Antes de que los ataques de ransomware migraran a la nube y las cadenas de suministro digitales, los ciberdelincuentes operaban con métodos que requerían presencia física: depositar memorias USB infectadas directamente en buzones de correspondencia. Esta táctica, documentada con mayor frecuencia hace aproximadamente una década, ilustra cómo el eslabón más débil en cualquier estrategia de seguridad no es tecnológico, sino conductual.

El caso que encendió las alertas

En septiembre de 2016, la policía de Pakenham, un suburbio de Melbourne, Australia, emitió una alerta pública tras recibir múltiples reportes de residentes que encontraron memorias USB sin identificación en sus buzones. El análisis técnico confirmó que los dispositivos contenían software malicioso configurado para activarse en el momento de la conexión. La interfaz presentaba una oferta de acceso a servicios de streaming de video —formato en auge en ese momento— como señuelo para inducir a las víctimas a ejecutar archivos ocultos.

Una vez activado, el código desplegaba una variante de ransomware que cifraba documentos, fotografías y bases de datos locales, bloqueaba el sistema operativo y exigía un pago de rescate bajo amenaza de pérdida permanente de la información. El vector de ataque era físico; el daño, completamente digital.

La brecha que reveló la academia

Poco antes de los incidentes australianos, un estudio conjunto de la Universidad de Illinois y la Universidad de Michigan arrojó datos que explican por qué esta táctica funcionaba con eficacia preocupante. En abril de 2016, los investigadores distribuyeron 297 memorias USB en distintos puntos de un campus universitario. El resultado: 48% de los dispositivos fueron recogidos y conectados a computadoras personales.

Más relevante aún fue el comportamiento posterior: los usuarios no solo insertaron el hardware desconocido, sino que abrieron los archivos internos, motivados por la curiosidad o por la intención de localizar al supuesto dueño. Este patrón —conocido en ciberseguridad como baiting— demuestra que la ingeniería social no requiere sofisticación técnica para ser efectiva; requiere comprensión del comportamiento humano.

La vigencia del vector humano

Aunque los ataques mediante USB físicos han cedido terreno frente a amenazas orquestadas por inteligencia artificial y vulneraciones en cadenas de suministro en la nube, el principio subyacente permanece intacto: la curiosidad y la confianza son superficies de ataque tan críticas como cualquier vulnerabilidad de software.

Para las organizaciones, este historial tiene implicaciones directas en el diseño de programas de cultura de seguridad. La protección efectiva no se agota en firewalls o sistemas de detección de intrusos; exige que cada persona dentro de la organización reconozca dispositivos y enlaces desconocidos como riesgos potenciales, independientemente del canal por el que lleguen. La brecha más costosa suele abrirse antes de que cualquier sistema de defensa tenga oportunidad de actuar.