La historia publicada por la Oficina del Inspector General de la NASA debería preocupar a toda organización que posea conocimiento sensible, código, software, diseños de ingeniería o información comercial valiosa.
Según la publicación, un ciudadano chino llamado Song Wu se hizo pasar durante años por ingenieros, investigadores y profesores estadounidenses, y contactó a empleados de la NASA, investigadores académicos, personal militar y empresas privadas. Su objetivo no era obtener una contraseña de una cuenta. Pidió algo mucho más simple y mucho más peligroso: copias de software, código fuente y herramientas de ingeniería sensibles que podrían usarse para el diseño aeronáutico y el desarrollo de sistemas de armas.
Y eso es precisamente el punto.
En muchas organizaciones, cuando la gente escucha la palabra 'phishing', piensa de inmediato en un correo con un enlace sospechoso, un sitio web falso o una solicitud para introducir una contraseña.
Pero en casos más sofisticados, el phishing no parece un ciberataque. Parece una solicitud profesional legítima de una persona conocida. 'Envíame el código, por favor'. 'Necesito la última versión del software'. 'Pásame el archivo, estoy trabajando en ello con el equipo'.
La víctima no siente que está cayendo en un ataque. Siente que está ayudando a un colega.
Y ese es precisamente el peligro.
El error profesional que veo una y otra vez es que las organizaciones tratan esta amenaza solo como un problema tecnológico. Pero en este caso, la debilidad central no estaba solo en el sistema. Estaba en la confianza humana, en la cultura de trabajo y en la ausencia de un mecanismo claro que obligue a detenerse y verificar antes de que la información sensible salga.
Desde mi punto de vista, aquí hay varias lecciones importantes.
No toda solicitud que llega de una persona 'conocida' proviene realmente de ella.
No todo intercambio de información entre colegas es un acto inocente, especialmente cuando se trata de código, software, planes, datos, modelos o infraestructuras.
Los empleados deben saber reconocer no solo los enlaces sospechosos, sino también las solicitudes inusuales: solicitudes repetidas del mismo software, falta de explicación sobre por qué se necesita la información, un cambio repentino en el medio de pago o de transferencia, el uso de canales no habituales, o presión para entregar material sin un proceso ordenado.
Y lo más importante: en una organización seria, un empleado no debería decidir solo si se permite transferir material sensible a otra parte, aunque esa parte parezca conocida, de alto rango o profesional.
Hace falta un procedimiento. Hace falta verificación de identidad. Hace falta una comprobación de permisos. Hace falta comprender los límites de la regulación, la exportación, la confidencialidad y la propiedad intelectual. Y hace falta una cultura en la que detenerse a verificar no se perciba como burocracia, sino como parte de la responsabilidad profesional.
La historia de la NASA es un recordatorio agudo de que una amenaza interna no siempre comienza con un empleado malicioso. A veces comienza con un empleado bueno y profesional que quiere ayudar, pero no entiende que lo están manipulando.
Y esa quizá sea una de las amenazas más peligrosas de todas: un caballo de Troya humano que no sabe que lo es.