Un ciberataque paraliza los servicios de una cooperativa: ¿podría ocurrir en Puerto Rico?

Cuando pensamos en un ciberataque contra una institución financiera, posiblemente imaginamos un gran banco internacional con millones de clientes. Sin embargo, las cooperativas de ahorro y crédito también están en la mira de los ciberdelincuentes.

Y no se trata de una amenaza hipotética.

De acuerdo con el más reciente informe de ciberseguridad de la National Credit Union Administration (NCUA), entre mayo de 2025 y abril de 2026 las cooperativas reportaron 588 incidentes cibernéticos. Entre ellos se encuentran ataques de phishing, compromisos de correo electrónico, ransomware, incidentes relacionados con proveedores externos y ataques contra cajeros automáticos. La propia NCUA advierte que el ransomware continúa siendo una amenaza seria para las cooperativas.

¿Qué puede pasar durante un ataque?

Imaginemos por un momento una cooperativa en Puerto Rico que comienza sus operaciones un lunes en la mañana.

Los empleados intentan acceder a determinados sistemas y no pueden. Algunos archivos aparecen bloqueados. Los servicios digitales comienzan a presentar problemas y el personal no puede realizar tareas que normalmente tomarían minutos.

Mientras el equipo intenta determinar qué está ocurriendo, aparece otra preocupación: ¿tuvieron acceso a información de los socios?

Ese escenario puede ser consecuencia de un ataque de ransomware. Este tipo de ataque puede bloquear o cifrar información y sistemas con el propósito de exigir dinero para recuperar el acceso. En otros casos, los delincuentes primero extraen información y posteriormente utilizan la amenaza de publicarla como mecanismo de extorsión.

Pero un ataque no necesariamente comienza con una escena de película de hackers. La entrada puede ser mucho más sencilla: un correo electrónico falso, una contraseña comprometida, un programa sin actualizar o incluso un proveedor externo vulnerable.

La NCUA ha advertido que las cooperativas de todos los tamaños y sus proveedores pueden convertirse en objetivos de ataques de ingeniería social y phishing.

El riesgo también puede estar en sus proveedores

Hoy una cooperativa depende de múltiples plataformas externas: correo electrónico, servicios en la nube, sistemas financieros, aplicaciones, páginas web y diferentes proveedores tecnológicos.

Esto significa que proteger solamente las computadoras dentro de la institución ya no es suficiente.

La NCUA identifica precisamente el riesgo relacionado con terceros como una de las áreas que las cooperativas deben vigilar. Una institución puede tener buenos controles internos y aun así quedar expuesta si un proveedor que maneja información o servicios importantes sufre un incidente.

Entonces, ¿podría ocurrir en Puerto Rico?

Sí. Una cooperativa en Puerto Rico utiliza las mismas tecnologías, sistemas de correo electrónico, servicios en la nube y proveedores que pueden ser atacados en cualquier otra jurisdicción.

La pregunta más útil para una Junta de Directores o un equipo gerencial no debería ser solamente “¿nos pueden atacar?”, sino también:

“Si mañana ocurre un incidente, ¿estamos preparados para detectarlo, contenerlo y continuar operando?”

La ciberseguridad moderna no consiste únicamente en instalar un antivirus. Requiere conocer los activos tecnológicos de la organización, identificar dónde se encuentra la información importante, determinar quién tiene acceso y establecer qué ocurrirá cuando algo falle.

7 acciones que una cooperativa puede comenzar a revisar

1. Realizar una evaluación de riesgos y vulnerabilidades. Antes de comprar nuevas herramientas, hay que conocer qué tenemos, dónde están las vulnerabilidades y cuáles sistemas requieren mayor protección.

2. Implementar autenticación multifactor. Una contraseña robada no debería ser suficiente para entrar a sistemas críticos. CISA recomienda utilizar métodos de autenticación multifactor resistentes al phishing, particularmente en correo electrónico, accesos remotos y sistemas importantes.

3. Mantener sistemas y equipos actualizados. Los sistemas operativos y programas sin actualizar pueden mantener vulnerabilidades conocidas que los atacantes aprovechan. La NCUA recomienda mantener redes y equipos actualizados y sustituir o aislar sistemas antiguos que ya no reciben soporte.

4. Capacitar al personal. Una persona puede recibir un correo que parece provenir de un supervisor, proveedor o institución conocida. Saber identificar enlaces, archivos y solicitudes sospechosas puede detener un ataque antes de que comience.

5. Revisar los accesos. No todos los empleados necesitan acceso a toda la información. Limitar los privilegios según las funciones de cada persona ayuda a reducir el alcance que podría tener una cuenta comprometida.

6. Mantener copias de seguridad protegidas y probarlas. No basta con decir “tenemos backup”. CISA recomienda mantener copias de seguridad cifradas y fuera de línea, además de probar regularmente que realmente puedan utilizarse para recuperar la operación.

7. Tener un plan de respuesta antes del ataque. ¿Quién toma la primera decisión? ¿A quién se llama? ¿Qué sistemas se desconectan? ¿Cómo se continúa ofreciendo servicios? ¿Cómo se comunica la situación a los socios? Estas preguntas deberían contestarse antes de una emergencia.

La Junta de Directores también tiene un papel importante

La ciberseguridad ya no debe verse exclusivamente como una responsabilidad del departamento de informática.

La NCUA ha instado específicamente a las Juntas de Directores de las cooperativas a considerar la ciberseguridad como una responsabilidad importante de supervisión y gobernanza, asegurándose de que la gerencia mantenga los recursos y controles adecuados al tamaño, servicios y nivel de riesgo de la institución.

Para las cooperativas aseguradas federalmente también existen requisitos específicos de notificación. Desde septiembre de 2023, determinados incidentes cibernéticos reportables deben notificarse a la NCUA lo antes posible y no más tarde de 72 horas después de que la institución tenga una creencia razonable de que ocurrió un incidente reportable.

De reaccionar a prevenir

En Virtualízate Negocios creemos que la tecnología debe utilizarse para resolver problemas reales de la organización.

En el área de ciberseguridad, el primer paso no necesariamente es comprar más tecnología. Es entender qué tenemos, qué debemos proteger, dónde están los riesgos y qué debemos hacer si algo ocurre.

Podemos ayudar a las cooperativas a evaluar su infraestructura y procesos tecnológicos, identificar áreas de riesgo, fortalecer prácticas de seguridad, desarrollar estrategias de continuidad y respuesta, capacitar al personal y evaluar cómo sus proveedores y herramientas tecnológicas forman parte de su exposición al riesgo.

Porque cuando hablamos de información financiera y datos de los socios, prepararse antes de un incidente puede marcar una enorme diferencia.

La pregunta no es solamente si su cooperativa puede ser atacada. La pregunta es: ¿qué tan preparada está para responder?