Tech Day El Salvador 2026: lecciones del mayor ciberataque en América Central
- Redacción IT NOW
- hace 2 horas
- 3 min de lectura
La CEO de la Fundación YOD, Paula Brenes, desglosó las lecciones aprendidas tras el ciberataque masivo a Costa Rica en 2022. Más allá del código y los servidores, la experta advirtió que la ciberseguridad es, ante todo, un desafío geopolítico y humano donde la tecnología, por sí sola, es insuficiente.
"Todos tienen una estrategia hasta que reciben el primer puñetazo en la cara", sentenció Paula Brenes, CEO de la Fundación YOD, parafraseando a Mike Tyson al describir el ciberataque que paralizó a Costa Rica en 2022. La conferencia, dictada en el Tech Day El Salvador 2026, evento que contó con el main sponsor de Tigo Business, no fue una simple crónica técnica, sino un llamado de atención urgente para los líderes tecnológicos de la región.
El caso de Costa Rica, explicó Brenes, desmantela el mito de que estar "preparados" equivale a estar "seguros". Al momento del ataque por parte del grupo criminal organizado Conti, el país centroamericano contaba con una estrategia nacional de ciberseguridad desde 2017, carreras universitarias especializadas y altos estándares internacionales. "Teníamos el check en todo lo que la OEA y otros organismos internacionales exigen, y saben qué, fue suficiente", admitió la expositora.
Brenes enfatizó que el ataque no fue un evento aislado de hackers en un sótano, sino una operación de crimen organizado altamente profesionalizada, con una estructura corporativa de 100 empleados y un modelo de Ransomware as a Service (RaaS).
El contexto geopolítico (marcado por el apoyo del gobierno costarricense a Ucrania) y el momento vulnerable de la transición gubernamental fueron el caldo de cultivo ideal. El ataque, que duró meses de preparación silenciosa, puso en jaque infraestructuras críticas: desde la facturación electrónica de Hacienda hasta el expediente médico digital del Seguro Social, dejando a miles de pacientes sin acceso a sus tratamientos y a las empresas sin capacidad de operar.
Uno de los puntos más críticos de la charla fue la crítica a la forma en que se construye tecnología en el sector público. Según Brenes, "decidimos hacer tecnología sin poner a las personas en el centro". La digitalización, aunque eficiente, creó vulnerabilidades fatales.Como ejemplo de resiliencia, relató la historia de una enfermera del Hospital de Niños que, por desconfianza en el sistema digital, guardaba registros en papel. Gracias a esa "desobediencia" al sistema, los niños con cáncer pudieron continuar su atención médica durante la crisis. "Necesitamos construir tecnología colaborativa donde el abogado, el médico y el antropólogo social estén en la mesa de diseño", instó Brenes.
La experta subrayó que el 95% de los incidentes se deben a errores humanos, pero aclaró que el personal no es el eslabón más débil, sino la primera línea de defensa. La solución, según su experiencia, pasa por:
Capacitación real: Invertir en conocimiento, no solo en herramientas comerciales que, ante un ataque, suelen ser insuficientes.
Autonomía tecnológica: Cuestionó la dependencia excesiva de software extranjero y llamó a buscar mayor autonomía.
Mentalidad crítica: Integrar perfiles "negativos" en los equipos de desarrollo. "Si alguien es muy negativo, métanlo al proceso; verá riesgos que nadie más está viendo".
Alianzas y transparencia: Abogó por romper el estigma de la vergüenza. "Compartan la información con colegas. Si fueron atacados, avisen. La transparencia previene que el daño se replique en otras organizaciones".
Segmentación de redes: Resaltó que errores básicos, como la falta de segmentación, permitieron el movimiento lateral del malware, convirtiendo un incidente aislado en una catástrofe nacional.
Brenes cerró su intervención con una advertencia contundente para los asistentes: "Solo existen dos tipos de organizaciones: la que fue hackeada y la que no lo sabe". Para la CEO de la Fundación YOD, el ciberataque no es una posibilidad técnica lejana, sino una realidad inminente. El mensaje final fue claro: es imperativo abandonar la falsa sensación de seguridad, subir el "nivel de maldad" para entender cómo piensan los criminales, y entender que la tecnología, sin un diseño humano, ético y robusto, es solo una casa de naipes esperando el primer temblor. "La única forma de pelear temas de ciberseguridad hoy es con otra inteligencia artificial, pero, sobre todo, con seres humanos conscientes y preparados", concluyó.
Comentarios