Por respeto a los involucrados, el caso se presenta sin nombres de personas, empresas ni ubicaciones.

Resumen del incidente

Cronología

1. El pedido. El residente solicita un cilindro de gas y entrega sus datos habituales de despacho: nombre completo, dirección y número de departamento.
2. Días después, un domingo. Con el residente fuera de casa, dos desconocidos recorren edificios de la cuadra. La numeración del edificio es poco visible y se confunde con la del vecino, así que primero lo intentan en el edificio equivocado.
3. El intento. En el edificio correcto, entran y se dirigen directo al ascensor, sin anunciarse.
4. La contención. El conserje los intercepta porque no los reconoce. Los sujetos dicen el nombre completo del residente y su número de departamento, y justifican la visita con un supuesto “regalo o paquete”.
5. La insistencia. Al no poder pasar, cambian la historia varias veces: primero aseguran que el residente los espera en la sala común del edificio y luego, que está en el hall. En ese momento, un miembro del comité de administración del edificio interviene y desmiente la versión: el residente no está ahí.
6. El último pretexto. Mientras el conserje llama al departamento para aclarar la situación, los sujetos afirman que el residente les compartió su ubicación en tiempo real y muestran, en un chat de WhatsApp, un punto en una cafetería cercana al edificio, para hacer creer que venía en camino. Esa ubicación correspondía, en realidad, a una persona o dispositivo que se encontraba cerca de la cafetería.
7. La huida. Sin forma de sostener la historia, se retiran rápidamente. Simulan dirigirse al metro y finalmente abordan un bus del transporte público.

La investigación

El residente había hecho varios pedidos en distintas plataformas durante esos meses, así que el primer paso fue acotar el origen de la filtración:

• Se cruzaron las fechas y los datos entregados en cada pedido con lo que los sujetos sabían y con la forma en que se equivocaron de edificio.
• Se revisaron las grabaciones de las cámaras del edificio y del edificio vecino o conjunto, y se compararon con la información de las entregas recientes, para reconocer a las personas.
• También se intentó identificar a la persona o dispositivo que estaba cerca de la cafetería, ya que se trataba de un chat de WhatsApp con ubicación compartida en tiempo real. No fue posible: una de las cámaras tenía un punto muerto en parte del recorrido, y en los alrededores del edificio no había cámaras que permitieran seguir su trayecto.
• Con eso se reconstruyó el modus operandi y se identificó la plataforma de la que provenían los datos.

Causa raíz: la falla no fue del cliente

El hallazgo más importante estaba del lado del proveedor. En los pedidos de entrega inmediata, la empresa no registraba la patente del vehículo ni el nombre o RUT de las personas que participaban en el reparto.

Sin ese registro, a estos individuos se les facilita intentar vulnerar a las personas. Además, nada impide que el conductor lleve un acompañante externo que no figura en ningún sistema y cuyo único rol es recolectar datos de clientes: quién vive dónde, en qué departamento y en qué horarios.

Como no hubo ingreso forzado ni daños, el hecho no pasó a mayores en lo legal; es decir, no constituye delito. Pero dejó en evidencia una falla de seguridad seria, que afecta a cualquier cliente de ese servicio.

Importante: la gran mayoría de los repartidores trabaja de forma honesta. El problema no son las personas en general, sino los procesos que no permiten saber quién tuvo acceso a qué datos.

Recomendaciones

Si pides a domicilio

• Usa iniciales o un alias en las aplicaciones de delivery y compras (comida, gas, marketplaces), siempre que el servicio lo permita. Para recibir un pedido no hace falta tu nombre completo.
• Entrega lo mínimo indispensable. Solo los datos necesarios para que el producto llegue. No dejes guardados teléfonos secundarios ni referencias innecesarias. Evita frases como “vivo sola” o “no hay nadie después de las 18:00”.
• Cuida el RUT. Algunas empresas lo exigen para la entrega. Debería quedar entre la empresa y tú, no en manos del repartidor. Si puedes elegir, prefiere servicios que no lo muestren en la orden de despacho.
• Cuida tu ubicación y tus rutinas. Revisa con quién compartes tu ubicación en tiempo real y evita publicar tus rutinas (lugares, horarios, trayectos). Tu rutina también es un dato personal.

Si administras un edificio o condominio

• Registra a toda persona externa en una bitácora de ingreso: nombre, RUT, patente, foto (captura de cámara) y hora de entrada y salida. Incluye a repartidores, técnicos y servicios básicos, y también a familiares o conocidos que no viven ahí.
• Nadie sube sin ser anunciado. El residente debe confirmar cada visita o entrega.
• Verifica solo con el residente, por un canal registrado. Una pantalla con una “ubicación compartida”, un chat o una foto que muestra el visitante no es una verificación: se falsifica en segundos. La confirmación debe venir del residente, llamando al número que la administración tiene registrado.
• Desconfía de las historias que cambian. Si el visitante modifica su versión (“me espera en la sala”, “está en el hall”, “viene en camino”), es una señal de ingeniería social: se niega el acceso y se registra el hecho.
• Anuncia sin revelar datos. Al llamar al departamento, el conserje no debería decir nombres en voz alta frente al visitante (“Tiene una entrega en recepción” en lugar de “Viene alguien para Juan Pérez del 1204”).
• Cámaras sin puntos ciegos. Que las cámaras cubran el acceso, el hall y los ascensores sin puntos muertos (revisa la cobertura real, no solo la cantidad de cámaras), y que las grabaciones se conserven el tiempo suficiente para revisarlas. Si en los alrededores no hay cámaras, coordina con los edificios vecinos o con la municipalidad.

Si tu empresa hace entregas o maneja datos de clientes

• Identifica a todos los que participan en la entrega: conductor, acompañantes, vehículo y patente, también en los pedidos de entrega inmediata.
• Minimiza lo que ve el repartidor: que vea iniciales y la dirección, no el nombre completo ni el RUT. Con la Ley N° 21.719 de protección de datos personales, la minimización y la trazabilidad dejan de ser una buena práctica y pasan a ser una obligación.
• Deja registro de accesos: quién consultó qué datos y cuándo. Sin ese registro, una filtración como esta es imposible de investigar.

Si te pasa algo similar

1. Pide a la conserjería que registre el hecho (hora, descripción, lo que dijeron) y que resguarde las grabaciones.
2. Haz la denuncia en Carabineros o la PDI, aunque no haya delito consumado. Deja constancia y ayuda a detectar patrones.
3. Avisa a la plataforma desde la que sospechas que salieron tus datos.
4. Revisa y reduce los datos que tienes guardados en tus aplicaciones de compra y delivery.

El eslabón más débil suele ser la información que entregamos sin pensar. Evitemos el doxeo y cuidemos nuestro hogar.

El doxeo es la exposición o el uso de información privada o de identificación de una persona sin su consentimiento, ya sea por una filtración o por un descuido.

Si quieres revisar los protocolos de acceso de tu edificio, o cómo tu empresa maneja los datos de sus clientes, conversemos.

Estimados colaboradores y clientes: detectamos un incremento en una sofisticada modalidad de fraude que combina la exfiltración de datos públicos con ingeniería social telefónica (vishing).

¿Cómo opera este vector de ataque?

1. Obtención de datos: los delincuentes consiguen información básica del usuario: RUT, nombre y teléfono.
2. Bloqueo provocado: ingresan a propósito contraseñas erróneas en los portales oficiales para forzar el bloqueo automático, y legítimo, de la cuenta.
3. Suplantación telefónica: contactan a la víctima haciéndose pasar por el área de seguridad del banco. Cuando la persona comprueba que su cuenta sí está bloqueada, el atacante gana total credibilidad.
4. Extracción del token: solicitan los códigos de recuperación (SMS o notificación push) “para restablecer la clave” y toman control de los fondos.

Medidas de mitigación obligatorias

• Ninguna institución legítima solicitará códigos de verificación, tokens o contraseñas por llamada telefónica.
• Si tu cuenta se bloquea repentinamente, cuelga cualquier llamada entrante y comunícate tú mismo con los canales oficiales: el número impreso en tu tarjeta o la app oficial del banco.
• Reporta de inmediato cualquier actividad sospechosa a tu banco y al equipo de TI o ciberseguridad de tu empresa.

Esta técnica suele combinarse con el fraude de desvío de llamadas (MMI), que permite al atacante recibir tus códigos por llamada de voz.

La seguridad digital es un compromiso de todos.

A la comunidad y a los equipos de trabajo: hacemos un llamado a mantener la máxima alerta ante la masificación de estafas basadas en códigos QR fraudulentos, camuflados principalmente en supuestas notificaciones de encomiendas, recibos de pago físicos o multas de tránsito.

Vectores de riesgo identificados

• Reemplazo de códigos: se modifican códigos QR legítimos pegando encima stickers impresos con uno falso.
• Suplantación de identidad (spoofing): el código dirige a páginas idénticas a las de pasarelas bancarias o del correo institucional para robar credenciales.
• Descarga de malware: ejecución silenciosa de scripts que comprometen la seguridad del celular, corporativo o personal.

Protocolo de prevención obligatorio

1. No escanees códigos QR de origen desconocido. Recomendamos no escanear códigos que encuentres “por ahí”: pegados en la vía pública, postes, estacionamientos, volantes o avisos que no esperabas.
2. Inspección visual: si necesitas escanear uno, verifica que no sea un adhesivo pegado sobre otra superficie.
3. Validación de la URL: usa la cámara nativa del celular para previsualizar el enlace antes de abrirlo. Desconfía de enlaces acortados o dominios extraños.
4. Restricción de datos: jamás ingreses contraseñas, PIN o datos de tarjetas en sitios a los que llegaste mediante un código QR de origen dudoso.

Las empresas no sufren brechas por falta de herramientas, sino por parchear a ciegas.

El problema: CVSS mide severidad, no probabilidad

El puntaje CVSS mide la severidad técnica intrínseca de una vulnerabilidad, no la probabilidad de que sea explotada en tu entorno. Si tienes 100 alertas “Críticas” pero tu equipo solo puede aplicar 10 parches esta semana, priorizar solo por CVSS es jugar a la ruleta rusa.

EPSS ayuda, pero entrega una probabilidad estática a 30 días: no modela la dinámica temporal ni los flujos de detección y mitigación bajo una capacidad operativa limitada.

Qué es Cyber-Prioritizer

Para resolver ese cuello de botella creé Cyber-Prioritizer: un motor matemático de gestión de vulnerabilidades basada en riesgo (RBVM) que traduce telemetría aislada en decisiones ejecutivas.

No busca reemplazar a NVD, CVSS o EPSS, sino orquestarlos: toma esas métricas técnicas aisladas y las convierte en un orden de parcheo que reduce horas-hombre y evita parchear vulnerabilidades sin probabilidad real de explotación.

• Integra inteligencia real: cruza tu inventario con NVD, EPSS (FIRST) y el catálogo de explotación confirmada de CISA (KEV), con mapeo táctico MITRE ATT&CK.
• Modela el tiempo: usa Cadenas de Markov para proyectar la probabilidad de compromiso a 30 días.
• Optimiza el presupuesto: selecciona el subconjunto de K activos que maximiza la reducción esperada del riesgo dinámico.

La metodología en 4 pasos

1. Probabilidad real. Convierte el puntaje EPSS en una tasa diaria de explotación: p_e = 1 − (1 − EPSS)^(1/30).
2. Cadena de Markov por activo. Cada activo se modela con una matriz de transición de 4 estados — Seguro, Detectado, Explotado, Mitigado — para proyectar su probabilidad de compromiso en un horizonte de 30 días.
3. Riesgo dinámico. Pondera esa probabilidad con la criticidad de negocio del activo y su exposición de red (Internet, DMZ o red interna).
4. Optimización bajo restricción. Asigna los K parches disponibles donde más riesgo residual eliminan.

Resultados: mismo presupuesto, más riesgo eliminado

En un entorno simulado de 68 activos heterogéneos y una restricción de 10 parches, ambas estrategias coinciden en 5 activos y difieren en los otros 5. Ahí está toda la diferencia.

El criterio CVSS gastó 3 parches en la misma vulnerabilidad (Log4Shell) en tres instancias distintas y 2 en activos de criticidad Media, solo porque marcaban 10.0. El modelo estocástico redirigió esos 5 parches a vectores de acceso real: Citrix NetScaler, Fortinet FortiOS, dos Exchange y Apache HTTP, todos en KEV, de criticidad Alta y expuestos a Internet.

El patrón se repitió en un segundo inventario independiente de otro sector: 60,3 % vs 47,6 %.

Lo que el modelo no resuelve por sí solo

Sin una línea base de inventario homogénea, cualquier plataforma de RBVM, por costosa que sea, produce ruido.

Por eso el repositorio incluye una plantilla de inventario (/data/Formulario_Inventario.xlsx) con parámetros prellenados que mantienen la homogeneidad de la carga y evitan fallas del algoritmo.

Cyber-Prioritizer es un MVP académico y de código abierto, diseñado para demostrar la viabilidad metodológica del modelado estocástico. La arquitectura de microservicios y colas asíncronas para escala masiva está en desarrollo para la versión enterprise de IKUBERT.

Cómo probarlo

1. Entra al repositorio en GitHub y abre notebooks/Cyber_Prioritizer.ipynb en Google Colab o Jupyter.
2. Ejecuta las celdas con la matriz simulada, o carga el inventario de tu organización usando la plantilla de /data.
3. El notebook genera el test A/B y exporta reportes ejecutivos (Markdown, HTML, DOCX) y grillas operativas en XLSX para SecOps.

Licenciamiento dual

El código se publica bajo GNU AGPLv3 para uso académico, personal y proyectos abiertos. Las organizaciones que necesiten integrarlo en plataformas propietarias o servicios gestionados, o que por compliance no puedan cumplir los términos de la AGPLv3, pueden solicitar una licencia comercial a través de IKUBERT (contact@ikubert.com).

La pregunta para tu equipo

¿Cómo priorizan hoy cuando el backlog de críticas supera la capacidad del equipo? ¿CVSS, EPSS o criterio del analista?

Si quieres aplicar este enfoque a tu propio inventario, es exactamente lo que hacemos en la fase de priorización del framework IKU-Risk™.

Fuentes: Verizon DBIR 2026 · SecurityWeek: Vulnerability exploitation overtakes credential theft · Tenable: Key findings from the Verizon DBIR 2026 · Industrial Cyber: KEV remediation

📱 Ajustes esenciales en tu celular

• Verificación en dos pasos: actívala en tus cuentas de Google y redes sociales, idealmente con notificaciones push o llaves de seguridad en lugar de SMS.
• Bloqueo biométrico: usa huella digital o reconocimiento facial, además del PIN, para desbloquear el equipo y las aplicaciones sensibles (banco, correo, gestor de contraseñas).
• Permisos de apps: limita el acceso a ubicación, cámara y contactos a “solo mientras se usa la app”.
• Rastreo remoto: habilita la opción para localizar o borrar tu dispositivo en caso de pérdida (Encontrar mi dispositivo en Android, Buscar en iPhone).

🔐 Usa eSIM en vez del chip tradicional

Con un chip físico, quien roba tu teléfono puede sacar la SIM, ponerla en otro equipo y empezar a recibir tus SMS y llamadas, incluidos los códigos de recuperación de tus cuentas.

La eSIM va integrada en el teléfono: no se puede extraer y el traspaso a otro equipo requiere pasar por tu operador. Si tu teléfono y tu compañía la soportan, recomendamos migrar.

Si sigues usando chip físico, activa el PIN de la SIM. Así, al ponerla en otro teléfono, pedirá un código que solo tú conoces.

🔒 Oculta el contenido de los mensajes con el teléfono bloqueado

Si los mensajes se ven en la pantalla de bloqueo, un ladrón puede leer los códigos de verificación sin desbloquear el equipo y usarlos para entrar a tus cuentas.

• iPhone: Ajustes > Notificaciones > Mostrar vistas previas → “Si está desbloqueado”.
• Android: Ajustes > Notificaciones > Notificaciones en la pantalla de bloqueo → “Ocultar contenido sensible” o “No mostrar notificaciones”. El nombre exacto varía según la marca.

💻 Hábitos de navegación y compras

• Sitios seguros: revisa que la dirección comience con https:// y muestre el candado. Aun así, fíjate bien en el dominio: las páginas falsas también pueden tener candado.
• Redes públicas: evita operaciones bancarias o compras usando Wi-Fi público (el de un café, por ejemplo) sin una VPN.
• Tiendas oficiales: descarga aplicaciones únicamente desde las tiendas legítimas de tu sistema operativo.

📊 Monitoreo financiero

• Estados de cuenta: revisa tus cartolas bancarias cada mes para detectar a tiempo cargos no reconocidos.
• Alertas de transacciones: configura notificaciones instantáneas en los portales de tus bancos por cada compra o transferencia.

Complementa esta guía con los 3 ajustes de WhatsApp para proteger tu cuenta.

1. Evita que te agreguen a grupos de fraude o spam

Por defecto, cualquier persona que tenga tu número puede meterte en un grupo. Cambia esto para que solo tus conocidos puedan hacerlo:

1. Ve a Ajustes (o Configuración).
2. Selecciona Privacidad.
3. Toca Grupos.
4. Cambia la opción de “Todos” a “Mis contactos”, o a “Mis contactos, excepto…” si quieres restringir a alguien en específico.

2. Activa la verificación en dos pasos (clave para evitar el secuestro)

Si alguien intenta registrar tu número de WhatsApp en otro teléfono, mediante un duplicado de SIM o ingeniería social, este PIN evitará que te roben la cuenta.

1. Ve a Ajustes.
2. Selecciona Cuenta.
3. Toca Verificación en dos pasos.
4. Presiona Activar y crea un PIN de 6 dígitos que recuerdes, pero que no sea obvio (evita tu fecha de nacimiento o 123456).
5. Agrega tu correo electrónico por si algún día olvidas el PIN.

3. Silencia las llamadas de números desconocidos

Muchos intentos de estafa o de hackeo telefónico empiezan con llamadas de números internacionales o desconocidos. Puedes silenciarlas automáticamente:

1. Ve a Ajustes.
2. Selecciona Privacidad.
3. Toca Llamadas.
4. Activa “Silenciar llamadas de números desconocidos”.

La llamada queda registrada en tu historial por si era algo importante, pero tu teléfono no suena.

Consejos rápidos de seguridad

• No compartas códigos: WhatsApp nunca te pedirá códigos de verificación por SMS ni por llamada. Si te llega uno sin haberlo solicitado, no se lo pases a nadie.
• Cuidado con las ofertas grupales: si te añadieron a un grupo de “criptomonedas”, “trabajos fáciles desde casa” o “regalos”, sal de inmediato y reporta el grupo.
• Protege tu foto de perfil: en Ajustes > Privacidad > Foto de perfil, configúrala para que solo la vean “Mis contactos”. Así evitas que los estafadores usen tu foto para suplantarte con tus familiares.

Si recibes una llamada que te pide marcar códigos extraños en el teclado, revisa nuestra alerta sobre el fraude de desvío de llamadas (MMI).

La pregunta correcta no es “¿qué es más grave?”, sino “¿qué corrijo primero para reducir más riesgo con lo que tengo?”.

Por qué ordenar solo por CVSS no alcanza

El puntaje CVSS mide la severidad técnica de una vulnerabilidad en abstracto: qué tan grave sería si alguien la explotara. Es un buen punto de partida, pero no responde tres preguntas clave:

• ¿Se está explotando realmente? Muchas vulnerabilidades con puntaje alto nunca llegan a ser atacadas en la práctica.
• ¿Está expuesto el activo? Una falla crítica en un servidor aislado de la red interna no pesa lo mismo que en un equipo publicado a Internet.
• ¿Qué pasa si cae ese activo? No es lo mismo el servidor de facturación que un computador de pruebas.

Si ordenas solo por CVSS, terminas con decenas de “10.0” empatados y sin criterio para decidir.

Las cuatro variables que usamos

En los informes del framework IKU-Risk™ combinamos cuatro dimensiones:

Una vulnerabilidad con CVSS medio, pero incluida en el catálogo KEV y presente en un equipo expuesto a Internet, casi siempre va antes que un “Crítico” teórico en un servidor interno sin acceso externo.

Un método simple en 5 pasos

1. Arma o actualiza el inventario. Sin saber qué activos tienes, dónde están y qué hacen, cualquier priorización es una suposición.
2. Filtra lo que ya se está explotando. Todo lo que aparece en el catálogo KEV y afecta a activos expuestos va primero, sin discusión.
3. Ordena el resto por probabilidad × impacto. Usa EPSS como probabilidad y la criticidad del activo para el negocio como impacto.
4. Agrupa por esfuerzo. Un solo parche o cambio de configuración puede cerrar muchos hallazgos a la vez. Esos “paquetes” rinden más por hora invertida.
5. Define la capacidad real del ciclo. Si el equipo puede aplicar 15 correcciones este mes, el plan debe decir cuáles 15, no “todo lo crítico”.

De la teoría al modelo: Cyber-Prioritizer

Este razonamiento es la base de Cyber-Prioritizer, el motor de código abierto desarrollado en IKUBERT. Agrega un paso más: modela con Cadenas de Markov cómo evoluciona el riesgo de cada activo en el tiempo y elige el conjunto de parches que más riesgo elimina con el presupuesto disponible. En un inventario simulado, con el mismo presupuesto de 10 parches, redujo el riesgo dinámico en 30,4 % frente al 25,7 % del orden basado solo en CVSS.

Lo que debe tener un buen informe de vulnerabilidades

• Un orden de ejecución, no solo una lista de hallazgos.
• La razón de cada prioridad, en lenguaje que entienda la gerencia.
• Lo que no se va a corregir este ciclo, con el riesgo que eso implica y quién lo acepta.
• Una fecha de revisión: la priorización caduca, porque la amenaza cambia cada semana.

Si tu equipo tiene más hallazgos que horas disponibles, el problema no es técnico, es de priorización. Conversemos y te ayudamos a ordenar el backlog.

Paso 1: definir la línea base

No se puede medir una mejora sin saber desde dónde se parte. Antes de intervenir, hay que registrar durante un periodo representativo cómo funciona el proceso hoy:

• Cuánto tarda (tiempo de ciclo).
• Cuánto sale mal y hay que rehacer.
• Cuánto cuesta producir o entregar cada unidad.
• Cuántos pedidos se entregan a tiempo y completos.

Esa foto inicial es la línea base, y es el activo más importante del proyecto: sin ella, cualquier resultado es discutible.

Paso 2: elegir pocos KPIs, los correctos

Es mejor medir cuatro indicadores bien que cuarenta a medias. Estos son los que más usamos:

Cada KPI debe tener un responsable, una frecuencia de medición y una meta.

Paso 3: separar los resultados rápidos de los estructurales

No todos los beneficios llegan al mismo tiempo:

• Resultados rápidos (primeras semanas): ajustes de reposición de inventario, eliminación de pasos que no agregan valor, cambios en la secuencia de trabajo. Suelen verse en el primer mes.
• Resultados estructurales (meses): rediseño de procesos, nuevos sistemas, cambios en la distribución física. Requieren más tiempo para estabilizarse.

Un buen plan de mejora combina ambos: los resultados rápidos financian y dan credibilidad a los estructurales.

Paso 4: calcular el ROI

La fórmula es simple:

ROI = (Beneficio obtenido − Costo del proyecto) ÷ Costo del proyecto

Lo difícil es calcular bien el beneficio. Para eso:

• Valoriza cada mejora con datos de la empresa: horas ahorradas × costo hora, material no desperdiciado × costo unitario, ventas recuperadas × margen.
• Usa la línea base como comparación, no una estimación de memoria.
• Proyecta el beneficio mensual a 12 meses, pero reporta por separado lo que ya está realizado y lo que está proyectado.

Ejemplo ilustrativo: si una mejora reduce los reprocesos en 40 horas al mes y cada hora cuesta $15.000, el ahorro realizado es de $600.000 mensuales. Si el proyecto costó $3.000.000, el retorno se completa en cinco meses, sin contar los beneficios en plazo de entrega o satisfacción del cliente.

Paso 5: sostener la medición

La mejora se pierde si se deja de medir. Un tablero sencillo, revisado cada semana o cada mes por la gerencia, mantiene los resultados y muestra rápido cuando algo vuelve a desviarse.

Cómo lo abordamos en IKUBERT

En el framework IKU-Opt™ cada acción del plan de mejora queda asociada a un KPI, un responsable y una meta, a partir de una línea base levantada en el diagnóstico. Así la gerencia sabe en todo momento cuánto está rindiendo cada mejora.

Si quieres saber cuánto le cuesta a tu empresa cada proceso ineficiente al mes, conversemos.

En diez minutos, un atacante no necesita “entrar” a tus sistemas. Le basta con fuentes públicas para armar un mapa bastante preciso de tu superficie humana y digital. Una radiografía que muchas organizaciones asumen que es inofensiva, pero que en realidad reduce significativamente la barrera de entrada para un ataque.

Esto es lo que se puede reconstruir en una primera mirada:

1. Identidad, jerarquías y la superficie humana

Los ataques más efectivos no explotan vulnerabilidades del código; explotan personas. A través de perfiles profesionales en plataformas como LinkedIn, firmas en documentos públicos, adjudicaciones de licitaciones o notas de prensa, un atacante puede trazar el organigrama real de tu empresa.

Saber con nombre y apellido quién administra qué infraestructura, quién aprueba los pagos o qué proveedores externos tienen acceso a tu red permite diseñar campañas de ingeniería social y spear-phishing (correos dirigidos) extremadamente creíbles. Si el atacante sabe qué software usas y quién lo opera, el engaño ya está a medio camino.

2. Activos expuestos y huella digital

Toda empresa que crece va dejando un rastro digital. En pocos minutos, herramientas de búsqueda abierta permiten mapear subdominios olvidados (plataformas de prueba o sistemas antiguos que quedaron apuntando a internet), registros DNS desconfigurados y certificados públicos.

Un punto crítico y habitualmente ignorado son los metadatos de los archivos expuestos. Un PDF informativo o una planilla descargable en tu sitio web corporativo pueden contener, en su código invisible, nombres de usuarios internos, las rutas de los servidores locales y las versiones de software con las que se crearon. Cada uno de estos datos es una pieza del rompecabezas que reduce el trabajo de investigación de un atacante.

Mapea tu nivel de exposición en 30 segundos

Para entender el alcance de esto, no necesitas software de hacking. Puedes usar comandos avanzados en Google (Dorks) para extraer información de tu infraestructura y de tu equipo que ni siquiera sabías que era pública.

Haz la prueba ahora mismo. Abre una pestaña de Google en modo incógnito, copia estos comandos y reemplaza los datos por los tuyos:

1. Busca archivos que revelen datos internos. Le pides a Google que te muestre solo planillas Excel o PDFs dentro de tu web que contengan esas palabras clave. Te sorprendería cuántas listas de precios o presupuestos se indexan por descuido.

site:tuempresa.cl filetype:xlsx OR filetype:pdf "confidencial" OR "interno"

2. Encuentra accesos o paneles de administración expuestos. Busca páginas de inicio de sesión que deberían ser privadas o estar tras una VPN, pero que están abiertas al público general, facilitando ataques de fuerza bruta.

site:tuempresa.cl inurl:admin OR inurl:login

3. Descubre quiénes son los blancos perfectos para un fraude. Este comando permite identificar rápidamente personas con acceso a sistemas o decisiones financieras. Un atacante usa esta lista para enviar correos fraudulentos con credibilidad absoluta.

site:cl.linkedin.com/in "Nombre de tu Empresa" ("TI" OR "Finanzas" OR "Gerente")

4. Encuentra contratos o propuestas filtradas por terceros. Busca PDFs con el nombre de tu empresa, pero excluyendo tu propia página web. Descubre cuántos clientes, proveedores o portales dejan tus acuerdos comerciales expuestos a tu competencia.

"Nombre de tu Empresa" filetype:pdf ("contrato" OR "propuesta") -site:tuempresa.cl

5. Rastrea tu propia huella digital (el eslabón humano). Busca tu nombre completo entre comillas. Verás cómo aparecen registros públicos, sociedades o boletines. Esta biografía es la que usa un atacante para perfilarte y diseñar una estafa a tu medida.

"Tu Nombre y Apellido"

El enfoque defensivo: anticiparse con IKU-Risk™

La información está ahí, disponible para cualquiera. La diferencia radica en quién la encuentra primero.

Cuando trabajamos bajo el marco de IKU-Risk™, lo primero que hacemos, con un mandato y alcance estrictamente acotados, es aplicar este mismo tipo de recopilación pasiva. Antes de lanzar una sola prueba técnica o un escaneo intrusivo, le mostramos a la gerencia exactamente qué información tiene expuesta su organización en el ecosistema público.

La ciberseguridad eficiente no se trata de parchar absolutamente todo de golpe (lo que operativamente es inviable), sino de priorizar el riesgo real del negocio. Cruzamos esta huella digital con el impacto financiero y operativo de la empresa, ordenando los hallazgos para resolver primero lo que de verdad compromete la continuidad operativa, y no solo basándonos en la severidad teórica de una vulnerabilidad aislada.

La superficie de tu empresa ya es pública. La pregunta es: ¿sabes qué se ve desde afuera?

Si te interesa entender qué tan expuesta está tu organización desde afuera, conversemos.

A diferencia del clásico enlace de phishing que llega por correo, este ataque ocurre en tiempo real y por teléfono. Es, hoy por hoy, el paso previo más utilizado para el secuestro de cuentas de alta sensibilidad, incluyendo WhatsApp y validaciones de transacciones bancarias.

¿Cómo sucede el engaño?

La mecánica es rápida y juega con el sentido de urgencia de la víctima:

1. El contacto: un atacante se comunica contigo mediante una llamada regular. Finge ser un ejecutivo de tu banco, soporte técnico de tu compañía telefónica o incluso alguien del Ministerio de Salud.
2. La trampa: para “validar tu identidad” o “cancelar un fraude”, te pide que abras tu aplicación de llamadas (como si fueras a marcar un número telefónico cualquiera) y que ingreses un código técnico. Típicamente usan secuencias como *21*, *61* o *67*, seguidas de un número desconocido y la tecla #.
3. El robo: al pulsar la tecla «Llamar», no estás validando nada. Estás programando a tu compañía telefónica para que desvíe tus llamadas hacia el atacante. A partir de ese segundo, el ciberdelincuente puede solicitar códigos de recuperación por llamada de voz de tu WhatsApp o de tus bancos, validarlos él mismo y suplantar tu identidad por completo.

La solución inmediata: el código de emergencia

Si sospechas que tú o alguien de tu equipo cayó en esta trampa, o simplemente quieres asegurarte de que tu línea está limpia, debes anular los desvíos activados en la red.

Este comando es universal. Se comunica directo con la antena de tu operador y elimina de inmediato los desvíos incondicionales, por línea ocupada, sin respuesta o sin señal, restaurando la configuración de fábrica de tu plan.

Auditoría MMI: revisa el estado de tu línea

Si quieres hacer una revisión más profunda del estado de tu terminal GSM, marca los siguientes códigos en tu teclado y pulsa «Llamar» (la respuesta puede variar ligeramente según tu operador y el modelo del equipo):

La recomendación de IKUBERT

La tecnología de las telecomunicaciones tiene comandos heredados que los atacantes están usando como armas. La regla de oro es simple: nunca ingreses códigos solicitados por terceros en tu teclado telefónico.

La ciberseguridad personal de tus colaboradores y directivos es la primera capa de defensa de tu infraestructura corporativa y patrimonial. Un teléfono intervenido es la puerta de entrada a tu organización.

Comparte esta alerta con tu equipo y familia.