La Universidad de Barcelona (UB) se ha visto obligada esta pasada semana a renovar las credenciales de acceso de toda su comunidad universitaria después de detectar un incidente de ciberseguridad en algunos de sus sistemas.
La institución activó medidas de contención, monitorización y refuerzo, interrumpió puntualmente determinados servicios y pidió a estudiantes y trabajadores que extremaran la precaución ante posibles intentos de fraude o suplantación de identidad.
Pocas semanas antes, varios internos de la prisión de Puig de les Basses, en Figueres (Girona), consiguieron acceder sin autorización a documentación compartida en los servidores del Departamento de Justicia.
Desde la conselleria se descartó entonces que la intrusión hubiese alcanzado sistemas críticos o comprometido el funcionamiento de la cárcel, pero el episodio volvió a evidenciar las consecuencias de una brecha en un entorno que maneja información especialmente sensible.
Falta de concienciación
Se trata de dos casos distintos, tanto por sus características como por su alcance, pero comparten una misma advertencia: cualquier organismo o empresa puede sufrir un ciberataque y la diferencia no siempre radica en evitarlo, sino en disponer de los mecanismos necesarios para detectarlo a tiempo, contenerlo y recuperarse.
La tecnología para reducir el riesgo y gestionar estas amenazas ya existe. Sin embargo, no todas las organizaciones disponen de ella ni han desarrollado una verdadera cultura de ciberseguridad.
Selva Orejón, consultora experta en ciberseguridad e identidad digital, CEO de OnbrandinG
Grandes empresas con el '1234'
Selva Orejón, CEO de OnbrandinG y experta en identidad y reputación digital, explica que la situación provoca una sensación "agridulce". La inversión empresarial en ciberseguridad ha aumentado, pero no siempre lo ha hecho como resultado de una mayor concienciación.
“Existen grandes empresas e instituciones que siguen siendo atacadas y que no cuentan con herramientas suficientes para responder, a pesar de que prácticamente todo está inventado”, advierte Orejón.
Las diferencias son especialmente acusadas en las pequeñas y medianas empresas, que tienen más dificultades para asumir el coste de los sistemas más complejos. Sin embargo, la falta de recursos no explica que algunas grandes compañías continúen sin aplicar medidas elementales.
Ciberataque
“Te sorprendería la cantidad de empresas muy conocidas que no cumplen con los mínimos”, asegura. Algunas siguen utilizando contraseñas tan predecibles como “1234”, el nombre de la propia organización o combinaciones que apenas ofrecen resistencia frente a un intento de acceso.
La experta recuerda, con ironía, el caso del Louvre. Hace unos años, una auditoría de seguridad reveló que la contraseña utilizada para acceder al servidor de su sistema de videovigilancia del museo era, precisamente, “LOUVRE”
Una anécdota que para Orejón representa un problema serio: la seguridad de toda una infraestructura puede depender de una credencial que un atacante podría adivinar sin necesidad de desplegar conocimientos técnicos sofisticados.
Errores demasiado frecuentes
Más allá de las contraseñas, Orejón identifica otras carencias habituales.
Empresas que no disponen de filtros eficaces contra el correo basura, sistemas insuficientes para detectar archivos maliciosos, comunicaciones sin cifrar pese a contener información confidencial, dispositivos que no se actualizan regularmente o trabajadores con permisos de administrador que no necesitan para desempeñar sus funciones.
Y, por encima de todos ellos, persiste un gran frente abierto: “El doble factor de verificación sigue siendo la gran batalla con las empresas”.
Los seguros se plantan
Uno de los principales motores de la inversión no está siendo la concienciación, sino las exigencias de las compañías aseguradoras.
Cada vez más pólizas de ciberriesgo condicionan sus coberturas a que la empresa contratante pueda demostrar que aplica unos protocolos mínimos.
Imagen de archivo de una pantalla de ordenador, recreando un ciberataque
“Muchos seguros ya no te permiten estar asegurado si no cuentas con determinadas medidas de protección”, explica Orejón a Crónica Global.
Sin autenticación reforzada, copias de seguridad, sistemas actualizados o procedimientos de respuesta, algunas aseguradoras rechazan directamente la contratación o limitan las coberturas.
Los primeros pasos
El primer deber de una organización, señala Orejón, es identificar qué información tiene, dónde se encuentra, quién puede consultarla y qué consecuencias tendría su pérdida, filtración o alteración.
"No se puede proteger aquello que ni siquiera se ha inventariado", reflexiona.
También resulta imprescindible mantener los dispositivos actualizados, cifrados y configurados para bloquearse automáticamente. Los trabajadores deberían operar únicamente con los permisos necesarios y no como administradores por defecto.
Un ordenador portátil en una imagen de archivo
Cómo protegerse
Las copias de seguridad constituyen otro de los pilares. Orejón apuesta por la estrategia 3-2-1: conservar tres copias de la información, en dos soportes diferentes y con una de ellas desconectada o protegida de forma que no pueda ser modificada por un atacante.
La tecnología, no obstante, solo resuelve una parte del problema.
El factor humano continúa siendo una de las principales puertas de entrada. Por eso, la formación no puede reducirse a un curso el primer día de trabajo. "Debe ser periódica, adaptada a los riesgos de cada puesto e incluir simulaciones y mecanismos claros para comunicar cualquier sospecha sin miedo a represalias", recomienda la experta.
La amenaza en cifras
Si lo trasladamos a las cifras, en 2025, la Agència de Ciberseguretat de Catalunya registró un aumento sin precedentes de las amenazas informáticas.
Según el último balance anual, los sistemas de protección lograron detectar la abrumadora cifra de 9.100 millones de intentos de ataque.
Sin embargo, de forma automática y casi inmediata, el organismo logró bloquear cerca de ocho de cada diez de estas amenazas. Este tenso contexto global ha obligado al ente público a gestionar 6.544 ciberincidentes reales, un incremento del 94% respecto a 2024.