La nueva era de ciberseguridad y la protección de datos en Ciudad de México es responsabilidad de empresas y gobierno

En una ciudad donde prácticamente cada persona cuenta con un dispositivo móvil, una cuenta de correo electrónico y una conexión a internet, la ciberseguridad ya no puede ser vista como un lujo o una preocupación exclusiva del sector corporativo. La reciente iniciativa legislativa en la Ciudad de México que busca reforzar la protección de datos personales como un derecho fundamental abrió la puerta a una conversación urgente y necesaria sobre qué tan preparados están los ciudadanos, empresas y entidades públicas para enfrentar las amenazas digitales.

“La mayoría de los usuarios, no necesariamente empresas, sino ciudadanos comunes, utilizan dispositivos móviles a diario. Todo el mundo tiene un celular, un correo electrónico, y comparten información, ya sea con familiares o con empresas”, explica Miguel Hernández y López, Country Manager de Check Point en México entrevista con IT Sitio.

Compartir datos sensibles como el número de seguridad social, dirección o teléfono, sin conocer las implicaciones de seguridad, puede derivar en extorsión, robo de identidad o en la suplantación digital de una persona y en tiempos donde la inteligencia artificial puede recrear rostros, voces y movimientos en cuestión de segundos, el margen de error es cada vez más reducido.

México se posiciona como uno de los países más atacados en América Latina en términos de ciberseguridad, de hecho, Reuters reportó que México enfrentó 31 mil millones de intentos de ciberataques en la primera mitad de 2024, representando el 55% del total en Latam y un aumento del 78% respecto al año anterior, siendo las fugas de datos (51%), ataques a servicios en la nube (43%) y ataques a través de dispositivos IoT (21%)  como los más comunes.

El uso de herramientas como Pegasus evidenció la vulnerabilidad de las comunicaciones en el país, ya que entre abril y mayo de 2019, al inicio del gobierno de Andrés Manuel López Obrador más de 400 números telefónicos mexicanos fueron espiados utilizando este software.

Un panorama preocupante en México y América Latina

México, como muchas regiones de América Latina, enfrenta una problemática común, el desconocimiento. “Desafortunadamente, sí existe un desconocimiento muy fuerte de los riesgos de compartir información personal. Y si a eso le sumamos que muchos usuarios no cuentan con protección avanzada, la vulnerabilidad se multiplica”, agregó  el especialista de Check Point.

De acuerdo con datos recientes de la compañía, los cuatro vectores de ataque más comunes en México son el correo electrónico, las aplicaciones de robo de información (info stealers), phishing y dispositivos extraíbles como las memorias USB. El correo electrónico lidera la lista y no es difícil entender por qué. “Todo el mundo tiene un correo electrónico, y en la mayoría de los casos lo tiene vinculado al celular. Eso hace que sea muy fácil mezclar información personal con la profesional sin que exista una segmentación clara” advirtió el Country Manager de Check Point

El riesgo no es solo para el usuario, la información que llega a manos equivocadas puede comprometer datos corporativos, afectar la reputación de empresas e incluso vulnerar sistemas públicos, un informe de la consultora Cybersecurity Ventures, se estima que el costo global de los ciberataques podría superar los 10.5 billones de dólares anuales para 2025.

La urgencia de adoptar el enfoque Zero Trust

Este panorama solo hace que se abran interrogativas, ¿qué pueden hacer las organizaciones, tanto públicas como privadas, para proteger la información? “Lo importante es generar controles de ciberseguridad basados en arquitecturas Zero Trust, o de cero confianza. Eso significa que todo acceso debe estar basado en identidad: quién lo accede, cómo, desde dónde, y si realmente tiene permisos para hacerlo”, explicó Miguel Hernández y López, Country Manager de Check Point en México.

El modelo Zero Trust representa una transformación en la forma de pensar la seguridad, pues no se trata de confiar en nada ni en nadie por defecto. Cada acceso, cada transacción, debe ser verificada y autorizada de forma explícita evitando fugas de información y controlar con precisión qué datos circulan, hacia dónde y por qué.

Sin embargo, la implementación de este tipo de sistemas aún enfrenta resistencia. “Muchas empresas siguen viendo estas tecnologías como un gasto, y no como una inversión. La mayoría actúan cuando ya han sido víctimas de un ataque, en lugar de ser preventivos”, lamenta el especialista.

Este patrón reactivo es uno de los principales desafíos y para cambiarlo es esencial fomentar una cultura de ciberseguridad en todos los niveles, desde los directivos hasta colaboradores operativos, pasando por ciudadanos que utilizan diariamente aplicaciones bancarias, redes sociales y plataformas de compras.

La trampa de la ingeniería social y el papel de sector público

El éxito de muchos ciberataques reside en gran parte de la ingeniería social. “Los atacantes conocen los hábitos de los usuarios. Si tú estás esperando un paquete y recibes un correo o SMS diciendo que debes reprogramar la entrega, muy probablemente vas a hacer clic en el enlace. Y con eso ya diste acceso a tu información”, explica el experto. Este tipo de manipulaciones apelan a la confianza y la urgencia, dos emociones humanas que pueden ser aprovechadas con facilidad.

En este juego, los atacantes no necesitan millones de clics, basta con que dos o tres personas de cada 20 caigan en la trampa para que el fraude sea rentable; por eso, generar conciencia entre los usuarios es tan importante como implementar firewalls o software de detección avanzada.

La nueva legislación en Ciudad de México que establece la protección de datos personales como un derecho fundamental representa un gran avance. Sin embargo, su implementación será compleja si no se acompaña de políticas claras, recursos tecnológicos y capacitación constante.

“Las entidades públicas también deben adoptar arquitecturas de ciberseguridad sólidas. No pueden permitirse seguir operando con sistemas vulnerables o desactualizados. Necesitan segmentar el acceso a la información, monitorear comportamientos sospechosos y establecer protocolos de respuesta rápida”, afirma el directivo.

Además, se necesita colaboración interinstitucional y alianzas con el sector privado, la ciberseguridad no puede ser una responsabilidad aislada, requiere una estrategia nacional que integre educación digital, desarrollo tecnológico, regulación y responsabilidad compartida.

La propuesta de la futura Ley General de Ciberseguridad, que aún está en proceso podría ser clave para establecer una defensa sólida en el ciberespacio. No obstante, su efectividad dependerá de la voluntad política y de una colaboración activa entre diversos sectores.

En el caso específico de la Ciudad de México, el proyecto tiene como objetivo integrar la gestión de la protección de datos personales y garantizar mayor transparencia en relación con los ciberataques sufridos por las empresas que operan en la capital.

A pesar de esto, las sanciones que enfrentarían las empresas involucradas aún no están del todo claras, aunque se estableció que el organismo autónomo Info CDMX será el encargado de supervisar el cumplimiento de esta legislación.

El propósito de esta ley es agilizar los trámites en el sector público, mejorar la transparencia en el trabajo de las entidades gubernamentales y reducir los riesgos asociados a posibles vulneraciones cibernéticas. «No es de extrañar que estemos viendo más leyes de ciberseguridad tomar forma, como la propuesta de ley en la Ciudad de México, que se alinea con una tendencia mundial de los gobiernos a fortalecer la resiliencia cibernética en respuesta a un panorama de amenazas digitales cada vez más complejo», comentó Gen, compañía global dedicada a impulsar la Libertad Digital a través de sus marcas de ciberseguridad de confianza, Norton, Avast, LifeLock, Avira, AVG, ReputationDefender y CCleaner.

Actualmente hay un punto de inflexión donde el número de dispositivos conectados, la dependencia digital y el volumen de datos que generados crecen exponencialmente. A la par, los ciberataques se sofistican, mutan y se expanden a nuevas superficies de vulnerabilidad.

“No se trata solo de proteger sistemas, sino de proteger personas”, concluyó Miguel Hernández y López, Country Manager de Check Point. “La seguridad empieza por el conocimiento. Si no sabemos qué estamos compartiendo, cómo lo estamos compartiendo y con quién, nos volvemos el eslabón más débil de la cadena”.

Lee más:

• 48% de los mexicanos ha sufrido un ciberataque en su celular
• Gobierno mexicano utilizó a Pegasus para espiar a 456 personas en la administración de AMLO, esto es lo que sabemos

• ¿Puede tu estrategia de respaldo defenderte del Ransomware? La respuesta está en la inmutabilidad