"Cómodos... y hackeados"

Es curioso cómo para muchos la seguridad sigue siendo un inconveniente menor. Poner una contraseña robusta, molesta. Escribir ese token de autenticación múltiple, una pérdida de tiempo. Dos segundos de validación, una tragedia. Pero cuando aparecen 10 cargos desconocidos en el estado de cuenta, o el correo del banco confirma una transferencia que nunca hicimos... ahí sí, el mundo se acaba. La pregunta es: ¿por qué esperamos hasta ese momento?

Y no hablamos de casos lejanos o de grandes corporaciones. En Costa Rica, el phishing por correo electrónico, las estafas por WhatsApp haciéndose pasar por familiares, o los mensajes de "su paquete está retenido" siguen funcionando con una efectividad alarmante. No porque la tecnología falle, sino porque nosotros hacemos clic antes de pensar. El ataque más sofisticado del mundo no necesita explotar un servidor si puede explotar nuestra prisa.

"A mí no me va a pasar, mi negocio es muy pequeño, nadie me va a atacar." Señores, no es un tema de tamaño. En la red, los robots no pierden oportunidad, todo lo que está conectado es un blanco. Una PYME, un profesional independiente, una startup, todos operan hoy en la nube, todos usan SaaS, todos tienen credenciales que valen dinero en el mercado negro. El tamaño de la empresa no reduce el riesgo, solo reduce la capacidad de respuesta cuando el daño ya está hecho.

Veamos algunos datos interesantes; el tiempo promedio hoy en día de un "breakout" (movimiento lateral tras el acceso inicial) cayó a 29 minutos en 2025, un 65% más rápido que el año anterior. El breakout más rápido registrado fue de apenas 27 segundos.

Esta tendencia lleva 5 años consecutivos reduciéndose: 98 min (2021) → 84 min (2022) → 62 min (2023) → 48 min (2024) → 29 min (2025), una reducción del 70% en ese período.

La naturaleza y el volumen de ataques habilitados con IA aumentaron un 89% interanual. El 82% de las detecciones fueron sin malware (malware-free), operando a través de credenciales válidas y herramientas legítimas.

La evolución de detecciones malware-free: 51% (2020) → 62% (2021) → 71% (2022) → 75% (2023) → 79% (2024) → 82% (2025).

Si hablamos de la nube, las intrusiones crecieron un 37%, con un incremento del 266% entre actores estatales. El 35% de los incidentes en la nube involucraron abuso de cuentas válidas.

Los incidentes con CAPTCHA falsos aumentaron un 563% respecto a 2024, reemplazando las campañas de actualizaciones de navegador maliciosas.

En febrero de 2025, se ejecutó el mayor robo de criptomonedas de la historia: 1.46 mil millones de dólares mediante un compromiso de cadena de suministro.

Y aún con todo esto, con números que gritan, con tendencias que llevan 5 años empeorando, con un robo de 1,460 millones de dólares ejecutado con elegancia quirúrgica... uno de los mayores problemas de seguridad que enfrenta el usuario promedio hoy en día es que el antivirus le tarda 2 segundos en validar su archivo, o validar el sitio web al que intenta accesar, si, eso, dos míseros segundos que pueden representar el robo de información sensible, o una transferencia de miles de dólares en respuesta a un correo del gerente general, que bien puso ser un correo electrónico o un deep fake, ese mismo usuario que usa "123456" como contraseña desde 2015, que tiene la contraseña en un post-it y que no piensa dos veces para hacer clic en el correo de “me gané el iphone 20” porque "se veía legítimo", y que desactivó el doble factor de autenticación porque le quita tiempo cuando revisa el TikTok.

La preocupación se inclina a la comodidad, no a la protección. Nos mantenemos en modo reactivo cuando los atacantes operan a velocidad de máquina, weaponizan vulnerabilidades en 48 horas y la IA ya escribe malware sola... mientras nosotros seguimos en guerra con la ventanita que dice "descargando de manera segura". El eslabón más débil no es la tecnología, no es el firewall, no es la nube. Somos nosotros. Y llevamos años de serlo.

Encontrar un equilibrio no significa paranoia ni convertir cada clic en un trámite burocrático. Significa hábitos simples: una contraseña que no sea el nombre del perro, del gato o del perico, el MFA activado aunque tarde dos segundos, desconfiar de lo urgente por defecto. La seguridad no compite con la productividad, compite con la negligencia. Y ese es un pleito que, como decimos los ticos, todavía podemos ganar, si decidimos pelearlo antes de ver el cargo en el estado de cuenta.

Sabemos lo importante que es para cualquier operación la rapidez y la respuesta de sus sistemas. Pero si tuviéramos que escoger, ¿comodidad o seguridad?, ¿qué responderíamos?

Vale la pena reflexionar sobre el tema.

Las opiniones expresadas son de carácter personal.

Referencias

CrowdStrike. (2026). 2026 global threat report. https://go.crowdstrike.com/2026-global-threat-report-thank-you.html

Ing. Luis Diego Flores, M.Sc.