Un correo que parece proceder del banco, una llamada que suplanta al servicio técnico o una factura con una cuenta bancaria modificada pueden bastar para desencadenar un problema de seguridad. Aunque las empresas invierten en antivirus, sistemas de vigilancia y herramientas de inteligencia artificial, las personas siguen siendo una de las principales vías de entrada para los ciberdelincuentes. Los datos recopilados por OpenSecurity.es a partir de diferentes informes del sector muestran por qué la formación, la prevención y unos procedimientos claros siguen siendo necesarios para proteger tanto a las organizaciones como a sus clientes.
Las claves de los errores humanos en ciberseguridad en 20 segundos
- El informe DBIR 2026 de Verizon detecta un componente humano en el 62 % de las brechas analizadas.
- El phishing y la suplantación de identidad buscan engañar a empleados y particulares para robar datos o conseguir pagos.
- La inteligencia artificial puede ayudar a crear mensajes fraudulentos más convincentes.
- La protección requiere combinar formación, contraseñas seguras, autenticación multifactor y controles técnicos.
El riesgo no se limita a abrir un archivo sospechoso. También aparece cuando un trabajador comparte información confidencial con una herramienta no autorizada, utiliza la misma contraseña en varios servicios o aprueba una operación sin comprobar quién la solicita. En muchos casos, los atacantes se aprovechan de situaciones habituales: una jornada con demasiadas tareas, una petición urgente o una comunicación que parece rutinaria.
Eso no significa que todos los incidentes sean consecuencia de un descuido. Las vulnerabilidades de software, los sistemas mal configurados y las credenciales robadas también desempeñan un papel importante. La cuestión es que un error humano puede facilitar un ataque y agravar sus consecuencias si la organización no dispone de medidas para detectarlo y contenerlo.
El correo electrónico sigue siendo una de las grandes puertas de entrada
Los mensajes fraudulentos han evolucionado. Ya no siempre contienen errores ortográficos evidentes ni proceden de direcciones fáciles de identificar. Algunos reproducen la imagen de empresas conocidas, incluyen firmas corporativas y hacen referencia a pedidos, facturas o servicios que el destinatario utiliza habitualmente.
Un correo puede pedir que se restablezca una contraseña, descargar un documento o revisar una supuesta incidencia. Si el usuario accede a una página falsa e introduce sus credenciales, el atacante puede intentar utilizar esa información para entrar en la cuenta real. En otros casos, el objetivo es instalar software malicioso o convencer a la víctima de que realice una transferencia.
La suplantación también puede dirigirse contra los propios empleados. Un mensaje aparentemente enviado por un responsable financiero puede solicitar el pago urgente de una factura. Si el proceso interno no exige comprobar el cambio de cuenta bancaria o confirmar la operación por otro canal, el engaño puede acabar en una pérdida económica.
La inteligencia artificial añade nuevas posibilidades a estas campañas. Puede utilizarse para redactar mensajes personalizados, traducirlos o imitar estilos de comunicación. También permite crear audios y vídeos sintéticos que aparentan proceder de una persona conocida. Su presencia no convierte automáticamente cualquier mensaje en sospechoso, pero hace menos fiable la idea de que un fraude siempre se reconoce por su mala redacción.
Por eso, ante una petición inesperada de dinero, contraseñas o datos confidenciales, la medida más eficaz es comprobar su autenticidad mediante un canal independiente. Si un supuesto proveedor comunica un nuevo número de cuenta, conviene llamar al contacto habitual y no al teléfono que aparece en el propio mensaje.
Qué dicen los informes sobre el riesgo real
El Data Breach Investigations Report 2026 de Verizon señala que el componente humano estuvo presente en el 62 % de las brechas analizadas. El mismo informe identifica la explotación de vulnerabilidades como vector inicial en el 31 % de los casos estudiados. Ambas cifras muestran que la seguridad depende de varios factores y que la formación de los empleados no sustituye al mantenimiento de los sistemas.
La Agencia de Ciberseguridad de la Unión Europea (ENISA) también incluye la ingeniería social, el phishing y la explotación de vulnerabilidades entre las amenazas que deben vigilar las organizaciones. Por su parte, el informe Microsoft Digital Defense Report 2025 analiza cómo los atacantes utilizan distintas herramientas, incluida la inteligencia artificial, para mejorar sus operaciones.
Los resultados no miden exactamente lo mismo y no deben sumarse. Verizon estudia brechas de seguridad mediante su propia metodología, mientras que ENISA analiza amenazas e incidentes relevantes para el entorno europeo. Su lectura conjunta ayuda a entender que los ataques pueden combinar fallos técnicos, engaños y deficiencias organizativas.
| Riesgo | Cómo puede producirse | Medida preventiva |
|---|---|---|
| Phishing | Un mensaje falso roba credenciales o induce a descargar un archivo. | Comprobar el remitente y acceder a los servicios desde sus aplicaciones o direcciones oficiales. |
| Fraude de facturas | Un atacante suplanta a un proveedor y modifica una cuenta bancaria. | Verificar los cambios por teléfono y exigir una segunda aprobación. |
| Robo de contraseñas | Una clave filtrada permite probar el acceso a otros servicios. | Usar contraseñas diferentes y un gestor de contraseñas. |
| Suplantación de identidad | Una llamada o un mensaje imita a un responsable o compañero. | Confirmar las peticiones sensibles por un canal conocido. |
| Vulnerabilidades técnicas | Un sistema sin actualizar permite explotar un fallo conocido. | Instalar parches y revisar los equipos expuestos. |
| Pérdida de información | Un ataque, un error o un borrado afecta a los archivos. | Mantener copias de seguridad independientes y comprobar su restauración. |
Estas medidas no eliminan todos los riesgos, pero reducen las posibilidades de que una sola equivocación permita acceder a una cuenta, desviar un pago o comprometer información importante.
Cómo pueden protegerse las empresas y los particulares
La primera recomendación es activar la autenticación multifactor en el correo electrónico, las cuentas bancarias y los servicios que almacenan información sensible. Esta medida añade una comprobación adicional al acceso y dificulta que una contraseña robada sea suficiente para entrar. Cuando estén disponibles, las passkeys y las llaves de seguridad compatibles con FIDO2 ofrecen una defensa más resistente frente a las páginas de phishing tradicionales.
También conviene utilizar un gestor de contraseñas para evitar que una misma clave sirva para varios servicios. Si una cuenta se ve comprometida, la reutilización de credenciales puede facilitar que el atacante pruebe esa contraseña en otros sitios.
Las actualizaciones son igualmente importantes. Mantener al día los sistemas operativos, navegadores, aplicaciones y dispositivos permite corregir vulnerabilidades conocidas que podrían utilizarse para acceder a los equipos. En el ámbito empresarial, estas tareas deben acompañarse de una revisión de los permisos para que cada empleado tenga únicamente los accesos que necesita.
La formación debe centrarse en situaciones reales y explicar qué hacer ante una sospecha. No basta con recomendar que nadie abra correos extraños: los trabajadores deben saber dónde comunicar un mensaje fraudulento, cómo comprobar una petición de pago y a quién avisar si ya han introducido una contraseña en una página sospechosa.
Si se produce un error, actuar rápido puede limitar los daños. Cambiar las credenciales desde un dispositivo seguro, cerrar sesiones abiertas, revocar accesos y comunicar el incidente al equipo responsable son pasos que pueden resultar necesarios. Cuando se ha autorizado una transferencia fraudulenta, también hay que contactar de inmediato con la entidad bancaria.
Los particulares deberían aplicar una lógica similar a sus cuentas personales y sus archivos. Mantener copias de seguridad fuera del dispositivo principal, proteger el correo con autenticación multifactor y desconfiar de solicitudes inesperadas ayuda a reducir el impacto de un incidente.
La seguridad también depende de cómo se organiza el trabajo
Una empresa no debería confiar toda su protección en que los empleados detecten cada engaño. Si una transferencia puede realizarse sin una segunda comprobación, si las contraseñas administrativas se comparten o si nadie revisa las alertas, un único fallo puede tener consecuencias importantes.
Los procedimientos deben ser claros y fáciles de aplicar. Las operaciones financieras sensibles pueden requerir doble autorización; los cambios de datos bancarios deben verificarse de forma independiente; y los accesos administrativos deben mantenerse separados de las cuentas utilizadas para el trabajo diario.
También es necesario comprobar que las copias de seguridad se pueden restaurar y que los sistemas pueden recuperarse tras una interrupción. Tener una copia almacenada no garantiza que esté completa ni que el proceso de recuperación funcione cuando hace falta.
Las herramientas de inteligencia artificial plantean otra precaución: antes de introducir información de clientes, documentos internos o código fuente en una aplicación externa, conviene comprobar si está autorizada por la organización y qué tratamiento reciben los datos.
La seguridad digital no depende de que todos los usuarios actúen siempre de forma perfecta. Depende de que existan medidas para prevenir los errores, detectar los incidentes y limitar sus consecuencias. La tecnología puede bloquear muchas amenazas, pero necesita acompañarse de procedimientos que permitan a las personas trabajar con seguridad sin convertir cada decisión cotidiana en una prueba de vigilancia.
Preguntas frecuentes
¿Cuál es uno de los principales riesgos de ciberseguridad para las empresas?
El componente humano sigue apareciendo en una parte importante de las brechas analizadas. Los engaños por correo, la suplantación de identidad y los errores de gestión pueden facilitar ataques, aunque también existen riesgos técnicos como las vulnerabilidades sin corregir.
¿Cómo se puede evitar caer en un correo fraudulento?
Hay que comprobar la dirección del remitente, desconfiar de las peticiones inesperadas de credenciales o pagos y evitar acceder a cuentas desde enlaces dudosos. Las solicitudes sensibles deben verificarse por un canal independiente.
¿La inteligencia artificial hace más difícil detectar las estafas?
Puede ayudar a crear mensajes más personalizados y contenidos que imiten a personas conocidas. Por eso, la redacción correcta o la apariencia de una voz familiar no bastan para demostrar que una comunicación es auténtica.
¿Qué medidas básicas debería aplicar una pequeña empresa?
Conviene activar la autenticación multifactor, mantener los sistemas actualizados, limitar los permisos, formar a los empleados y conservar copias de seguridad independientes. También es importante disponer de un procedimiento para comunicar y gestionar incidentes.
