¿Qué está en juego cuando sus empleados publican demasiado en línea?

Desde LinkedIn hasta X, desde GitHub hasta Instagram, existen numerosas formas de compartir información relacionada con el trabajo. Pero publicar también podría causarle problemas a su empresa.

01 de diciembre de 2025
•
,
Leer durante 5 minutos

La representación de los empleados existe como concepto desde hace más de una década. Pero lo que comenzó como una forma bien intencionada de mejorar el perfil de la empresa, el liderazgo intelectual y el marketing también tiene consecuencias no deseadas. Cuando los profesionales publican sobre su trabajo, su empresa y su función, esperan llegar a profesionales con ideas afines, así como a clientes potenciales y socios. Pero los actores de amenazas también se han dado cuenta.

Una vez que esta información está disponible públicamente, a menudo se utiliza para crear intentos convincentes de ataque o phishing. Compromiso del correo electrónico empresarial (BEC) ataques de estilo. Cuanta más información, mayor será la oportunidad de que se produzcan actividades nefastas que podrían afectar gravemente a su negocio.

¿Dónde comparten sus empleados?

Las principales plataformas para compartir dicha información son los sospechosos habituales. LinkedIn es tal vez lo mas obvio. Podría describirse fácilmente como la base de datos abierta de información corporativa más grande del mundo: un tesoro escondido de títulos de trabajo, funciones, responsabilidades y relaciones internas. Aquí también es donde los reclutadores publican ofertas de trabajo que pueden revelar demasiados detalles técnicos que luego pueden explotarse en ataques de phishing.

GitHub es quizás más conocido en el contexto de la ciberseguridad como un lugar donde los desarrolladores distraídos publican secretos, direcciones IP y datos de clientes codificados. O también pueden compartir información más inocua sobre nombres de proyectos, nombres de canalizaciones de CI/CD e información sobre qué pilas de tecnología y bibliotecas de código abierto utilizan. También pueden compartir direcciones de correo electrónico corporativas en configuraciones de confirmación de Git.

Luego están las plataformas sociales clásicas centradas en el consumidor, como Instagram y X. Aquí, es probable que los empleados compartan detalles sobre sus planes de viaje a conferencias y otros eventos que podrían usarse como arma contra ellos y su empresa. Incluso la información contenida en el sitio web de su empresa podría resultar útil para un posible estafador o hacker. Piense en detalles sobre plataformas técnicas, proveedores y socios, o anuncios importantes de la empresa, como actividades de fusiones y adquisiciones. Todo esto podría ser un pretexto para un phishing sofisticado.

LECTURA RELACIONADA: ¿Tu perfil de LinkedIn revela demasiado?

Información de armas

La primera fase de un típico ataque de ingeniería social es Recopilación de información. El siguiente paso es convertir esta información en un arma en un ataque de phishing para engañar involuntariamente al destinatario para que lo haga. Instale malware en su dispositivo. O posiblemente compartir el suyo Credenciales corporativas para acceso inicial. Esto se puede hacer por correo electrónico, SMS o incluso por teléfono. Alternativamente, podrían usar información para hacerse pasar por un ejecutivo o proveedor de nivel C en un correo electrónico, teléfono o videollamada y solicitar una transferencia bancaria urgente.

Estos esfuerzos suelen requerir una combinación de suplantación, urgencia y relevancia. A continuación se muestran algunos ejemplos hipotéticos:

• Un adversario encuentra información de LinkedIn sobre un nuevo empleado en un puesto de TI en la Empresa A, incluidas su función y responsabilidades principales. Se hacen pasar por un importante proveedor de tecnología y afirman que se requiere una actualización de seguridad urgente, citando el nombre, los datos de contacto y la función del objetivo. El enlace de actualización es malicioso.
• Un actor de amenazas encuentra información sobre dos colegas en GitHub, incluido el proyecto en el que están trabajando. En un correo electrónico, se hacen pasar por uno y le piden al otro que revise un documento adjunto que contiene malware.
• Un estafador encuentra un vídeo de un ejecutivo en LinkedIn o en el sitio web de una empresa. Verás en el feed de Instagram/X de esta audiencia que están a punto de dar una charla en una conferencia y no están en la oficina. Sabiendo que puede ser difícil llegar al ejecutivo, lanzan un ataque BEC falso utilizando video o audio para engañar a un miembro del equipo financiero para que transfiera fondos urgentes a un nuevo proveedor.

Historias de advertencia

Lo anterior es sólo una hipótesis. Sin embargo, existen numerosos ejemplos del mundo real de actores de amenazas que utilizan técnicas de inteligencia de código abierto (OSINT) en las primeras etapas de los ataques. Esto incluye:

• Un ataque BEC que le costó a Children’s Healthcare of Atlanta (CHOA) $3.6 millones: los actores de amenazas probablemente hayan revisado los comunicados de prensa sobre un campus recientemente anunciado para conocer más detalles, incluido el socio de construcción del hospital. Luego utilizaron LinkedIn y/o el sitio web de la empresa para identificar a ejecutivos clave y miembros del equipo financiero de la empresa constructora involucrada (JE Dunn). Finalmente, ellos imitaron el director financiero en un correo electrónico al equipo financiero de CHOA solicitándoles que actualicen los detalles de pago de JE Dunn.
• Los grupos SEABORGIUM, con sede en Rusia, y TA453, alineado con Irán, utilizan OSINT para detectar ataques de phishing dirigidos a objetivos preseleccionados. Respectivamente el NCSC británicoUtilizan las redes sociales y plataformas de redes profesionales para hacer “su” investigación. [targets’] intereses e identificar sus contactos sociales o profesionales reales”. Una vez que se establece la confianza y la relación por correo electrónico, envían un enlace a la información de inicio de sesión de las víctimas.

¿Detener la acción? Cómo reducir el riesgo de phishing

Los riesgos de compartir demasiado son reales, pero afortunadamente existen soluciones sencillas. El arma más poderosa de tu arsenal es la educación. Actualizar Programas de concientización sobre seguridad para garantizar que todos los empleados, desde los gerentes hacia abajo, comprendan la importancia de no compartir demasiado en las redes sociales. En algunos casos, esto requiere un reequilibrio cuidadoso de las prioridades lejos de la defensa de los empleados a toda costa. Aconseje a los empleados que eviten compartir a través de mensajes directos no solicitados, incluso si reconocen al usuario (ya que su cuenta puede haber sido secuestrada). Y asegúrese de que puedan detectar intentos de phishing, BEC y deepfake.

Respalde esto con una política estricta de uso de las redes sociales, estableciendo líneas rojas para lo que se puede y no se puede compartir, y estableciendo límites claros entre las cuentas personales y profesionales/oficiales. Es posible que también sea necesario revisar y actualizar los sitios web y las cuentas de las empresas para eliminar cualquier información que pueda utilizarse como arma.

La autenticación multifactor (MFA) y las contraseñas seguras (almacenadas en un administrador de contraseñas) también deben ser un hecho para todas las cuentas de redes sociales, en caso de que las cuentas profesionales sean secuestradas específicamente para colegas.

Por último, si es posible, supervise las cuentas de acceso público en busca de información que pueda utilizarse para phishing y BEC. Y realice ejercicios del equipo rojo contra los empleados para poner a prueba su conciencia.

Desafortunadamente, la IA hace que sea más rápido y fácil que nunca para los actores de amenazas perfilar objetivos, recopilar OSINT y luego redactar correos electrónicos/mensajes atractivos en un lenguaje natural perfecto. Los deepfakes impulsados ​​por IA amplían aún más sus capacidades. La conclusión es que si es de dominio público, debes asumir que un ciberdelincuente lo sabe… y pronto llamará a tu puerta.