cuando el enemigo tiene las llaves y tu no eres consciente de ello
AUTOR: Javier Rodriguez – Observatorio de Inteligencia y Ciberinteligencia Corporativa
Noviembre 2026
Cuando en una empresa se habla de seguridad, la conversación suele mirar hacia fuera. Cibercriminales, competidores, activistas, el enésimo ciberataque. Es normal, el “enemigo” de fuera es más fácil de explicar a la Alta Dirección. El problema es que buena parte de los daños más graves que sufre una organización no entra por la puerta, ya estaba dentro cuando se cerró.
Eso es la amenaza interna, o insider threat para quien prefiera el idioma de Shakespeare, el daño que puede causar alguien con acceso autorizado a las instalaciones, los sistemas o la información de una organización. Aquí la clave es la palabra autorizado. El insider no fuerza puertas ni se pega con cortafuegos, simplemente usa la tarjeta del primer día y la contraseña que le obligan a cambiar cada tres meses.
Olvidemos al traidor de Hollywood. En la práctica conviven como mínimo dos perfiles. El malicioso actúa con intención, por dinero, por despecho, por ideología o porque alguien le aprieta desde fuera, importante este último detalle. El negligente no quiere hacer daño, pero lo hace igual, por descuido, por comodidad o porque nunca leyó la norma que firmó. Lo que no funciona es meterlos en el mismo saco y confiar en que lo resuelva una política de seguridad de cuarenta páginas que no la cumple ni el que la escribió.
Cuando le pasa a Google
En 2019 Google contrató a un ingeniero de software chino de treinta y pocos años para el corazón de su infraestructura de inteligencia artificial. Un empleado de confianza que entre 2022 y 2023 copió más de dos mil páginas de documentación confidencial y las subió a una cuenta personal en la nube. Lo más gracioso es que esa nube era la de Google, todo queda en casa debió pensar.
Mientras tanto, y por debajo del radar, había fundado una compañía en Shanghái y negociaba ser director de tecnología de otra gigante china. A los inversores en Pekín les explicaba, con una franqueza que ya quisieran muchos consejeros delegados, que podía construir un superordenador de inteligencia artificial copiando la tecnología de Google.
La empresa se enteró cuando un tercero informó de que su ingeniero se presentaba por ahí como consejero delegado de una de esas sociedades. Días después de que los investigadores de la compañía lo sentaran a declarar, o como quiera que se llame esto en Estados Unidos, compró un billete solo de ida a Pekín. En enero de 2026 un jurado de San Francisco lo declaró culpable de catorce cargos de espionaje económico y robo de secretos comerciales, la primera condena de este tipo relacionada con la inteligencia artificial.
Si esto le pasa a Google, con los recursos de Google, al resto nos puede pasar. Lo que enseña el caso es que durante más de un año nadie miró hacia la mesa de al lado y tuvo que ser un tercero, que el lector puede intuir, quien avisara. Y cuenta también quién estaba al otro lado de esa mesa, porque la amenaza interna rara vez trabaja sola, a buen entendedor pocas palabras bastan.
Los Estados hostiles no solo quieren copiar
Imaginamos el espionaje económico como gente tecleando delante de una pantalla negra con letras verdes, que también se hace, claro. Pero los servicios de inteligencia, amigos y enemigos, y el enjambre de empresas que orbita a su alrededor, llegaron hace tiempo a una conclusión menos peliculera y más rentable: es más barato, más discreto y más eficaz hacerse con alguien que ya está dentro que entrar desde fuera.
Primero se identifica a quien tiene acceso a lo que interesa, y para eso basta con leer lo que cada uno publica sobre su puesto y sus proyectos, lo que quien escribe siempre ha llamado la bolsa de candidatos. Después se establece contacto con una cobertura, una consultora, un “head hunter”, una conferencia con los gastos pagados, una oferta para montar una empresa con capital asegurado.
Luego se cultiva la relación sin prisa, se averigua qué necesita esa persona, dinero, reconocimiento, sentirse valorada, y se empieza pidiendo una tontería. Como dice un buen amigo, profesional del gremio: “en algún momento tendrás que decirle lo que realmente quieres”. Para entonces el empleado ya no sabe cómo decir que no, y casi nunca lo dice.
Pero al ingeniero de Google lo querían para copiar, y a otros insiders los quieren para otra cosa. Con guerras por todas partes y una confrontación híbrida que ya no se oculta, los Estados hostiles han vuelto a interesarse por las infraestructuras críticas, la red eléctrica, el gas, el agua, los puertos, las comunicaciones, los cables submarinos, y no para hacerles una fotocopia precisamente.
Un empleado que conoce el punto débil de la infraestructura, qué sistema de control se actualiza los martes o por dónde entra la fibra a un centro de datos vale más que cualquier malware. Puede limitarse durante años a observar, informar y esperar, y activarse cuando a quien le paga le convenga. En el oficio a eso se le llama un “durmiente”, y la palabra no ha caducado. Y las compañías energéticas, de defensa, tecnológicas y de infraestructuras críticas, también en España, son objetivo declarado de servicios extranjeros.
Los amigos también miran
Aquí viene la parte que menos gusta oír en cualquier centro de decisión. El espionaje económico lo practican también los aliados, algunos con bastante entusiasmo. En inteligencia hay una máxima que conviene grabarse, hay países aliados, pero no hay servicios de inteligencia aliados, los habrá más o menos simpáticos, más o menos eficaces, pero lo de aliados ni está ni se le espera.
La nacionalidad del interlocutor no es un indicador de confianza. El consultor de un país amigo o el proveedor que llega con los parabienes de un gobierno aliado casi siempre son lo que dicen ser, pero el acceso que se les concede debería decidirse por lo que necesitan, no por de dónde vienen.
El competidor desleal
El tercer origen es el más cercano y el menos exótico, el competidor que decide que investigar es caro y copiar es barato. No hace falta un servicio de inteligencia para fichar al director comercial del rival y pedirle amablemente que se traiga lo que pueda, ni para que una consultora, con la excusa de un estudio de mercado, les saque a sus empleados, café a café, más de lo que creen estar contando.
Las “nuevas tecnologías” (me hace cierta gracia este término en 2026) lo han puesto fácil, hoy la información sale en un correo y antes hacía falta una fotocopiadora y algo de arrojo. Y se persigue mal. Demostrar que el nuevo director de desarrollo del competidor se llevó “los planos” exige saber qué se llevó, cuándo y cómo, y la mayoría de las empresas no pueden responder a ninguna de las tres.
El empleado desleal de toda la vida
La mayoría de los insiders no trabajan para ningún Estado ni competidor, trabajan para sí mismos. El comercial que se lleva la cartera de clientes cuando se va, el ingeniero que copia los planos la semana antes de despedirse, el directivo que no aceptó su salida y le pasa documentos a un periodista.
Casi siempre hay un desencadenante que cualquiera reconocería a posteriori, un ascenso que no llegó, un encontronazo con el jefe, una deuda, un divorcio, una oferta tentadora. Y casi siempre hay un periodo, a veces de meses, en que la persona cambia antes de actuar, y luego resulta que todo el mundo lo había notado y nadie lo había dicho.
Lo que aporta la inteligencia
Ahí es donde la inteligencia corporativa aporta lo que la tecnología no alcanza. Las herramientas de monitorización detectan descargas masivas, accesos a horas intempestivas o correos a cuentas personales, y hacen falta. Pero el primer indicador casi nunca es técnico. Es el empleado que pregunta por cosas que no son de su negociado, el que arrastra un resentimiento que no se le pasa, el que viaja sin explicación o el que de pronto se compra un coche que no cuadra con su nómina. Buena parte de esto ya aflora en las evaluaciones de desempeño, no hay que reinventar la rueda.
Ninguna de estas señales prueba nada por sí sola, y quien las use para señalar a alguien se equivoca. Pero varias juntas, en una persona con acceso sensible, son motivo para prestar atención. OJO, prestar atención y comprender, no abrir un expediente.
El perímetro
El error más repetido que he visto en los programas de amenaza interna es pensar solo en la plantilla. En cualquier organización mediana o grande, buena parte de quienes acceden a sus instalaciones y sistemas no cobra de ella. Mantenimiento, limpieza, seguridad privada, consultores, el proveedor con acceso remoto, el becario que lleva tres semanas y ya tiene usuario en todo.
El proveedor desleal es un insider con una particularidad incómoda. Tiene el acceso de un empleado sin haber pasado los mismos filtros y, cuando el incidente estalla, la responsabilidad se reparte entre tres empresas y no es de ninguna. Un servicio extranjero o un competidor no necesita convencer a un ingeniero de la casa, le basta con quien le instala el aire acondicionado de la sala de servidores o le administra la nube. Los eventos corporativos son el caso de manual, en una junta de accionistas trabaja un pequeño ejército de externos con acceso al recinto, a los horarios y, a menudo, a documentación que no debería salir de allí.
¿Qué podemos hacer desde Inteligencia Corporativa?
La respuesta no es desconfiar de todo el mundo ni montar una vigilancia en modo país asiático superpoblado. Es un programa con tres patas. Prevención, saber a quién se incorpora, a quién se le da acceso y en qué condiciones, y eso vale igual para la plantilla que para proveedores, socios y aliados. Detección, cruzar las señales técnicas con los indicadores y el contexto con criterio analítico, que distingue lo raro de lo preocupante, y ojo, esta es la línea que más debate genera. Y respuesta, tener un procedimiento para cuando las alertas se confirman, para no improvisar a las nueve de la noche de un viernes ni pisar derechos de nadie, así evitamos acabar en un juzgado o en primera plana de los confidenciales.
Un programa que ignore la protección de datos, la intimidad del trabajador y las garantías laborales no solo es ilegal, es malo, porque destruye la confianza sobre la que se sostiene cualquier empresa. El objetivo no es cazar culpables. Es proteger a la organización y, más veces de las que se cree, al propio empleado de una relación en la que se metió sin medir hasta dónde llegaba.
El ingeniero de Google, y los muchos que nunca salen en los periódicos, recuerdan algo que en inteligencia se sabe desde siempre, la información más valiosa de una organización no está en sus servidores, está en la cabeza y en las manos de quienes trabajan en ella, y quien la quiera irá a buscarla allí.
Las empresas que lo entiendan a tiempo habrán ganado la mitad de la partida. Las demás se enterarán, como Google, cuando el ingeniero ya esté en el avión y gracias a un tercero cuyo trabajo es hacer precisamente lo mismo que tiene que evitar.
Te puede interesar: Formación especializada en Insider Threat
Inteligencia Corporativa: Puedes visitar en nuestra web todo lo que desde el Observatorio de Inteligencia Corporativa estamos trabajando para contribuir en la seguridad corporativa de las organizaciones.
