El clic ya está hecho. Un segundo después, un detalle llama la atención: esa dirección inusual, esa petición urgente, ese formulario que vuelve a pedir una contraseña. ¿Qué hacer? ¿Avisar inmediatamente o esperar con la esperanza de no haber desencadenado nada? Entre estos dos reflejos se juega una parte de la ciberseguridad. De cara a septiembre de 2026, cuando la inteligencia artificial puede hacer más creíbles las suplantaciones, saber comunicar una duda sin temer ser juzgado constituye una competencia colectiva tan valiosa como discreta.
La trampa ya no tiene por qué incluir faltas de ortografía
El phishing no se basa únicamente en una vulnerabilidad informática. Explota una jornada ajetreada, una relación jerárquica, una costumbre. Una factura esperada llega en el momento oportuno; un supuesto técnico ofrece resolver un problema; un directivo pide una excepción. El atacante no busca tanto convencer con largas explicaciones como provocar una acción antes de que empiecen las comprobaciones.
La IA generativa puede facilitar la redacción de mensajes fluidos, su traducción y su adaptación a un contexto profesional. La síntesis de voz y la manipulación de vídeos añaden otras posibilidades de suplantación. Esto no significa que todos los fraudes recurran a una tecnología sofisticada: un correo corriente, enviado desde una cuenta comprometida, sigue siendo a veces mucho más eficaz que una falsificación espectacular.
Sin embargo, un caso divulgado en 2024 en Hong Kong ilustra el posible cambio de escala en la puesta en escena. Según la policía local, un empleado realizó transferencias tras una videoconferencia en la que varios participantes, presentados como compañeros, eran imitaciones digitales. La lección no es dejar de creer a todo el mundo. Es dejar de hacer depender una decisión delicada únicamente de la apariencia de autenticidad.
Tras el error, el silencio abre una segunda brecha
Los filtros de correo, la autenticación multifactor y las restricciones de acceso siguen siendo indispensables. Pero ninguna protección elimina todos los escenarios de ataque. Un empleado puede aprobar una solicitud inesperada, enviar un documento o introducir sus credenciales en una página falsa. En ese instante, su capacidad para dar la alerta se convierte en una medida de seguridad por derecho propio.
Un aviso rápido puede permitir revocar sesiones, bloquear una cuenta, buscar mensajes similares o contactar con un banco antes de que recuperar los fondos resulte más difícil. No garantiza un desenlace favorable. Sin embargo, da a los equipos la posibilidad de actuar antes, mientras que la espera puede dejar que el atacante avance.
Pero la vergüenza frena. Si la formación repite que las trampas son evidentes y que solo caen los imprudentes, reconocer un error equivale a declararse incompetente. Si el último incidente le costó a alguien una reprimenda pública, sus compañeros recordarán sobre todo esa sanción. El discurso oficial puede fomentar las alertas; las reacciones cotidianas deciden si se darán.
La seguridad psicológica, en su vertiente operativa
En gestión, la seguridad psicológica designa la posibilidad de asumir un riesgo interpersonal —hacer una pregunta, expresar un desacuerdo, reconocer un error— sin exponerse a la humillación. Aplicada a la ciberseguridad, no consiste en disculparlo todo ni en abandonar las normas. Permite abordar primero el peligro y examinar después las responsabilidades con criterio.
La distinción es esencial: un error de buena fe comunicado rápidamente no es lo mismo que eludir deliberada y repetidamente las normas, y mucho menos que un acto malintencionado. Prometer una inmunidad absoluta sería poco creíble. En cambio, una organización puede comprometerse claramente a recibir los avisos sin burlas, limitar su difusión a las personas pertinentes y no confundir una petición de ayuda con una admisión de culpa.
La primera respuesta cuenta el doble
Imaginemos a una contable que llama después de haber enviado un extracto bancario a un falso proveedor. Empezar preguntándole cómo ha podido caer en la trampa no aporta ninguna información útil. Agradecerle que haya avisado y, después, establecer los hechos ayuda, por el contrario, a obtener un relato que permita actuar. Esta reacción también determina lo que luego contará a sus compañeros.
El responsable directo desempeña aquí un papel decisivo. Debe ser capaz de interrumpir una reunión para que se dé una alerta, aceptar que se verifique una orden aparentemente firmada por él y reconocer sus propias dudas. Un procedimiento de confirmación independiente pierde todo su valor si después el jefe reprocha a su equipo haberle hecho perder el tiempo.
Dar la alerta debe ser más sencillo que callar
Una política de notificación no puede reducirse a una página de la intranet. En el momento de la duda, hace falta una vía visible: un botón en el correo, un número conocido, un canal identificado. Si la cuenta habitual puede estar comprometida, debe existir una alternativa. Y el empleado debe poder comunicar una sospecha sin tener que demostrar primero que se ha producido un ataque.
- Describir la acción: mensaje abierto, enlace seguido, archivo descargado, información enviada o solicitud de autenticación aprobada.
- Aportar el contexto: hora aproximada, herramienta utilizada, identidad mostrada y naturaleza de la solicitud.
- Preservar los elementos útiles: conservar el mensaje y seguir el procedimiento interno, sin distribuir un archivo adjunto sospechoso entre los compañeros.
- Esperar las instrucciones adecuadas: no improvisar una limpieza ni borrar rastros para hacer desaparecer la vergüenza.
El equipo que recibe la alerta debe confirmar después que se está ocupando de ella y explicar el siguiente paso. Sin respuesta, el aviso se parece a un mensaje en una botella lanzada al mar. Un breve seguimiento, incluso cuando se trataba de una falsa alarma, demuestra que la acción ha servido y ayuda a reconocer mejor situaciones futuras.
Formar sin tender trampas a los empleados
Las simulaciones de phishing pueden entrenar la detección y poner a prueba un circuito de alertas. Mal diseñadas, se convierten en un concurso de culpabilización. Publicar los nombres de quienes han caído en la trampa o utilizar un asunto personal especialmente angustiante puede deteriorar la confianza. El ejercicio debería culminar con una explicación concreta, no con una clasificación de compañeros supuestamente ingenuos.
También hay que cambiar los indicadores. La tasa de clics no lo cuenta todo. El tiempo transcurrido hasta el aviso, la facilidad para contactar con un equipo y la calidad de su respuesta merecen seguimiento. Un aumento de las alertas puede reflejar una amenaza mayor, pero también una confianza recuperada: las cifras necesitan contexto.
Por último, los escenarios deben entrenar la verificación, no solo la detección del engaño. Ante una voz familiar que solicita una transferencia urgente, es mejor devolver la llamada a un número ya conocido y aplicar una doble validación que buscar una imperfección sonora. Esta disciplina sigue siendo útil incluso cuando la imitación resulta convincente.
¿Y ahora qué? Para septiembre de 2026 y los años siguientes, se perfila una prioridad: diseñar conjuntamente las protecciones técnicas, los procedimientos de verificación y las conductas de los responsables. Si los fraudes asistidos por IA ganan credibilidad, confiar únicamente en la vigilancia individual será aún menos razonable. La empresa resiliente no será aquella en la que nadie se equivoque, sino aquella en la que una duda pueda expresarse de inmediato, y en la que hacerlo active la ayuda en lugar de un juicio.
