Resumen
La mayoría de las credenciales robadas no se descifran, se entregan. El vishing al servicio de asistencia, la fatiga de MFA y el phishing personalizado con IA son los vectores dominantes en 2025 y 2026. Solo en España, el INCIBE registró 122 223 incidentes de ciberseguridad en 2025, un aumento interanual del 26 %, con el phishing a la cabeza con 25 133 casos. La solución no es una política de contraseñas más estricta, sino desarrollar la capacidad organizativa para reconocer y resistir la manipulación antes de que tenga éxito.
Un empleado recibe una llamada del soporte técnico. Hay actividad sospechosa en su cuenta y necesita restablecer su contraseña inmediatamente a través de un enlace que le enviarán por correo electrónico en ese mismo instante. El proceso lleva dos minutos. Todo parece legítimo.
La llamada no era del soporte técnico.
Hoy es el Día Mundial de la Contraseña, un recordatorio anual para usar credenciales más seguras, activar la autenticación multifactor y dejar de reutilizar contraseñas en diferentes cuentas. Todo eso es importante, pero aborda la superficie técnica del problema, no la humana. Los ataques de adversarios que utilizan IA aumentaron un 89 % interanual en 2025, siendo el vishing y la suplantación del servicio de asistencia algunos de sus puntos de entrada preferidos (CrowdStrike 2026 Global Threat Report, crowdstrike.com).
En España, el INCIBE registró 122 223 incidentes de ciberseguridad en 2025, un aumento del 26 % respecto al año anterior, con el phishing liderando los casos de fraude con 25 133 incidentes (INCIBE, Balance de ciberseguridad 2025, incibe.es). Detrás de la mayoría de estas cifras hay una persona que hizo algo razonable en un contexto diseñado para impedirle distinguir la realidad del engaño.
Las contraseñas más comunes en los incidentes —"123456", "admin", "password"— reciben atención cada Día Mundial de la Contraseña. El INCIBE identifica las credenciales predeterminadas como la principal vulnerabilidad para las pymes en España. Son problemas reales, pero no explican la mayoría de los incidentes corporativos.
En entornos empresariales, las credenciales comprometidas rara vez se obtienen mediante fuerza bruta. Se obtienen porque alguien diseñó una situación en la que el objetivo entregó la información voluntariamente, creyendo que era lo correcto.
El vishing al servicio de asistencia es uno de los métodos más efectivos y menos visibles. El atacante llama al empleado, se hace pasar por soporte técnico y crea urgencia: hay un problema con la cuenta, debe resolverse ahora y hay que seguir un proceso específico. El empleado sigue las instrucciones porque todo encaja con lo que sería una llamada legítima. La contraseña puede ser única, larga y compleja, pero el ataque funciona de todos modos.
La autenticación multifactor es una capa de protección necesaria. La fatiga de MFA demuestra que los controles técnicos no operan de forma aislada, sino a través de las personas.
En este tipo de ataque, el atacante envía repetidas solicitudes de verificación al dispositivo del empleado. Por agotamiento, distracción o confusión, la persona aprueba una. En variantes más sofisticadas, el atacante llama al mismo tiempo, haciéndose pasar por soporte técnico, para convencer al usuario de que aprobar la solicitud es un paso necesario para resolver un problema técnico.
El control que falló no fue el MFA, sino el criterio del empleado en un momento de presión diseñado específicamente para anularlo. Los ataques de adversario en el medio (AitM), que eluden el MFA interceptando tokens de sesión en tiempo real, aumentaron un 146 % en 2024 (Microsoft, vía Zensec, zensec.co.uk).
Los atacantes utilizan herramientas de IA para personalizar mensajes de phishing a gran escala. El resultado son correos electrónicos dirigidos —sin errores ortográficos, con referencias al nombre del empleado, su cargo, la empresa y, en algunos casos, proyectos recientes— generados automáticamente a partir de información pública en LinkedIn y otras fuentes.
Los correos de phishing generados por IA registraron una tasa de clics del 54 % en un estudio académico reciente, frente al 12 % de los mensajes escritos por humanos (citado vía Secureframe, secureframe.com). La diferencia es significativa: los atacantes que usan IA tienen más de cuatro veces más probabilidades de conseguir un clic.
El problema no es que los empleados no sepan que el phishing existe. Es que el mensaje que reciben en 2026 no se parece al ejemplo que vieron en la formación de 2023. La formación estándar enseña a reconocer un tipo de ataque, pero los atacantes actualizan el ataque.
Las credenciales predeterminadas en las pymes no son un problema de falta de conocimiento. Detrás de ellas hay procesos de incorporación que no exigen un cambio obligatorio de contraseña, políticas que existen sobre el papel pero no se aplican, y una falta total de visibilidad sobre qué credenciales siguen siendo las de fábrica.
Es un problema de comportamiento organizacional. No se resuelve con un recordatorio, sino con procesos que faciliten al máximo el comportamiento correcto y con métricas que detecten cuándo no se está cumpliendo.
La mayoría de los programas de concienciación sobre seguridad miden si el empleado completó el módulo, pero no si cambió el comportamiento que el módulo pretendía modificar.
Cuando un atacante llama a un empleado haciéndose pasar por soporte técnico un viernes por la tarde, lo que determina el resultado no es la tasa de finalización del último curso de formación. Es si esa persona tiene el hábito y el criterio para detenerse ante una solicitud inesperada, reportarla y esperar la confirmación a través de un canal verificado.
Ese criterio no se adquiere con un módulo anual. Se logra mediante simulaciones que replican patrones de ataque reales, métricas de comportamiento que identifican los puntos ciegos individuales y un sistema de aprendizaje que interviene en el momento adecuado para cada persona.
El Día Mundial de la Contraseña es un recordatorio útil. Cambiar las contraseñas débiles, no reutilizarlas y activar la autenticación multifactor son medidas que reducen la superficie de ataque técnica.
Pero la superficie que más creció en 2024 y 2025 no es técnica. Es el aumento del vishing, los correos electrónicos personalizados con IA que eluden los patrones que los empleados fueron entrenados para detectar, y los ataques de fatiga de MFA diseñados para aprovechar el momento en que una persona deja de prestar atención.
La pregunta que vale la pena hacerse hoy no es si los empleados de su organización tienen contraseñas seguras. Es si saben qué hacer cuando alguien diseña una situación para que las entreguen.
Cómo Zepo ayuda a las empresas
Paula Pereira
Gerente de Seguridad de la Información Digital
“Recomendaría Zepo a colegas de otras empresas porque creo que ha satisfecho todas nuestras necesidades. Nos ha permitido ejecutar tres tipos de campañas que otras herramientas que hemos probado simplemente no pueden hacer. Y más allá del producto en sí, el apoyo de todo el equipo nos ha ayudado a sacarle mucho más partido.”
+9K
Empleados Protegidos
–10%
Tasa de clics en ataques
+18%
Tasa de finalización de la capacitación
Ramon Fernandez Blanco
Ciberseguridad y Gerente de Producto Digital
“Desde la implementación de Zepo, la concienciación de los empleados ha aumentado significativamente. Los empleados ahora debaten activamente sobre ciberseguridad y campañas de phishing, y los correos electrónicos sospechosos se reportan rápidamente en lugar de ser ignorados.”
+600
Empleados Protegidos
–15%
Credenciales enviadas
+26%
Tasa de finalización de la capacitación
Jonathan Nelson
Director de Inteligencia de Riesgos
“La visión de Zepo para una solución de ciberseguridad en tiempo real, hiperpersonalizada y multiplataforma es verdaderamente única y está muy por encima de la competencia”
+100
Empleados Protegidos
Anticípate antes de que ataquen.
.png)
