Durante años, los departamentos de ciberseguridad corporativa invirtieron recursos masivos en fortaleza perimetral, cifrado de datos y autenticación multifactorial. Sin embargo, mientras endurecían sus defensas digitales, dejaban una puerta completamente abierta: los sistemas de comunicaciones.
La migración de telefonía tradicional hacia infraestructura VoIP (Voz sobre IP), la integración de comunicaciones unificadas en plataformas cloud y la dispersión global de empleados en trabajo remoto crearon una paradoja peligrosa.
La corporación moderna cuenta con arquitecturas de seguridad sofisticadas para proteger datos, pero sus comunicaciones —aquellas que transportan información sensible, que autentican identidades, que coordinan operaciones críticas— permanecen vulnerables. Esta brecha ha atraído a los atacantes como los grandes depredadores son atraídos por las presas debilitadas.
La evolución de la telefonía empresarial parecía inevitable y benevolente. La migración desde sistemas telefónicos heredados, complejos y costosos, hacia infraestructura de Voz sobre IP prometía modernización, eficiencia, integración con sistemas de datos, y escalabilidad global. Para un ejecutivo financiero, representaba ahorro significativo. Para un CIO tecnológico, significaba convergencia de redes. Pero en el acelerado proceso de esta transformación, algo crítico quedó fuera de la ecuación: la seguridad.
Los sistemas telefónicos antiguos eran, paradójicamente, más seguros por su obsolescencia. Operaban en infraestructuras dedicadas, aisladas del resto de la red corporativa. Sus protocolos eran propietarios, complejos, poco atractivos para atacantes. Un intruso podía infiltrarse en la red de datos sin acceso automático a las comunicaciones vocales. Pero con VoIP, esa separación desapareció. Las llamadas comenzaron a transitar por la misma infraestructura que los datos sensibles, utilizando protocolos estándares, operando bajo arquitecturas que presumían seguridad en capas de red que, invariablemente, resultaban comprometidas.
Lo que ocurrió fue una transferencia de riesgos que raramente fue reconocida: la vulnerabilidad de las comunicaciones se convirtió en vulnerabilidad de la organización completa.
El phishing de voz —comúnmente llamado «vishing»— ha evolucionado desde ser una táctica marginal de criminales amateur hacia convertirse en un vector de ataque altamente sofisticado y, lamentablemente, efectivo. Un atacante que logra acceso a la infraestructura de VoIP corporativa puede hacer llamadas que aparentan originarse desde números internos, desde extensiones conocidas, desde números que un empleado reconoce instantáneamente como «de confianza».
La psicología del ataque es letalmente simple. Un empleado recibe una llamada que aparenta ser de su director de TI: «Necesitamos resetear tu contraseña por un incidente de seguridad. Por favor, dame tu acceso actual para procesarlo». O bien, simula ser del departamento de Recursos Humanos: «Tenemos un problema con tu contrato. Necesito verificar tu información de seguridad para confirmarlo». O del departamento de Finanzas: «Necesitamos autorización inmediata para una transferencia crítica».
La diferencia entre un email de phishing tradicional —que un usuario puede examinar, puede dudar, puede reportar— y una llamada de voz es psicológica pero devastadora. La voz humana genera confianza instantánea. La urgencia comunica se amplifica. El receptor está en una posición donde cuestionar al «colega» resulta socialmente incómodo. Estudios recientes indican que las tasas de éxito del vishing son significativamente más altas que las del phishing por email tradicional.
Lo particularmente insidioso es que la mayoría de los ataques de vishing exitosos no dejan rastro digital evidente. No hay un email comprometedor archivado. No hay una URL maliciosa registrada. Solo una conversación, una promesa hecha a alguien que parecía ser quien decía ser. Para cuando la organización detecta que ha sido comprometida, el atacante ya tiene acceso a sistemas críticos.
Pero el vishing es solo una cara de la vulnerabilidad de VoIP. Existe otra amenaza igualmente crítica: la interceptación de llamadas. Un atacante que logra acceso a la infraestructura de VoIP corporativa no necesita hacer llamadas falsas; simplemente necesita escuchar las reales.
Consideremos una conversación entre un ejecutivo de finanzas y el CFO de la empresa, discutiendo términos de una adquisición inminente. O una llamada entre un abogado corporativo y el equipo legal, discutiendo litigios confidenciales. O una conversación entre un director general y un regulador, discutiendo asuntos de cumplimiento normativo. Si esa comunicación transita a través de una infraestructura VoIP comprometida, cada palabra puede ser registrada, cada detalle puede ser exfiltrado.
La gravedad de esto no puede ser subestimada. La información obtenida mediante escucha clandestina puede ser utilizada para extorsión, para operaciones de insider trading en mercados financieros, para ventaja competitiva en negociaciones comerciales, para manipulación política. Una sola llamada interceptada puede costar a una empresa millones en valor de mercado o exposición regulatoria.
La defensa contra interceptación requiere encriptación end-to-end de todas las comunicaciones vocales. Sin embargo, la implementación de esto enfrenta desafíos técnicos y operativos significativos. Los sistemas VoIP legados no soportan encriptación robusta. Los equipos de TI carecen frecuentemente de expertise en seguridad de comunicaciones. La encriptación de voz, paradójicamente, puede introducir latencia que degradación la calidad de la comunicación.
Existe una tercera forma de ataque contra infraestructura de comunicaciones que es particularmente sofisticada: la suplantación de identidad de llamadas. Un atacante puede utilizar software especializado para hacer que sus llamadas aparezcan originarias de cualquier número. Puede simular que llama desde el número de un banco, desde una autoridad regulatoria, desde una empresa cliente.
Este tipo de suplantación ha sido utilizado en esquemas de estafa masiva. Pero en contextos corporativos, es aún más peligroso. Un atacante puede llamar a empleados de una empresa financiera, fingiendo ser de otra institución financiera, y solicitar información sobre clientes. O llamar a empleados de un hospital, fingiendo ser autoridades sanitarias, solicitando información sobre pacientes. Las formas de explotación son prácticamente ilimitadas.
La defensa contra suplantación de identidad requiere implementación de estándares como STIR/SHAKEN (Secure Telephone Identity Revisited/Signature-based Handling of Asserted information using toKENs), que proporciona autenticación criptográfica del origen de las llamadas. Sin embargo, la adopción de estos estándares ha sido lenta en la industria de telecomunicaciones, dejando a las corporaciones vulnerables mientras aguardan que sus proveedores de servicio de voz implementen las defensas necesarias.
Lo que la mayoría de las organizaciones no ha asimilado completamente es que en el mundo moderno, la voz es dato. Una llamada telefónica no es un evento separado de la seguridad de TI; es una transmisión de información que atraviesa infraestructura corporativa y que, si es interceptada o desviada, representa un compromiso tan grave como cualquier brecha de base de datos.
Considere una empresa de servicios financieros. Sus sistemas están endurecidos. Cuenta con autenticación multifactorial, encriptación de datos en reposo y en tránsito, monitoreo de acceso. Pero sus comunicaciones de voz —donde ocurren las conversaciones críticas sobre transacciones, donde se discuten decisiones de inversión, donde se coordinan operaciones— permanecen virtualmente sin protección. Esta incongruencia es un riesgo de primer orden.
O considere una empresa de tecnología con secretos comerciales críticos. Protege ferozmente sus repositorios de código, sus bases de datos de productos. Pero cuando sus ingenieros hablan por teléfono sobre arquitectura de sistemas, sobre vulnerabilidades descubiertas, sobre planes de producto, esas conversaciones pueden estar siendo escuchadas por competidores. La brecha entre lo que se protege y lo que permanece vulnerable es casi cómica, si no fuera tan peligrosa.
El costo de no asegurar comunicaciones de TI está comenzando a hacerse visible. Empresas que han sufrido brechas de seguridad importantes frecuentemente descubren, en investigaciones post-mortem, que el acceso inicial se obtuvo mediante vishing dirigido a empleados. Ataques de ransomware sophisticados han sido precedidos por reconocimiento mediante escucha clandestina de llamadas. Operaciones de insider trading han sido facilitadas por interceptación de comunicaciones ejecutivas.
Pero más allá de los costos de seguridad específicos, existe un costo mayor: la erosión de la confianza operativa. Si los empleados no pueden confiar en que sus comunicaciones están seguras, cambia fundamentalmente cómo operan. Las conversaciones sensibles se fragmentan. Se pierde eficiencia. La paranoia organizacional aumenta.
La seguridad de comunicaciones de TI requiere un enfoque integrado.
Las organizaciones que tomen esto en serio ganarán una ventaja competitiva en seguridad. Las que continúen ignorando la vulnerabilidad de sus comunicaciones enfrentarán inevitablemente la realidad de un ataque exitoso. En el mundo moderno, la seguridad de TI que olvida la voz es seguridad que ha fallado en sus fundamentos.
Una conversación inicial con Marcelo Codas dio origen a un proyecto editorial que busca reconstruir… Leer más
Para informar y facilitar su consulta, UNIDOS FVD presenta agenda.unidosfvd.com.py, una plataforma digital que permite… Leer más
Durante más de una década, el comercio electrónico fue el feudo de sectores específicos: la… Leer más
La hematología clínica ocupa un lugar estratégico dentro de la medicina moderna. Su campo de… Leer más
Un recorrido de una jornada por la capital argentina, pensado para quien ya la caminó… Leer más
Alejandro y Martín Jara Manzoni integran una propuesta profesional que combina la auditoría, consultoría tributaria,… Leer más
Esta web utiliza cookies
Leer mas