La brecha de seguridad humana: El riesgo oculto en su nómina

Las empresas invierten cada vez más en firewalls, protección de endpoints, servicios en la nube y herramientas avanzadas de ciberseguridad. Sin embargo, una de las principales vulnerabilidades continúa estando dentro de la propia organización: las prácticas digitales de sus colaboradores.

El 2026 Cybersecurity Hygiene Report de WatchGuard revela una realidad preocupante: el 76% de los empleados reutiliza contraseñas en diferentes cuentas y el 70% utiliza redes Wi-Fi públicas para realizar tareas laborales. Además, el 50% accede a recursos corporativos sin utilizar una VPN.

Estos datos muestran que proteger la infraestructura tecnológica no es suficiente. La seguridad también depende de cómo las personas administran sus credenciales, desde dónde se conectan y qué decisiones toman diariamente al utilizar los recursos de la empresa.

Una contraseña comprometida puede abrir muchas puertas

Reutilizar una contraseña puede parecer una práctica conveniente, especialmente cuando una persona debe administrar decenas de cuentas y aplicaciones. El problema aparece cuando esa misma contraseña se utiliza en varios servicios.

Si las credenciales de uno de esos servicios son comprometidas, un atacante puede intentar utilizarlas automáticamente en otras plataformas, una técnica conocida como credential stuffing.

Según WatchGuard, el 76% de los empleados encuestados reconoce reutilizar contraseñas entre diferentes cuentas. El mismo estudio señala además que el 30% comparte sus contraseñas con otras personas.

En un entorno corporativo, una credencial comprometida podría permitir el acceso a correo electrónico, almacenamiento de documentos, aplicaciones empresariales o sistemas internos.

Por ello, la contraseña ya no debería considerarse una defensa suficiente por sí sola.

El riesgo de trabajar desde cualquier lugar

El trabajo híbrido y remoto ha ampliado considerablemente la superficie de ataque de las organizaciones.

Aeropuertos, hoteles, cafeterías, centros comerciales y otros espacios ofrecen redes inalámbricas públicas que permiten a los trabajadores mantenerse conectados. Sin embargo, estas conexiones pueden introducir riesgos adicionales cuando se utilizan para acceder a información empresarial.

Una conexión insegura puede incrementar la exposición frente a interceptación de información, robo de credenciales, redes Wi-Fi fraudulentas o diferentes variantes de ataques de intermediario.

Esto convierte a la seguridad de acceso remoto en una parte fundamental de cualquier estrategia moderna de ciberseguridad.

La solución: gestionar las credenciales, no solamente las contraseñas

Para reducir este riesgo, las organizaciones necesitan pasar de simples recomendaciones a una verdadera política de gestión de credenciales.

Uno de los primeros controles debería ser implementar autenticación multifactor (MFA) en los servicios corporativos.

CISA recomienda exigir MFA siempre que sea posible, especialmente en sistemas de correo electrónico, almacenamiento de archivos, accesos remotos y cuentas administrativas. La razón es sencilla: aunque un atacante consiga una contraseña, todavía necesitará superar un segundo mecanismo de autenticación.

Administradores de contraseñas: una herramienta necesaria

Decirle a un empleado que utilice una contraseña diferente, extensa y compleja para cada plataforma es correcto, pero difícil de aplicar sin herramientas que faciliten el proceso.

Aquí entran en juego los administradores de contraseñas corporativos.

Estas soluciones permiten generar contraseñas largas, aleatorias y diferentes para cada servicio, almacenándolas de forma segura para que el usuario no tenga que memorizarlas todas.

CISA recomienda explícitamente proporcionar administradores de contraseñas a los empleados como parte de las prácticas de seguridad de una organización.

De esta manera, la empresa puede transformar una recomendación difícil de cumplir en un procedimiento sencillo y cotidiano.

La tecnología no reemplaza la concientización

MFA, VPN, administradores de contraseñas y herramientas de protección de endpoints son fundamentales, pero existe otro componente indispensable: la capacitación continua de los usuarios.

El propio informe de WatchGuard señala que el 23% de los trabajadores encuestados nunca había recibido capacitación sobre phishing.

La concientización en ciberseguridad no debería limitarse a una charla anual. Las organizaciones necesitan desarrollar una cultura en la que los colaboradores puedan reconocer y reportar situaciones como:

• correos electrónicos de phishing;
• solicitudes sospechosas de credenciales;
• intentos de suplantación de identidad;
• conexiones Wi-Fi potencialmente inseguras;
• solicitudes inusuales de acceso;
• uso inadecuado o compartido de contraseñas.

CISA también incluye la educación de los empleados como parte de sus recomendaciones para la implementación efectiva de MFA y otras medidas de protección empresarial.

Tres medidas que una empresa puede implementar

Una estrategia inicial puede estructurarse alrededor de tres controles fundamentales:

1. MFA obligatorio

Activar autenticación multifactor en correo electrónico, aplicaciones empresariales, VPN, servicios cloud y, especialmente, cuentas administrativas.

2. Gestión corporativa de contraseñas

Establecer contraseñas únicas para cada servicio y proporcionar un administrador de contraseñas aprobado por la organización.

3. Capacitación continua

Realizar campañas periódicas de concientización, simulaciones de phishing y comunicaciones breves que mantengan presentes las buenas prácticas de seguridad.

Estas medidas combinan personas, procesos y tecnología, evitando que toda la estrategia dependa únicamente de que el usuario recuerde qué debe hacer.

El riesgo humano también puede gestionarse

Los colaboradores no deberían ser considerados simplemente como “el eslabón más débil” de la ciberseguridad. El verdadero problema aparece cuando una organización permite que prácticas inseguras dependan exclusivamente de decisiones individuales.

Si un empleado puede reutilizar contraseñas, acceder a sistemas críticos únicamente con usuario y contraseña o conectarse desde redes externas sin controles adicionales, existe una brecha que debe corregirse desde la estrategia de seguridad.

Los datos de WatchGuard lo hacen evidente: 76% reutiliza contraseñas y 70% utiliza Wi-Fi público para trabajar.

La respuesta no consiste únicamente en adquirir más herramientas de seguridad.

Consiste en crear un entorno donde las buenas prácticas sean obligatorias, fáciles de cumplir y respaldadas por tecnología.

Porque proteger los datos de una empresa no empieza únicamente en el firewall.

Protege a tu empresa más allá de las contraseñas

Reduce el riesgo asociado al uso de credenciales débiles, accesos inseguros y conexiones desde redes públicas con una estrategia que combine MFA, protección de accesos y concientización en ciberseguridad.

👉 Escríbenos por WhatsApp o a ventas@xentic.com.pe y conoce cómo podemos ayudarte a fortalecer la seguridad de tus usuarios y proteger la información de tu empresa.

Fuentes

WatchGuard Technologies – 2026 Cybersecurity Hygiene Report.
Encuesta global realizada a 684 empleados sobre comportamientos de ciberseguridad, reutilización de contraseñas, Wi-Fi público, capacitación y Shadow AI.

Cybersecurity and Infrastructure Security Agency (CISA) – Require Multifactor Authentication.
Recomendaciones para implementar MFA en correo, almacenamiento, accesos remotos y cuentas privilegiadas.

CISA – Use a Password Manager to Create and “Remember” Strong Passwords.
Recomendaciones sobre el uso de administradores de contraseñas para generar y almacenar credenciales únicas y seguras.

National Institute of Standards and Technology (NIST) – Multi-Factor Authentication / Phishing-Resistant Authentication.
Orientación sobre MFA y tecnologías de autenticación resistentes al phishing como FIDO/WebAuthn.