Hay algo profundamente miserable en aprovecharse de una tragedia.
Cuando un país todavía está en duelo, tratando de reconstruirse y de ayudar a quienes lo perdieron todo, uno quisiera pensar que la solidaridad es lo único que se activa.
Pero también se activan los depredadores.
A finales de junio, después de los terremotos en Venezuela, advertí en LinkedIn sobre lo que veía venir: phishing personalizado, falsas campañas de ayuda, pagos móviles fraudulentos, cuentas de Zelle, billeteras cripto y mensajes de WhatsApp construidos alrededor de una palabra peligrosísima en ciberseguridad: urgente.
Semanas después, Banesco hizo también una advertencia a sus clientes sobre el aumento de estos fraudes y la necesidad de verificar los canales utilizados para realizar donaciones.
No lo menciono para decir “se los dije”.
Lo importante es entender por qué ocurre.
El delincuente digital sabe que el dolor modifica nuestro comportamiento. Que cuando queremos ayudar dejamos de revisar. Que la tristeza acelera el clic. Que una historia conmovedora puede saltarse controles que un malware jamás podría vencer.
Una tragedia también puede convertirse en una superficie de ataque.
Y casi al mismo tiempo, Colombia nos mostró la otra cara de esta historia.
Ecopetrol, la principal empresa petrolera de Colombia y una de las compañías energéticas más importantes de América Latina, enfrentó recientemente un incidente cibernético en el que atacantes consiguieron extraer información relacionada con aproximadamente 3.300 cuentas.
Hubo intentos de cifrado que fueron contenidos y la operación continuó funcionando.
Pero la información ya había salido.
Después llegó la extorsión.
Ese detalle debería preocupar a cualquier junta directiva.
Durante años preguntábamos después de un incidente: ¿se cayó la empresa?
En 2026 esa pregunta ya no basta.
Una organización puede seguir produciendo petróleo, facturando, procesando transacciones y atendiendo clientes mientras alguien sale silenciosamente por otra puerta con sus datos.
El viejo ransomware hacía ruido. Cifraba servidores, paralizaba pantallas y hacía evidente que algo estaba ocurriendo.
El nuevo atacante puede preferir el silencio.
Entra, copia, sale y después llama a cobrar.
Por eso la próxima gran vulnerabilidad quizá ni siquiera tenga un CVE, que es el código internacional utilizado por la industria para identificar y catalogar vulnerabilidades conocidas en software.
Puede ser una emergencia.
Un empleado bajo presión.
Una donación que “hay que hacer ya”.
Una cuenta con demasiados privilegios.
O una nube donde nadie detectó que alguien estaba descargando demasiado.
¿Cómo nos defendemos?
Para las personas, la primera defensa es sencilla pero poderosa: detenerse. Verificar por un segundo canal antes de transferir dinero, entrar directamente en los sitios oficiales en lugar de hacerlo desde enlaces recibidos, activar doble factor de autenticación y desconfiar especialmente cuando un mensaje mezcla emoción con urgencia.
Para las empresas, la defensa pasa por reducir privilegios innecesarios, vigilar descargas anormales de información, clasificar correctamente los datos sensibles, fortalecer la seguridad de los entornos cloud, mantener respaldos aislados y, sobre todo, practicar la respuesta a incidentes antes de necesitarla.
Porque tener un plan guardado en una carpeta no significa estar preparado.
Y existe una defensa todavía más difícil de instalar.
Enseñar a detenerse.
A respirar antes de hacer clic.
A verificar antes de confiar.
Porque no todos los ataques explotan código.
Algunos explotan algo mucho más antiguo y vulnerable: la condición humana.
Rafael Núñez Aponte
CEO @MasQueSeguridad
Columnista Radar Cibernético