Los correos fraudulentos, las llamadas que suplantan a un responsable, las contraseñas robadas y las decisiones tomadas con prisas siguen abriendo la puerta a numerosos incidentes de ciberseguridad. Los datos recopilados y contrastados por OpenSecurity.es a partir de diferentes informes publicados por organismos europeos y empresas del sector muestran que la protección digital depende tanto de las herramientas técnicas como de la forma en que las personas utilizan la tecnología.
Las claves del error humano en ciberseguridad en 20 segundos
- Verizon atribuye un componente humano al 62 % de las brechas analizadas en su informe de 2026.
- La Agencia de Ciberseguridad de la Unión Europea (ENISA) mantiene la ingeniería social y el phishing entre las tácticas habituales de los atacantes.
- Los engaños ya llegan por correo, mensajes de móvil, llamadas y contenidos creados con inteligencia artificial.
- La respuesta pasa por combinar formación, autenticación multifactor, actualizaciones, controles técnicos y procedimientos de verificación.
La idea de que los incidentes de seguridad se deben principalmente a empleados descuidados simplifica un problema mucho más amplio. Una persona puede equivocarse al abrir un documento o aprobar una solicitud, pero también puede encontrarse ante una web fraudulenta muy convincente, una petición que parece proceder de su jefe o un sistema que no ofrece mecanismos suficientes para comprobar la identidad del remitente.
Por eso, los especialistas recomiendan diseñar la seguridad para que un error aislado no se convierta automáticamente en una brecha. La formación sigue siendo necesaria, pero debe acompañarse de controles que limiten el daño cuando alguien se equivoca.
Qué dicen los informes recientes sobre los riesgos digitales
El informe Data Breach Investigations Report 2026 de Verizon, basado en el análisis de incidentes y brechas de seguridad, señala que el componente humano estuvo presente en el 62 % de las brechas estudiadas. El mismo documento identifica la explotación de vulnerabilidades de software como el principal vector inicial de entrada, con un 31 % de los casos.
La cifra permite poner el problema en perspectiva: el factor humano sigue teniendo mucho peso, pero no es el único. Los atacantes también aprovechan fallos técnicos, credenciales comprometidas, aplicaciones vulnerables y dependencias de proveedores externos.
Por su parte, ENISA, la Agencia de la Unión Europea para la Ciberseguridad, advierte en su informe Threat Landscape 2026 de la persistencia de las campañas de ingeniería social, el uso de herramientas de phishing y la explotación de vulnerabilidades. La agencia también destaca cómo los ataques a proveedores y dependencias digitales pueden extender sus consecuencias a otras organizaciones.
Los porcentajes de estos informes no deben sumarse ni compararse como si midieran exactamente lo mismo. Verizon analiza brechas de seguridad con su propia metodología, mientras que ENISA estudia incidentes y tendencias que afectan a la Unión Europea. Ambos aportan perspectivas diferentes sobre un problema compartido.
| Informe | Dato destacado | Qué significa |
|---|---|---|
| Verizon DBIR 2026 | El componente humano aparece en el 62 % de las brechas analizadas. | Los errores, las decisiones de los usuarios y las interacciones humanas siguen siendo relevantes para la seguridad. |
| Verizon DBIR 2026 | La explotación de vulnerabilidades representa el 31 % de las brechas. | Mantener el software actualizado es tan necesario como formar a los empleados. |
| ENISA Threat Landscape 2026 | La ingeniería social sigue siendo una táctica habitual. | Los engaños aprovechan la confianza y pueden combinarse con otros métodos de ataque. |
| Microsoft Digital Defense Report 2025 | El informe documenta el uso de inteligencia artificial para aumentar la escala y la eficacia del phishing. | Los mensajes fraudulentos pueden ser más convincentes y difíciles de detectar mediante errores de redacción. |
Las cifras proceden de estudios con ámbitos y metodologías diferentes. No constituyen una clasificación única de todos los ciberataques que se producen en el mundo.
Del correo falso a la llamada fraudulenta: cómo funcionan los engaños
El phishing continúa siendo una de las técnicas más conocidas. El atacante envía un mensaje que imita a una empresa, un banco, un servicio de almacenamiento o una herramienta de trabajo para conseguir que el destinatario pulse un enlace, descargue un archivo o entregue sus credenciales.
Sin embargo, los ataques actuales no se limitan a correos con faltas de ortografía o remitentes sospechosos. Los mensajes pueden utilizar logotipos, firmas y referencias a operaciones reales. En las empresas, incluso pueden incorporarse nombres de compañeros, proyectos o proveedores para dar credibilidad a la solicitud.
La ingeniería social también se extiende a otros canales. Un SMS puede advertir de un supuesto problema con un paquete o una cuenta bancaria. Una llamada puede simular que procede del departamento de informática y solicitar un código de acceso. En un fraude más elaborado, el atacante puede combinar un correo con una llamada para presionar a la víctima y conseguir una transferencia.
La inteligencia artificial facilita la elaboración de mensajes personalizados, la traducción de textos y la creación de contenidos que imitan determinados estilos de comunicación. También puede utilizarse para generar voz o vídeo sintéticos. Eso no significa que todos los fraudes utilicen IA ni que resulte imposible detectarlos, pero sí que la ausencia de errores gramaticales ya no es una señal fiable de legitimidad.
Ante una petición inesperada de dinero, credenciales o información confidencial, la recomendación es comprobarla por un canal independiente. Si un supuesto directivo pide realizar una transferencia urgente, hay que confirmar la orden utilizando un teléfono conocido o un procedimiento corporativo establecido, nunca los datos de contacto incluidos en el mensaje sospechoso.
Las medidas que más ayudan a reducir el riesgo
La prevención no depende de una única aplicación. Las organizaciones y los particulares necesitan varias capas de protección que se complementen entre sí.
| Medida | Para qué sirve | Qué conviene hacer |
|---|---|---|
| Autenticación multifactor | Dificulta el acceso con una contraseña robada. | Activarla en el correo, las cuentas bancarias y los servicios importantes. |
| Actualizaciones | Corrigen vulnerabilidades conocidas. | Instalar los parches de sistemas operativos, navegadores, aplicaciones y dispositivos. |
| Gestor de contraseñas | Ayuda a utilizar claves largas y distintas. | Evitar reutilizar la misma contraseña en varios servicios. |
| Verificación de solicitudes | Reduce los fraudes por suplantación. | Confirmar cambios bancarios, pagos y peticiones sensibles por otra vía. |
| Copias de seguridad | Permiten recuperar información perdida o cifrada. | Mantener copias independientes y probar que pueden restaurarse. |
| Formación práctica | Ayuda a reconocer y comunicar amenazas. | Realizar ejercicios periódicos y explicar cómo actuar tras un posible error. |
La autenticación multifactor añade una segunda comprobación al inicio de sesión, aunque no protege frente a todos los ataques. Las páginas falsas pueden intentar robar también los códigos temporales o engañar al usuario para que apruebe una solicitud de acceso. Cuando el servicio lo permite, las passkeys o las llaves de seguridad compatibles con FIDO2 ofrecen una defensa más resistente frente al phishing tradicional.
Los gestores de contraseñas también reducen la reutilización de credenciales. Si una clave se filtra en un servicio, utilizarla en otros puede permitir a los atacantes acceder a más cuentas. Las claves únicas y la autenticación multifactor limitan ese efecto en cadena.
La protección técnica debe incluir filtros de correo, detección de archivos maliciosos, controles de acceso y actualizaciones regulares. En las empresas, es recomendable limitar los permisos administrativos y separar las cuentas de uso cotidiano de las utilizadas para gestionar sistemas críticos.
También importa la respuesta. Si una persona introduce su contraseña en una página sospechosa, debe avisar cuanto antes al equipo responsable, cambiar las credenciales desde un dispositivo seguro y revisar las sesiones activas. Si ha facilitado datos bancarios o autorizado un pago, debe contactar con la entidad financiera de inmediato.
La responsabilidad no puede recaer solo en los empleados
Una cultura de seguridad efectiva no consiste en culpar a quien ha cometido un error. Si una plantilla recibe instrucciones contradictorias, trabaja bajo presión constante o carece de un procedimiento claro para verificar pagos, el problema también está en la organización.
Las empresas deberían definir quién puede autorizar transferencias, cómo se comprueban los cambios de cuenta bancaria, qué información puede compartirse con herramientas externas y a quién se debe informar de un incidente. Los procesos tienen que ser suficientemente sencillos para que los empleados puedan cumplirlos en su trabajo diario.
La expansión de las herramientas de inteligencia artificial añade otra cuestión: la información corporativa no debe introducirse sin criterio en servicios que la empresa no ha autorizado. Datos de clientes, contratos, código fuente o documentos internos pueden quedar expuestos si se utilizan aplicaciones externas sin revisar sus condiciones y controles de seguridad.
Las pruebas de phishing pueden ayudar a identificar necesidades de formación, pero deben servir para mejorar los procedimientos y no únicamente para medir cuántas personas hacen clic. Una organización debería comprobar también si los empleados notifican los mensajes sospechosos, si los controles técnicos bloquean los enlaces y cuánto tarda el equipo de seguridad en responder.
La inversión debe contemplar tanto las herramientas como el tiempo y las personas necesarios para administrarlas. Comprar más tecnología no garantiza una protección eficaz si nadie revisa las alertas, instala los parches o comprueba que las copias de seguridad funcionan.
Los informes de Verizon, ENISA y Microsoft apuntan desde perspectivas distintas a una misma necesidad: reforzar las defensas técnicas sin ignorar el comportamiento de las personas. El objetivo no es eliminar todos los errores, algo poco realista, sino reducir la probabilidad de que ocurran y limitar sus consecuencias cuando suceden.
Preguntas frecuentes
¿Qué porcentaje de las brechas de seguridad está relacionado con las personas?
El informe DBIR 2026 de Verizon señala que el componente humano aparece en el 62 % de las brechas analizadas. La cifra corresponde a la muestra y metodología del estudio, no a todos los incidentes que se producen en el mundo.
¿Cómo se puede reconocer un correo fraudulento?
Conviene revisar el dominio del remitente, desconfiar de las peticiones inesperadas de credenciales o pagos y evitar abrir enlaces o archivos dudosos. Ante una solicitud sensible, lo más seguro es verificarla por un canal independiente.
¿La inteligencia artificial hace más peligrosos los ataques de phishing?
Puede ayudar a los atacantes a redactar mensajes personalizados, traducirlos y producir contenidos más convincentes. Por eso, las faltas de ortografía o una redacción extraña ya no bastan para determinar si un mensaje es fraudulento.
¿Qué debería hacer una empresa para reducir los errores humanos?
Debe combinar formación periódica con autenticación multifactor, actualizaciones, permisos limitados, copias de seguridad y procedimientos de verificación. También tiene que facilitar que los empleados comuniquen los incidentes rápidamente y sin temor a ocultarlos por haber cometido un error.
