Buenos Aires, febrero de 2026.- Compartir logros profesionales, proyectos y experiencias laborales en redes sociales se ha convertido en una práctica habitual entre los empleados. Sin embargo, lo que muchas veces se percibe como una acción inofensiva de posicionamiento personal o corporativo puede transformarse en un riesgo serio de ciberseguridad. Así lo advierte ESET, compañía líder en detección proactiva de amenazas, al alertar que el oversharing —la exposición excesiva de información en línea— puede convertirse en una herramienta clave para los ciberdelincuentes.
Desde la empresa explican que, cuando los profesionales publican detalles sobre su trabajo, su rol o su organización, no solo atraen a colegas, clientes o potenciales socios, sino también a actores maliciosos que utilizan esa información para planificar ataques dirigidos. Una vez que los datos son públicos, pueden ser aprovechados para crear campañas altamente convincentes de spearphishing o compromiso del correo electrónico empresarial (BEC), con consecuencias graves para las organizaciones.
“La primera etapa de un ataque típico de ingeniería social es la recopilación de información. Luego, esa información se utiliza como arma en ataques diseñados para engañar al destinatario y lograr que instale malware o comparta credenciales corporativas”, explica Martina Lopez, Investigadora de Seguridad Informática de ESET Latinoamérica. Estos ataques pueden llegar por correo electrónico, mensajes de texto o incluso llamadas telefónicas, y en algunos casos incluyen la suplantación de ejecutivos de alto nivel o proveedores para solicitar transferencias bancarias urgentes.
Redes sociales y plataformas profesionales bajo la lupa
Según ESET, las principales plataformas donde se concentra este tipo de información son ampliamente conocidas. LinkedIn es, quizás, la más utilizada y, al mismo tiempo, una de las más sensibles desde el punto de vista de la seguridad. Puede describirse como una de las mayores bases de datos abiertas de información corporativa del mundo, donde se detallan cargos, funciones, responsabilidades y relaciones internas. Incluso las ofertas laborales publicadas pueden revelar datos técnicos que luego son explotados en ataques de spearphishing.
Otra plataforma crítica es GitHub. Aunque es reconocida por los riesgos asociados a la publicación accidental de credenciales, direcciones IP o datos de clientes, también puede exponer información aparentemente inocua: nombres de proyectos, tecnologías utilizadas, bibliotecas de código abierto o direcciones de correo corporativas incluidas en configuraciones de commits. Todo ello aporta contexto valioso para un atacante.
A esto se suman las redes sociales de uso más general, como Instagram o X, donde los empleados suelen compartir planes de viaje, asistencia a conferencias o eventos profesionales. Estos datos pueden ser utilizados para lanzar ataques en momentos estratégicos, cuando una persona clave está fuera de la oficina o resulta difícil de contactar. Incluso la información publicada en los sitios web corporativos, como detalles sobre proveedores, socios o procesos de fusiones y adquisiciones, puede servir como pretexto para fraudes sofisticados.
Cómo se construyen los ataques de ingeniería social
Los ataques más efectivos suelen combinar suplantación de identidad, urgencia y relevancia. Desde ESET describen algunos escenarios frecuentes:
- Un atacante identifica en LinkedIn a un nuevo empleado del área de TI y se hace pasar por un proveedor tecnológico, solicitando una actualización de seguridad urgente mediante un enlace malicioso.
- A partir de información encontrada en GitHub, un actor malicioso suplanta a un compañero de trabajo y envía un archivo infectado bajo el pretexto de revisar un documento del proyecto.
- Mediante videos y publicaciones en redes, un estafador detecta que un ejecutivo estará fuera de la oficina y lanza un ataque BEC con deepfake, engañando al equipo financiero para realizar una transferencia urgente.
Estos métodos no son solo hipotéticos. ESET recuerda casos reales en los que la inteligencia de fuentes abiertas (OSINT) fue clave para el éxito de los ataques.
Casos reales y el uso de OSINT
Uno de los ejemplos más citados es el ataque BEC que costó 3.6 millones de dólares a Children’s Healthcare of Atlanta (CHOA). Los atacantes habrían analizado comunicados de prensa sobre un nuevo campus para identificar al socio constructor y, luego, utilizando información pública de LinkedIn y del sitio web corporativo, se hicieron pasar por el director financiero para solicitar un cambio en los datos de pago.
Asimismo, grupos de ciberespionaje como SEABORGIUM (con base en Rusia) y TA453 (alineado con Irán) utilizan OSINT para investigar a sus objetivos antes de lanzar campañas de spearphishing. De acuerdo con el Centro Nacional de Ciberseguridad del Reino Unido, estas amenazas analizan redes sociales y plataformas profesionales para identificar intereses, contactos y relaciones reales, estableciendo confianza antes de robar credenciales.
Educación y políticas claras como primera línea de defensa
Aunque los riesgos del oversharing son reales, desde ESET subrayan que las soluciones son alcanzables. “La educación sigue siendo el arma más potente”, sostiene Martina Lopez. Actualizar los programas de concienciación en seguridad es clave para que los empleados comprendan la importancia de no compartir información sensible y sepan detectar intentos de phishing, BEC o deepfakes.
Entre las principales recomendaciones se encuentran:
- Definir una política estricta de uso de redes sociales, con límites claros sobre qué información se puede compartir.
- Mantener una separación clara entre cuentas personales y corporativas.
- Revisar y actualizar sitios web y perfiles oficiales para eliminar datos que puedan ser utilizados con fines maliciosos.
- Implementar autenticación multifactor (MFA) y contraseñas seguras almacenadas en gestores confiables.
- Supervisar cuentas públicas y realizar ejercicios internos para evaluar el nivel de concienciación de los empleados.
“La inteligencia artificial está haciendo que sea más rápido y sencillo perfilar objetivos y crear mensajes convincentes. Si algo es de dominio público, hay que asumir que un ciberdelincuente también lo sabe”, concluye la investigadora de ESET.