En los últimos años pasó algo interesante en ciudades como Pasto y en general en Colombia: la gente dejó de ir al banco. Hoy se transfiere por Nequi, se cobra por Bancolombia a la Mano o Daviplata, se paga el arriendo desde una app, se recibe el pago de un cliente por un link, y todo eso ocurre desde el mismo teléfono donde también llegan las cadenas de WhatsApp y donde el sobrino instaló un juego.
Ese cambio es bueno. Es más rápido, más cómodo y más barato. Pero trajo algo que casi nadie alcanzó a asimilar: el dinero dejó de estar guardado en una bóveda y pasó a estar guardado detrás de tus dispositivos.
Y eso cambia la pregunta. Ya no es “¿mi banco es seguro?”. La pregunta correcta hoy es: “¿qué tan seguro es todo lo que rodea a mi banco?”
Este artículo no es para asustarte. Es para que veas el mapa completo, porque la mayoría de las personas solo está mirando una esquina.
Todo está conectado (y esa es la parte que se ignora)
Cuando alguien piensa en “seguridad bancaria” piensa en la contraseña de la app. Punto.
Pero la app del banco no vive sola. Vive dentro de un celular. Ese celular está conectado a un WiFi. Ese WiFi sale de un router que también conecta el televisor inteligente, la cámara del local, el computador de la oficina y quizás una nevera o un asistente de voz. Y en ese computador tal vez esté guardada la contraseña del correo, y ese correo es exactamente el que usarías para recuperar la cuenta del banco si la perdieras.
En seguridad de la información a eso se le llama superficie de ataque: no es un punto, es todo el conjunto de puertas que alguien podría empujar.
Y aquí va algo que aprendí de la manera difícil, atendiendo casos reales: los atacantes casi nunca fuerzan la puerta más blindada. Van por la que está abierta.
Me lo contaron una vez en una charla y nunca lo olvidé: en un barrio, unos ladrones caminaban de madrugada empujando puertas. No forzaban cerraduras, no usaban ganzúas. Solo empujaban. Las que tenían buena chapa ni las intentaban. Las que cedían, esas eran las que entraban.
La seguridad digital funciona igual. La mayoría de los ataques no son personales ni sofisticados. Son automáticos y oportunistas. Solo buscan cuál cede.
Veamos entonces, una por una, las puertas que casi nadie revisa.
1. El celular: la caja fuerte que llevas en el bolsillo desbloqueada
Tu teléfono ya no es un teléfono. Es tu banco, tu correo, tu identidad, tu facturación y tu archivo de clientes.
Lo que veo con más frecuencia en negocios pequeños:
- El celular se presta “un momentico” a un empleado, a un familiar o a alguien en el mostrador, ya desbloqueado y con las apps abiertas.
- No hay bloqueo por PIN o biometría en las apps financieras individualmente, solo en la pantalla del teléfono.
- No están activadas las notificaciones de movimiento en tiempo real, así que pueden pasar horas antes de que alguien note un débito raro.
- Las contraseñas están escritas en las notas del celular, en la galería como captura de pantalla, o autoenviadas por WhatsApp.
Ese último punto es más común de lo que parece, y es grave: si pierdes el equipo o alguien accede remotamente, no tiene que adivinar nada. Ya se lo entregaste ordenado.
Hay además un riesgo del que poco se habla en Colombia: el duplicado de SIM. Si alguien logra activar tu número en otra tarjeta, empieza a recibir tus códigos de verificación por SMS, y con eso puede recuperar cuentas a nombre tuyo. Por eso los códigos que llegan por app (Google Authenticator, Authy) son más seguros que los que llegan por mensaje de texto.
2. Las aplicaciones que instalaste y ya ni recuerdas
Abre ahora mismo tu celular y mira cuántas apps tienes instaladas que no usas hace seis meses. Editores de fotos, linternas, juegos, aplicaciones para “acelerar el teléfono”, lectores de códigos QR, apps de descuentos.
Cada una de esas pidió permisos cuando la instalaste. Y muchas pidieron más de los que necesitaban: acceso a tus contactos, a tus archivos, a tus notificaciones, a la pantalla.
Una app con permiso para leer notificaciones puede leer el código de verificación que te manda el banco. No necesita hackear nada; se lo autorizaste tú, hace ocho meses, con un toque en “Permitir”.
Lo mismo aplica a extensiones del navegador. Ese “traductor gratis” o “buscador de cupones” que instalaste en Chrome puede leer todo lo que aparece en las páginas que visitas, incluida la de tu banco.
Qué revisar: desinstala lo que no uses. Y en la configuración de permisos, quítale a cada app lo que claramente no necesita para funcionar.
3. El computador con Windows pirata y programas “nulled”: el punto ciego más caro
Este es el que más me preocupa, porque es normalísimo en negocios pequeños y casi nadie lo asocia con dinero.
La escena típica: el computador de la oficina o de la casa tiene un Windows activado con un truco, un Office activado con “una línea en CMD”, el Photoshop bajado de una página de descargas y, si el negocio tiene página web, quizás un plugin premium conseguido gratis en un sitio de dudosa reputación.
Y desde ese mismo computador se entra al banco, se hacen transferencias, se revisan las ventas y están guardadas las contraseñas en el navegador.
Lo que casi nadie sabe es que esos programas modificados con frecuencia traen código adicional que no ves. No es teoría: pueden registrar lo que escribes, tomar capturas, mantener un acceso abierto para volver a entrar después, minar criptomonedas usando tu equipo, o convertirlo en parte de una red que se usa para atacar a otros. Y si eso último se detecta, quien responde no es quien lo programó: eres tú, porque salió desde tu conexión.
Hay una frase que repito siempre cuando hablo de esto: si algo que normalmente cuesta dinero te lo están dando gratis, el pago eres tú. Tu información, tu equipo, tu conexión o tu confianza. Nadie vulnera la seguridad de un programa por buena voluntad.
Y la buena noticia es que hoy existen alternativas legales y gratuitas para casi todo: LibreOffice o Google Workspace para documentos, Canva o Inkscape para diseño, DaVinci Resolve o CapCut para video, Audacity para audio. Las licencias de Windows se consiguen a bajo costo por canales autorizados, y muchos equipos nuevos ya vienen licenciados.
La regla mínima: si desde un computador manejas dinero, ese computador debe estar limpio. No es negociable.
4. El televisor, la cámara, el asistente de voz: los dispositivos que nadie actualiza
Este punto sorprende a todo el mundo.
Tu televisor inteligente es, técnicamente, un computador conectado a internet. Igual la cámara de seguridad del local, el timbre con video, el asistente de voz, la báscula inteligente o cualquier electrodoméstico que se conecte al WiFi.
¿El problema? Casi ninguno de esos aparatos se actualiza nunca. Muchos siguen con la contraseña que traían de fábrica. Y muchos, si son de marcas muy económicas, dejan de recibir actualizaciones de seguridad a los pocos años, aunque el aparato siga funcionando perfectamente.
Un dispositivo así, dentro de tu red, se convierte en un punto de entrada. No para robarte el televisor, sino para meterse en la red donde también está el computador desde el que haces pagos.
Y el eslabón central de todo esto es el router, ese aparato que el proveedor de internet dejó instalado y al que probablemente nunca le has cambiado la clave de administración (que muchas veces sigue siendo admin / admin o viene impresa en una etiqueta).
Qué hacer, en orden de importancia:
- Cambia la contraseña de administración del router (no la del WiFi: la de administración).
- Cambia también la clave del WiFi si nunca la has cambiado.
- Si tu router lo permite, crea una red de invitados y conecta ahí todos los dispositivos smart y las visitas. Deja la red principal solo para los equipos con los que trabajas.
- Cambia las contraseñas por defecto de cámaras y dispositivos conectados.
5. El eslabón que ninguna tecnología protege: tú
Puedes tener todo lo anterior perfecto y aun así perderlo todo en cinco minutos, porque el método más efectivo sigue siendo el más simple: convencerte de que tú mismo abras la puerta.
Llamadas de alguien que dice ser del banco y “detectó un movimiento sospechoso”. Mensajes de una empresa de envíos pidiendo pagar un excedente. Un supuesto comprador que manda una captura de una transferencia que nunca hizo. Un audio en WhatsApp con la voz de un familiar pidiendo plata urgente, generado con inteligencia artificial a partir de un video que esa persona publicó en redes.
Todos tienen el mismo patrón: te presionan para que actúes rápido. Urgencia, miedo o una oportunidad que se acaba hoy.
Tres reglas que valen más que cualquier antivirus:
- Ningún código de verificación se comparte. Con nadie. Nunca. Ni con el banco, ni con soporte técnico, ni con un familiar.
- Si alguien te pide instalar AnyDesk o TeamViewer “para ayudarte”, cuelga. Eso es entregar el control total del equipo.
- Un pago no existe hasta que lo ves en tu cuenta. Nunca por un pantallazo, por más real que se vea.
Y una que recomiendo a todas las familias: acuerden una palabra clave. Una sola palabra que solo ustedes conozcan. Si algún día llega un audio pidiendo dinero urgente, se pregunta la palabra. Es gratis y ha evitado desastres.
Qué hacer esta semana (15 minutos, en este orden)
No intentes hacerlo todo. Haz esto y ya habrás cerrado la mayoría de las puertas fáciles:
- Activa la verificación en dos pasos en tu correo principal. Empieza por ahí, no por el banco. El correo es la llave maestra: con él se recuperan todas las demás cuentas.
- Activa las notificaciones de movimiento en tu banco y billeteras digitales.
- Revisa las apps instaladas en tu celular y borra las que no uses.
- Borra las contraseñas guardadas en notas, galería o WhatsApp.
- Cambia la contraseña de administración de tu router.
- Haz un inventario honesto del computador desde el que manejas dinero. Si tiene software sin licencia, ese es tu próximo proyecto.
¿Quieres profundizar? Estamos organizando charlas de seguridad digital
Estamos preparando una serie de charlas prácticas de seguridad digital pensadas para emprendedores, negocios locales y personas que ya manejan su dinero desde el celular. Sin tecnicismos, con casos reales y con cosas que puedas aplicar el mismo día.
Los temas que vamos a cubrir:
- Cómo se ven realmente las estafas que están circulando ahora mismo en Colombia
- Qué hacer en las primeras dos horas si te hackean una cuenta
- Seguridad para negocios: accesos, empleados, proveedores y pasarelas de pago
- Estafas con inteligencia artificial: voces clonadas, videos falsos y capturas manipuladas
Si te interesa, déjanos tu correo y te avisamos con anticipación cuando abramos los cupos. No enviamos publicidad, solo el aviso de las charlas y material práctico.
Para cerrar
No se trata de volverse paranoico ni de desconfiar de la tecnología. Se trata de entender que si tu negocio, tu dinero y tu reputación ya viven en lo digital, merecen el mismo cuidado que le darías a una caja fuerte física.
Nadie es invulnerable. Pero la enorme mayoría de los ataques que atendemos no eran sofisticados: eran puertas que estaban abiertas.
Ciérralas. Toma menos tiempo del que crees.
¿Tienes dudas sobre la seguridad de tu negocio o crees que alguna de tus cuentas ya está comprometida? Escríbenos a wjurado@ingeniaestudios.com o por Instagram a @ingenia_e.
Wilber Jurado Guerrero — Ingeniero de Software especializado en Seguridad de la Información. Ingenia Estudios, Pasto, Colombia.
