniciar sesión como usuarios «reales» con las credenciales de la web oscura adquiridas a partir de la filtración de contraseñas de hace tres años?

Mire, la criptografía resistente a los cuánticos es una categoría de inversión real. Pero enseñar a los empleados a utilizar correctamente un administrador de contraseñas (aleatorio, largo, único y actualizado después de una infracción) proporciona un control más barato, más rápido y más inmediatamente efectivo para los ataques que actualmente ocurren a escala. No permita que la amenaza futurista reemplace la amenaza cotidiana.

En última instancia, sus empleados no pueden ser la última línea de defensa de su empresa cuando las credenciales se filtran en la web oscura, la IA en la sombra y otros riesgos cibernéticos eluden los controles técnicos. Son la única línea que ha podido detenerlos desde el principio.

No te pierdas el último podcast de Dark Reading Confidential. Cómo se volvió viral una historia sobre una prueba de penetración de USB. Hace dos décadas, Dark Reading publicó su primer artículo de gran éxito: una columna de un evaluador de penetración que repartía unidades USB manipuladas en el estacionamiento de una cooperativa de crédito y dejaba que los empleados curiosos hicieran el resto. Este episodio repasa la pieza histórica con su autor Steve Stasiukonis. ¡Escuche ahora!