Durante años, identificar un intento de fraude digital parecía responder a unas reglas relativamente sencillas: desconfiar de remitentes desconocidos, buscar errores ortográficos, evitar enlaces extraños o sospechar de mensajes poco habituales. Sin embargo, como advierte TrendAI™, unidad de negocio enterprise de Trend Micro a inteligencia artificial está haciendo desaparecer estas pistas. Un correo fraudulento puede estar perfectamente redactado, reproducir el tono de un directivo y referirse a una operación aparentemente verosímil.

Este cambio está obligando a replantear también la formación en ciberseguridad. Ya no se trata de enseñar únicamente al empleado a reconocer un fraude, sino a entrenarle a detectar cuándo una situación no encaja, aunque el mensaje, la llamada o el documento que tiene delante resulten aparentemente legítimos.

Phishing, smishing, fraude del CEO o suplantaciones de identidad explotan esta capacidad de persuasión. El objetivo, en muchos casos, no consiste en vulnerar directamente una barrera tecnológica, sino en convencer a una persona para que realice voluntariamente la acción que necesita el atacante.

La última Memoria de la Fiscalía General del Estado refleja una dimensión que está alcanzando el fenómeno. En 2025 se registraron en España 33.851 procedimientos judiciales relacionados con ciberdelitos, de los que casi 29.000 correspondieron a estafas cometidas a través de las TIC, un 85,5% del total.

Formar para detectar el contexto

Para TrendAI™, estos datos reflejan un cambio en la forma en la que las organizaciones deben abordar la protección frente al fraude. La tecnología continúa siendo una pieza fundamental de la defensa, pero la capacidad de los atacantes para utilizar la IA hace necesario reforzar también la preparación de las personas.

En este escenario, las organizaciones necesitan avanzar desde una formación centrada principalmente en identificar señales evidentes de phishing hacia otra que prepare a los empleados para cuestionar peticiones inesperadas, reconocer cambios de comportamiento y verificar operaciones sensibles por canales alternativos.

Una petición urgente de un directivo, un proveedor que comunica un cambio de cuenta bancaria o una llamada solicitando determinada información pueden no contener ninguna señal evidente de fraude. La clave pasa entonces por preguntarse si esa petición es coherente con los procedimientos habituales de la compañía.

«Durante muchos años hemos enseñado a buscar las señales que delatan un fraude. El problema es que la IA permite eliminar muchas de ellas. Ahora tenemos que formar a las personas para que analicen el contexto, cuestionen una petición inesperada y sepan cómo verificarla, incluso cuando aparentemente procede de alguien de confianza», señala José de la Cruz, director técnico en TrendAI™ Iberia.

Cuestionar una petición también es proteger a la empresa

Esta evolución implica también un cambio cultural. Los empleados deben saber que detener temporalmente una operación, solicitar una segunda confirmación o cuestionar una petición excepcional no supone desconfiar de un compañero o superior, sino aplicar correctamente los procedimientos de seguridad.

Para ello, la formación debe ir acompañada de protocolos sencillos y conocidos por toda la organización: qué operaciones requieren una segunda validación, por qué canal debe confirmarse una petición sensible y a quién debe recurrir un trabajador cuando algo no encaja.

«El objetivo no es convertir a cada empleado en un experto en ciberseguridad. Es conseguir que tenga la confianza suficiente para detener algo cuando resulta extraño y sepa exactamente qué hacer a continuación. En determinados procesos, unos minutos dedicados a verificar una petición pueden evitar que un engaño termine convirtiéndose en una pérdida económica o una brecha de seguridad», añade de la Cruz.