Ciberseguridad y gestión del riesgo
Análisis
Cibercrimen corporativo: un modelo integral para comprender y reducir el riesgo
La prevención no depende solo de tecnología. También exige entender qué vuelve atractiva a una organización, cómo se abren las oportunidades y qué tan sólida es su custodia digital.
Por Mtro. Mauricio alan illera díaz
Nota de transparencia. Este artículo es una síntesis divulgativa y una adaptación editorial del modelo integral de cibercrimen corporativo (micc), desarrollado por el autor. La versión que sigue conserva el marco conceptual y lo presenta para lectores especializados y no especializados.
Introducción
La digitalización convirtió a las organizaciones en ecosistemas de alto valor donde conviven datos, identidades, procesos críticos y reputación. En ese contexto, el cibercrimen corporativo dejó de ser una suma de incidentes técnicos para convertirse en una economía criminal especializada, adaptable y orientada al beneficio. Esta versión presenta el modelo integral de cibercrimen corporativo (micc), una propuesta que permite analizar la victimización empresarial a partir de tres ejes: el ofensor motivado, la víctima propicia y la custodia digital.
La utilidad del MICC está en desplazar la pregunta desde el incidente aislado hacia la selección de la víctima. Además de preguntar cómo ocurrió un ataque, invita a revisar por qué una organización concreta fue vista como rentable, accesible o vulnerable; y qué decisiones pueden reducir esa oportunidad criminal. Es una lectura criminológica aplicada que complementa, sin reemplazar, la ciberseguridad operativa.
De la falla técnica a la oportunidad criminal
El cibercrimen corporativo no puede leerse como una simple competencia entre defensas y ataques. En la economía digital, donde una parte sustantiva del valor de una empresa reside en sus datos, credenciales, procesos automatizados, reputación y plataformas conectadas, el delito informático se convierte en una forma de presión, extracción y extorsión. Los ataques actuales suelen combinar reconocimiento previo, acceso inicial, movimiento lateral, robo de información e interrupción de la operación.
Los datos recientes ayudan a dimensionar esa dinámica. El data breach investigations report 2025 de verizon registró presencia de ransomware en el 44% de las brechas analizadas, mientras que la participación de terceros alcanzó el 30%. Son hallazgos de una muestra de incidentes reportados, no una medida universal de todas las empresas, pero ilustran por qué la cadena de suministro y la gestión de accesos ya forman parte de la conversación estratégica (verizon, 2025).
Mandiant observó un patrón similar en sus investigaciones de 2024: la explotación de vulnerabilidades fue el principal vector de acceso inicial (33%), seguida por el uso de credenciales robadas (16%). El dato no significa que cada organización enfrente el mismo riesgo; sí muestra que la exposición técnica y la gestión de identidades deben analizarse juntas (mandiant, 2025).
Por ejemplo, una empresa puede mantener servidores actualizados y, aun así, quedar expuesta si un proveedor conserva una cuenta con privilegios excesivos o si una persona reutiliza una contraseña filtrada. La tecnología sigue siendo indispensable, pero la oportunidad delictiva también se construye con decisiones, rutinas y omisiones organizacionales.
Ciberseguridad y cibercriminología: dos miradas complementarias
La ciberseguridad responde a la pregunta de cómo proteger redes, aplicaciones, dispositivos y datos mediante controles, políticas y tecnologías. La cibercriminología, en cambio, busca explicar por qué ocurre el delito, quién puede cometerlo y por qué una organización determinada se convierte en un blanco atractivo. Ambas perspectivas son necesarias: una ayuda a reducir la superficie de ataque; la otra permite comprender la motivación, la selección de víctimas y el contexto de oportunidad.
Una empresa puede contar con firewall, antivirus, herramientas edr —detección y respuesta en dispositivos o endpoints—, monitoreo y autenticación multifactor (mfa), y aun así sufrir un incidente si existen usuarios engañados, procesos débiles, privilegios excesivos o información sensible expuesta. El problema no siempre se encuentra en un software; a menudo aparece en la combinación entre vulnerabilidad técnica, conducta humana y valor del objetivo.
La lógica del delito en el entorno digital
El micc retoma una idea clásica de la criminología: el delito ocurre cuando coinciden un ofensor motivado, un objetivo adecuado y la ausencia de una custodia capaz. En el entorno digital, esa convergencia se expresa en la relación entre visibilidad, acceso y debilidad. Una cuenta privilegiada, un servicio en la nube expuesto, una red privada virtual (vpn) mal configurada o un tercero con acceso remoto pueden convertirse en puertas de entrada de alto valor (cohen y felson, 1979).
Las actividades cotidianas de una organización —abrir correos, compartir archivos, habilitar accesos remotos, publicar información institucional o depender de servicios externos— pueden generar oportunidades si no existen barreras proporcionales. Por eso, el modelo propone observar a la empresa como un ecosistema de riesgo, no como un bloque homogéneo. El objetivo no es culpar a la víctima, sino reconocer qué condiciones vuelven más probable su selección y explotación.
Quién ataca: el ofensor motivado
La clasificación cibertac, uno de los componentes del micc, ayuda a ordenar el análisis del agresor. No todos los ofensores persiguen los mismos fines ni disponen de las mismas capacidades. Puede tratarse de delincuentes económicos que buscan fraude, ransomware o venta de datos; de hacktivistas que persiguen visibilidad ideológica; de espías corporativos; de insiders con acceso legítimo; de grupos criminales organizados; o de actores patrocinados por estados.
Esta clasificación traduce la amenaza en variables observables: motivación, capacidad, recursos, persistencia y oportunidad. Con ello, una organización puede diferenciar entre una campaña masiva de phishing y una operación dirigida con objetivos de largo plazo. La diferencia importa porque cambia la prioridad defensiva, el nivel de monitoreo y la respuesta que debe preparar la alta dirección.
Por qué una organización se vuelve víctima
El esquema viva complementa el análisis del agresor al describir a la víctima propicia mediante cuatro dimensiones: valor, inercia, visibilidad y acceso. El valor incluye dinero, credenciales, bases de datos, propiedad intelectual, expedientes y capacidad de interrumpir operaciones críticas. La visibilidad aumenta cuando la empresa expone organigramas, correos, tecnologías o procesos que facilitan el reconocimiento del blanco.
El acceso se refiere a la facilidad para entrar: contraseñas débiles, mfa ausente, servicios expuestos o controles insuficientes. La inercia, entendida como resistencia, mide cuánto esfuerzo debe realizar el agresor para avanzar una vez iniciado el ataque. Viva evita una lectura simplista: una empresa no es seleccionada porque “merece” el ataque, sino porque ciertos factores pueden volverla rentable, visible o relativamente fácil de explotar.
Custodia digital: donde la prevención se vuelve real
La custodia digital corporativa es la tercera pieza del micc y la más decisiva desde el punto de vista práctico. Integra seguridad lógica, seguridad física y factor humano. La seguridad lógica abarca gestión de identidades y accesos, protección de redes y sistemas, respaldos, recuperación y monitoreo. La seguridad física protege equipos e infraestructura crítica. El factor humano incorpora cultura de ciberseguridad, capacitación, concientización y responsabilidad compartida.
La diferencia clave está entre poseer controles y hacerlos funcionar como un sistema. Una organización puede adquirir herramientas de primer nivel y mantener una custodia débil si tolera privilegios innecesarios, no supervisa a sus terceros o deja que prácticas inseguras se vuelvan rutinarias. La custodia efectiva es la capacidad de impedir que una oportunidad criminal se convierta en un delito consumado, y de detectar, contener y recuperarse cuando la prevención falla.
Una herramienta para decidir mejor
El aporte del micc consiste en integrar al ofensor, la víctima y la custodia en una misma lectura. Ese cruce permite priorizar acciones: reducir la atractividad criminal de los activos más sensibles, disminuir la exposición innecesaria, fortalecer la gestión de identidades y revisar las dependencias de terceros. También ayuda a comunicar el riesgo a la alta dirección en lenguaje de negocio, no solo en lenguaje técnico.
En vez de responder de forma reactiva a cada incidente, la organización puede identificar patrones, anticipar amenazas y asignar recursos con mayor criterio. Esa es la diferencia entre acumular controles y construir una capacidad de prevención estratégica: entender qué se protege, frente a quién y bajo qué condiciones de riesgo.
Conclusión
El modelo integral de cibercrimen corporativo ofrece una lectura útil del delito digital en entornos empresariales. Su idea central es que la victimización no es un accidente aislado ni una simple falla técnica: resulta de la convergencia entre un ofensor motivado, una víctima propicia y una custodia insuficiente. Comprender las motivaciones del agresor, la atractividad del blanco y la calidad real de la protección permite blindar mejor la operación, proteger activos estratégicos y fortalecer la resiliencia organizacional.
Referencias
Cohen, l. E., y felson, m. (1979). Social change and crime rate trends: a routine activity approach. American sociological review, 44(4), 588-608. Doi: 10.2307/2094589. Consultar artículo.
Mandiant. (2025, 23 de abril). M-trends 2025: data, insights, and recommendations from the frontlines. Google cloud. Consultar informe.
Illera díaz, m. A. (2026). Modelo integral de cibercrimen corporativo (micc). Zenodo. Doi: 10.5281/zenodo.20803060. Disponible en zenodo.
Verizon. (2025, 23 de abril). 2025 data breach investigations report. Consultar informe.
Autor. Mtro. Mauricio alan illera díaz. Orcid: 0009-0001-1505-4170. Cvu: 2226610. Scopus id: osi-4768-2025. Ssrn: 9514252. Cti: 490636. Cnpq: 5501442111063885. Cvlac: 2495955.
Aviso Legal: El contenido del presente artículo no fue redactado por #ElAnalista, siendo el mismo exclusiva autoría y propiedad intelectual de su creador. El articulo podría no reflejar las opiniones de #ElAnalista como organismo.