Una amenaza interna es el riesgo de que alguien con acceso legítimo a los sistemas o a la información de una empresa (un colaborador, un excolaborador cuya cuenta sigue activa, un proveedor o un socio) provoque un incidente de seguridad, ya sea por descuido, por mala fe o porque un atacante robó sus credenciales. Lo que la distingue de una amenaza externa es el punto de partida: no tiene que vencer ninguna defensa, porque ya está adentro.
La mayoría no nace de la mala fe. En el reporte de costos de riesgos internos 2026 del Instituto Ponemon, las organizaciones registraron en promedio 13.8 incidentes al año por descuido de sus colaboradores, contra 6.3 de personas malintencionadas y 5.3 por robo de credenciales.
Qué es una amenaza interna
¿Quién podría robar en la habitación de un hotel? La seguridad de la entrada detiene a quien intenta colarse desde la calle, pero adentro hay cientos de personas con tarjeta: huéspedes, recamaristas con llave maestra, recepcionistas que emiten tarjetas nuevas y técnicos subcontratados. Un robo en una habitación casi nunca empieza con alguien forzando la puerta principal. Con las amenazas internas ocurre lo mismo: el riesgo viene de quien ya tiene tarjeta.
| Aspecto | Amenaza externa | Amenaza interna |
|---|---|---|
| Quién | Un atacante sin relación con la empresa. | Alguien con acceso legítimo: colaborador, excolaborador, proveedor o socio. |
| Cómo entra | Tiene que vencer una defensa: un correo de phishing, una falla sin parche. | Ya tiene usuario y permisos. |
| Qué la detiene | Firewall, antivirus, filtro de correo. | Permisos bien asignados, control de la información y monitoreo del comportamiento. |
| En el hotel | El ladrón que intenta entrar desde la calle. | Quien ya tiene tarjeta. |
Las personas y los proveedores pesan más de lo que suele pensarse. En el informe de brechas de datos 2026 de Verizon, el 62% de las brechas involucró el factor humano (un error, un engaño o un mal uso del acceso) y el 48% involucró a un tercero.
Tipos de amenazas internas
Se agrupan por la intención de quien las provoca, y cada tipo se previene de forma distinta:
| Tipo | Qué pasa | Ejemplo | En el hotel |
|---|---|---|---|
| Por descuido | Un colaborador expone información sin querer. | Enviar un archivo al destinatario equivocado o compartir una carpeta con "cualquiera con el enlace". | El recepcionista que deja la llave maestra en el mostrador. |
| Maliciosa | Alguien usa su acceso para dañar a la empresa o beneficiarse. | Copiar la base de clientes antes de irse a la competencia o desviar pagos a una cuenta propia. | Alguien del personal que usa la llave maestra para robar. |
| Cuenta comprometida | Un atacante roba las credenciales de un colaborador y actúa como si fuera él. | Un inicio de sesión con una contraseña robada por phishing. | Una tarjeta clonada. |
| Terceros | Proveedores o socios con acceso a tus sistemas. | Un proveedor de soporte con cuenta de administrador y sin segundo factor. | El técnico subcontratado que entra a todos los pisos. |
El fraude interno es la variante maliciosa con fines económicos: pagos a proveedores falsos, cambios de cuentas bancarias o facturas infladas. Se cruza con la ciberseguridad porque casi siempre deja huella en los sistemas: accesos, cambios de datos y aprobaciones fuera de lo normal.
Señales de alerta
Una amenaza interna rara vez se anuncia, pero sí deja rastros en la actividad de las cuentas y los equipos. Estas son las señales que conviene vigilar:
- Accesos fuera del horario habitual o desde ubicaciones inusuales.
- Descargas o copias masivas de información, sobre todo hacia memorias USB, correos personales o nubes personales.
- Intentos de entrar a sistemas o carpetas que no corresponden al puesto.
- Permisos que crecen sin una razón de negocio.
- Cuentas de excolaboradores o de proveedores que siguen activas.
- Controles de seguridad desactivados, como el antivirus o el registro de actividad.
Así se ve en la práctica. Una gerente de cuentas acepta una oferta de la competencia y, en su última semana, copia el historial completo de clientes a una memoria USB. Con una herramienta que controla la salida de información, la copia queda bloqueada o registrada y tu equipo de TI lo sabe el mismo día, no meses después, cuando los clientes empiezan a irse.
Con el trabajo remoto, estas señales ya no pasan por la oficina. Por eso se vigilan en la cuenta y en el equipo de cada persona, no en el edificio.
Cómo prevenir las amenazas internas
En el hotel, la recamarista del tercer piso no necesita una tarjeta que abra el penthouse. La prevención parte de esa misma idea y se completa con cinco medidas:
- Mínimo privilegio. Cada persona tiene acceso solo a lo que su puesto necesita, y los permisos se revisan cada trimestre. Cómo definirlos por rol lo explicamos en nuestra guía de controles de acceso.
- Altas y bajas el mismo día. Cuando un colaborador cambia de área o deja la empresa, sus accesos se ajustan o se cierran ese mismo día, incluidos los de proveedores al terminar un contrato.
- Contraseñas y segundo factor. Una cuenta con segundo factor es mucho más difícil de usar aunque se robe la contraseña. Qué exigir lo detallamos en nuestra política de contraseñas seguras.
- Control de la información. La DLP (prevención de pérdida de datos) impide que los documentos confidenciales salgan por correo, USB o nube sin autorización.
- Capacitación con casos reales. Si la mayoría de los incidentes nace de un descuido, la mejor defensa es que cada colaborador reconozca el error antes de cometerlo.
Estas medidas encajan en un modelo más amplio, Zero Trust (confianza cero), que parte de no dar por buena ninguna conexión solo porque viene de adentro.
Qué hacer si ocurre
Un incidente interno tiene un componente que los externos no tienen: involucra a una persona de tu organización. Por eso la respuesta combina lo técnico con lo laboral y lo legal:
- Contén el acceso. Suspende la cuenta, revoca las sesiones abiertas y bloquea los dispositivos involucrados.
- Conserva la evidencia. Registros de actividad, correos y el equipo de la persona, sin modificarlos, por si el caso llega a una instancia legal.
- Coordina con recursos humanos y legal antes de hablar con la persona involucrada.
- Mide el alcance. Qué información salió y de quién. Si hubo datos personales, evalúa con tu área legal la obligación de avisar a los afectados.
- Corrige la causa, sea un permiso de más, una cuenta olvidada o un proceso sin control.
La velocidad pesa. Según el mismo reporte de Ponemon, las organizaciones que contuvieron sus incidentes internos en menos de 30 días gastaron en promedio 14.2 millones de dólares al año, contra 21.9 millones de las que tardaron más de 90. Tener los pasos escritos antes de necesitarlos es la diferencia, y cómo hacerlo lo detallamos en nuestro plan de respuesta a incidentes.
Preguntas frecuentes sobre amenazas internas
Significa que el riesgo viene de adentro: de una persona o una cuenta que ya tiene acceso autorizado a los sistemas o a la información de la empresa. En inglés se le llama insider threat.
Es el uso indebido del acceso o del puesto para obtener un beneficio económico a costa de la empresa: pagos a proveedores inexistentes, cambios en cuentas bancarias de proveedores o reembolsos falsos. Se previene separando funciones (quien registra un pago no lo aprueba) y revisando los cambios de datos sensibles.
En general, una empresa puede monitorear el uso de sus propios sistemas, cuentas y equipos cuando lo informa en sus políticas internas y en su aviso de privacidad, y lo limita a fines de seguridad. Cada caso tiene matices laborales y de datos personales, así que conviene definir la política con tu área legal.
Es el conjunto de políticas, herramientas y responsables que una empresa define para prevenir, detectar y responder a las amenazas internas: quién aprueba accesos, qué información se protege, qué se monitorea y qué pasa cuando hay un incidente.
Sí, cuando tienen acceso a tus sistemas o a tu información. Por eso sus cuentas deben ser personales, con segundo factor y con permisos que venzan al terminar el contrato. Parte de ese control lo cubren nuestros servicios administrados de ciberseguridad.
Sí. Un SOC (centro de operaciones de seguridad) vigila la actividad de cuentas y equipos las 24 horas y detecta comportamientos fuera de lo normal, como accesos inusuales o copias masivas de información. Te explicamos cómo funciona en nuestra guía sobre qué es un SOC y cuándo contratarlo.
