Columna escrita por Fernando Arrieta, Director Regional de G-CERTI Global Certification
El 30 de septiembre, el Banco Hipotecario del Uruguay desconectó su red y lamentablemente no fue por una actualización del sistema, fue por un acto de supervivencia ante un ciberataque. Los atacantes habían cumplido su amenaza: robaron y filtraron más de setecientos gigabytes de información confidencial. Lo que se perdió no fue solo una base de datos; se perdió la sensación de control, el reflejo más claro de la fragilidad institucional en la era digital.
En un banco público, los datos son más que registros: son la memoria de la ciudadanía. Cada contrato, cada hipoteca y cada identificación personal representa confianza depositada en una estructura que, se supone, debe protegerla. Pero el ciberataque al BHU dejó al descubierto una verdad incómoda: la seguridad no depende de los hackers, depende de la gestión. No es una guerra tecnológica, es una crisis de liderazgo.
El BHU ya había sido sancionado en 2022 por deficiencias en su seguridad informática. La advertencia existía. Lo que faltó fue acción. En la administración pública, las auditorías suelen tratarse como trámites, cuando en realidad son pronósticos. Y cuando un Estado ignora sus propios diagnósticos, lo que pierde no es solo información: pierde legitimidad.
Este no es un caso aislado. América Latina acumula incidentes similares en bancos, ministerios, municipios y hospitales. Las causas se repiten con precisión quirúrgica: infraestructuras envejecidas, ausencia de auditorías continuas y una cultura organizacional que reacciona en lugar de anticipar. Mientras tanto, los ciberdelincuentes avanzan con la paciencia del que sabe que el descuido es su mejor aliado.
La seguridad de la información no es un firewall: es un sistema de gestión. No se limita a comprar tecnología, sino a desarrollar procesos, entrenar equipos y auditar la eficacia de cada control. La norma ISO 27001, adoptada por las instituciones más resilientes del mundo, se basa en eso: prevenir, monitorear y mejorar continuamente. Pero lo que diferencia a las organizaciones seguras no es el software que usan, sino la conciencia con la que gestionan.
El ataque al BHU deja una advertencia regional: ningún país es demasiado pequeño, ningún banco demasiado histórico, ninguna institución demasiado respetada. La ciberseguridad no es un lujo, es un deber ético. Y cuando la confianza se pierde, los ciudadanos no exigen tecnología: exigen responsabilidad.
En el fondo, la pregunta no es cómo fue posible el ataque, sino por qué seguimos creyendo que la seguridad es un costo opcional. Lo que está en juego no son solo datos, sino la credibilidad de todo un sistema. Un banco puede recuperarse de una filtración, pero un Estado tarda décadas en recuperar la confianza de su gente.
La seguridad no es un software. Es una cultura. Y si con esto estás pensando en establecer una cultura de cuidado y responsabilidad, ingresá a gcerti.org y te asesoramos.
-
-
-
-
-
