Glosario de ciberseguridad y riesgo humano

Toma de control de una cuenta legítima con credenciales robadas. Desde adentro, el atacante lee, suplanta y escala sin disparar alarmas.

Toda persona o grupo con intención y capacidad de atacar: crimen organizado, grupos estatales, hacktivistas o insiders. Conocerlos ordena la defensa.

Prueba sistemática de combinaciones de contraseña hasta dar con la correcta. Su viabilidad depende de la longitud de la clave y de los límites de intentos.

Verificación de identidad con dos o más factores independientes. Vuelve insuficiente la contraseña robada, aunque no es invulnerable.

Red de equipos infectados que un atacante controla a distancia para enviar spam, lanzar ataques de denegación de servicio o distribuir malware.

Incidente en el que información protegida es accedida, robada o expuesta sin autorización. Sus credenciales alimentan los siguientes ataques.

Fraude que suplanta a un directivo o proveedor desde un correo legítimo o falsificado para desviar pagos o datos. No suele llevar malware.

Ataque en el que la víctima ejecuta ella misma el código malicioso, siguiendo instrucciones de una supuesta verificación o corrección de un error.

Programas que enseñan a los empleados a reconocer y reportar amenazas. Completar cursos no equivale a cambiar conducta: eso se valida con retest.

Usuarios y contraseñas expuestos en brechas o robados por malware, que circulan en la dark web. Son la materia prima del acceso inicial a las empresas.

Prueba automatizada de credenciales robadas en un servicio contra muchos otros. Funciona porque la gente reutiliza contraseñas.

Lo que los empleados hacen en materia de seguridad cuando nadie los observa: reportar, verificar, preguntar. Se construye con práctica, no con carteles.

Zona de internet accesible solo con software especial, donde el anonimato permite mercados de credenciales robadas, malware y accesos corporativos.

Audio o video sintético que imita a una persona real. Aplicado al fraude, convierte una videollamada o una nota de voz en una herramienta de suplantación.

Transferencia no autorizada de información desde los sistemas de la víctima hacia el atacante. Es el objetivo final de la mayoría de las intrusiones.

La dimensión humana del riesgo de ciberseguridad: las decisiones y hábitos de las personas que un atacante puede explotar. No es sinónimo de culpa.

Bombardeo de notificaciones de aprobación hasta que la víctima acepta por cansancio. El atacante ya tiene la contraseña; le falta el segundo factor.

Exposición de información sensible sin ataque de por medio: una base mal configurada, un archivo compartido de más, un correo al destinatario equivocado.

Disciplina que mide y reduce el riesgo de seguridad que se origina en el comportamiento de las personas, con datos continuos en lugar de cursos anuales.

Malware que roba en silencio credenciales, cookies y datos del navegador, y los empaqueta para venderse en la dark web como registros de robo.

Manipulación psicológica que lleva a una persona a entregar información, acceso o dinero. Es el punto de partida de la mayoría de los ciberataques exitosos.

Software o hardware que registra cada tecla pulsada para capturar contraseñas y conversaciones. Es una de las piezas clásicas del espionaje digital.

Todo software diseñado para dañar, espiar o tomar control de un sistema sin autorización. Casi siempre necesita que una persona lo deje entrar.

Capacitación en dosis breves y específicas, entregada en el momento del error. Aprovecha el instante en que la persona está más receptiva a aprender.

Vigilancia continua de brechas y mercados criminales para detectar credenciales o datos de la empresa expuestos, y reaccionar en horas y no en meses.

Inteligencia construida con fuentes públicas: sitios web, redes sociales, registros. La misma información sirve para defender y para preparar ataques.

Ataque que prueba unas pocas contraseñas comunes contra muchas cuentas, en lugar de muchas contraseñas contra una. Así evita los bloqueos por intentos.

Ataque que suplanta a un remitente confiable, como un banco, un colega o un proveedor, para robar credenciales, datos o dinero, o instalar malware.

Ingeniería social basada en una historia inventada pero verosímil: una auditoría, un proveedor, un técnico. El pretexto justifica pedir datos o accesos.

Indicador que resume el riesgo de seguridad de una persona o equipo a partir de su comportamiento observado: simulaciones, credenciales expuestas, retests.

Phishing por código QR. El enlace malicioso viaja como imagen, evade los filtros de correo y se abre en el celular, fuera de las defensas corporativas.

Malware que cifra los datos de la víctima y exige un pago por liberarlos. Hoy suma la extorsión de publicar lo robado si no se paga.

Nueva simulación de la misma categoría de ataque, semanas después de una caída y con otra plantilla, para comprobar que la persona cambió su conducta.

Robo de la cookie o token que mantiene abierta una sesión ya autenticada. Permite entrar sin contraseña y sin segundo factor.

Uso de herramientas de IA sin aprobación de la empresa: datos sensibles pegados en chatbots y decisiones apoyadas en salidas que nadie valida.

Herramientas y servicios que los empleados usan sin aprobación del área de tecnología. Cada cuenta invisible es riesgo que nadie está vigilando.

Ataque de phishing controlado que la empresa envía a sus empleados para medir quién cae, ante qué tipo de engaño y con qué frecuencia.

Phishing por SMS o mensajería móvil. Explota la confianza en el celular y la ausencia de filtros: el mensaje llega directo, corto y con un enlace.

Phishing dirigido a una persona específica, construido con datos reales de su rol, su empresa y sus herramientas. Mucho más efectivo que el envío masivo.

Falsificación de la identidad de un remitente: correo, dominio, número telefónico o sitio web. Es la capa técnica que hace creíble la suplantación.

El conjunto de puntos por donde un atacante puede intentar entrar: sistemas expuestos, cuentas, proveedores y, sobre todo, las personas.

Porcentaje de personas que hacen clic en una simulación de phishing. Útil como señal, engañosa como métrica única de un programa.

Porcentaje de personas que reportan una simulación o un ataque real. Es el mejor indicador temprano de una cultura de seguridad que funciona.

Ingeniería social por llamada telefónica. El atacante se hace pasar por soporte técnico, un banco o un proveedor para obtener accesos o pagos en tiempo real.

Spear phishing dirigido a ejecutivos con poder de firma o acceso privilegiado. Busca pagos, información estratégica o el control del correo del directivo.