Lunes, 9:15 de la mañana. En administración llega un correo del proveedor de siempre:<\/p>
«Hemos cambiado de banco, a partir de hoy haced las transferencias a esta nueva cuenta»<\/em>.<\/p><\/blockquote>
El logo es el de siempre, la firma también, y el tono es tan correcto que da hasta pereza dudar. Hay tres facturas pendientes y el jefe pregunta por ellas. ¿Qué haces?<\/p>
Si alguna vez has vivido algo parecido, no estás solo. Según el INCIBE<\/strong>, en el primer semestre de 2026 su línea de ayuda 017 atendió más de 95.000 consultas<\/strong>, y el problema más habitual entre las empresas fueron los engaños con suplantación<\/strong> (un 30,6 %<\/strong> de los casos): fraude del CEO, falsos bancos, falsos proveedores…<\/p>
Y aquí está la clave: ninguno de estos ataques rompe un firewall<\/a>. Rompen la confianza de una persona con prisa.<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t<\/div>\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\t\t\t\t\tEl «firewall humano» ha muerto: bienvenida la gestión del riesgo humano<\/h2>
Durante años el discurso ha sido: «Forma a tus empleados para que no piquen»<\/em>. Una política escrita, un curso anual y a correr. El problema es que hoy los engaños juegan en otra liga:<\/p>
- Son más creíbles<\/strong>, porque la inteligencia artificial redacta correos perfectos e incluso imita voces.<\/li>
- Llegan por cualquier canal<\/strong>: correo, WhatsApp, llamadas o videoconferencias.<\/li>
- Se aprovechan del contexto<\/strong>: las prisas, las interrupciones, el cierre de mes.<\/li><\/ul>
Por eso el enfoque ha cambiado. Ya no se trata de culpar al empleado que se equivoca, sino de diseñar la empresa para que un error no se convierta en un desastre<\/strong>. Un fallo humano casi nunca es solo humano: muchas veces refleja un proceso poco claro, una cuenta con demasiados permisos o una herramienta difícil de usar.<\/p>
Una pyme no necesita que todo el mundo acierte siempre. Necesita detectar rápido y corregir rápido<\/strong>.<\/p><\/blockquote>
6 medidas para proteger tu pyme del factor humano<\/h3>
1. Blinda las cuentas críticas<\/h4>
El correo, la banca online y los accesos a la administración son la llave de tu negocio. Protégelas con:<\/p>
- Gestor de contraseñas<\/strong> para todo el equipo (adiós al post-it en la pantalla).<\/li>
- Doble factor de autenticación<\/a> (2FA<\/a>)<\/strong> activado, y si puedes, passkeys<\/a><\/strong> o llaves de seguridad físicas.<\/li>
- Retirada inmediata de permisos<\/strong> cuando alguien cambia de puesto o deja la empresa. Las cuentas «fantasma» con acceso a todo son una puerta abierta.<\/li><\/ul>
2. Un correo nunca es suficiente para mover dinero<\/h4>
Volvamos al ejemplo del lunes. La regla de oro: cualquier cambio de cuenta bancaria, pago urgente o envío de datos sensibles se confirma por otra vía<\/strong>. Llama al proveedor, pero al número que ya tenías guardado, nunca al que aparece en el correo sospechoso.<\/p>
En las operaciones importantes, aplica doble aprobación<\/strong>: dos personas, dos firmas. Parece burocracia, pero es lo que frena el fraude del CEO.<\/p>
3. Formación de verdad, no un curso anual para cumplir el expediente<\/h4>
La persona de administración no sufre los mismos ataques que la de soporte o la de dirección. Por eso la formación debe ser:<\/p>
- Adaptada a cada puesto<\/strong>.<\/li>
- Breve y frecuente<\/strong>, con recordatorios cortos en lugar de un curso larguísimo una vez al año.<\/li>
- Práctica<\/strong>, con simulacros de correos, SMS, llamadas o incluso suplantación de voz.<\/li>
- Sin castigos<\/strong>: un simulacro sirve para aprender, no para señalar a nadie.<\/li><\/ul>
4. Pon orden en el uso de la inteligencia artificial<\/h4>
La IA ha entrado en tu empresa, lo sepas o no. Y lo hace por tres puertas: la usan los atacantes, la usan tus empleados (¿cuántos pegan datos de clientes en un chatbot gratuito?) y cada vez más se conecta como «agente» al correo o a los archivos.<\/p>
Hazte cuatro preguntas: ¿qué herramientas usamos?, ¿qué datos les damos?, ¿a qué están conectadas?, ¿quién revisa lo que hacen?<\/strong> Y una norma innegociable: una IA nunca debe autorizar pagos, borrar información ni conceder permisos por su cuenta.<\/strong><\/p>
5. Que avisar sea más fácil que callar<\/h4>
Tus empleados ven cosas que ninguna herramienta detecta: un correo raro, una llamada extraña, un archivo que no debería estar ahí. Pero solo te lo contarán si:<\/p>
- Tienen un único canal de aviso<\/strong>, fácil de recordar.<\/li>
- Reciben respuesta rápida<\/strong>.<\/li>
- Se les agradece<\/strong> el aviso, aunque sea una falsa alarma.<\/li>
- Saben que reconocer un error no tiene represalias<\/strong>.<\/li><\/ul>
6. La ciberseguridad es cosa de la dirección<\/h4>
Un fraude afecta a los pagos, a los clientes, a la imagen y a la continuidad del negocio. Es un riesgo empresarial<\/strong>, no un «tema de informáticos». Normativas como la Directiva NIS2<\/strong> ya exigen que la dirección supervise la ciberseguridad, y aunque tu pyme no esté obligada directamente, puede que tus grandes clientes sí lo estén y te lo pidan.<\/p>
La regla de las tres palabras: Parar, Comprobar, Avisar<\/h2>
Si solo te quedas con una idea de este artículo, que sea esta. Ante cualquier situación que huela raro:<\/p>
- Parar<\/strong>: no hagas clic, no pagues y no respondas todavía.<\/li>
- Comprobar<\/strong>: verifícalo por otro medio (llamada, en persona o con un compañero).<\/li>
- Avisar<\/strong>: comunícalo al canal que tenga tu empresa.<\/li><\/ol>
Imprímelo y pégalo junto a la cafetera. En serio.<\/p>
Tu plan en 3 meses<\/h3>