Cyber Trust Index 2026: verificación del remitente, 55 %

El Cyber Trust Index 2026 deja la verificación del remitente en el centro del problema: el 55 % de los empleados no siempre comprueba quién le pide dinero, credenciales o información confidencial antes de responder. La cifra llega en el peor momento. Las imitaciones con inteligencia artificial ya copian voces, caras y estilos de escritura con una facilidad que hace cinco años pedía un estudio entero.

WatchGuard Technologies presentó el 10 de noviembre su primer Cyber Trust Index anual, con una encuesta a más de 500 empleados a tiempo completo en ocho países. El informe trae una contradicción difícil de maquillar: el 46 % confía más en las comunicaciones digitales que hace cinco años, frente a un 31 % que confía menos. La confianza sube. La comprobación, no.

Esa mezcla explica buena parte del fraude laboral de hoy. Un 72 % de los encuestados admitió haber pulsado un enlace o abierto un adjunto porque parecía venir de alguien conocido. El nombre familiar funciona como un sello, aunque ese sello ya se falsifica en minutos con una nota de voz clonada o un correo armado con datos públicos de la empresa.

Al preguntar qué vuelve creíble una petición digital, el 38 % citó un remitente conocido, el 36 % un detalle familiar del trabajo o de la vida personal y el 32 % la imagen correcta de la empresa. La verificación independiente quedó última, con un 27 %. SecurityBrief, al repasar los mismos datos, subrayó ese orden invertido: primero se reconoce, después casi nadie confirma. Y reconocer ya no autentica nada.

Corey Nachreiner, director de seguridad de la información de WatchGuard, lo resumió sin rodeos: las señales de siempre (nombres, voces, caras y marcas conocidas) ayudaban a decidir rápido, pero dejaron de ser indicadores fiables de autenticidad. Su lectura coloca la verificación como una de las destrezas de ciberseguridad más importantes que un empleado puede tener hoy.

Un mensaje urgente del jefe basta para saltarse la comprobación

La prueba de la urgencia sale peor. El 42 % de los empleados probablemente confiaría en un mensaje de texto urgente de su director general o de su jefe pidiendo un pago o datos sensibles sin verificarlo, y el 40 % haría lo mismo con un mensaje de voz parecido. En Estados Unidos, el porcentaje que confiaría en ese texto sube al 59 %.

El video tampoco salva a nadie. Ante una petición en video inusual o sensible, el 53 % se apoya en la cara, la voz o el nombre visible para validar a la otra parte. Solo el 28 % prioriza otro canal o el procedimiento fijado por su organización. SMBtech, en su lectura del informe, recogió otro dato que completa el cuadro: el 54 % ya se topó con una estafa generada con IA, un deepfake, un intento de suplantación u otra comunicación fraudulenta. Ya pasó por la bandeja de entrada de la mitad de la muestra.

La trampa funciona cuando el mensaje suena familiar y pide prisa, como quedó contado en el fraude de IA que explota la confianza falsa. El índice pone el número que faltaba a esa intuición.

Australia verifica el 69 % de los casos; Alemania, el 22 %

Las diferencias por país dejan una lección práctica. Australia registró la tasa más alta de verificación, con un 69 % que siempre comprueba las peticiones sensibles, y sus encuestados también confiaron menos en el texto urgente del jefe: un 39 %, frente al 59 % estadounidense. Alemania quedó al fondo con un 22 %, seguida por Portugal con un 28 % y España con un 31 %. Confiar y verificar a la vez es posible; Australia lo demuestra dentro de la misma encuesta.

Por sectores, la salud verificó más, con un 63 %, mientras seguros quedó último con un 22 %. Los servicios financieros mostraron la mayor confianza en el contenido digital, un 72 %, y a la vez un 65 % de disposición a creer el texto urgente del director. El personal de gobierno fue el más escéptico ante los mensajes y los textos del jefe, pero menos de la mitad verificó las peticiones sensibles: dudar en silencio no protege ninguna cuenta.

La preparación interna tampoco acompaña. Solo el 21 % cree que su organización está plenamente preparada para prevenir o resistir un ataque grave, y el 38 % señaló la formación insuficiente o la falta de conciencia del personal como el mayor obstáculo.

Las recomendaciones del informe aterrizan en procedimientos concretos: documentar cómo se confirman pagos, restablecimientos de credenciales y envíos de datos confidenciales; entrenar con escenarios realistas de suplantación de ejecutivos por texto, voz y video; fijar qué herramientas de IA están aprobadas y cuándo hace falta revisión humana; y medir la conducta de verificación como se mide el rendimiento técnico. Nada de eso pide un presupuesto enorme. Pide una ruta de confirmación escrita y permiso para usarla aunque el mensaje venga firmado por el jefe.

El dato final es el del canal: un texto urgente, sin llamada de vuelta ni segundo canal, mueve pagos en cuatro de cada diez casos probables. Cambiar ese reflejo vale más que otro antivirus, porque el ataque ya no entra por la puerta técnica: entra por la confianza.

Fuente: WatchGuard Technologies