Los contadores públicos manejan diariamente información sensible de empresas y clientes, como estados financieros, nóminas, datos bancarios, información tributaria y credenciales de acceso a plataformas digitales. Esta concentración de datos los convierte en un objetivo atractivo para los ciberdelincuentes, que pueden utilizarlos para cometer fraudes, suplantar identidades o acceder indebidamente a los sistemas de las organizaciones.

Por ello, la ciberseguridad ha dejado de ser un asunto exclusivo de los departamentos de tecnología y se ha convertido en un componente relevante de la protección de la información y la gestión de riesgos en el ejercicio profesional contable.

¿Por qué los contadores están expuestos a riesgos de ciberseguridad?

La digitalización de los procesos contables, el uso de software especializado y el almacenamiento de información en la nube han facilitado numerosas actividades profesionales. Sin embargo, también han aumentado la dependencia de los sistemas tecnológicos y la exposición a posibles ataques cibernéticos.

Estos riesgos no afectan únicamente a las grandes organizaciones. Las pequeñas y medianas firmas contables también administran información valiosa y, en muchos casos, disponen de presupuestos limitados y equipos reducidos para gestionar su seguridad informática.

Principales riesgos para la información contable

Entre los riesgos de ciberseguridad más relevantes en el ejercicio profesional de los contadores se encuentran los siguientes:

1. Phishing o suplantación de identidad

Consiste en el envío de correos electrónicos, mensajes o enlaces a sitios web falsos que aparentan provenir de entidades tributarias, bancos o clientes. Su objetivo es obtener contraseñas, acceder a información sensible o introducir programas maliciosos.

El uso de inteligencia artificial generativa permite a los ciberdelincuentes elaborar comunicaciones cada vez más convincentes, lo que dificulta identificar los intentos de engaño.

2. Ransomware o secuestro de datos

Es un tipo de programa malicioso que cifra o bloquea el acceso a archivos y sistemas informáticos, como bases de datos contables y documentos financieros. Los atacantes exigen un pago para permitir su recuperación.

Además de interrumpir las operaciones, estos ataques pueden incluir la extracción de información confidencial como mecanismo adicional de extorsión.

3. Ataques a proveedores de software contable

Las fallas de seguridad o los ataques a proveedores de programas contables y servicios en la nube también pueden afectar a sus usuarios. Un incidente en la infraestructura del proveedor puede impedir que varias organizaciones accedan simultáneamente a sus sistemas y registros.

4. Amenazas internas y errores humanos

No todos los incidentes provienen de atacantes externos. La negligencia, la parametrización inadecuada de sistemas o la permanencia de cuentas activas de antiguos colaboradores también pueden comprometer la seguridad de la información.

Consecuencias de los ciberataques y responsabilidad profesional

Un incidente de ciberseguridad puede afectar la confidencialidad de los datos, alterar registros financieros o interrumpir las operaciones de una organización. Dependiendo de sus características, también puede ocasionar pérdidas económicas, consecuencias legales y daños reputacionales.

Para los contadores, estos riesgos tienen una relación directa con el control interno y la confiabilidad de la información financiera. En el ámbito de la auditoría, la Norma Internacional de Auditoría 315 (NIA 315) contempla la consideración de riesgos asociados al entorno tecnológico dentro del proceso de identificación y valoración de los riesgos de incorrección material.

La protección de la información confidencial forma parte de la diligencia profesional del contador y contribuye a preservar la confianza que sus clientes y empleadores depositan en él.

Controles para proteger la información financiera

Existen múltiples controles que pueden reducir la exposición a los riesgos informáticos y fortalecer la capacidad de recuperación frente a incidentes, entre ellos:

• Autenticación multifactor: incorporar mecanismos adicionales de verificación, como códigos temporales enviados al celular, notificaciones de aprobación de acceso o reconocimiento mediante huella digital, para proteger el acceso a correos electrónicos, programas contables y plataformas digitales.
• Copias de seguridad: realizar respaldos periódicos y automáticos, almacenados de manera independiente de los sistemas principales, para facilitar la recuperación de información.
• Control de accesos: asignar permisos según las funciones de cada colaborador y desactivar oportunamente las cuentas de quienes dejan de pertenecer a la organización.
• Cifrado de datos: proteger la información confidencial tanto durante su almacenamiento como durante su transmisión.
• Capacitación continua: formar al personal para reconocer correos fraudulentos, intentos de suplantación y otras amenazas digitales.
• Actualización de sistemas: mantener al día los sistemas operativos y programas contables para corregir vulnerabilidades conocidas.

También es necesario recordar que utilizar software contable en la nube no elimina la responsabilidad de proteger la información. Aunque el proveedor administra la infraestructura tecnológica, las organizaciones deben continuar gestionando adecuadamente los usuarios, permisos, contraseñas y dispositivos.

En conclusión, ningún sistema está completamente a salvo de los ciberataques, por eso, una gestión adecuada de la ciberseguridad debe partir de la identificación de los riesgos, la implementación de controles para reducirlos y la preparación para responder ante posibles incidentes. Para los contadores públicos, comprender estas amenazas y contribuir a su gestión permite fortalecer la protección de la información financiera, la continuidad de las operaciones y la confianza de sus clientes y empleadores.

Kevin Darley Guevara
Profesional de investigación del INCP