Oversharing y ciberseguridad: el riesgo oculto cuando los empleados comparten de más en redes sociales

Lo que comenzó como una práctica común para fortalecer la presencia profesional en línea —compartir logros, proyectos o actividades laborales— se ha convertido en un punto de atención para especialistas en ciberseguridad. ESET advierte que el oversharing, o compartir información en exceso, puede abrir la puerta a ataques dirigidos que comprometan a empresas completas.

La compañía señala que los ciberdelincuentes utilizan la información pública publicada por empleados en redes como LinkedIn, Instagram, X o GitHub para construir ataques altamente personalizados, desde correos de spearphishing hasta fraudes financieros conocidos como BEC (compromiso del correo empresarial).

Cuando la información pública se convierte en herramienta para el fraude

Martina Lopez, investigadora de seguridad informática de ESET Latinoamérica, explica que la primera fase de un ataque suele ser la recopilación de datos:

“Los atacantes utilizan lo que encuentran en redes sociales para crear mensajes convincentes que engañen a los empleados, ya sea para instalar malware, entregar credenciales o autorizar transferencias”.

Plataformas como LinkedIn permiten conocer puestos, responsabilidades y relaciones internas; GitHub puede revelar detalles técnicos de proyectos; mientras que Instagram o X muestran viajes, ausencias o actividades que facilitan suplantaciones de identidad.

ESET señala que incluso la información publicada en sitios corporativos —proveedores, socios, anuncios de fusiones o cambios internos— puede ser utilizada para construir ataques más creíbles.

Casos reales que muestran el alcance del problema

Entre los ejemplos citados por la compañía se encuentra un ataque BEC que costó 3.6 millones de dólares a un hospital en Estados Unidos, donde los atacantes usaron información pública para hacerse pasar por un proveedor y solicitar un cambio en los datos de pago.

Grupos como SEABORGIUM (Rusia) y TA453 (Irán) también han utilizado información abierta para perfilar a sus víctimas y enviar correos diseñados para robar credenciales.

Cómo reducir los riesgos

ESET recomienda a las organizaciones reforzar la educación interna y establecer políticas claras sobre el uso de redes sociales. Entre las medidas sugeridas se encuentran:

• Evitar compartir detalles laborales sensibles en perfiles públicos.

• Mantener separación entre cuentas personales y profesionales.

• Revisar la información disponible en sitios corporativos.

• Activar autenticación multifactor en todas las cuentas.

• Realizar ejercicios internos para detectar intentos de fraude.

Lopez advierte que la inteligencia artificial facilita aún más la creación de mensajes falsos y deepfakes:

“Si algo es público, hay que asumir que un ciberdelincuente también lo sabe”.