Insumos Chicamocha distribuye harina y azúcar a panaderías de Bucaramanga y son seis personas. Un viernes a las 4:50, Luz Dary Pabón recibió por WhatsApp, desde el número del dueño, con su foto y el historial de siempre arriba, la instrucción de pagarle al proveedor de levadura a una cuenta nueva. Llevaba tres días esperando ese pago. Transfirió 8 millones de pesos. El phishing que funciona es el que se estaba esperando. No hubo archivo adjunto, no hubo programa malicioso y no hubo ninguna alarma que sonara.
Por eso este tema empieza por los ataques. Una defensa elegida sin saber qué llega de verdad es una compra, y lo que llega tiene una forma estable y poco vistosa.
El código de seis dígitos, y por qué acá la puerta es la línea telefónica
La versión escrita en inglés de esta página cuenta un correo desde un dominio parecido. Acá el mensaje que se abre no llega por correo. El 93% de los usuarios de internet de México y el 94% de los de Colombia están en WhatsApp (Statista, 2025), y una instrucción de pago que llega por ahí, desde un número conocido, no se lee con ninguna sospecha, porque es el canal por el que llega todo lo demás.
El dueño no escribió nada. Una cuenta de WhatsApp se pierde entregando el código de seis dígitos que llega por SMS, y el mensaje que lo pide viene de un contacto real cuya cuenta ya se perdió antes, diciendo que se equivocó de número. El otro camino no pide nada: se rehace la línea en otra SIM con datos que se consiguen sueltos, y el código llega al teléfono del atacante. Los dos caminos terminan con el atacante escribiendo desde el número del dueño, y ninguno pasa por el antivirus del computador de la oficina.
Ahí aparece la parte incómoda. El SMS es el segundo factor más común por acá y es el que se pierde junto con la línea: el banco, la plataforma de facturación y la cuenta de correo mandan su clave temporal al mismo número que el atacante acaba de quedarse. Un solo trámite en una tienda del operador vence tres controles distintos a la vez, y ninguno de los tres se enteró.
El dinero se va en segundos, y ese cambio reordena todo lo demás
Una transferencia inmediata se liquida en segundos y no se puede devolver. Los sistemas de pago inmediato de la región mueven el dinero sin ventana de retracto, y una vez acreditado el banco que envió no tiene nada que revertir: puede pedirle al que recibió que colabore, y eso depende de que el dinero siga ahí, que a los diez minutos casi nunca está.
Eso cambia dónde vale la pena poner el esfuerzo. Donde la transferencia tarda horas, la respuesta al incidente sirve. Acá no hay respuesta al incidente que valga: a las 4:52 el dinero ya estaba en tres cuentas más. Todo el peso se corre hacia adelante, hacia el minuto anterior al pago, y el control que sí funciona no se compra.
Es un procedimiento de dos renglones y sale gratis. Ninguna cuenta de destino nueva se paga el mismo día en que se pide. Todo cambio de cuenta se confirma llamando al número que ya estaba en la agenda desde antes, nunca al que viene en el mensaje, y quien llama no es quien recibió la instrucción. En Insumos Chicamocha esa segunda persona existía y estaba a dos escritorios de distancia.
Qué detiene cada capa, y a qué deja pasar
Todo control es transparente a algo, y una página que enumera solo la mitad que detiene es un anuncio publicitario. El segundo factor es el caso más claro: detiene el relleno de credenciales y casi toda toma de cuenta automatizada, y no detiene ni una galleta de sesión robada ni a la persona que aprueba una petición que no esperaba. Eso no es un argumento en contra, porque sigue siendo el control con mejor rendimiento por peso invertido. Es un argumento para conocerle el borde, porque el borde es por donde entraron.
La misma honestidad va hacia abajo. Un gestor de contraseñas elimina la reutilización, que es el ataque que de verdad ocurre a esta escala, y no hace absolutamente nada contra alguien que decide autorizar un pago. Los respaldos sobreviven al secuestro de datos y no sobreviven a una transferencia fraudulenta, porque no se cifró nada ni se perdió nada más que el dinero.
Los permisos se explican al revés casi siempre. El menor privilegio limita el alcance del daño, no la probabilidad. Que solo una persona pueda aprobar pagos no hace menos probable el ataque; decide cuánto queda al alcance cuando una cuenta cae. La objeción en Bucaramanga fue que seis personas que llevan una década juntas no tienen por qué pedirse permisos, que es razonable de sentir y la respuesta a otra pregunta. Los permisos no eran un juicio sobre un compañero. Eran un límite a lo que podía alcanzar un desconocido con la sesión de ese compañero.
El respaldo que nadie ha restaurado
Un respaldo que nunca se ha restaurado no es un respaldo. En Bucaramanga corrían todas las noches desde hacía tres años y nunca se había recuperado uno. Cuando por fin lo intentaron, las facturas volvieron y la base de datos de inventario no, porque se había agregado al servidor después de escribir la tarea de respaldo y la tarea nombraba carpetas una por una. Nada había fallado. Nada se había revisado tampoco.
Vale hacer la prueba hoy: restaurar un archivo de hace un mes, sin ayuda de quien armó el sistema, y anotar cuánto tardó. Ese número es el único dato honesto que un negocio tiene sobre su recuperación.
El orden, y lo que enseña el certificado
El orden que funciona es el vocabulario, después los ataques, después las defensas y al final las herramientas. Casi todo el mundo lo hace al revés y entra por una herramienta, porque una herramienta se puede descargar. Los fundamentos van de verdad primero, porque acá las palabras se usan con precisión y una conversación donde riesgo, amenaza y vulnerabilidad se usan como sinónimos no llega a ninguna decisión.
Después vienen las superficies de ataque, que es la parte que le reacomoda las prioridades a la gente, porque la lista honesta la dominan las credenciales, los programas sin actualizar y una persona a la que se le pidió con amabilidad. Solo después de eso la defensa se lee como un conjunto de decisiones y no como una lista de compras, y solo después las herramientas son algo distinto de un menú.
El permiso para practicar cualquiera de estas cosas sobre un sistema ajeno no se sobreentiende, y la distinción es legal antes que ética. La autorización por escrito, el alcance y una ventana definida son lo que separa el trabajo de el hacking ético de un delito, y la actividad técnica de los dos lados de esa raya es idéntica.
De las certificaciones hay que decir algo que pesa más en este mercado que en el que escribió la versión en inglés: donde el título no siempre se lee, un certificado sí se lee y las vacantes lo piden por nombre. Eso las vuelve una inversión razonable y no cambia lo que enseñan, que es vocabulario. Sacarlo antes de haber revisado una cuenta comprometida deja a alguien capaz de explicar el incidente de Bucaramanga y no de atenderlo.
Dónde se atora la gente
El atoro es creer que la seguridad es un producto que se agrega. Se sostiene porque el mercado alimenta esa idea y porque comprar algo es una decisión que se puede terminar, mientras que el trabajo de verdad es actualizar, quitar cuentas que ya no usa nadie y ensayar una restauración, y ninguna de las tres se termina ni se presenta en una junta.
El segundo atoro es la criptografía, donde la gente espera necesitar las matemáticas y se detiene al encontrarlas. Casi nadie en este oficio implementa un cifrado. Lo que hace falta es qué garantiza cada pieza y qué no: que un hash prueba que un archivo no cambió y por sí solo no esconde nada, que firmar prueba el origen y no oculta, que cifrar oculta y no autentica. Esa capa útil no necesita álgebra.
Qué abrir en 2026
El movimiento que más rinde y no cuesta nada es salirse del SMS. Una aplicación de códigos temporales, o la del propio banco, genera la clave dentro del teléfono y no la manda por la red del operador, así que quien se quede con la línea se queda sin ella. Reemplazó al mensaje de texto como segundo factor y es gratis en las dos tiendas de aplicaciones. Donde el banco todavía no ofrece otra cosa, conviene saber que ese servicio quedó atado a la línea y tratarlo como tal.
Un gestor de contraseñas para todo el negocio es la mejor compra de este tamaño, y Bitwarden tiene una capa gratuita que de verdad alcanza y un cliente de código abierto. Reemplazó a la hoja de cálculo compartida, y quita la reutilización, que es lo que convierte una filtración de otro sitio en un incidente propio.
Las llaves físicas de seguridad son el segundo factor más fuerte que existe y resisten justo el dominio parecido, porque la llave revisa el dominio y una persona no. Reemplazaron a los códigos de una aplicación. No son gratis y decirlo importa más que recomendarlas: no están en el estante de ninguna tienda de la región, se piden por Mercado Libre o Amazon, llegan de importación y se pagan en dólares al tipo de cambio del día.
Para saber qué está expuesto antes de que lo encuentre alguien más, nmap sigue siendo el estándar y es gratis. Reemplazó a suponer que un servicio no se alcanza porque no estaba pensado para alcanzarse. Corrido contra el rango propio, la salida se lee como una lista de cosas que alguien va a probar tarde o temprano, y ese rango empieza en el router del que sale la oficina, que es de donde viene redes de computadoras.
Falta una pregunta que ninguna herramienta de esta página contesta: quién está mirando a las tres de la mañana. Es un asunto de personal antes que técnico, y la recogen la administración de servidores, donde alguien tiene que estar despierto, y el cómputo en la nube, donde esa guardia se renta con la máquina y llega en la factura.