Una factura llega al correo de una empresa. El proveedor parece conocido, el monto coincide con una operación pendiente y el mensaje pide cambiar la cuenta de destino. Quien lo recibe quiere resolver el pago y continuar con su jornada. En esa escena hipotética, tan cotidiana como plausible, puede comenzar un fraude. La pregunta empresarial es qué permitió que una solicitud engañosa se convirtiera en una operación autorizada.

Los colaboradores pueden abrir puertas a un atacante al entregar credenciales, ejecutar un archivo o compartir información con la persona equivocada. Comprender esa participación importa para proteger el negocio. Sin embargo, atribuirla automáticamente a desinformación o falta de capacitación simplifica un problema en el que también intervienen los procedimientos, la tecnología y las decisiones de la dirección.

Lo que las cifras permiten afirmar

El Data Breach Investigations Report de Verizon de 2026 señala que el factor humano no intencional estuvo involucrado en el 62% de las brechas analizadas. El informe registra un 60% en 2025 y advierte que la diferencia debe interpretarse considerando sus márgenes de error. La cifra describe participación en los casos estudiados; no significa que el 62% de las brechas haya sido causado por empleados sin preparación.[1]

La distinción tiene consecuencias prácticas. Para atribuir un incidente a falta de conocimiento habría que examinar qué sabía la persona, qué información recibió y qué opciones tenía. También habría que revisar los controles que debieron impedir o limitar el daño. Una estadística sobre participación humana no responde por sí sola a esas preguntas ni representa automáticamente la realidad de cada empresa.

Además, las puertas de entrada pueden ser técnicas. Verizon identifica la explotación de vulnerabilidades de software como el principal vector inicial de acceso en 2026, presente en el 31% de las brechas. Esa medida y la del factor humano describen dimensiones distintas y no deben sumarse. Un mismo incidente puede combinar varias debilidades.

Cómo una tarea habitual puede facilitar un ataque

El engaño funciona cuando consigue insertarse en una actividad legítima. Un supuesto soporte técnico solicita recuperar una cuenta; un mensaje que aparenta venir de la gerencia exige actuar con urgencia; un enlace dirige a una página de acceso falsa. El colaborador participa en la secuencia, pero el atacante construye la situación para obtener una respuesta que le resulte útil.

La dificultad del engaño merece atención. Las investigaciones del NIST sobre phishing destacan la importancia del contexto del usuario y proponen evaluar cuán difícil resulta reconocer un correo fraudulento. Por eso, un clic aislado no es una medida suficiente del conocimiento de una persona. Un mensaje que encaja con sus responsabilidades puede resultar especialmente convincente[2]

En una revisión interna conviene explorar también la carga de trabajo, la presión por responder y la posibilidad real de detener una solicitud. Son factores que deben investigarse en cada caso. Si verificar un pago exige un trámite confuso, o si cuestionar una orden genera reproches, la empresa necesita revisar cómo organiza el trabajo.

Las decisiones de la empresa también abren puertas

Los permisos excesivos amplían las consecuencias de una cuenta comprometida. Una persona puede necesitar acceso a una carpeta y terminar habilitada para descargar toda la base de clientes. Mantener cuentas de quienes ya salieron de la organización o compartir usuarios dificulta el control. Revisar accesos y otorgar únicamente los necesarios para cada función ayuda a limitar la exposición, conforme al principio de mínimo privilegio del NIST. [4]

Los procedimientos de autorización son otro punto decisivo. Para el ejemplo de la factura, una medida concreta sería confirmar el cambio bancario mediante un contacto previamente registrado y exigir una aprobación adicional. Llamar al número incluido en el propio mensaje sospechoso podría devolver la conversación al atacante. La verificación debe tener una vía independiente y un responsable definido.

La protección tecnológica debe acompañar estos procesos. CISA recomienda autenticación multifactor resistente al phishing. Las llaves de seguridad o las passkeys compatibles ofrecen protección frente a páginas de acceso falsas; no todas las formas de segundo factor ofrecen la misma resistencia. Su implementación debe incluir un procedimiento seguro para recuperar cuentas, porque esa recuperación también puede ser objeto de engaño. [5]

Actualizar sistemas, corregir configuraciones inseguras y revisar el acceso de proveedores completa la prevención. La responsabilidad debe quedar asignada: quién conoce los equipos expuestos, quién aplica correcciones y quién verifica su ejecución. Contratar un servicio externo exige acordar cómo se controlarán sus accesos y cómo se comunicará un incidente. El marco del NIST aborda estos riesgos junto con la protección de datos y la gestión de proveedores. [4]

El lugar de la capacitación

La formación merece una evaluación seria. La frecuencia del factor humano en las brechas no demuestra, por sí sola, cuánto riesgo se reduce impartiendo cursos. Para sostener esa conclusión se necesita evidencia sobre la intervención y sus resultados. Tampoco una mejora en simulaciones equivale automáticamente a una reducción de brechas reales.

Cuando se identifica una carencia de conocimientos o habilidades, capacitar puede ser una respuesta pertinente. Conviene enseñar acciones concretas según el puesto: cómo verificar una solicitud, cómo compartir un documento o a quién acudir ante una duda. La propuesta debe tener un objetivo observable y evaluarse después. Contar asistentes o certificados informa sobre la actividad realizada, pero deja abierta la pregunta de si mejoró la protección.

Si se utilizan simulaciones, sus resultados deben leerse considerando la dificultad de los mensajes y las condiciones del ejercicio. Comparar porcentajes de clics de campañas muy diferentes puede conducir a conclusiones equivocadas. La metodología del NIST ofrece una referencia para incorporar esa dificultad al análisis.

Responder a tiempo también protege el negocio

La empresa necesita que quien sospecha un problema pueda avisar con rapidez, incluso si ya abrió el archivo o ingresó su contraseña. Un canal sencillo y una respuesta respetuosa facilitan ese objetivo. La dirección debe respaldar la verificación de solicitudes y permitir que los colaboradores detengan una operación dudosa.

Ese aviso necesita una respuesta preparada. Debe estar claro quién evalúa la alerta, bloquea accesos comprometidos y coordina la recuperación. Las copias de seguridad requieren pruebas de restauración: disponer de archivos respaldados no garantiza que la operación pueda reanudarse cuando sea necesario. La preparación para responder y recuperar forma parte del enfoque del NIST.

Para comenzar, la gerencia puede elegir sus operaciones más sensibles y revisar cómo podrían ser manipuladas. A partir de ese diagnóstico, corresponde asignar responsables, cerrar accesos innecesarios y comprobar las verificaciones. El seguimiento debe observar tiempos de reporte y contención, cumplimiento de controles y capacidad de recuperación, además de las actividades de formación.

Un colaborador puede ser el punto visible de una brecha. La investigación debe seguir más allá de ese momento y examinar por qué el engaño prosperó y cuánto daño pudo causar. La tarea de la dirección consiste en convertir ese aprendizaje en condiciones de trabajo, procedimientos y protecciones que hagan más difícil la próxima intrusión.

[1] . Verizon. Data Breach Investigations Report 2026, página 20. Consultar fuente

[2] NIST. NIST Phish Scale User Guide, 2023, y Can You Spot a Phish, 2022. Consultar fuente