En un estudio de campo de 15 meses con 14 733 empleados, las advertencias breves en correos electrónicos de phishing simulados redujeron los clics, mientras que una página de formación voluntaria tras un error no mejoró la resiliencia posterior. Otro estudio independiente con 10 844 participantes reveló que la retroalimentación inmediata tras un correo de phishing simulado se tradujo en menos errores en una segunda prueba. Ambos estudios midieron correos simulados, por lo que muestran cambios en el comportamiento ante pruebas, no si un programa previene brechas en el mundo real. Un curso de seguridad puede enseñar a identificar el phishing. La cuestión más difícil es qué ayuda cuando llega una solicitud creíble en un día ajetreado y alguien espera una respuesta rápida. La investigación sobre phishing simulado ofrece pruebas útiles sobre advertencias, retroalimentación y notificación, con límites importantes sobre lo que los resultados pueden demostrar.

Una solicitud puede transmitirse a través de un mensaje, una llamada y un conjunto de documentos sin que aparezca ni un solo extraño en la cadena. En un caso reportado por Reuters en septiembre de 2026, ese diseño llevó al presidente de la división de banca privada de un banco a ordenar transferencias de unos 95 millones de euros (Reuters, septiembre de 2026). Llamamos a este patrón "multiataque". Defenderse de él implica verificar la solicitud en sí y ensayar toda la secuencia. Cada contacto que recibió el presidente venía en nombre de alguien a quien conocía. Ninguna de esas personas estaba allí. En un ataque multicanal, el mensaje es solo el primero de varios pasos, y cada uno está diseñado para hacer que el siguiente sea creíble. La evidencia reciente muestra lo bien que funciona ese diseño. En febrero de 2026, el presidente de la división de banca privada de un grupo bancario italiano recibió un mensaje de WhatsApp que parecía provenir del director ejecutivo del grupo. Solicitaba ayuda urgente con una transacción en el extranjero (Reuters vía Deccan Chronicle, 26 de septiembre de 2026). A esto le siguió una llamada telefónica de alguien que parecía ser un socio director de un bufete de abogados internacional, un abogado al que el presidente conocía. Según Reuters, citando dos fuentes familiarizadas con el asunto, se utilizó inteligencia artificial para replicar la voz de ese abogado. Luego llegaron 11 documentos, incluidos un acuerdo de confidencialidad y un aparente poder especial (Cybernews, 27 de septiembre de 2026). En pocas horas, unos 95 millones de euros habían salido del banco hacia cuentas en el extranjero (Forbes Italia, 25 de septiembre de 2026). Reuters afirma que las transferencias se dirigieron principalmente a China y Hong Kong.

El FBI advirtió el 26 de mayo de 2026 sobre un grupo que ejecuta un ataque a través de varios canales (FBI FLASH-20260526-01, mayo de 2026). Comienza con un correo electrónico o un mensaje de texto que pide a un empleado que llame a un número. Continúa por teléfono y mediante acceso remoto, y cuando eso falla, envían a alguien a la oficina con una unidad USB. Cada paso utiliza un canal diferente y ningún equipo supervisa todos ellos. El grupo es el Silent Ransom Group, también conocido como Luna Moth. Ha atacado principalmente a bufetes de abogados estadounidenses desde 2023, y también ha llegado a organizaciones de seguros, finanzas y atención médica (FBI FLASH-20260526-01, mayo de 2026). Roba datos y amenaza con publicarlos, y el FBI señala que pasa a la exfiltración sin cifrar nada. Lo que importa para un líder de seguridad es la forma del ataque: una secuencia que cambia de canal en casi cada paso.

Una cadena minorista con cientos de tiendas perdió toda su red seis días después de que un empleado introdujera su contraseña en un portal falso. El ataque se basó en una llamada telefónica de cuatro minutos al servicio de asistencia, no en un fallo técnico complejo. Dos empleados siguieron los procedimientos establecidos, utilizando la información que tenían delante. Mandiant sitúa ahora el phishing de voz como la segunda vía de acceso más común a una red, con un 11% de las intrusiones, por delante del phishing por correo electrónico con un 6% (Mandiant M-Trends 2026, marzo de 2026). Este caso es real. Hemos anonimizado la organización y cambiado algunos detalles, pero la secuencia se repite con precisión en otros incidentes. La empresa gestionaba cientos de tiendas con varios miles de empleados, la mayoría en el punto de venta, y una rotación anual superior al 40%. La formación en seguridad se limitaba a un módulo de bienvenida y un recordatorio anual. El atacante no buscó al director financiero ni al jefe de sistemas. Buscó al empleado con menos formación, menos contexto y mayor presión.

ClickFix es una técnica de ingeniería social que engaña a las personas para que escriban y ejecuten ellas mismas un comando malicioso, usando un falso CAPTCHA o aviso de verificación. Como la víctima ejecuta el comando a mano, ningún filtro de correo, escáner de adjuntos o defensa basada en exploits lo detecta a tiempo (Microsoft, agosto de 2025). ESET registró un aumento del 517% en ataques ClickFix en seis meses, convirtiéndolo en el segundo vector de ataque más común, solo por detrás del phishing (investigación de ESET, junio de 2025). Alguien visita una web con apariencia normal y llega a una página que le pide verificar que es humano. Parece la comprobación de Cloudflare o de Google reCAPTCHA que ya ha superado cien veces. Un botón con el texto "Verify" o "How to fix" copia un comando al portapapeles y le indica que abra Ejecutar de Windows, lo pegue y pulse Enter. Lo hace porque cada paso se siente como una solución de problemas rutinaria, no como un ataque. No se descarga nada. No se hace clic en ningún adjunto. El malware se instala porque la persona escribió el comando que lo instaló.

Los atacantes están utilizando ofertas de trabajo de aspecto real, adaptadas a las habilidades reales de un candidato, para instalar malware de acceso remoto con un solo clic. No hay solicitud de contraseña ni enlaces sospechosos que detectar, porque el mensaje hace exactamente lo mismo que el mensaje de un reclutador real (Cyderes, 10 de septiembre de 2026). Los empleados que nunca abrirían un archivo adjunto de factura aleatorio abren una prueba de programación, porque el mensaje de reclutamiento llega en un contexto en el que ya han decidido confiar. Un ingeniero de software recibe un mensaje sobre un puesto que coincide con sus habilidades reales. La empresa parece real, el rango salarial es razonable y el siguiente paso es una breve evaluación de programación, una parte normal de cualquier proceso de contratación. Descargan el archivo y lo abren. Nada en el mensaje pedía una contraseña. Nada apuntaba a un dominio que no coincidiera. El mensaje hizo exactamente lo que hace el mensaje de un reclutador real, y ese archivo es el que instala el malware.

Más de 340 organizaciones de Microsoft 365 en cinco países fueron blanco de una campaña de phishing mediante códigos de dispositivo que comenzó en febrero de 2026 (The Hacker News, 25 de marzo de 2026). Esta técnica no roba contraseñas ni vulnera la autenticación multifactor. Consiste en lograr que un empleado apruebe una sesión de inicio de sesión para un tercero dentro de la propia página de acceso de Microsoft. Esto lo convierte en un problema de riesgo humano, no en un fallo técnico, y logra eludir la formación diseñada para detectar enlaces falsos o páginas de inicio de sesión fraudulentas.

El factor humano sigue siendo el vector de acceso más explotado en las brechas de seguridad, y el coste medio global de una brecha alcanzó los 4,88 millones de dólares en 2024. Para los equipos de seguridad de medianas y grandes empresas, la cuestión ya no es si invertir en formación de concienciación, sino cómo demostrar que dicha inversión reduce el riesgo de forma medible y sostenida. Esta guía abarca las métricas relevantes, los marcos de cumplimiento que lo exigen, las fórmulas de cálculo y los errores que distorsionan los resultados.

Una operación de vishing que Google rastrea como UNC6671 llamó a los teléfonos personales de empleados de firmas de capital privado y servicios financieros, se hizo pasar por personal de soporte técnico y los guio a través de portales de inicio de sesión falsificados. La infraestructura de adversario en el medio capturó credenciales y códigos de MFA en tiempo real. Google identificó 72 sitios web falsificados creados para la campaña y rastreó más de 10 millones de dólares en bitcoin hacia billeteras vinculadas al grupo solo entre enero y mayo de 2026. Los atacantes no derrotaron al MFA directamente. Una llamada telefónica los puso en el lugar en el momento exacto en que un empleado legítimo ingresaba un código válido en lo que parecía ser el sitio correcto, y lo capturaron mientras se usaba.

El ransomware es un tipo de software malicioso que cifra los sistemas de una organización hasta que se paga un rescate, y la mayoría de los programas de preparación se centran en ese momento: integridad de las copias de seguridad, tiempos de recuperación y manuales de respuesta ante incidentes. Sin embargo, el cifrado técnico suele ser el último paso del ataque, no el primero. El informe M-Trends 2026 de Mandiant reveló que el tiempo transcurrido entre que un atacante obtiene el acceso inicial y despliega el ransomware se ha reducido a tan solo 22 segundos en algunos casos, en gran medida porque los atacantes logran entrar cada vez más llamando al servicio de asistencia técnica (helpdesk) y pidiendo acceso. Un caso bien documentado demuestra hasta dónde puede llegar una sola llamada telefónica: una llamada de diez minutos le costó a una gran empresa más de 100 millones de dólares. La mayoría de los planes de preparación contra el ransomware nunca han puesto a prueba esa llamada.

Un estudio revisado por pares realizado por investigadores de la Harvard Kennedy School reveló que un correo electrónico de spear phishing totalmente automatizado por IA alcanza una tasa de clics del 54%, igualando a un mensaje redactado por un experto humano, sin necesidad de tiempo de investigación ni habilidades de redacción por parte de quien lo envía. La mayor parte de la defensa contra el phishing se ha basado silenciosamente en un factor limitante que nunca se puso por escrito: redactar un ataque genuinamente convincente y bien documentado requería una habilidad real, lo que significaba que solo un pequeño número de atacantes podía producir uno. La IA generativa elimina ese factor limitante por completo. La amenaza no se ha vuelto psicológicamente más inteligente; simplemente se ha vuelto accesible para cualquiera.

DORA, la Ley de Resiliencia Operativa Digital (Reglamento (UE) 2022/2554), es la normativa de la UE que exige a las entidades financieras y a sus proveedores tecnológicos críticos gestionar el riesgo digital bajo un estándar común. Es de aplicación desde el 17 de enero de 2025 para cerca de 20 tipos de entidades financieras, desde bancos y aseguradoras hasta instituciones de pago y proveedores de servicios de criptoactivos. Abarca cinco áreas: gestión del riesgo de las TIC, notificación de incidentes, pruebas de resiliencia, riesgo de terceros e intercambio de información, además de la supervisión directa de los proveedores tecnológicos de los que más depende el sector.

La adopción de la autenticación multifactor (MFA) redujo drásticamente la frecuencia con la que los ataques de compromiso de correo electrónico empresarial (BEC) afectaban a las cuentas que no contaban con ella; un progreso real y medible. Sin embargo, el dinero siguió fluyendo y las pérdidas por BEC volvieron a aumentar en 2025. Creemos que esa brecha existe porque el BEC nunca dependió realmente de vulnerar una cuenta. Dependía de que una persona creyera que el mensaje provenía de alguien de confianza, y no se creó ningún protocolo de autenticación para verificar eso.

Zepo Intelligence lanza esta semana dos nuevas capacidades. Learning Studio genera formación en ciberseguridad hiperpersonalizada en cuestión de minutos, permitiendo que la capacitación evolucione tan rápido como las amenazas. Multiattack Simulations encadena phishing y vishing en una única campaña coordinada que se adapta según la respuesta real de cada empleado. Juntas, cierran la brecha entre cómo se ejecutan los ataques y cómo se preparan las organizaciones.

La inyección de prompts ha sido clasificada como el principal riesgo en la evaluación de aplicaciones de modelos de lenguaje de gran tamaño de OWASP durante dos ediciones consecutivas. No se trata de un fallo de código que un parche pueda solucionar. Explota los mismos mecanismos psicológicos que han hecho que el phishing y el pretexto funcionen durante décadas, trasladados a la forma en que un modelo de lenguaje lee contenido no confiable.

Los empleados que buscan una herramienta de IA que su empresa no les ha proporcionado no están buscando problemas. Buscan la opción más popular y hacen clic en el primer resultado. Los atacantes lo saben, y las herramientas de IA falsas diseñadas para parecer auténticas son ahora uno de los vectores de ataque de más rápido crecimiento en 2026. Este artículo sostiene que una política de IA sin un camino claro y sencillo para solicitar nuevas herramientas no evita la "IA en la sombra"; lo que hace es enviar a los empleados a buscar por su cuenta, y es precisamente en esa búsqueda donde comienza el ataque.

La Ley de IA de la UE exige que las organizaciones clasifiquen cada sistema de IA que utilizan según su nivel de riesgo. Este requisito asume que existe una lista completa de dichos sistemas. Sin embargo, la propia investigación de Gartner indica que, por lo general, no es así: el 69 % de los líderes de seguridad ya sospecha que sus empleados utilizan herramientas de IA generativa no aprobadas, y Gartner prevé que más del 40 % de las empresas se enfrentarán a un incidente de seguridad o cumplimiento relacionado con la IA en la sombra no autorizada para 2030. Este artículo sostiene que la verdadera brecha de cumplimiento no es legal, sino conductual, y que es posible medirla antes de que se convierta en un incidente.

La mayoría de las organizaciones tratan la debida diligencia de terceros como un filtro único: si se supera una vez, la relación permanece aprobada. Ese enfoque asume que el proveedor aprobado el primer día es el mismo un año después. La debida diligencia según la norma ISO 37001 pone de manifiesto lo que sucede cuando esa suposición falla: la propiedad cambia, un nuevo intermediario entra en el acuerdo, el proveedor se expande a un mercado que nadie analizó y la mayoría de los programas de cumplimiento no detectan nada. Esto no es un fallo de documentación ni un error de juicio del revisor. Es una brecha de monitoreo, y es medible antes de que se convierta en un incidente.

La mayoría de los programas de cumplimiento hacen exactamente aquello para lo que fueron diseñados: generar un registro. Módulos completados, políticas aceptadas, certificados emitidos. Lo que no generan es la decisión que realmente importa cuando un empleado se enfrenta a un proveedor real y a una relación real. El 93 % de los empleados afirma que denunciaría una mala conducta; sin embargo, solo el 50 % lo hace cuando realmente la presencia (Ethisphere, 2024 Ethical Culture Report). Esa brecha no es un fallo de formación. Es un problema de diseño, y se requiere una arquitectura diferente para cerrarla.

La mayoría de los líderes de seguridad y riesgos construyeron su modelo de riesgo de IA en 2023: alucinaciones, filtraciones de datos y herramientas no autorizadas. Ese modelo ahora está incompleto. Tres riesgos han pasado de ser teóricos a operativos: el sesgo amplificado a gran escala, la inferencia a partir de contexto acumulado y una brecha de responsabilidad sin rastro de auditoría. Hoy en día, el 39,7 % de las interacciones con IA en el lugar de trabajo involucran datos confidenciales (Cyberhaven, 2026 AI Security Report). Ninguno de estos tres riesgos parece un problema de IA cuando surge, y esa es precisamente la razón por la que no se gestionan.

La mayoría de los programas de alfabetización en IA son programas de concienciación con una etiqueta nueva. Enseñan a los empleados cuáles son los riesgos, pero no cambian lo que hacen cuando esos riesgos se materializan bajo la presión del trabajo real. La brecha entre saber que la IA puede generar resultados poco fiables y adquirir el hábito de verificar antes de actuar es una brecha de comportamiento, no de conocimiento. Cerrarla requiere lo que funciona en cualquier programa de seguridad conductual: exposición repetida, escenarios realistas y refuerzo en el momento de la toma de decisiones.

Añadir un solo canal a un ataque de phishing multiplica por seis la tasa de error. Eso es lo que la mayoría de los programas de concienciación sobre seguridad no están midiendo, y es la brecha por donde tienen éxito los ataques coordinados. Este artículo sostiene que la simulación de un solo vector genera datos de preparación que no se corresponden con la forma en que ocurren los ataques reales, y examina cómo sería una metodología de prueba diseñada para esta realidad.

Un empleado del departamento financiero de una firma de ingeniería global se une a una videollamada. Ve a su director financiero. Ve a sus colegas. Todos parecen reales, suenan reales y actúan de forma real. Al finalizar la llamada, ha transferido 25 millones de dólares a una cuenta que nunca podrá recuperar. Todas las personas en esa llamada eran deepfakes. No era una película. Sucedió en febrero de 2024 en Arup, una de las empresas de ingeniería más respetadas del mundo. Y ya no es un caso aislado.

La mayoría de las credenciales comprometidas no se obtienen mediante ataques de fuerza bruta, sino convenciendo a su titular. El vishing al servicio de asistencia, la fatiga de MFA y el phishing personalizado con IA son los vectores activos, y la defensa eficaz debe operar en el plano humano.

El 17 de marzo, un atacante envió una invitación de Google Calendar por un cargo falso de 399,77 dólares. No había enlaces en los que hacer clic ni archivos adjuntos que abrir, y el DKIM fue validado. La única parte del ataque que importaba era el número de teléfono. He aquí por qué fallaron todos los controles perimetrales y dónde reside realmente la defensa.

Una simulación de ingeniería social con IA es un ejercicio controlado que evalúa cómo responde el personal a ataques realistas, como phishing, vishing y deepfakes. Un programa útil va más allá de los clics en correos: puede medir si las personas reportan mensajes sospechosos o verifican solicitudes por otro canal, y seguir esos comportamientos a lo largo del tiempo. Zepo combina simulaciones de phishing, vishing y deepfake con señales de amenazas en tiempo real, formación adaptativa y analítica del riesgo humano.

Su puerta de enlace de seguridad registra cada amenaza dirigida a sus empleados. Su plataforma de formación funciona con un calendario trimestral. Estos dos sistemas fueron creados para compradores diferentes, medidos con métricas distintas y nunca fueron diseñados para intercambiar datos; y es en esa brecha donde ocurren los incidentes.

Zepo Intelligence es ahora el primer ecosistema de ciberseguridad para el riesgo humano: una plataforma donde la detección de amenazas en tiempo real y la formación en seguridad comparten un modelo de datos único. Cada ataque bloqueado informa inmediatamente a la formación. Cada señal de comportamiento refina cómo se aplica la protección.

Las normativas modernas de ciberseguridad han pasado de centrarse en la "finalización" a la "competencia", dejando a las organizaciones legalmente vulnerables cuando priorizan el cumplimiento anual de requisitos sobre un cambio de comportamiento real. Descubra las cinco brechas documentales que no superan el escrutinio normativo y cómo crear un programa de formación que sea realmente defendible tras un incidente.

Una sola llamada de vishing a un proveedor externo permitió a los atacantes acceder a los datos de los clientes de Ericsson durante cinco días, y Ericsson no fue notificado hasta siete meses después. La brecha que la mayoría de los programas de concienciación sobre seguridad no cubren son los empleados de los proveedores. Aquí le explicamos cómo empezar a cerrarla.

El 99 % de los líderes de seguridad afirman confiar en sus defensas contra los deepfakes. La puntuación media de detección es del 44 %. Este artículo sostiene que el sector está intentando resolver el problema equivocado y que la cultura de verificación, no la tecnología de detección, es la respuesta defendible ante la ingeniería social impulsada por IA.

Una brecha reciente ha expuesto los datos personales de 47 políticos españoles de alto perfil, incluyendo presidentes regionales y altos cargos.

Zepo Intelligence, una plataforma de inteligencia social basada en agentes para la seguridad del entorno de trabajo, ha sido seleccionada para participar en la Aceleradora de Startups de Ciberseguridad 2026 junto a CrowdStrike, Amazon Web Services (AWS) y NVIDIA a través de su programa Inception, con el fin de impulsar la próxima generación de innovación en seguridad en la nube basada en IA.

Las herramientas de IA como FraudGPT han hecho que los ataques de phishing convincentes estén al alcance de cualquiera con una suscripción. A continuación, explicamos cómo ha evolucionado esta amenaza desde 2023 y por qué la defensa debe ser conductual, no técnica.

Zepo Intelligence, la empresa que está redefiniendo la seguridad centrada en las personas, ha anunciado hoy el cierre de una ronda de inversión semilla de 15 millones de dólares. La ronda cuenta con la participación de tres fondos de capital riesgo europeos especializados en ciberseguridad, Kibo Ventures, eCAPITAL y TIN Capital, y permitirá a Zepo ampliar su equipo y escalar su tecnología propia a nivel global, en un momento en el que la ingeniería social impulsada por IA se está convirtiendo rápidamente en uno de los desafíos más persistentes y costosos para los responsables de seguridad de las organizaciones modernas.

Desde mesas redondas exclusivas en Happening Costanera hasta el bullicio del IT Forum Financiero, nuestro equipo pasó una semana increíble conectando con el pulso del sector financiero de Latinoamérica.

En la búsqueda incesante de objetivos y plazos, a veces lo más productivo que puedes hacer es detenerte, reconectar y mirar el mundo con otros ojos.