Cumplir normativas y tener certificaciones no alcanza: por qué las empresas que pasan auditorías igual sufren ataques de ransomware

El investigador de amenazas informáticas Mauro Eldritch (35), reciente y autor de Encriptar, filtrar, hackear (Editorial Dunken), un libro que reúne historias de ransomware, hackers y cibercrimen contadas por sus protagonistas, a lo largo de los años entrevistó a grupos que atacaron empresas y organismos públicos, entre ellos los que golpearon a instituciones argentinas.

Varios de esos casos aparecen en esta entrevista. Vice Society publicó en marzo de 2022 documentos robados al Senado de la Nación en un ataque de enero, entre ellos DNI, CUIL, domicilios y licencias de conducir, según el análisis de ESET. En la Comisión Nacional de Energía Atómica se difundieron supuestos datos atribuidos a Money Message a fines de diciembre de 2024, y Fabricaciones Militares confirmó un incidente en marzo de 2025, atribuido a Monti sin que la atribución sea concluyente.

En diálogo con El Cronista, Eldritch repasa estos casos, explica qué datos pesan más al cruzar filtraciones y cuenta la historia de Lazarus, el grupo de hackers norcoreano.

Después de investigar ataques contra empresas y organismos públicos durante tantos años, ¿cuál es hoy el principal error que cometen las organizaciones cuando piensan que están protegidas?

Creo que el principal error es confundir la inversión en ciberseguridad con estar realmente protegido. Muchas organizaciones creen que por contratar determinadas soluciones, tener un equipo de seguridad o cumplir con ciertas normativas y obtener determinadas certificaciones ya están a salvo.

El problema es ver la seguridad como un fin, un producto o incluso como un “estado”, cuando en realidad es un proceso que se pone a prueba constantemente y en el que todos los días aparecen nuevas superficies y aristas que no se habían tenido en cuenta. Y eso me recuerda una frase de un grupo de ransomware que entrevisté: “Todas nuestras víctimas aprobaron sus auditorías de seguridad y eran compliant”.