{"id":122,"date":"2026-03-16T21:27:50","date_gmt":"2026-03-16T21:27:50","guid":{"rendered":"https:\/\/escudodigital.uy\/index.php\/2026\/03\/16\/que-esta-en-juego-si-sus-empleados-publican-demasiado-en-linea\/"},"modified":"2026-03-16T21:27:50","modified_gmt":"2026-03-16T21:27:50","slug":"que-esta-en-juego-si-sus-empleados-publican-demasiado-en-linea","status":"publish","type":"post","link":"https:\/\/escudodigital.uy\/index.php\/2026\/03\/16\/que-esta-en-juego-si-sus-empleados-publican-demasiado-en-linea\/","title":{"rendered":"\u00bfQu\u00e9 est\u00e1 en juego si sus empleados publican demasiado en l\u00ednea?"},"content":{"rendered":"<div>\n<p class=\"sub-title\">Desde LinkedIn hasta X, desde GitHub hasta Instagram, existen muchas oportunidades para compartir informaci\u00f3n relacionada con el trabajo. Pero publicar tambi\u00e9n podr\u00eda causarle problemas a su empresa.<\/p>\n<div class=\"article-authors d-flex flex-wrap\">\n<div class=\"article-author d-flex\"><picture><source srcset=\"https:\/\/web-assets.esetstatic.com\/tn\/-x45\/wls\/2021\/04\/Phil_Muncaster.jpg\" media=\"(max-width: 768px)\"\/><img decoding=\"async\" class=\"author-image me-3\" src=\"https:\/\/web-assets.esetstatic.com\/tn\/-x45\/wls\/2021\/04\/Phil_Muncaster.jpg\" alt=\"Phil Muncaster\"\/><\/picture><\/div>\n<\/div>\n<p class=\"article-info mb-5\">\n        <span>01 dic 2025<\/span><br \/>\n        <span class=\"d-none d-lg-inline\"> \u2022 <\/span><br \/>\n        <span class=\"d-inline d-lg-none\">, <\/span><br \/>\n        <span>5 min. leer<\/span>\n    <\/p>\n<div class=\"hero-image-container\">\n        <picture><source srcset=\"https:\/\/web-assets.esetstatic.com\/tn\/-x266\/wls\/2025\/11-25\/oversharing-social-media-employees.jpg\" media=\"(max-width: 768px)\"\/><source srcset=\"https:\/\/web-assets.esetstatic.com\/tn\/-x425\/wls\/2025\/11-25\/oversharing-social-media-employees.jpg\" media=\"(max-width: 1120px)\"\/><img decoding=\"async\" class=\"hero-image\" src=\"https:\/\/web-assets.esetstatic.com\/tn\/-x700\/wls\/2025\/11-25\/oversharing-social-media-employees.jpg\" alt=\"Compartir demasiado es no preocuparse: lo que est\u00e1 en juego si sus empleados publican demasiado en l\u00ednea\"\/><\/picture>    <\/div>\n<\/div>\n<div>\n<p>La defensa de los empleados existe como concepto desde hace m\u00e1s de una d\u00e9cada. Pero lo que comenz\u00f3 como una forma bien intencionada de mejorar el perfil corporativo, el liderazgo intelectual y el marketing, tambi\u00e9n tiene algunas consecuencias no deseadas. Cuando los profesionales publican sobre su trabajo, su empresa y su funci\u00f3n, esperan llegar a profesionales con ideas afines, as\u00ed como a clientes potenciales y socios. Pero los actores de amenazas tambi\u00e9n est\u00e1n prestando atenci\u00f3n.<\/p>\n<p>Una vez que esa informaci\u00f3n es de dominio p\u00fablico, a menudo se utiliza para ayudar a crear ataques convincentes de estilo Spearphishing o de compromiso de correo electr\u00f3nico empresarial (BEC). Cuanta m\u00e1s informaci\u00f3n, m\u00e1s oportunidades habr\u00e1 de que se produzcan actividades nefastas que podr\u00edan terminar afectando duramente a su organizaci\u00f3n.<\/p>\n<h2>\u00bfD\u00f3nde comparten sus empleados?<\/h2>\n<p>Las principales plataformas para compartir dicha informaci\u00f3n son los sospechosos habituales. LinkedIn es quiz\u00e1s el m\u00e1s obvio. Podr\u00eda describirse como la base de datos abierta de informaci\u00f3n corporativa m\u00e1s grande del mundo: un verdadero tesoro de t\u00edtulos de trabajo, roles, responsabilidades y relaciones internas. Tambi\u00e9n es donde los reclutadores publican ofertas de trabajo, lo que puede compartir demasiado detalles t\u00e9cnicos que pueden aprovecharse m\u00e1s adelante en ataques de phishing.<\/p>\n<p>GitHub es quiz\u00e1s m\u00e1s conocido en el contexto de la ciberseguridad como un lugar donde los desarrolladores distra\u00eddos publican secretos codificados, IP y detalles de los clientes. Pero tambi\u00e9n podr\u00edan compartir informaci\u00f3n m\u00e1s inocua sobre nombres de proyectos, nombres de canalizaciones de CI\/CD e informaci\u00f3n sobre qu\u00e9 pilas de tecnolog\u00eda y bibliotecas de c\u00f3digo abierto est\u00e1n utilizando. Tambi\u00e9n pueden compartir direcciones de correo electr\u00f3nico corporativas en configuraciones de confirmaci\u00f3n de Git.<\/p>\n<p>Luego est\u00e1n las plataformas sociales cl\u00e1sicas orientadas al consumidor, como Instagram y X. Aqu\u00ed es donde es probable que los empleados compartan detalles sobre sus planes de viaje a conferencias y otros eventos que podr\u00edan usarse como arma contra ellos y su organizaci\u00f3n. Incluso la informaci\u00f3n contenida en el sitio web de su empresa podr\u00eda resultar \u00fatil para un posible estafador o hacker. Piense: detalles sobre plataformas t\u00e9cnicas, proveedores y socios, o anuncios corporativos importantes, como actividades de fusiones y adquisiciones. Todo esto podr\u00eda servir de pretexto para un phishing sofisticado.<\/p>\n<blockquote>\n<p>LECTURA RELACIONADA: \u00bfTu perfil de LinkedIn revela demasiado?<\/p>\n<\/blockquote>\n<h2>Informaci\u00f3n sobre armas<\/h2>\n<p>La primera etapa de un ataque t\u00edpico de ingenier\u00eda social es la recopilaci\u00f3n de inteligencia. El siguiente es utilizar esa inteligencia como arma en un ataque de phishing dise\u00f1ado para enga\u00f1ar al destinatario para que, sin saberlo, instale malware en su dispositivo. O potencialmente compartir sus credenciales corporativas para el acceso inicial. Esto podr\u00eda lograrse a trav\u00e9s de un correo electr\u00f3nico, un mensaje de texto o incluso una llamada telef\u00f3nica. Alternativamente, podr\u00edan usar informaci\u00f3n para hacerse pasar por un ejecutivo o proveedor de nivel C en un correo electr\u00f3nico, tel\u00e9fono o videollamada solicitando una transferencia bancaria urgente.<\/p>\n<p>Estos esfuerzos suelen requerir una combinaci\u00f3n de suplantaci\u00f3n, urgencia y relevancia. A continuaci\u00f3n se muestran algunos ejemplos hipot\u00e9ticos:<\/p>\n<ul>\n<li>Un adversario encuentra informaci\u00f3n de LinkedIn sobre un nuevo titular en un puesto de TI en la empresa A, incluidas su funci\u00f3n y responsabilidades principales. Se hacen pasar por un proveedor de tecnolog\u00eda clave y afirman que se requiere una actualizaci\u00f3n de seguridad urgente, haciendo referencia al nombre, los detalles de contacto y la funci\u00f3n del objetivo. El enlace de actualizaci\u00f3n es malicioso.<\/li>\n<li>Un actor de amenazas encuentra informaci\u00f3n sobre dos colegas en GitHub, incluido el proyecto en el que est\u00e1n trabajando. Se hacen pasar por uno en un correo electr\u00f3nico y le piden al otro que revise un documento adjunto, que est\u00e1 lleno de malware.<\/li>\n<li>Un estafador encuentra un v\u00eddeo de un ejecutivo en LinkedIn o en un sitio web corporativo. Ven en el feed Instagram\/X de ese objetivo que van a presentar en una conferencia y que estar\u00e1n fuera de la oficina. Sabiendo que puede ser dif\u00edcil contactar al ejecutivo, lanzan un ataque BEC falso usando video o audio, para enga\u00f1ar a un miembro del equipo de finanzas para que transfiera algunos fondos urgentes a un nuevo proveedor.<\/li>\n<\/ul>\n<h3>Cuentos de advertencia<\/h3>\n<p>Lo anterior son s\u00f3lo hipot\u00e9ticos. Pero existen muchos ejemplos reales de actores de amenazas que utilizan t\u00e9cnicas de \u201cinteligencia de c\u00f3digo abierto\u201d (OSINT) en las primeras etapas de los ataques. Incluyen:<\/p>\n<ul>\n<li><strong>Un ataque BEC<\/strong> que le cost\u00f3 a Children&#8217;s Healthcare of Atlanta (CHOA) $3,6 millones: los actores de amenazas probablemente revisaron los comunicados de prensa sobre un campus recientemente anunciado para conocer m\u00e1s detalles, incluido el socio de construcci\u00f3n del hospital. Luego habr\u00edan utilizado LinkedIn y\/o el sitio web corporativo para identificar a los ejecutivos clave y a los miembros del equipo financiero de la empresa constructora involucrada (JE Dunn). Finalmente, <a href=\"https:\/\/www.linkedin.com\/posts\/greyhat-cyber-solutions_businessemailcompromise-invoicefraud-accountspayable-activity-7381908438039064576-Qpk0\/\">ellos se hicieron pasar<\/a> el director financiero en un correo electr\u00f3nico al equipo financiero de CHOA solicitando que actualicen sus detalles de pago para JE Dunn.<\/li>\n<li><strong>Los grupos SEABORGIUM con sede en Rusia y TA453 alineados con Ir\u00e1n utilizan OSINT<\/strong> para reconocimiento antes de ataques de phishing contra objetivos preseleccionados. De acuerdo a <a href=\"https:\/\/www.ncsc.gov.uk\/news\/spear-phishing-campaigns-targets-of-interest\">el NCSC del Reino Unido<\/a>utilizan las redes sociales y plataformas de redes profesionales para \u201cinvestigar sus [targets\u2019] intereses e identificar sus contactos sociales o profesionales en el mundo real\u201d. Una vez que se ha establecido la confianza y la relaci\u00f3n por correo electr\u00f3nico, env\u00edan un enlace para recopilar las credenciales de las v\u00edctimas.<\/li>\n<\/ul>\n<h2>\u00bfDetener la acci\u00f3n? C\u00f3mo mitigar el riesgo de phishing<\/h2>\n<p>Los riesgos de compartir demasiado son reales, pero afortunadamente las soluciones son sencillas. El arma m\u00e1s poderosa de tu arsenal es la educaci\u00f3n. Actualice los programas de concientizaci\u00f3n sobre seguridad para garantizar que todos los empleados, desde los ejecutivos hacia abajo, comprendan la importancia de no compartir demasiado en las redes sociales. En algunos casos, esto requerir\u00e1 un reequilibrio cuidadoso de las prioridades, lejos de la defensa de los empleados a toda costa. Advierta al personal que evite compartir a trav\u00e9s de mensajes directos no solicitados, incluso si reconocen al usuario (ya que su cuenta puede haber sido secuestrada). Y aseg\u00farese de que puedan detectar intentos de phishing, BEC y deepfake.<\/p>\n<p>Respalde esto con una pol\u00edtica estricta sobre el uso de las redes sociales, definiendo l\u00edneas rojas sobre lo que se puede y no se puede compartir, y aplicando l\u00edmites claros entre cuentas personales y profesionales\/oficiales. Es posible que tambi\u00e9n sea necesario revisar y actualizar los sitios web y las cuentas corporativas para eliminar cualquier informaci\u00f3n que pueda utilizarse como arma.<\/p>\n<p>La autenticaci\u00f3n multifactor (MFA) y las contrase\u00f1as seguras (almacenadas en un administrador de contrase\u00f1as) tambi\u00e9n deben ser un hecho en todas las cuentas de redes sociales, en caso de que las cuentas profesionales sean secuestradas para atacar a colegas.<\/p>\n<p>Finalmente, monitoree las cuentas de acceso p\u00fablico siempre que sea posible para detectar cualquier informaci\u00f3n que pueda aprovecharse para phishing y BEC. Y realice ejercicios del equipo rojo contra los empleados para poner a prueba su conciencia.<\/p>\n<p>Desafortunadamente, la IA est\u00e1 haciendo que sea m\u00e1s r\u00e1pido y m\u00e1s f\u00e1cil que nunca para los actores de amenazas perfilar objetivos, recopilar OSINT y luego crear correos electr\u00f3nicos\/mensajes convincentes en un lenguaje natural perfecto. Los deepfakes impulsados \u200b\u200bpor IA aumentan a\u00fan m\u00e1s sus opciones. La conclusi\u00f3n deber\u00eda ser, si es de dominio p\u00fablico, esperar que un ciberdelincuente tambi\u00e9n lo sepa&#8230; y llame a la puerta pronto.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Desde LinkedIn hasta X, desde GitHub hasta Instagram, existen muchas oportunidades para compartir informaci\u00f3n relacionada con el trabajo.<\/p>\n","protected":false},"author":1,"featured_media":123,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[],"class_list":["post-122","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/posts\/122","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/comments?post=122"}],"version-history":[{"count":0,"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/posts\/122\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/media\/123"}],"wp:attachment":[{"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/media?parent=122"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/categories?post=122"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/escudodigital.uy\/index.php\/wp-json\/wp\/v2\/tags?post=122"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}