Los ataques empiezan con una frase, no con un sistema roto

Un martes en una clínica

Marcela dirige una clínica odontológica de doce personas. Un martes, a las 8:40, le llegó un correo de la contadora: se le había muerto el portátil y necesitaba que le reenviara la nómina del mes. El mensaje tenía su forma de escribir, su firma, hasta la posdata de siempre sobre el café de la esquina.

Marcela lo reenvió desde el celular, en el parqueadero, antes de empezar la consulta. La dirección se parecía a la real: una letra cambiada, un dominio que terminaba en .example.

Esa mañana no se rompió ningún sistema. Nadie explotó una falla, nadie adivinó una contraseña. Alguien escribió un correo convincente y una persona con prisa hizo lo razonable.

Lo que dicen los datos

Dos informes recientes sostienen este artículo. Nada más.

El primero es el Threat Landscape 2026 de ENISA, publicado el 22 de septiembre de 2026, hecho sobre 8.257 incidentes analizados. De ahí salen cuatro cifras que importan: el phishing representó el 78% de los incidentes que involucraron ingeniería social; el acceso no autorizado apareció en el 40% de los incidentes; dentro de esos accesos no autorizados, el 60% tuvo explotación de vulnerabilidades; y el DDoS se registró en el 51% de los incidentes.

El segundo es de Kaspersky España, del 9 de septiembre de 2026: el 86% de las pymes españolas sufrió algún ciberincidente en el último año. La cifra viene del informe global «Inside the 2026 SMB Threat Landscape: From Phishing and Scams to Fake AI Tools», que se apoyó en especialistas en seguridad informática de 18 países.

Hasta aquí, datos. Ni una opinión.

Lo que yo concluyo

Lo que sigue es mi lectura, no la de ENISA ni la de Kaspersky. Ninguno de los dos informes dice que «el eslabón más débil son las personas», ni que la tecnología importe poco. Esas frases se repiten en su nombre todo el tiempo, y conviene separarlas de lo que de verdad está escrito.

Mi lectura es esta: si el phishing concentra el 78% de los incidentes de ingeniería social, buena parte de los ataques que llegan a una pyme necesita que alguien crea algo. No necesita un servidor mal configurado. Necesita una frase suficientemente buena y un momento suficientemente malo. Ahí la capacitación sí mueve la aguja, porque una persona entrenada duda, y dudar treinta segundos cambia el desenlace del martes de Marcela.

Ahí termina el argumento cómodo.

El contrapeso

Que el 60% de los accesos no autorizados haya pasado por explotación de vulnerabilidades es el dato que impide contar la historia completa con personas persuadidas. Si alguien entra por una vulnerabilidad, ninguna capacitación lo detuvo. El correo que se evita en la recepción no compensa la VPN que nadie actualizó desde 2023.

Y las dos cosas conviven en la misma empresa pequeña. La persona que reenvía la nómina trabaja sobre un equipo sin parches, en una red donde el proveedor montó el sistema de facturación y nunca volvió. Persuadir y romper no son enemigos: son dos puertas de la misma casa.

La frase «no es la tecnología, son las personas» tranquiliza porque deja el problema en manos de un taller de una hora. Hay algo peor todavía: cuando el incidente ya ocurrió, decir «fue el empleado» también es una manera de no hacer nada. Marcela no eligió el software viejo ni decidió no parchar. Solo estaba contestando un correo.

Entrenar, y además arreglar

Entrenar sirve cuando se parece al trabajo real y no a un video con un quiz al final. Un equipo que practicó reconocer el WhatsApp del falso proveedor, la llamada del falso banco y el correo del falso jefe llega al lunes con otra velocidad de reacción. Eso se puede medir con una pregunta simple: de los correos raros que llegaron este mes, ¿cuántos se reportaron? Si nadie reportó ninguno, el entrenamiento no está funcionando, o nadie sabe a quién reportarle.

La tecnología se arregla con cosas aburridas y en este orden: saber qué está expuesto a internet, actualizar lo que se pueda actualizar, segundo factor en el correo y en el banco, copias de seguridad que alguien haya restaurado al menos una vez. Nada de eso evita que Marcela reenvíe un archivo. Todo eso evita que un solo clic se convierta en una semana sin poder facturar.

Lo que no acepto es usar a las personas como excusa para no hacer la otra mitad. Un programa de seguridad que solo capacita está transfiriendo el riesgo al empleado, y el empleado no puede cerrar la puerta que el proveedor dejó abierta.

Los treinta segundos de hoy

Antes de cerrar el computador, haz una sola cosa: acuerda con tu equipo que cualquier cambio de datos bancarios o cualquier envío de nómina se confirma con una llamada a un número que ya tengan guardado, nunca al que aparece en el mensaje.

Suena pequeño. Es la diferencia entre un correo raro y un mes perdido.

Si quieres ver cómo se siente un intento de phishing desde adentro, en la demo de CiberPulso juegas cinco mensajes y decides qué hacer con cada uno: https://ciberpulso.com/demo