Larry sigue en el edificio

En CyberForward 2026 en Hilversum, la secretaria de Estado Willemijn Aerdts abrió con un gancho que caló: la historia de Leisure Suit Larry. Un juego, un disquete, un virus y todo un continente de organizaciones que no tenían ni idea de qué se estaba ejecutando en sus sistemas. Lo usó para plantear una cuestión sobre dónde estamos ahora. La seguridad digital, argumentó, va de mucho más que de tecnología. Requiere colaboración entre disciplinas y sectores. Tiene razón. Pero la historia de Larry merece una mirada más de cerca, porque es más actual de lo que parece.

Si trabajabas en TI a finales de los ochenta, seguramente recuerdes el juego. Si no, aquí va la versión corta: unas enfermeras de un hospital neerlandés jugaban con una copia infectada en el sistema de registro del estado de los pacientes. Bancos de Suiza, Alemania e Inglaterra perdieron grandes cantidades de datos. El virus, conocido como Jerusalén o Viernes 13, se propagaba en silencio por cada archivo ejecutable que tocaba y, cada viernes 13, empezaba a borrarlos.

Nadie en aquellas organizaciones se propuso provocar una brecha. Alguien simplemente ejecutó algo que no debía ejecutar, en un hardware que se suponía que estaba haciendo algo completamente distinto. La organización pagó el precio porque no tenía ninguna visibilidad de lo que realmente ocurría dentro de sus propios sistemas.

Eso fue hace casi 40 años. La pregunta que Aerdts planteó de forma implícita en CyberForward, y con la que merece la pena quedarse después, es si de verdad hemos aprendido algo.

Larry nunca cambió. Solo cambió de atuendo.

El virus Jerusalén se propagaba mediante disquetes. Hoy, el mecanismo es una pestaña del navegador. Según el Data Breach Investigations Report 2026 de Verizon, las detecciones de IA en la sombra en entornos empresariales se multiplicaron por cuatro en un solo año, y el 45% de los empleados usa ya herramientas de IA con regularidad en dispositivos corporativos. Dos tercios de los profesionales de oficina admiten usar herramientas de IA en el trabajo pese a creer que su uso va contra la política de la empresa. No lo hacen para causar daño. Lo hacen porque hace que su trabajo sea más rápido y fácil. La misma razón por la que alguien coló un disco de un juego en el PC de la oficina en 1988.

Los datos que salen por esas pestañas del navegador no son moco de pavo. Según el Cost of a Data Breach Report 2025 de IBM, las brechas que involucran IA en la sombra cuestan a las organizaciones una media de 70.000 más que otros incidentes, y tardaron una media de 247 días en detectarse. Cuando un empleado pega un archivo de cliente, un informe financiero o un borrador de contrato en una herramienta de IA sin verificar, esos datos entran en un pipeline de procesamiento del que la organización no sabe absolutamente nada.

Larry nunca se fue. Solo actualizó su software.

¿Por qué es esto relevante para consejos de administración y equipos directivos?

Sería fácil leer el párrafo de arriba y pasárselo al departamento de TI. Esa sería la respuesta equivocada.

La razón por la que a las organizaciones les pilló por sorpresa Larry en 1988 no fue que sus equipos de TI fueran incompetentes. Fue que nadie había hecho la pregunta estructural: ¿qué se está ejecutando realmente en este edificio? Esa pregunta no era una cuestión de TI. Era organizativa. La respuesta requería autoridad, política y una cultura en la que las personas se sintieran capaces de ser honestas sobre qué herramientas estaban usando en realidad.

Lo mismo ocurre ahora. Los equipos de TI no pueden gobernar lo que no ven, y no pueden ver lo que los empleados instalan, conectan o donde pegan datos a través de sus cuentas personales y herramientas basadas en el navegador. Esa brecha no se cierra con otro firewall. Se cierra con liderazgo.

Si eres miembro de un consejo o directivo y estás leyendo esto, no eres la víctima de esta historia. Eres la persona que de verdad puede cambiarla.

En qué acertó Aerdts: esto es un problema de colaboración

El enfoque que ofreció Aerdts en CyberForward no iba de tecnología. Iba de cómo los Países Bajos, sus organizaciones y sus sectores trabajan juntos para construir una resiliencia digital genuina. Ese es el enfoque correcto.

Las organizaciones que gestionarán bien la versión moderna de Larry no son necesariamente las que tienen los mayores presupuestos de seguridad. Son aquellas en las que el consejo hace preguntas incómodas, en las que los empleados pueden plantear inquietudes sin miedo, y en las que alguien se ha tomado el tiempo de construir una imagen de lo que realmente se está ejecutando en el entorno digital de la organización. Esa imagen es el requisito previo para todo lo demás. No puedes priorizar lo que no puedes ver.

Colaboración aquí significa algo concreto. Significa que el CISO y el CFO tengan la misma conversación. Significa que el responsable de TI y el director de RR. HH. se pongan de acuerdo sobre qué cuenta como herramienta aprobada. Significa que el MSP o el partner de seguridad tenga suficiente visibilidad del entorno para hacer bien su trabajo. Nada de eso es un problema puramente técnico.

¿Cómo es en realidad “ver a Larry” en 2026?

La pregunta práctica no es si tu organización ha sufrido una brecha. Es si te enterarías en caso de que la hubiera sufrido. Y si sabes qué se está ejecutando en tu entorno ahora mismo.

Eso significa tener un inventario de activos actualizado: no solo servidores y firewalls, sino también endpoints, servicios en la nube, aplicaciones SaaS y los dispositivos que la gente usa para conectarse. Significa saber qué herramientas de IA están usando tus equipos, de forma oficial y no oficial. Significa ejecutar escaneos periódicos para que las nuevas vulnerabilidades salgan a la luz antes de que las encuentren los atacantes. Y significa hacer visible esa información a las personas que necesitan tomar decisiones, no solo a las que la generaron.

Una breve nota sobre el posicionamiento: Guardian360 construye la plataforma Lighthouse, que ayuda a las organizaciones y a sus partners a hacer exactamente esto. Soy consciente de que este es mi interés comercial, y lo declaro con claridad. El argumento se sostiene igual: a las organizaciones que en 1988 pilló por sorpresa Larry no les faltaban más cerraduras. Les faltaba una ventana.

La pregunta para llevarse a casa

Aerdts pidió colaboración. Esa es la palabra correcta. Pero la colaboración requiere una imagen compartida de la realidad y, para la mayoría de las pymes, esa imagen sigue faltando. La amenaza no ha cambiado en 40 años. Una persona dentro de la organización, haciendo algo que parecía inofensivo, ejecutó algo que no debía, en una máquina que se suponía que estaba haciendo otra cosa.

Aquí está la pregunta con la que merece la pena quedarse: ¿cuándo fue la última vez que preguntaste a tus equipos qué software y herramientas de IA están usando en realidad? No qué hay en la lista de aprobados. Qué se está ejecutando de verdad.

Si no puedes responder a eso con confianza, puede que Larry ya esté en el edificio.