La advertencia llega envuelta en un tono de máxima urgencia. En una carta abierta firmada por más de un centenar de empresas del sector tecnológico y de ciberseguridad, gigantes como OpenAI, Anthropic, Google, Microsoft o Amazon avisan que se avecina una oleada de ciberataques impulsados por inteligencia artificial contra infraestructuras críticas, “desde hospitales y plantas de tratamiento de agua hasta la infraestructura que alimenta Internet”. “Tenemos una ventana limitada para fortalecer las ciberdefensas”, recalcan.

El manifiesto asegura que la situación en la ciberseguridad cambiará profundamente en los “próximos meses”: “Los ciberataques impulsados por IA se generalizarán y se volverán mucho más sofisticados a medida que los modelos de todo el mundo adquieran mayor capacidad”. Un escenario para el que la industria tecnológica propone un plan de cuatro frentes: exigir a las empresas privadas que revisen sus protocolos, instar a las firmas de ciberseguridad a liderar la respuesta, hacer que los desarrolladores de IA sean “responsables” con sus modelos avanzados, y, sobre todo, reclamar a los gobiernos que tomen cartas en el asunto.

En este sentido, piden a las instituciones que modernicen sus estructuras de defensa, engrasando los canales de alerta entre el sector público y el privado y estableciendo mecanismos de coordinación de respuestas. Pero, especialmente, piden dinero: “Financiar la ciberdefensa”, a través del “acceso a IA defensiva eficaz, pruebas autorizadas y asistencia práctica a través de proveedores y socios de confianza”.

“Es fundamental reconocer que la seguridad actual no será suficiente”, inciden los firmantes, entre los que también se encuentran Amazon, IBM, Oracle o el BBVA como representante español. Un aviso que hace unas semanas ya elevaron la inteligencia estadounidense y sus principales socios, conocidos como la alianza de Los Cinco Ojos.

El escape del verano

La carta llega tras un verano en el que se han sucedido las noticias sobre modelos de IA que “escaparon” de sus entornos protegidos para realizar ciberataques contra otras empresas u objetivos. OpenAI, Anthropic y Meta han revelado haber tenido este tipo de incidentes en los dos últimos meses.

El más sonado envolvió a OpenAI y la plataforma de código para desarrolladores Hugging Face, ambas firmantes del texto. Las dos compañías se vieron envueltas en un incidente de seguridad cuando agentes autónomos de la creadora de ChatGPT rompieron el aislamiento de su entorno de pruebas, accedieron de forma no autorizada a Internet y se coordinaron entre sí para penetrar en los sistemas de Hugging Face.

Si bien estas revelaciones consiguieron acaparar portadas y provocaron inquietud en algunos especialistas, otros expertos indicaron que las empresas estaban buscando un impacto publicitario. “Me parece que en algunos casos tiene un componente de venta del producto”, opina Rafael López, analista de ciberseguridad de la firma Checkpoint.

“Por ejemplo, en el caso de Anthropic, explicaron que el modelo se había dado cuenta de que estaba en un entorno aislado y fue capaz de salir de él para conectarse a Internet y realizar los ataques que le habían ordenado. Ese 'incidente' le viene muy bien a la empresa de IA, porque puede vender las capacidades del modelo en ciberseguridad y para hacer cosas que antes se creían imposibles”, detalla el especialista: “No digo que todo sea humo, pero sí que es un argumento muy bueno de venta”.

Ahora estas empresas defienden que esos sistemas pueden ser un escudo ante la amenaza de ataques automatizados. “Pongamos la IA con capacidad cibernética al alcance de los defensores, empezando por los equipos que protegen los servicios esenciales”, solicitan en la carta. Con todo, los expertos recuerdan que el diagnóstico que hacen los gigantes tecnológicos es verídico: muchos estados llevan años descuidando la protección de sus infraestructuras, con configuraciones obsoletas y falta de personal defensivo.

Además de las grandes tecnológicas del software y la nube (AWS, Microsoft, Google, Oracle) y los laboratorios de IA (OpenAI, Anthropic, Hugging Face, Scale AI, Perplexity), entre los firmantes del manifiesto figuran las mayores multinacionales de la ciberseguridad privada (CrowdStrike, Palo Alto Networks, Zscaler, Fortinet, Cloudflare, Snyk), firmas de consultoría (PwC, KPMG, Oliver Wyman) y gigantes financieros como el citado BBVA y Citi, Mastercard o Visa.

Se ha vuelto a detectar una masiva y peligrosa campaña de mensajes de texto fraudulentos que suplanta, de forma directa, a la Tesorería General de la Seguridad Social. Los ciberdelincuentes esta vez envían un SMS al teléfono móvil de los ciudadanos informándoles de que disponen de una supuesta actualización pendiente en el sistema. El mensaje insta de manera urgente a pulsar sobre un enlace de internet adjunto para gestionar dicho trámite administrativo de forma inmediata. Sin embargo, este enlace redirige a una página web falsa que suplanta la identidad de la propia Tesorería General.

Esta estafa ha sido identificada y calificada con un nivel de importancia alta por el Instituto Nacional de Ciberseguridad (INCIBE), así como por la Guardia Civil, que ha utilizado sus redes oficiales para alertar a la ciudadanía sobre este engaño que busca hacerse con datos confidenciales de los usuarios mediante enlaces maliciosos. Este tipo de ciberataque es conocido bajo la denominación técnica de smishing, una modalidad de fraude que se basa en el envío de mensajes de texto simulando ser una entidad legítima. El objetivo principal de estos mensajes es confundir a los receptores para robarles información privada o realizarles un cargo económico en sus cuentas de forma fraudulenta.

Por lo general, los ciberdelincuentes aprovechan la confianza que los usuarios depositan en las instituciones públicas o de servicios esenciales para hacerlos picar en el anzuelo de manera rápida. La Seguridad Social constituye uno de los cebos más utilizados por estas organizaciones cibernéticas, junto con otras entidades públicas de gran relevancia como la Agencia Tributaria, los ayuntamientos locales o los servicios postales de Correos, con el fin de maximizar el número de víctimas y obtener un mayor impacto económico ilícito. De esta forma, la víctima asume falsamente la autenticidad del remitente.

Una vez que el usuario hace clic en el enlace que acompaña al mensaje de texto, es redirigido a un sitio web fraudulento que copia con gran precisión el portal real. La página falsa imita a la perfección los logotipos de la Seguridad Social, las tipografías corporativas, los colores institucionales y la disposición visual para lograr una apariencia de absoluta verosimilitud ante el público. Con el propósito de dar mayor credibilidad al fraude y tranquilizar al usuario, el sitio web malicioso exige superar un supuesto control de seguridad. Este filtro falso consiste en una verificación para confirmar que la persona no es un robot, lo que imita las medidas habituales que se encuentran en entornos seguros y legítimos en internet, logrando así que la víctima disminuya su nivel de alerta y continúe con los pasos del trámite.

Asimismo, este tipo de mecanismos interactivos pretenden convencer al usuario de la legalidad de las operaciones antes de solicitar datos. En el interior de este portal web falso, se muestra una notificación que informa sobre la disponibilidad de una supuesta prestación económica que está pendiente de revisión. Concretamente, en los casos reportados por los afectados a organizaciones de consumidores como la OCU, se ofrece un total pendiente de cobro de 305 euros. Para supuestamente gestionar el abono y proceder al trámite, la página solicita de manera sucesiva el ingreso de datos personales como el nombre completo y el número del DNI. Una vez introducidos estos datos, el sistema fraudulento solicita de forma obligatoria los datos bancarios completos y el número de la tarjeta de crédito bajo el falso pretexto de realizar un ingreso directo de esa cantidad de dinero. El usuario no sospecha que está entregando sus claves en bandeja.

A pesar del cuidado diseño visual de la página web falsa, existen múltiples elementos técnicos que delatan el engaño si se realiza una observación atenta y analítica. Los enlaces de internet que circulan en esta campaña masiva utilizan diferentes direcciones que imitan dominios legítimos del Estado, pero que en realidad son completamente extraños. Entre los dominios fraudulentos detectados y denunciados por portales de verificación figuran ejemplos con errores ortográficos como portelsegscoial punto click, seg guion social guion gob punto us, portaliseg guion socolsegob punto click o portaeliseg guion socailbgob punto click. Estas direcciones sospechosas no guardan ninguna relación con la única dirección web oficial de la Seguridad Social.

La Seguridad Social ha recordado de manera tajante a todos los ciudadanos que bajo ninguna circunstancia solicita el pago de deudas ni la actualización de datos mediante enlaces recibidos por SMS. Para acceder de manera completamente segura a cualquier tipo de trámite de la Tesorería General y evitar cualquier engaño, es necesario utilizar únicamente las vías oficiales autorizadas. Los usuarios deben abrir de forma directa en sus navegadores la aplicación de Importass, el portal web oficial de la Tesorería General de la Seguridad Social, o bien acceder a su área personal a través de la Sede Electrónica. Desde estas aplicaciones del Estado se pueden consultar de forma verídica todas las notificaciones pendientes sin correr el riesgo de sufrir una estafa financiera ni comprometer los datos de las tarjetas.

Rapidez y capturas

Para aquellas personas que hayan accedido al enlace y facilitado datos de carácter personal o bancario, se recomienda actuar de forma rápida siguiendo un protocolo de seguridad. El primer paso indispensable es ponerse en contacto inmediato con su entidad financiera para proceder al inmediato bloqueo de las tarjetas y evitar cargos económicos no autorizados. En segundo lugar, es muy importante reunir y guardar de manera ordenada todas las evidencias posibles del fraude informático, como capturas de pantalla, los mensajes recibidos y las direcciones web de los enlaces maliciosos. La rapidez en la reacción y el acopio de pruebas digitales resultan cruciales para minimizar el impacto del fraude y reclamar devoluciones bancarias.

Una vez recopiladas todas las evidencias necesarias sobre la estafa, el afectado debe presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Asimismo, es aconsejable reportar el mensaje fraudulento al buzón de incidentes del INCIBE para alertar sobre la campaña activa y evitar que otras personas resulten estafadas. Como medida preventiva adicional, los expertos recomiendan practicar el egosurfing de manera periódica durante los meses posteriores al incidente para verificar que la información personal expuesta no esté siendo utilizada de forma indebida en la red.

Cáceres será la sede el próximo mes de septiembre de la III edición del Congreso Extremeño de Transformación Digital, Inteligencia Artificial, Ciberseguridad y Robótica. Bajo el lema 'Activa tu potencia', el encuentro promovido por la Consejería de Economía, Empleo y Transformación Digital abordará materias clave como el empleo, el talento, el emprendimiento y la inversión a través de la participación de más de 40 ponentes.

La presentación institucional ha corrido a cargo del secretario general de Transformación Digital e Inteligencia Artificial, Juan Carlos Preciado, y del director general de Digitalización Regional, Jesús Coslado. Durante el acto, Preciado ha destacado el peso creciente del sector en la estructura económica autonómica, señalando que en 2025 el empleo tecnológico creció en Extremadura ocho veces más rápido que el empleo general, generando cerca de uno de cada cinco nuevos puestos de trabajo con salarios un 38,5 % superiores a la media regional.

El balance presentado por la Junta muestra un incremento en los indicadores de eficiencia del tejido productivo. La productividad por trabajador ocupado ha pasado de 57.354 euros al inicio de la legislatura a 65.281 euros, lo que supone una subida cercana al 14 %. Asimismo, entre enero y junio de 2026, la facturación del sector servicios en la comunidad creció un 7 %, situándose por encima del 5,7 % registrado a nivel nacional.

Crecimiento económico e impacto de la IA

En el ámbito empresarial, el 15,14 % de las compañías extremeñas de diez o más trabajadores utiliza ya herramientas de inteligencia artificial, lo que representa un aumento de casi seis puntos en comparación con el año anterior. “No hablamos únicamente de más tecnología, sino de menos complejidad administrativa, mejores servicios públicos, empresas más productivas y empleo de mayor calidad”, ha remarcado Preciado.

En materia de gestión pública, el proceso de digitalización ha permitido multiplicar por siete los trámites y solicitudes electrónicas en los últimos tres años. La revisión de 431 procedimientos ha recortado un 57 % los tiempos de tramitación y un 70 % el volumen de documentación requerida a los ciudadanos.

Por su parte, Jesús Coslado ha explicado que esta edición incorporará el formato 'Inmersión Digital', concebido para fomentar el aprendizaje práctico y el networking. “No queremos que el asistente sea un mero espectador; queremos que experimente la tecnología, participe, establezca contactos y salga de Potencial Digital con nuevas ideas, capacidades y oportunidades”, ha concluido el director general.

Cada vez más empresas abandonan el tradicional sistema de claves alfanuméricas para adoptar las denominadas passkeys como nuevo estándar de seguridad. Esta tecnología surge para solucionar el eslabón más débil de la ciberseguridad corporativa: las contraseñas que los empleados olvidan, reutilizan o comparten inadecuadamente. Las passkeys representan una revolución en la autenticación que ya están integrando algunos gigantes tecnológicos en sus plataformas. El cambio no es meramente estético, sino una respuesta directa a la creciente vulnerabilidad de los sistemas tradicionales frente a ataques masivos.

Actualmente, millones de trabajadores utilizan este método para acceder a sus herramientas diarias sin tener que memorizar complejos códigos de acceso. Es el inicio de una era sin contraseñas donde la comodidad y la protección avanzada convergen finalmente para el usuario. La adopción masiva está transformando la manera en que las organizaciones protegen sus activos digitales más críticos y confidenciales. El éxito de esta transición depende de entender que la seguridad informática ha cambiado para siempre gracias a esta solución.

Una passkey es fundamentalmente una credencial criptográfica diseñada para sustituir definitivamente a las contraseñas tradicionales en el entorno laboral. En lugar de teclear una clave, el trabajador confirma su identidad utilizando los mismos métodos que ya emplea para desbloquear su smartphone personal. Esto incluye el reconocimiento facial, la huella dactilar o un número PIN específico configurado previamente en su dispositivo de trabajo. Al eliminar la necesidad de memorizar caracteres complejos, se reduce drásticamente el error humano que suele comprometer la seguridad de la red.

El proceso de inicio de sesión se vuelve mucho más ágil, pasando de minutos de espera a apenas unos pocos segundos. Este método se basa en estándares globales para garantizar una interoperabilidad total entre diferentes sistemas y navegadores. Los dispositivos modernos ya están listos para implementar esta tecnología de forma nativa. Así, la biometría se convierte en la llave digital definitiva que abre las puertas de las aplicaciones y servicios corporativos.

El funcionamiento técnico de estas credenciales se asienta sobre un sistema robusto de criptografía asimétrica basado en dos claves distintas. Cuando un empleado crea una passkey, su dispositivo genera automáticamente una clave pública y otra clave privada que están interconectadas. La clave pública se almacena de forma segura en el servidor de la empresa o del servicio al que se desea acceder. Por el contrario, la clave privada nunca abandona el dispositivo del usuario y permanece protegida en componentes de hardware aislados. Durante el inicio de sesión, el servidor envía un desafío que solo puede resolverse mediante el uso de la clave privada local. Esta validación se realiza internamente en el equipo tras verificar la identidad del trabajador mediante su biometría o su código PIN.

Es importante destacar que el servicio externo nunca recibe la huella dactilar ni la imagen del rostro del usuario durante este proceso. Este aislamiento garantiza que la información sensible del empleado permanezca siempre bajo su control directo y fuera de servidores externos. Uno de los mayores atractivos de las passkeys empresariales es su resistencia absoluta frente a los ataques de phishing más convencionales. Una passkey está vinculada intrínsecamente al dominio específico para el que fue creada, impidiendo su uso en sitios web fraudulentos o imitaciones.

Aunque un ciberdelincuente logre engañar al trabajador para que acceda a una URL falsa, la credencial simplemente no funcionará allí. Además, al no existir un texto que memorizar, el empleado no puede entregar accidentalmente sus datos de acceso a terceros malintencionados. Por otro lado, este sistema elimina el riesgo asociado a las filtraciones masivas de bases de datos de contraseñas corporativas. Los servidores solo guardan claves públicas que resultan inútiles para un atacante sin acceso físico al dispositivo donde reside la clave privada. Esto neutraliza los ataques de fuerza bruta y el uso de credenciales robadas que circulan masivamente en la internet oscura. La seguridad ya no depende de la complejidad de una palabra, sino de la robustez de un algoritmo criptográfico avanzado.

La implementación de passkeys conlleva beneficios operativos significativos que van más allá de la mera protección de los datos de la empresa. El departamento de soporte técnico suele dedicar una gran parte de su tiempo a gestionar incidencias relacionadas con el olvido de claves. Al adoptar este nuevo método, las solicitudes de restablecimiento de contraseñas disminuyen drásticamente, liberando recursos valiosos para tareas de mayor impacto. La productividad de la plantilla también mejora, ya que el acceso a las herramientas de trabajo es mucho más rápido y fluido. El ahorro en costes administrativos y de soporte justifica por sí solo la inversión tecnológica necesaria para realizar esta importante transición. Además, las empresas pueden cumplir más fácilmente con las normativas europeas de protección de datos que exigen métodos de autenticación fuertes.

Dos modalidades

Y es que, como afirma Jordi Alarcón, responsable de IT de Esofitec, empresa especializada en soluciones tecnológicas de facturación, contabilidad, gestión y recursos humanos, “cuando hablamos de contraseñas siempre existe la vulnerabilidad. Este sistema las elimina, ofrece más seguridad y hace el acceso más sencillo. Desde el punto de vista de un departamento de IT son un gran avance, ya que reduce el problema que suponen los errores humanos, el eslabón más débil en las estructuras de ciberseguridad”.

Dentro del ámbito empresarial, existen dos modalidades principales de passkeys que las empresas deben evaluar según sus políticas de seguridad internas. Las passkeys sincronizadas permiten utilizar la misma credencial en varios dispositivos autorizados a través de servicios en la nube de confianza. Esta opción ofrece una gran comodidad y flexibilidad para empleados que cambian constantemente entre su ordenador portátil, su tablet y su móvil. Sin embargo, para entornos con requisitos de seguridad extremos, existen las passkeys vinculadas estrictamente a un único dispositivo físico. Estas credenciales no pueden copiarse ni sincronizarse, actuando como guardianes de fortaleza que exigen el uso exclusivo de un hardware concreto. Muchas empresas optan por estas últimas para proteger accesos críticos a infraestructuras sensibles o datos financieros de alta confidencialidad.

El correo electrónico reúne hoy una parte importante de la actividad digital de cualquier usuario. En una misma cuenta pueden acumularse conversaciones, documentos de trabajo, fotografías, recibos y accesos a otras plataformas. Perder la contraseña o quedarse sin el teléfono habitual puede provocar que toda esa información quede temporalmente fuera de alcance. Por ello, se han ido incorporando distintas vías para comprobar la identidad cuando el método principal no está disponible.

Hasta ahora, la recuperación de una cuenta de Google podía apoyarse en recursos como los códigos enviados por SMS o las aplicaciones de autenticación. Estas opciones continúan formando parte de los sistemas de protección, pero dependen de que el titular conserve el dispositivo, tenga conexión o pueda consultar el código correspondiente. Cuando ninguna de esas alternativas resulta accesible, volver a entrar puede convertirse en un proceso más complicado y dejar al usuario sin acceso a contenidos que necesita consultar.

Google ha comenzado a desplegar una nueva posibilidad basada en la verificación facial mediante un vídeo selfie. La herramienta permite asociar previamente una grabación del rostro a la cuenta y utilizarla más adelante si el propietario queda bloqueado o no dispone de su móvil u ordenador de confianza. No sustituye de forma automática al resto de mecanismos, sino que añade otra vía para demostrar quién está intentando acceder y recuperar el control del perfil. Su finalidad es ampliar las opciones disponibles ante una pérdida de acceso.

Cómo se configura y se utiliza el vídeo selfie

La preparación se realiza desde un dispositivo con cámara. El usuario debe situarse frente a ella y seguir una serie de indicaciones que le piden efectuar pequeños movimientos de cabeza. El objetivo es registrar la cara desde varios ángulos, en lugar de guardar únicamente una imagen fija. El proceso consiste en una grabación corta que queda vinculada a la cuenta de Google para que pueda emplearse en una futura comprobación.

Ese registro inicial es necesario porque sirve como referencia. Si en otro momento la persona no puede iniciar sesión por los medios habituales, el sistema le pedirá que grabe una nueva secuencia. Después comparará ambas capturas para determinar si corresponden al mismo rostro. La coincidencia permite confirmar la identidad y facilitar el regreso a la cuenta sin depender exclusivamente de un mensaje de texto o de un código temporal.

Durante la comprobación también se solicitan movimientos en directo. Esta medida pretende verificar que hay una persona delante de la cámara en ese instante y reducir la posibilidad de que alguien utilice una fotografía obtenida de internet, una imagen impresa o una grabación preparada con anterioridad. La autenticación no se basa, por tanto, en un solo fotograma, sino en una secuencia que recoge distintos gestos y posiciones del rostro.

La incorporación de este sistema amplía las opciones disponibles. Puede resultar útil si el titular ha perdido el teléfono, no tiene acceso al equipo desde el que suele conectarse o no puede utilizar temporalmente otros métodos configurados. Aun así, el vídeo facial funciona como una alternativa adicional dentro del proceso de recuperación y no implica la desaparición de las herramientas anteriores.

Privacidad y medidas frente a la suplantación

La grabación solo se almacena cuando el usuario da su consentimiento. Mientras permanece asociada al perfil, se conserva cifrada para impedir que pueda consultarse. Además, el titular mantiene la posibilidad de eliminarla desde los ajustes de su cuenta si deja de querer utilizar esta forma de identificación. De este modo, la activación del recurso depende de una decisión expresa y puede revocarse posteriormente.

El funcionamiento combina varias capas de protección. Por un lado, compara el vídeo realizado durante el intento de acceso con el registrado en la configuración inicial. Por otro, exige respuestas físicas en tiempo real para comprobar que la captura está siendo creada en ese momento. La unión de ambos controles busca dificultar los intentos de entrar con fotografías, vídeos manipulados u otros materiales que traten de imitar la apariencia del propietario.

Este tipo de verificación parte de una idea sencilla: utilizar un rasgo que acompaña al usuario incluso cuando no conserva sus dispositivos habituales. Sin embargo, el sistema no convierte el rostro en el único requisito para acceder de manera cotidiana. Su función principal es ofrecer una salida adicional en situaciones en las que la persona no puede recurrir a las fórmulas que tenía preparadas.

La llegada del vídeo selfie también recuerda la importancia de configurar con antelación varias opciones de recuperación. Tener más de un procedimiento disponible reduce la dependencia de un único teléfono o aplicación. La nueva herramienta añade la identificación facial a ese conjunto de alternativas y permite que el propietario disponga de otra forma de acreditar quién es cuando pierde el acceso a una cuenta que concentra una parte relevante de su información personal y profesional.

El periodo estival suele asociarse a la desconexión y al descanso vacacional, pero para los departamentos de tecnología representa una etapa de máxima alerta. Los expertos en ciberseguridad advierten que los ataques informáticos a empresas experimentan un incremento aproximado del 30% durante estos meses de calor. Esta tendencia responde a una estrategia deliberada de los ciberdelincuentes, quienes aprovechan que las organizaciones operan con personal reducido y protocolos de vigilancia menos estrictos. No bajar la guardia resulta fundamental para garantizar la continuidad del negocio tras el regreso de las vacaciones.

Y es que la ciberdelincuencia no descansa cuando el resto de la sociedad se toma un respiro necesario, intensificando sus campañas de intrusión. Por ello, el nivel de protección debe ser una prioridad estratégica dentro del cumplimiento corporativo de cualquier empresa. Mantener la vigilancia activa es la única forma de evitar que un descanso merecido se transforme en una crisis reputacional. La vulnerabilidad de las compañías aumenta sobre todo debido a la combinación de plantillas bajo mínimos y una relajación general de las medidas preventivas. Durante el verano, muchos empleados trabajan de forma remota desde ubicaciones poco habituales, lo que multiplica los vectores de entrada para posibles intrusiones. Los atacantes son plenamente conscientes de que el departamento de informática puede estar vacío o con menos recursos técnicos disponibles.

Esta situación crea un entorno perfecto para que los intentos maliciosos tengan una mayor probabilidad de éxito que en otros meses del año. Es común que los protocolos de acceso se vuelvan más laxos para facilitar la operatividad de quienes cubren las ausencias. Además, la contratación de personal temporal para sustituciones añade un riesgo extra si no existe una formación de seguridad adecuada. Por tanto, la seguridad no debe verse como algo técnico, sino como un pilar organizacional fundamental. La concienciación debe ser el primer cortafuegos ante cualquier amenaza que busque explotar el factor humano.

Entre las amenazas más recurrentes en esta temporada, el phishing se posiciona como la técnica preferida debido a su alta efectividad. Se estima que los intentos de suplantación de identidad por correo electrónico aumentan significativamente, especialmente los dirigidos a individuos específicos. Los delincuentes utilizan ganchos relacionados con reservas de hoteles, billetes de avión y ofertas turísticas para engañar a los trabajadores desprevenidos. Además del fraude al consejero delegado y el robo de identidad, el ransomware sigue siendo una preocupación crítica para los expertos. Estos ataques buscan cifrar la información sensible de la empresa para exigir un rescate económico por su posterior liberación. La sofisticación de estos mensajes maliciosos hace que incluso el personal más experimentado pueda caer en la trampa.

Para mitigar estos riesgos, implementar la autenticación multifactor en todas las cuentas corporativas se considera una medida de primer orden. Este sistema añade una capa de verificación adicional que dificulta enormemente el acceso no autorizado a los recursos críticos. Asimismo, es imperativo realizar una actualización exhaustiva de todos los sistemas y software antes de iniciar el periodo de vacaciones. Los parches de seguridad corrigen vulnerabilidades conocidas que los hackers intentarán explotar si no están debidamente cerradas. La automatización de las copias de seguridad es otro pilar fundamental para asegurar la recuperación de datos ante un desastre.

El uso de conexiones remotas seguras es indispensable para aquellos trabajadores que mantienen su actividad laboral durante el periodo estival. Desde el Instituto Nacional de Ciberseguridad recuerdan que “durante las vacaciones de verano se visitan aeropuertos, hoteles, etc. En casi todos estos lugares existe la posibilidad de conectarse a Internet a través de redes Wi-Fi públicas. Como no sabemos quién las gestiona, ni quién puede estar conectado, es preferible no conectarse a ellas. Antes de acceder a servicios online con usuario y contraseña, asegurarse de que la dirección empieza por ”https“, y mucho mejor emplear una ”VPN“.

Además, se debe ejercer un control estricto sobre los dispositivos móviles que se utilizan para fines laborales. Implementar políticas de cifrado, contraseñas robustas y la capacidad de borrado remoto es vital en caso de pérdida o robo. Limitar los accesos al personal estrictamente autorizado reduce significativamente el radio de impacto de una posible brecha. El principio de mínimo privilegio asegura que cada usuario solo acceda a lo que realmente necesita.

“La seguridad depende, sobre todo, de las personas”, afirma Jordi Alarcón, responsable de IT de Esofitec, empresa especializada en soluciones tecnológicas de facturación, contabilidad, gestión y recursos humanos: “Nos relajamos, asumimos la carga de compañeros de vacaciones o seguimos revisando el correo corporativo desde el móvil, sin estar tan alerta, lo que facilita que acabemos haciendo clic en enlaces maliciosos. Por eso, si vas a teletrabajar desde un entorno no habitual, evita conectarte a wifis abiertas y mantén el Bluetooth o el AirDrop desactivados. Y, si eres responsable de ciberseguridad, aprovecha para revisar el protocolo de copias de seguridad y activar protocolos de ciberresiliencia.”

Cómo reaccionar

La formación del personal, incluyendo a los sustitutos temporales, constituye una de las mejores inversiones en materia de seguridad informática. Es crucial que los nuevos empleados conozcan los protocolos de la empresa y sepan identificar los ataques más comunes. No descargar aplicaciones de origen dudoso ni archivos adjuntos sospechosos son pautas básicas que deben reforzarse constantemente. La curiosidad por ofertas vacacionales o guías de viaje en formato PDF puede esconder virus informáticos altamente peligrosos. Además, se recomienda moderar la información que los empleados publican en sus perfiles personales de redes sociales. Compartir la ubicación en tiempo real o las fechas exactas del viaje puede dar pistas valiosas a los atacantes.

Contar con un plan de respuesta ante incidentes bien definido permite actuar con rapidez si ocurre una intrusión accidental. Todos los miembros de la organización deben saber a quién contactar y qué pasos iniciales seguir de forma inmediata. La detección temprana de comportamientos anómalos en los equipos puede evitar un desastre de mayor impacto reputacional. Antes de cerrar por vacaciones, realizar una búsqueda proactiva de brechas de seguridad ayuda a blindar el entorno digital. Por eso, en verano la ciberseguridad sigue siendo una necesidad imperativa para la supervivencia empresarial. Proteger la infraestructura tecnológica significa salvaguardar la confianza de los clientes y la reputación de la marca. Los ciberdelincuentes no se toman vacaciones y su actividad se intensifica precisamente cuando detectan una menor vigilancia.

La digitalización avanza a pasos agigantados. Su mayor ventaja es que permite a las pymes adaptar sus modelos de negocio, innovar y competir en mercados que antes parecían inalcanzables.

En ese contexto, la ciberseguridad se convierte en un factor clave para garantizar la continuidad y la reputación de cualquier empresa, sea cual sea su sector de actividad y su tamaño.

En un encuentro en Toledo, bajo el lema Ciberseguridad: hackeando la mente. Conoce los riesgos, cuida la seguridad de tu pyme, tres especialistas vinculados tanto al sector público como al sector privado han intercambiado experiencias y han ofrecido recomendaciones de buenas prácticas para la pequeña y mediana empresa.

¿Cómo proteger el negocio en la era de la Inteligencia Artificial a través del conocimiento de los nuevos riesgos? La seguridad digital en las pequeñas y medianas empresas se plantea hoy como una necesidad porque convivimos con algoritmos y con tecnología cada vez más desarrollada que beneficia a las empresas, pero que también utilizan los ciberdelincuentes.

La mesa redonda, organizada por elDiario.es Castilla-La Mancha, en colaboración con BBVA, ha reunido a Andrés Prado, director TIC en la Universidad de Castilla-La Mancha, y coordinador de este sector en la Conferencia de Rectores de las Universidades Españolas (CRUE), Mario Martín, CEO de la empresa UNITEL Ciberseguridad y Laura del Pino, Discipline Leader Information Security en BBVA España, en una conversación moderada por la directora del medio, Carmen Bachiller.

¿A qué tipos de fraude digital se enfrentan las empresas? ¿Cuáles son las claves de la prevención? Estas son algunas de las preguntas que deben plantearse las pymes frente a unas amenazas que evolucionan de forma constante y con un ingrediente añadido: la IA.

Pregunta.- La Universidad de Castilla-La Mancha sufrió ciberataque, allá por el año 2021. ¿Cómo fue darse cuenta de que algo no iba bien y cuál fue la reacción?

Respuesta (Andrés Prado).- Lo primero que pensamos es cómo nos podía estar pasando eso a nosotros. Nos cambió la forma de pensar y de abordar la ciberseguridad porque la cuestión no es si puede pasar sino cuándo pasará.

Ocurrió un domingo por la noche y este tipo de situaciones no lo son por azar. Hay que olvidar el romanticismo del hacker porque hay quien ha convertido la ciberdelincuencia en una industria.

Después de la sorpresa inicial, fuimos muy conscientes de nuestras capacidades y también fuimos muy honestos con la situación que estábamos abordando, por eso contamos con especialistas. También establecimos un plan de comunicación muy claro con nuestra comunidad universitaria.

Pregunta.- Si hablamos de amenazas, ¿cuáles son las tendencias en el ámbito de los ciber fraudes, especialmente en pymes?

Respuesta.- (Mario Martín).- En UNITEL creamos hace unos cuatro años un área específica de ciberseguridad tras confirmar que la ciberdelincuencia va en aumento. Desde 2020 sabemos que la aplicación de la IA está suponiendo algo bueno para frenar los ataques (a través de los SOC o centros de operaciones de seguridad que gestionan ciberataques masivos para contenerlos y neutralizarlos), pero también hay quien la utiliza, precisamente, para provocarlos.

Una de las amenazas más frecuentes ahora es el ransomware, un código malicioso que penetra en la red para escalar privilegios, secuestrar datos y después pedir un rescate. Siempre recomendamos que no se pague. Después está el phishing, por ejemplo, a través del correo electrónico, con ataques ahora muy dirigidos a determinados sectores o personas, y que busca suplantar para robar datos o dinero.

Además, hay mucho robo de credenciales que se venden en la Dark Web y los usuarios tenemos la manía de usar la misma contraseña para todo. No es un buen hábito.

Pregunta.- BBVA lleva mucho tiempo trabajando en la concienciación y la cultura de ciberseguridad. ¿Hay errores recurrentes en las pymes, humanos u organizativos, que dejan la puerta abierta al fraude? ¿Cómo les estáis ayudando a integrar la seguridad en su día a día?

Respuesta (Laura del Pino).- Hay que desmontar mitos. El primero es que los ciberdelincuentes solo atacan a empresas grandes. La realidad es que hay una industria del cibercrimen que funciona como una empresa. Al final es coste/beneficio.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo.

El otro mito es que en la ciberseguridad se soluciona todo con tecnología. Es cierto que es fundamental tener algunos básicos (como un antivirus), pero también es importante la formación.

P.- ¿En qué sentido?

R (Laura del Pino).- Por ejemplo, hay una amenaza que es el fraude por cambio de cuenta del proveedor. Consiste en suplantar la identidad de un proveedor de la empresa a través del correo electrónico. Incluye una cuenta de pago de facturas, que previamente habrá cambiado para que el dinero llegue al ciberdelincuente. Cualquier empresa debe saber cómo actúan los ciberdelincuentes para poder actuar.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo

Laura del Pino — Discipline Leader Information Security en BBVA España

¿Cómo proteger tu empresa?

P.- ¿Qué medidas pueden ponerse en práctica ante un ciber ataque?

R (Laura del Pino).- Una cosa sencilla es contar con un protocolo interno de doble verificación. Si un proveedor me pide que le pague en una cuenta nueva hay que verificarlo. Basta una simple llamada para evitar el engaño. La concienciación y formación es muy relevante.

Desde BBVA ofrecemos información y formación. Ofrecemos cursos online y gratuitos sobre ciberseguridad a través de la plataforma Coursera a cualquiera. No tiene que ser cliente.

En breve estrenaremos un espacio de noticias sobre ciberseguridad en la web y ponemos a disposición de los clientes herramientas que les ayuden a identificar posibles fraudes en la relación con el banco. Incluso monitorizamos operaciones no habituales. Hay también productos como los ciberseguros que incluyen un análisis de riesgos para comprobar cómo está la empresa en cuanto a protección.

P.- ¿Cuál es el punto de vista de UNITEL?

R (Mario Martín).- Es necesario concienciar y formar, como decía Laura. Como empresa nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error.

Nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error

Mario Martín — CEO de UNITEL Ciberseguridad

Nos ocurrió con un cliente que contactó con nosotros para recibir ayuda sobre ciberseguridad tras sufrir el engaño de una falsa factura. Quien se dio cuenta y lo paró fue precisamente el banco. El personal de las empresas debe tener formación. Eso les puede evitar muchos problemas.

P.- ¿Y la opinión de un experto en TIC?

R (Andrés Prado).- Se debe valorar mucho cuál es la exposición al fraude digital para abordar la protección. Hay que tener copias de seguridad, y blindar la identidad digital. Después, más allá del trabajo de prevención, es necesario tener clara la capacidad de reacción ante un ataque. Es algo que nosotros teníamos más adormecido cuando nos ocurrió.

Coincido en que hay que trabajar en la concienciación y en la formación. Los ataques que se han comentado son muy habituales y hay otro más: es el fraude del CEO, que cada vez se depura más gracias a la IA. Se trata de suplantar la identidad del directivo, solicitando al personal de administración hacer una transferencia urgente. El correo está redactado en el estilo del jefe.

Es importante saber el impacto que tiene perder la identidad digital de una empresa porque estará vendida. Hay que concienciar a las empresas y a quienes forman parte de ellas.

P.- ¿Qué papel juega en todo esto la IA?

R (Laura del Pino).- La IA ha democratizado el acceso a lanzar ciberataques que antes eran imposibles si uno no tenía herramientas a mano. Es absolutamente necesario tener protocolos de seguridad en la empresa.

Una empresa no puede sobrevivir en el mundo digital sin unas mínimas medidas, también relacionadas con la IA: hay que tener la última versión, lo que se llama el parcheado, de las herramientas que manejamos porque tiene vulnerabilidades que se corrigen con esos ‘parches’.

Y no bastan las contraseñas, hay que tener una doble verificación con un código que nos llegará al correo o al móvil, cuando hablamos de accesos remotos de las empresas, ahora que tanto usamos el teletrabajo. Debemos tener hábitos seguros en nuestro día a día. Es como cuando subimos al coche y nos ponemos el cinturón de seguridad.

Después está la gestión de incidentes, con un protocolo sobre qué hacer y a quién llamar. Eso es un diferencial en el impacto que puede tener en la empresa. O romper con la necesidad de urgencia en las operaciones. Los ciberdelincuentes usan ingeniería social para engañar. Antes de hacer nada, si hay algo fuera de lo habitual, hay que comprobar.

P.- Claro porque, en realidad, con el internet de las cosas todo está conectado

R (Andrés Prado).- Sí, y en ese mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles.

En un mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles

Andrés Prado — Responsable TIC en la Universidad de Castilla-La Mancha

R (Mario Martín).- Efectivamente, en UNITEL tenemos clientes en los que el 90% del trabajo de la empresa está robotizado. Un ciberataque a esas máquinas supone parar la producción. Y después, software no mantenido, software vulnerable.

También hay que probar de forma previa lo que se pone en internet. Hacemos muchos test previos de vulnerabilidad.

P.- Pese a todo, la IA nos puede ayudar a defendernos…

R (Laura del Pino).- Tiene muchas ventajas y nos ayuda a ser más eficientes. En el banco llevamos usando IA desde hace mucho tiempo, con muy buenos resultados. Desde la parte preventiva hay herramientas para detectar patrones anómalos. Y se puede usar además para formar y concienciar. Sí, hay que apostar por ello.

El Banco Central Europeo (BCE) ha instado a las principales entidades de la zona euro a presentar “antes del 31 de octubre de 2026” un plan de acción integral con medidas concretas para abordar las amenazas de ciberseguridad relacionadas con los modelos de IA de vanguardia, como Mythos, desarrollado por Anthropic.

En una carta remitida por Claudia Buch, presidenta del Consejo de Supervisión del BCE, a los consejeros delegados de las instituciones bancarias significativas de la eurozona, la alemana advierte de que la capacidad de los modelos emergentes de IA para identificar vulnerabilidades y generar 'exploits' funcionales tiene implicaciones potencialmente profundas para la confidencialidad, la integridad y la resiliencia de los sistemas de tecnología de la información y la comunicación (TIC) de los bancos.

“Se trata de un cambio a largo plazo en el panorama de amenazas, más que un fenómeno temporal o un riesgo vinculado a una sola herramienta”, señala en la carta, publicada este viernes por el BCE.

A finales de mayo, el BCE se reunió con las entidades europeas para analizar las implicaciones de los modelos de IA de vanguardia para el sector, tras lo que Frank Elderson, representante neerlandés en el directorio del BCE y vicepresidente del Consejo de Supervisión de la institución, ya adelantó que la institución enviaría una carta a todos los CEO de los bancos significativos para solicitar la implementación de medidas proactivas para garantizar la solidez y la seguridad de sus sistemas ante estos cambios.

En este sentido, Claudia Buch insta en su carta a las entidades clave a evaluar sin demora el impacto del panorama de amenazas y a desarrollar “un plan de acción integral que describa medidas concretas” para reforzar los controles pertinentes, asignar los recursos necesarios, definir claramente las funciones y responsabilidades, y establecer los plazos de implementación.

Dicho plan de acción, que deberá presentarse al Equipo Conjunto de Supervisión (ECS) correspondiente antes del 31 de octubre de 2026, tendrá en cuenta la estrategia de ciberriesgo existente del banco y abordará tanto las prioridades inmediatas como los aspectos estratégicos a largo plazo.

Vulnerabilidades y riesgos

En concreto, en el corto plazo, el BCE pide acelerar la gestión de vulnerabilidades y parches a gran escala; mejorar la monitorización, la detección y las capacidades defensivas basadas en IA; y verificar que la gestión de riesgos de terceros sea adecuada en la situación actual, teniendo en cuenta el papel de los proveedores de servicios de TIC en las cadenas de suministro críticas.

Además de estas acciones a corto plazo, el BCE señala que la resiliencia operativa y cibernética debe reforzarse mediante medidas estructurales, incluyendo el fortalecimiento de la defensa en profundidad y la higiene cibernética, y la modernización de la infraestructura mediante la sustitución o actualización de tecnologías obsoletas, sin soporte o al final de su ciclo de vida.

Asimismo, el BCE ha indicado que realizará un análisis transversal de los planes de acción presentados por los bancos para identificar tendencias, desafíos y áreas de mejora, y compartirá sus conclusiones de con las entidades para apoyarlas en el fortalecimiento de su resiliencia en materia de TIC.

Al margen de los modelos de IA de vanguardia, el BCE advierte también de que otras tecnologías emergentes, como la computación cuántica, tendrán un impacto significativo en el panorama de la ciberseguridad, señalando que abordará el riesgo emergente relacionado para los métodos de cifrado tradicionales en una carta aparte que se publicará próximamente.

“Si bien estos avances no introducen riesgos completamente nuevos, sí amplifican significativamente la velocidad y la escala con la que se materializan”, concluye Buch, para quien las vulnerabilidades existentes que permanezcan aún sin resolver podrían adquirir mayor relevancia y suponer riesgos significativos para la resiliencia operativa de los bancos.

El Gobierno de Castilla-La Mancha, a través de la Consejería de Hacienda, Administraciones Públicas y Transformación Digital, ha dado un paso estratégico en la modernización de la Administración regional con la formalización del contrato para el desarrollo de un marco normativo de inteligencia artificial (IA) generativa, destinado a transformar y mejorar los servicios públicos de la Comunidad Autónoma.

Este proyecto, que ha llevado a cabo la Agencia de Transformación Digital, va a permitir la creación de un entorno común de trabajo para el diseño, desarrollo y despliegue de soluciones de inteligencia artificial en la Junta de Comunidades, favoreciendo una implantación que “fomenta un espacio seguro”, enmarcado en la estrategia regional de ciberseguridad, además escalable y alineado con el interés público.

La iniciativa supone avanzar desde modelos aislados hacia un ecosistema integral de la inteligencia artificial, con mecanismos de gobernanza, control y evolución continua, que facilitará la incorporación progresiva de esta tecnología como herramienta de mejora de la atención a la ciudadanía y de la eficiencia administrativa.

Como consecuencia, va a promover la soberanía digital, al hacer menos dependiente estas herramientas de los grandes modelos de IA en el mercado tecnológico.

Confinanciado con fondos europeos

El contrato ha sido adjudicado a la Unión Temporal de Empresas (UTE) formada por Inetum y Écija Abogados, por un importe de 4.264.728 euros y con un plazo de ejecución de 24 meses. El proyecto está cofinanciado por el Fondo Europeo de Desarrollo Regional (Feder) dentro del Programa Operativo 2021-2027, reforzando el compromiso del Gobierno de Castilla-La Mancha con la digitalización, la innovación tecnológica y la mejora continua de los servicios públicos.

Uno de los elementos diferenciales de este proyecto es su apuesta por arquitecturas basadas en agentes inteligentes y componentes reutilizables, que permitirán automatizar procesos complejos, agilizar la toma de decisiones y acelerar el desarrollo de nuevos casos de uso dentro de la Administración regional.

El modelo contempla además la creación de un catálogo estructurado de componentes de inteligencia artificial que facilitará la reutilización de soluciones, evitará duplicidades y garantizará la coherencia tecnológica entre las diferentes consejerías y organismos públicos.

Eficiencia energética y optimización de recursos

La sostenibilidad constituye otro de los ejes estratégicos de la iniciativa. El proyecto incorpora criterios de eficiencia energética y optimización de recursos mediante arquitecturas híbridas y tecnologías avanzadas de compresión de modelos, contribuyendo a una inteligencia artificial “más eficiente, escalable y alineada con los objetivos de transición ecológica y racionalización del gasto público”.

La iniciativa refuerza igualmente el compromiso del Gobierno regional con un modelo de inteligencia artificial “ética, transparente y confiable en el ámbito público”.

Para ello, el proyecto integrará un sistema de gobernanza que establecerá estándares comunes, mecanismos de supervisión y procesos de validación destinados a garantizar un “uso responsable” de la inteligencia artificial. Asimismo, incorporará herramientas avanzadas de gestión de riesgos, auditoría y trazabilidad que aseguren la rendición de cuentas y la seguridad jurídica.

El marco de trabajo estará alineado con la normativa europea y con estándares internacionales como la ISO 42001, incorporando desde su diseño principios de transparencia, explicabilidad y supervisión humana.

La Casa Blanca ha eliminado las restricciones de exportación aplicadas sobre Fable 5 y Mythos 5, los modelos de inteligencia artificial más potentes de la empresa Anthropic. La decisión llega tres semanas después de que el Gobierno de Donald Trump ordenara a la startup impedir su uso por parte de extranjeros o fuera del territorio de EEUU, lo que, en la práctica, fue el primer veto de este tipo a un sistema de IA.

Para asegurarse de cumplir con las órdenes de Trump, Anthropic se vio obligada a desactivar el acceso completo a estos modelos. Mythos es un sistema especializado en la detección de vulnerabilidades informáticas que desató la alarma en el sector de la ciberseguridad internacional por su capacidad de encontrar agujeros que habían pasado por alto para los mejores especialistas humanos.

Por este motivo, la startup nunca lo puso en circulación, haciéndolo accesible solo a gobiernos y empresas. Fable es un modelo recortado de Mythos, adaptado para no representar un peligro para los sistemas informáticos en caso de ser utilizado por los ciberdelincuentes.

Tras semanas de negociaciones, el Gobierno de EEUU y Anthropic han pactado que la startup quedará eximida de la necesidad de contar con una licencia de exportación como las requeridas a los sistemas de armamento y otros elementos considerados críticos para la seguridad nacional. A cambio, Anthropic se ha comprometido a mejorar sus sistemas de seguridad en torno a Fable. La Casa Blanca temía que este modelo pudiera ser hackeado para acceder a las capacidades completas de Mythos, lo que dio origen al bloqueo del 12 de junio.

El origen de las sospechas estuvo en una investigación interna de Amazon. Un informe de los servicios de ciberseguridad de la multinacional alertó de que era posible eludir las barreras de protección establecidas por Anthropic, liberando sus capacidades para realizar ataques informáticos y robar información confidencial.

No estamos de acuerdo en que el descubrimiento de una posible vulnerabilidad limitada deba ser motivo para retirar un modelo comercial implementado para cientos de millones de personas

Anthropic

En un comunicado publicado este martes, la startup asegura que ha establecido nuevos mecanismos de seguridad, pero que en ningún momento ha tenido pruebas fehacientes de que el anterior pudiera ser hackeado. “Hasta la fecha, el gobierno solo nos ha proporcionado información verbal sobre una posible vulnerabilidad limitada y no universal, que consiste básicamente en solicitar al modelo que lea un código fuente específico y corrija cualquier fallo de software”, asegura Anthropic.

“No estamos de acuerdo en que el descubrimiento de una posible vulnerabilidad limitada deba ser motivo para retirar un modelo comercial implementado para cientos de millones de personas. Si este criterio se aplicara a toda la industria, creemos que paralizaría prácticamente todos los nuevos lanzamientos de modelos para todos los proveedores de modelos de vanguardia”, protesta.

Para evitar que esto vuelva a ocurrir, Anthropic planea la necesidad diseñar un marco común de evaluación de riesgos junto a socios de la industria como Google, Microsoft y la propia Amazon. Lo sucedido se enmarca en una situación en la que la Casa Blanca ha aumentado sus controles sobre la IA. Presionado por el sector bancario y el Secretario del Tesoro, Trump estuvo a punto de firmar una orden ejecutiva para obligar a los nuevos modelos a contar con una autorización gubernamental para poder salir al mercado. Finalmente, sus asesores tecnológicos, como David Sacks y Elon Muck, le convencieron de que no lo hiciera.

El servicio de internet satelital Starlink, de Elon Musk, ha dominado este sector prácticamente desde su lanzamiento. Sin embargo, un proyecto respaldado por el Gobierno chino se ha propuesto desafiar su hegemonía. SpaceSail apenas cuenta con unos cientos de satélites en órbita terrestre baja, frente a los más de 10.000 de Starlink, pero la empresa asegura que ya dispone de los dispositivos suficientes para iniciar su primera aplicación comercial. Está expandiéndose a gran velocidad y, adelanta, ha entablado negociaciones con “decenas” de países para ofrecer cobertura de internet por satélite.

Según Blaine Curcio, fundador de la consultora Orbital Gateway Consulting, con sede en Hong Kong, SpaceSail se está dirigiendo “deliberadamente” a aquellos lugares donde Starlink ha enfrentado “problemas políticos o regulatorios”. En declaraciones al medio Rest of World, Curcio comparó esta estrategia con la del fabricante chino de coches eléctricos BYD, que aprovechó miles de millones en subsidios gubernamentales para adelantar a Tesla en ventas globales.

Aunque la reciente ronda de financiación de la empresa china se vio totalmente eclipsada por la histórica salida a bolsa de SpaceX —matriz de Starlink— por valor de 85.700 millones de dólares, cabe preguntarse si la creciente influencia global de China permitirá a SpaceSail abrirse camino.

¿Qué es SpaceSail?

El proyecto, denominado oficialmente Constelación SpaceSail o Qianfan (“Mil Velas”) en chino, fue lanzado en 2023 por la empresa estatal Shanghai Spacecom Satellite Technology (SSST), con el objetivo de proporcionar internet de banda ancha “rápido, seguro y fiable” en todo el mundo.

Lan Xinzhen, analista de la revista estatal Beijing Review, señala que SpaceSail también se concibió con la seguridad nacional en mente, y que eventualmente servirá de apoyo para “proyectos en el extranjero, el comercio marítimo y misiones diplomáticas”, sin depender de empresas o infraestructuras occidentales.

SSST cuenta con el respaldo del instituto de investigación estatal Academia China de Ciencias y del Gobierno Popular Municipal de Shanghái, que aportaron una financiación inicial de 6.700 millones de yuanes (unos 943 millones de dólares). Sigue siendo un proyecto financiado íntegramente por China, con inversiones limitadas a entidades corporativas u organizaciones económicas con sede en el país, excluyendo a Hong Kong y Macao.

La información pública disponible sobre la escala de las operaciones de SpaceSail es limitada. No obstante, según Qichacha, una plataforma de información empresarial china, SSST contaba con 343 empleados en 2024, los últimos datos disponibles. Su página oficial de LinkedIn indica una horquilla de entre 201 y 500 trabajadores, mientras que la plataforma de empleo china Jobui señala que la firma ofertó 224 puestos en 2024, lo que supuso un aumento significativo respecto al año anterior.

¿Cuántos satélites ha lanzado hasta ahora?

SpaceSail lanzó sus primeros satélites en agosto de 2024, poniendo en órbita 18 dispositivos de panel plano a bordo de un cohete denominado Larga Marcha 6A. Un segundo grupo de 18 satélites se lanzó dos meses después, seguido de un tercer grupo de otros 18 en diciembre.

En la actualidad, hay al menos 200 satélites activos de SpaceSail en la órbita terrestre, tras el duodécimo y más reciente lanzamiento a bordo del cohete Larga Marcha 8 en junio de este año. La compañía ha afirmado que ya cuenta con satélites suficientes para iniciar su primera aplicación comercial: el rastreo de buques en alta mar.

La empresa aspira a comenzar con servicios comerciales más amplios de cara a finales de 2026, cuando se espera que el número total de satélites activos en órbita alcance los 648. Su constelación constará finalmente de más de 15.000 satélites, lo suficiente para proporcionar una cobertura global completa, según SSST.

¿Cómo se compara SpaceSail con Starlink?

Starlink es el líder indiscutible del sector, con más de 12 millones de usuarios activos en 160 países y territorios. Opera una constelación de alrededor de 10.413 satélites, con planes de expandirse eventualmente hasta los 42.000.

SpaceSail se encuentra todavía muy por detrás, pero sus ambiciones son enormes. La firma asegura que tendrá más de 10.000 satélites operando en órbita de baja altitud para finales de 2030.

El analista Curcio advierte de que el éxito de SpaceSail no está en absoluto garantizado y que también afronta competencia interna dentro de China. SpaceSail debe competir por cohetes y financiación con su rival doméstico SatNet, otra empresa estatal china que está construyendo su propia constelación de satélites de tamaño similar, denominada Guowang. Sin embargo, SpaceSail sigue siendo el competidor más natural para Starlink, ya que SatNet se centra principalmente en las telecomunicaciones nacionales del interior de China y en la seguridad nacional.

Según informa, SpaceSail está negociando con 30 países para implantar su servicio, cosechando ya éxitos como alternativa a Starlink allí donde los acuerdos con la compañía de Musk se han roto. Ya ha conseguido un contrato importante en Brasil, donde las autoridades chocaron con Musk en 2024 debido a la supuesta falta de moderación de contenidos en su plataforma social X. En febrero, la agencia reguladora de telecomunicaciones de Brasil, Anatel, autorizó a SpaceSail a comenzar sus servicios comerciales.

SpaceSail también ha ganado terreno en Kazajistán, donde registró una filial en enero de 2025, después de que las conversaciones con Starlink fracasaran debido a los requisitos de almacenamiento de datos y seguridad. En diciembre, la compañía firmó un acuerdo con el fabricante aeronáutico europeo Airbus para incluir SpaceSail como una opción de wifi a bordo de sus aviones.

Anthropic, la startup de IA estadounidense que está liderando el sector, ha enviado una carta a varios senadores de Estados Unidos y cargos de la Casa Blanca en la que acusa al gigante tecnológico chino Alibaba de una operación a gran escala articulada para acceder de manera ilícita a su modelo de inteligencia artificial más conocido, Claude, a través de miles de cuentas fraudulentas.

La compañía norteamericana sostiene en la misiva que operadores vinculados al laboratorio de IA Qwen, de Alibaba, atacaron capacidades importantes de Claude, entre los que se incluyen su ingeniería de software y su razonamiento como agente, en el que sería el mayor intento de una empresa china de acceder a los datos de una compañía estadounidense especializada en IA, según recoge la carta adelantada por la agencia Bloomberg.

En concreto, el ataque coordinado supuso alrededor de 28,8 millones de intercambios con Claude entre los meses de abril y junio a través de 25.000 cuentas fraudulentas. Un intento de obtener información ya ocurrido en anteriores ocasiones y que Anthropic asocia a una práctica común de empresas chinas con el objetivo de crear a través de estos datos robados un generación rival de 'chatbots' de origen chino.

Ya en febrero, la startup de IA informó de campañas “a escala industrial” llevadas a cabo por distintos laboratorios de IA chinos, en concreto DeepSeek, Moonshot y MiniMax, con el mismo objetivo, extraer datos de Claude para mejorar sus propios modelos.

Esta técnica, denominada “destilación”, consiste en entrenar modelos de IA con otros más avanzados para así mejorar sus capacidades, un método legítimo y utilizado ampliamente por las compañías del sector. Sin embargo, el robo de datos con el objetivo de aprovechar estas capacidades y así reducir el tiempo y los costes de mejora de los modelos se considera una práctica fraudulenta.

“Estos ataques de destilación se llevan a cabo de forma ilícita, sistemática y a escala industrial para aprovechar las capacidades de IA estadounidenses en laboratorios de vanguardia y presentarlas como propias sin incurrir en los costos de capacitación e I+D necesarios para entrenar los modelos estadounidenses de vanguardia”, reza el la carta de Anthropic.

La compañía china de ciberseguridad 360 Security Technology anunció este miércoles que ha desarrollado una herramienta que, según sostiene, puede competir con el modelo más potente de la estadounidense Anthropic, Mythos, cuyo acceso ha sido restringido por motivos de seguridad nacional.

Durante una conferencia sobre ciberseguridad en Pekín, el cofundador del grupo 360 Zhou Hongyi presentó dos sistemas de seguridad basados en inteligencia artificial (IA), entre ellos el 'Tulongfeng', que describió como la “versión china de Mythos”, de acuerdo con declaraciones recogidas por la prensa local.

Según el empresario, 'Tulongfeng' es un agente de detección automatizada de vulnerabilidades que abarca escenarios como código abierto, sistemas operativos o plataformas de agentes de IA, y que ya ha detectado un total de 3.432 fallos de seguridad, de los cuales 105 han sido confirmados por las autoridades chinas, aunque no ofreció más detalles al respecto.

Este anuncio se produjo menos de dos semanas después de que Anthropic suspendiera el acceso a sus modelos de IA más avanzados, Mythos 5 y Fable 5, para cumplir con una directiva de control de exportaciones del Gobierno estadounidense que le obligaba a impedir el acceso a estos a cualquier ciudadano extranjero, dentro o fuera de Estados Unidos.

La empresa optó por desactivar ambos modelos para todos los usuarios al no poder restringir el acceso por nacionalidad.

Anthropic había presentado Mythos en abril, cuando advirtió de que el modelo era capaz de detectar y explotar de forma autónoma vulnerabilidades en prácticamente cualquier software, lo que entrañaba riesgos para sectores sensibles como el financiero.

La presentación del 'Tulongfeng' se enmarca en la pugna más amplia entre Pekín y Washington por el liderazgo en el desarrollo de la inteligencia artificial. 

El teléfono suena. En la pantalla aparece un número conocido o, al menos, uno que podría serlo. Al otro lado, una voz que se presenta como tu banco y que te habla con mucha seguridad, usando datos personales, referencias a tu cuenta o a una operación reciente. Todo parece encajar. Y, sin embargo, la duda está ahí: ¿es realmente mi banco o alguien que se está haciendo pasar por él?

La suplantación telefónica se ha convertido en una de las formas de fraude más habituales y más complejas de identificar, ya que los delincuentes son más sofisticados, más creíbles y más difíciles de detectar en el momento. En ese contexto, la tranquilidad no viene de escuchar una voz convincente, sino de poder verificar que es real.

Con esa idea como punto de partida, Banco Santander ha puesto en marcha una nueva funcionalidad de seguridad integrada en su app que permite a los clientes confirmar, en tiempo real, si una llamada que están recibiendo procede realmente del banco. 

El problema no es recibir una llamada, sino no poder comprobarla

Durante años, la recomendación ante una llamada sospechosa ha sido desconfiar, colgar y contactar uno mismo con la entidad por los canales oficiales. Un consejo sensato, pero que no siempre resulta fácil de aplicar cuando la llamada parece legítima, sobre todo cuando llega en un momento de urgencia o donde incluso se utiliza información real de la persona.

Los ciberdelincuentes saben jugar con esos márgenes. Utilizan números falsificados, datos obtenidos previamente y un discurso diseñado para generar presión. El resultado es una situación incómoda para el cliente donde tiene que decidir en cuestión de segundos si confía o no. 

Ante esta problemática, la nueva funcionalidad de Banco Santander actúa justo en ese punto crucial, eliminando la necesidad de interpretar señales ambiguas. Antes de confiar en la llamada, el cliente puede confirmar su autenticidad directamente desde la app. 

Santander te llama: verificación clara y en tiempo real

El sistema, denominado Santander te llama, introduce un cambio sencillo pero significativo en la forma en la que el banco se comunica telefónicamente con sus clientes. A partir de ahora, cada vez que la entidad realice una llamada, el cliente recibe de forma simultánea dos comunicaciones oficiales, una notificación push de la app de Santander y un correo electrónico enviado desde la dirección habitual del banco.

La verificación no requiere pasos adicionales ni configuraciones complejas, ya que se produce de forma simultánea a la llamada. Desde la app, se enviará una notificación con el mensaje: “¡Hola! Te estamos llamando de Banco Santander desde el teléfono: …”. Además, al pulsar sobre la notificación, el cliente puede comprobar en cuestión de segundos más detalles de la llamada.

Dentro de la app, se muestra una interfaz que confirma que la llamada está en curso. Asimismo, la entidad ofrece al cliente información para aprender a detectar si se trata de una llamada fraudulenta, poniendo a su disposición contenidos que le ayudan a saber cómo actuar ante un posible fraude y a identificar una llamada falsa si no recibe la notificación correspondiente.

Nunca se utilizarán SMS ni aplicaciones de mensajería para este tipo de verificación, solamente a través de los dos canales mencionados anteriormente. El servicio ya está disponible para los clientes que tengan activadas las notificaciones de la app o de la banca online, integrándose de forma natural en el uso cotidiano de los canales digitales del banco. 

Saber que es el banco, cuando más falta hace

En un entorno donde las llamadas fraudulentas pueden parecer reales, disponer de una confirmación oficial y simultánea cambia por completo la experiencia del cliente. Ya no se trata de desconfiar de todo, sino de tener una referencia clara en el momento exacto.

La puesta en marcha de esta funcionalidad se enmarca en la estrategia del Santander para reforzar la seguridad digital y seguir incorporando nuevas capacidades de protección y prevención del fraude en sus canales digitales. La entidad continúa impulsando soluciones orientadas a ofrecer una experiencia bancaria cada vez más segura, sencilla y transparente para sus clientes.

Los modelos de inteligencia artificial capaces de ejecutar nuevos y devastadores ciberataques contra gobiernos y empresas están a tan solo unos meses de distancia, según han advertido las agencias de inteligencia de la llamada 'alianza de los Cinco Ojos' (Estados Unidos, Reino Unido, Australia, Nueva Zelanda y Canadá) en una inusual declaración conjunta en la que instan a los líderes a “actuar ya”.

Esta sorprendente intervención pública de la alianza de espionaje, creada tras la Segunda Guerra Mundial, se produce después de que la administración Trump decidiera a principios de este mes prohibir por primera vez el uso de una IA a los “ciudadanos extranjeros”. Se trataba de Fable, una versión recortada de Mythos, un modelo de IA desarrollado por la empresa tecnológica Anthropic y que ha levantado las alertas a nivel internacional por su capacidad de encontrar brechas de seguridad que habían pasado inadvertidas a los mejores especialistas humanos.

El comunicado, emitido a última hora de la noche del lunes, señala que si bien la IA “ayudará a mejorar la ciberdefensa con el tiempo, también acelera la velocidad, la escala y la sofisticación de las ciberamenazas”.

Los modelos de IA de vanguardia pueden transformar profundamente tanto las capacidades ciberofensivas como las defensivas. El plazo no es de años, es de meses

“Se prevé que los modelos de IA de vanguardia superen las expectativas actuales de la industria, transformando profundamente tanto las capacidades ciberofensivas como las defensivas. El plazo no es de años, es de meses”, afirma la advertencia de las agencias de la alianza. “En este entorno, la ciberresiliencia es integral para garantizar la continuidad del negocio, la confianza del mercado y el valor a largo plazo”.

Las agencias de ciberseguridad afirmaron que los saltos cualitativos en los modelos de IA demuestran que la tecnología reducirá las barreras para los actores maliciosos y aumentará la velocidad y complejidad de los ataques.

“Se requiere una respuesta de toda la organización y de toda la sociedad”, añade el comunicado de los 'Cinco Ojos'. “El ciberriesgo ya no puede tratarse como un asunto puramente técnico. Se trata de un riesgo empresarial central y de una responsabilidad de liderazgo”.

El ciberriesgo ya no puede tratarse como un asunto puramente técnico. Se trata de un riesgo empresarial central y de una responsabilidad de liderazgo

Los modelos de IA generativa son nuevas y potentes herramientas capaces de buscar vulnerabilidades en los sistemas de ciberseguridad, y pueden ayudar tanto a explotar esas brechas como a repararlas. “Lo que diferencia a los últimos modelos de IA es que son muy buenos generando exploits (programas para aprovechar fallos de seguridad)”, explica Olivia Shen, experta en seguridad nacional e IA en el Centro de Estudios sobre Estados Unidos de la Universidad de Sídney.

Aunque la declaración de los 'Five Eyes' no menciona explícitamente a ninguna empresa ni modelo de IA por su nombre, las miradas de medio mundo están puestas en la gama avanzada de herramientas de Anthropic.

Una de las últimas creaciones de esta gran firma tecnológica es Fable 5, una versión recortada de Mythos, un potente modelo de IA lanzado a principios de año. Mythos es capaz de detectar vulnerabilidades en sistemas informáticos y solo está disponible para gobiernos y empresas acreditadas debido al temor de que pueda ser instrumentalizado de forma maliciosa.

El gobierno de Estados Unidos suspendió en junio el uso de ambos modelos de Anthropic para “ciudadanos extranjeros”, alegando recomendaciones de las autoridades de seguridad nacional.

Shen señaló que, aunque buena parte del mundo está atenta a los próximos pasos de Anthropic, podría haber muchos otros modelos de IA de gran potencia en el horizonte cercano. “Creo que debemos anticipar que el próximo Mythos o el próximo Fable están a la vuelta de la esquina”, advierte Shen. “Solo podemos ver lo que ya se ha hecho público, pero podría haber otros modelos en desarrollo por parte de países como China, u otros estados, actores y empresas, que sean igual de avanzados”.

El consejero delegado de Anthropic, Dario Amodei, ha reclamado una regulación más estricta para la inteligencia artificial avanzada, que incluya la capacidad de los gobiernos para bloquear o retirar del mercado modelos que no superen pruebas de seguridad independientes, al considerar que los riesgos asociados a esta tecnología ya son “claramente” una realidad.

En un extenso ensayo, el cofundador de la startup que ha conseguido superar a OpenAI —que recientemente alertó sobre los riesgos de su propio sistema Mythos, capaz de detectar y atacar de manera autónoma brechas de seguridad informática—, sostiene que el rápido avance de la inteligencia artificial ha dejado obsoleta la estrategia regulatoria basada únicamente en la transparencia, la que defendía la industria hace apenas unos años.

El directivo plantea que los modelos de IA más potentes sean sometidos a auditorías obligatorias para evaluar riesgos en cuatro ámbitos concretos: ciberseguridad, armas biológicas, pérdida de control sobre sistemas de IA e investigación y desarrollo automatizados capaces de acelerar esos riesgos. Como elemento central de su propuesta, defiende que las autoridades dispongan de capacidad legal para impedir el despliegue de un modelo o revertir su lanzamiento si las evaluaciones concluyen que presenta riesgos inaceptables para la seguridad pública.

El Gobierno debería tener el poder de bloquear o disuadir el despliegue del modelo si se determina, a la luz de una evaluación independiente, que presenta riesgos inaceptables

Dario Amodei — cofundador y CEO de Anthropic

“El Gobierno debería tener el poder de bloquear o disuadir el despliegue del modelo si se determina, a la luz de una evaluación independiente, que presenta riesgos inaceptables”, señala el directivo en su ensayo, en el que puntualiza que esa facultad debería limitarse a los riesgos definidos previamente y contar con salvaguardas frente a decisiones arbitrarias o motivadas por favoritismos políticos.

El ejecutivo compara la situación actual de la IA con sectores como la aviación, la automoción o la industria farmacéutica, donde los productos deben superar controles técnicos antes de llegar al mercado. En este sentido, propone un esquema similar al de la agencia estadounidense de aviación civil, bajo el que los modelos más avanzados tendrían que acreditar estándares elevados de seguridad antes de su lanzamiento.

Amodei argumenta que la evidencia acumulada en los últimos meses demuestra que los sistemas más potentes ya tienen relevancia estratégica nacional e internacional. En particular, alerta del potencial de estas herramientas para afectar a infraestructuras críticas, al sistema financiero o a la seguridad nacional mediante capacidades avanzadas de ciberataque.

Políticas para proteger el empleo humano

El ensayo forma parte de una reflexión más amplia sobre el impacto económico, político y geopolítico de la inteligencia artificial. Entre otras cuestiones, el responsable de Anthropic plantea varias propuestas para establecer incentivos que ayuden a proteger el empleo.

Advierte de que la IA podría provocar “desplazamientos laborales” disruptivos y plantea estudiar mecanismos de apoyo a la renta si se produjera una sustitución masiva de empleo, así como la creación de una alianza internacional de democracias para coordinar normas, cadenas de suministro y medidas de seguridad relacionadas con la IA.

La gente está preocupada por la IA porque percibe correctamente que sus riesgos son reales

“Una amplia gama de incentivos a favor del empleo puede ayudar a frenar o reducir el desplazamiento laboral” como “seguros salariales” que compensen a las personas cuando tengan que aceptar un empleo peor remunerado o incentivos fiscales a la retención para animar a los empleadores a no realizar despidos.

También propone subvenciones para la formación de la fuerza laboral, o infraestructuras para facilitar el emparejamiento entre empleadores y empleados con el fin de acelerar el ritmo de adaptación del mercado laboral. “Deberíamos aceptar de buen grado los costes y las ineficiencias de mercado que estas políticas podrían implicar, especialmente porque es probable que se vean compensados por las ganancias de productividad impulsadas por la IA”, argumenta.

Pese a los riesgos identificados, Amodei sostiene que la tecnología puede generar beneficios económicos y científicos de gran alcance si se acompaña de marcos regulatorios adecuados. “La gente está preocupada por la IA porque percibe correctamente que sus riesgos son reales”, afirma en el texto, donde pide convertir esa preocupación en medidas concretas y no en una oposición generalizada al desarrollo de la tecnología.

Dejar la tecnología del sistema de identificación nacional del país en manos de una empresa estadounidense es una “amenaza para el interés público”. Este ha sido el motivo alegado por el Gobierno de Países Bajos para bloquear la venta de la firma local Solvinity a la multinacional estadounidense Kyndryl, una escisión de IBM que agrupa sus negocios de infraestructura. El acuerdo, que ya estaba cerrado entre ambas partes, ascendía a 100 millones de euros.

Solvinity, fundada en 2015 y con sede en Ámsterdam, es la encargada de DigiD, el sistema nacional de identificación neerlandés, utilizado por sus 18 millones de ciudadanos para acceder a servicios públicos y gubernamentales esenciales como el pago de impuestos, el acceso a historiales médicos, la gestión de pensiones, prestaciones sociales y expedientes académicos. También pone la tecnología que sirve de base a la plataforma de comunicación interna del Gobierno.

Permitir que esos contratos pasen a Kyndryl supondría un riesgo de “dependencia digital” por la “imprevisibilidad geopolítica”, según un dictamen confidencial del Ejecutivo neerlandés al que ha tenido acceso ahora el New York Times. “La amenaza al interés público solo puede evitarse prohibiendo la adquisición propuesta”, reza el documento.

Según detalla el documento, el temor de las autoridades es que leyes estadounidenses como la CLOUD Act permiten a la Casa Blanca obligar a la matriz de Kyndryl a entregar información sensible de la ciudadanía europea o a interrumpir el funcionamiento de suministros informáticos críticos. Este ha sido el motivo por el que el Tribunal de Justicia de la Unión Europea ha tumbado en dos ocasiones los acuerdos internacionales para la transferencia de datos entre Bruselas y Washington.

Los comunicados de las empresas sobre la caída del acuerdo, emitidos a finales de mayo, ya dejaron entrever el problema real que había aflorado durante la operación. “La politización de este proceso ha eclipsado los claros e importantes beneficios que esta operación habría aportado a los clientes de Solvinity y a los ciudadanos neerlandeses”, declaró Kyndryl: “Nos sentimos profundamente decepcionados por la decisión del Gobierno de los Países Bajos de prohibir la adquisición de Solvinity”.

“Solvinity continúa dialogando con las autoridades pertinentes sobre las consideraciones formuladas en el contexto de la seguridad nacional, la autonomía digital y la protección de las infraestructuras críticas neerlandesas”, ha afirmado por su parte la empresa neerlandesa.

Este veto se produce en un marco de creciente debate en el continente respecto a la dependencia estratégica de la tecnología estadounidense. El pasado mes de abril, un informe del laboratorio de ideas Future of Technology Institute expuso que los sistemas informáticos esenciales de España y otros 22 países de la región presentan una alta exposición a las decisiones políticas de la Casa Blanca.

En este caso, la resolución de prohibir la venta a Kyndryl por parte de Países Bajos se mantuvo firme a pesar de la maquinaria diplomática que Washington desplegó entre bambalinas para intentar salvar la operación, destaca el New York Times. Según revelaron funcionarios neerlandeses y estadounidenses, el embajador de Estados Unidos, junto con la Oficina del Representante Comercial de Estados Unidos, presionaron intensamente para que se aprobara la compra. Los esfuerzos fracasaron. Fuentes de la Casa Blanca han expresado al citado medio que la decisión forma parte de una ofensiva europea contra sus empresas tecnológicas.

El Instituto Nacional de Ciberseguridad (INCIBE), ha lanzado una alerta de importancia alta debido a una nueva campaña de fraude digital. Esta vez la amenaza se basa en una técnica denominada smishing, donde los ciberdelincuentes utilizan mensajes de texto para engañar a los ciudadanos. El objetivo principal de estos atacantes es suplantar la identidad de la Agencia Tributaria. Mediante el envío masivo de estos SMS, los estafadores buscan que las víctimas entreguen información delicada de carácter personal y financiero. Es fundamental que los usuarios estén al tanto de esta maniobra para proteger sus cuentas bancarias. El INCIBE subraya que la sofisticación de estos ataques está aumentando para atrapar a los más desprevenidos.  

De hecho, la prevención es actualmente la mejor herramienta de defensa disponible para toda la ciudadanía afectada. El impacto de este tipo de estafas puede ser devastador para la economía de los usuarios. La mecánica del fraude es directa y engañosa, aprovechando la autoridad que proyecta una institución pública como la Agencia Tributaria. Los mensajes recibidos por las víctimas suelen informar sobre un supuesto comunicado pendiente de consultar o una devolución. Para acceder a dicha información, se incluye un enlace que redirige a una página web fraudulenta. Este sitio web está diseñado cuidadosamente para imitar la apariencia visual de la sede electrónica oficial de Hacienda. 

Una vez que el usuario se encuentra en el portal falso, se le solicita que introduzca datos bancarios. Es común que pidan números de tarjetas de crédito o credenciales de acceso a la banca electrónica. Sin embargo, se trata simplemente de un anzuelo para capturar información confidencial de forma ilícita. La rapidez con la que operan estos sitios temporales dificulta en ocasiones su cierre inmediato. Por ello, el INCIBE insiste en la importancia de verificar siempre el origen de cualquier enlace.

Uno de los puntos clave para detectar el engaño reside en analizar detenidamente la dirección URL del enlace proporcionado. Los expertos señalan que las páginas oficiales de la administración pública siempre terminan en dominios .gob.es o .es. En cambio, las plataformas utilizadas por los ciberdelincuentes suelen emplear extensiones mucho más genéricas. Dominios acabados en .top o .click son señales claras de que nos encontramos ante una web de estafa. Estas extensiones son preferidas por los atacantes porque permiten crear y descartar sitios web de forma muy rápida. Cualquier carácter extraño o extensión inusual debe ponernos inmediatamente en estado de máxima alerta. La vigilancia del navegador puede ser la primera barrera efectiva para evitar caer en esta trampa.

Otro elemento que induce al error es el nombre del remitente que aparece en la pantalla del teléfono móvil. Los atacantes emplean una técnica conocida como SMS spoofing para camuflar el número de teléfono de origen. Esto permite que en el dispositivo del usuario aparezca el nombre legítimo de la AEAT como remitente. Lo más peligroso es que el mensaje fraudulento puede colarse en el mismo hilo de mensajes auténticos. Ver mensajes anteriores legítimos en la misma conversación genera una falsa sensación de seguridad en la víctima. No obstante, el INCIBE advierte que no debemos fiarnos únicamente de la etiqueta que identifica al remitente. Esta suplantación técnica es una de las razones por las que este fraude está teniendo éxito. 

Es imperativo desconfiar incluso si el mensaje parece provenir de una fuente de confianza habitual. La tecnología actual permite estas manipulaciones con relativa sencillez para los grupos de ciberdelincuencia organizada. La redacción y el nivel de personalización del mensaje son otros indicadores fundamentales que delatan la falsedad de la comunicación. Las notificaciones reales de la administración pública suelen incluir el nombre, apellidos o parte del NIF. En esta campaña de smishing, los mensajes son extremadamente genéricos y carecen de cualquier identificación personal. Se utilizan expresiones extrañas como “dirigida a usted” o “que usted recibe en calidad de titular”. 

Además, es frecuente encontrar errores tipográficos, como espacios innecesarios antes de los signos de puntuación. La redacción suele ser redundante, artificial y alejada de los estándares comunicativos de la Agencia Tributaria. Estos fallos son típicos en plantillas automatizadas que se traducen o generan de manera masiva por atacantes. Si el tono del mensaje suena forzado o no incluye sus datos básicos, es casi seguro un fraude. La observación detallada de la gramática puede salvarnos de un problema financiero mayor.

Es vital recordar la política oficial de comunicación que sigue la Agencia Tributaria. La AEAT ha reiterado en numerosas ocasiones que jamás solicitará información confidencial por SMS o correo electrónico. Esto incluye números de tarjetas bancarias, claves de acceso o cualquier dato sensible de cuentas corrientes. Tampoco se envían enlaces directos para cobrar devoluciones de impuestos o consultar expedientes específicos. Todas las gestiones relacionadas con devoluciones se tramitan exclusivamente a través de la sede electrónica oficial. Otro canal legítimo es la declaración de la renta presentada formalmente por los cauces establecidos cada año. Cualquier mensaje que prometa un reembolso rápido mediante un simple clic en un enlace es falso.

Actuar rápido

Para aquellos que reciban el mensaje pero aún no hayan interactuado con el enlace, existen pasos preventivos recomendados. Lo más aconsejable es reportar el mensaje al buzón de incidentes del INCIBE para su análisis. Esta acción colaborativa permite recopilar datos que sirven para alertar y proteger a otros usuarios vulnerables. Posteriormente, se debe proceder a bloquear al remitente en el dispositivo móvil de forma permanente. El último paso preventivo es la eliminación definitiva del mensaje para evitar pulsaciones accidentales en el futuro. Si existe alguna duda real sobre una deuda o comunicación, se debe contactar por canales oficiales. Acceder directamente a la web de la Agencia Tributaria sin usar enlaces externos es la mejor práctica. 

En el caso de que un usuario ya haya facilitado sus datos en la web fraudulenta, debe actuar con celeridad. Lo primero es contactar con la entidad bancaria para bloquear tarjetas y movimientos no autorizados. Es fundamental reunir todas las evidencias posibles, como capturas de pantalla de los mensajes y enlaces. Se recomienda presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado con estas pruebas. Además, el INCIBE aconseja realizar egosurfing periódicamente para comprobar si nuestra información ha sido expuesta. Actuar con rapidez puede minimizar el impacto del robo de identidad y de los fondos bancarios. La concienciación ciudadana sigue siendo el pilar fundamental para erradicar estas prácticas delictivas en internet.

En la industria tecnológica, llegar el primero al restaurante no te asegura una silla en la mesa. La sociedad digital no se entiende sin Google, pero la realidad es que la herramienta que lanzó la revolución en el acceso a la información fue AltaVista, adquirida después por Yahoo. El caso de MySpace y su colapso justo antes de que Facebook reventara el mercado de las redes sociales es quizá uno de los más conocidos. Pero hay ejemplos allá donde se mire, como pueden atestiguar aquellos que aseguraban que los teléfonos inteligentes iban a cambiar el mundo con una blackberry en la mano, poco antes de que Steve Jobs presentara el primer iPhone.

El 30 de noviembre de 2022 la humanidad se asomó a ChatGPT y volvió a ver el futuro de la tecnología. El primer chatbot de inteligencia artificial se convirtió en la herramienta digital de más rápida adopción de la historia e impulsó a su creadora, la entonces fundación sin ánimo de lucro OpenAI, al foco mundial. Había empezado oficialmente la revolución de la IA generativa. La cara visible de OpenAI, Sam Altman, se convirtió en una de las personas más populares del planeta y estrechó las manos de decenas de líderes políticos y magnates mientras lanzaba vaticinios sobre el futuro de esta tecnología, el empleo o las relaciones personales.

Poco más de tres años y medio después la situación es muy diferente. El liderazgo de los de Altman, que un día fue incuestionable, ahora corresponde a Anthropic. Se trata de otra startup fundada por un grupo de extrabajadores de OpenAI que salieron de la empresa ante el temor de que esta hubiera dado de lado la seguridad en pos de lograr avances de la manera más veloz posible. Su líder, Dario Amodei, es ahora uno de los mayores evangelistas de la seguridad de la IA.

En cuestión de un par de años, la escisión ha superado a su antecesora. Todo ha sido gracias a superarla en las herramientas destinadas al ámbito corporativo, lo que ha producido un efecto cascada: el dinero de las empresas ha permitido a Antropic acercarse a la ansiada meta de lograr un modelo de negocio rentable para la IA, con unos ingresos anualizados de 47.000 millones de dólares (unos 40.000 millones de euros), según sus datos de mayo. Es casi el doble que la última cifra oficial ofrecida por OpenAI, que se queda en los 24.000 millones.

Esto, a su vez, la ha llevado a superarla también en valoración, con una última ronda de financiación privada que la sitúa en unos 965.000 millones de dólares, unos 100.000 más que OpenAI. La consecuencia de todo ello ha sido otro hito clave: ha sido la primera gran startup de IA en iniciar los trámites para su salida a bolsa. El punto que marca que la era de las promesas ha terminado y arranca la de la presión de los inversores para que logren beneficios.

Una estrategia en tres pasos que ha servido para conseguir el primer cambio de liderazgo en el sector de la IA.

Paso uno: IA para todos con herramientas para unos pocos

Anthropic también tiene un chatbot de IA similar a ChatGPT, llamado Claude. Pero la primera clave del sorpasso no es haber centrado sus esfuerzos en robarle usuarios a OpenAI a través de él. Han sido una serie de herramientas paralelas, como Claude Code, pensadas específicamente para programar.

“Los modelos de IA se adoptan más fácilmente en determinados contextos. Las condiciones clave son que el coste de los errores sea bajo, que el resultado sea fácil de verificar y que el conocimiento esté mayoritariamente codificado. La programación cumple bastante bien con las tres”, explica a elDiario.es Sampsa Samila, profesor del IESE especializado en IA.

La IA es para todos, pero lo que ha llevado al éxito a Anthropic son sus herramientas para los especialistas en tecnología. Específicamente, para los desarrolladores, que han encontrado en la IA su mayor aliada: “El software es fácil de actualizar y, por tanto, los errores se pueden corregir con relativa facilidad. Hay muchas herramientas para probar y verificar programas. El conocimiento está en gran medida en documentación codificada y en el propio código”, continúa Samila, director académico de la Iniciativa sobre IA y Futuro de la dirección de la citada escuela de negocios.

La estrategia para arrebatar el trono a OpenAI no era doblegar a ChatGPT, sino hacerse fuerte en un nicho y crecer a partir de él. “Los chatbots genéricos son canales de distribución potentes, pero por sí solos no constituyen la fuente más sólida de ventaja duradera”, continúa el profesor: “Es demasiado fácil para los clientes cambiar de proveedor, por lo que el poder de fijación de precios es débil. Integrarse en flujos de trabajo y procesos hace que cambiar de proveedor sea mucho más difícil y, por tanto, es mucho más probable que sea una fuente de beneficios sostenidos”.

Paso dos: el ansiado modelo de negocio para la IA

OpenAI “ha tenido un éxito extraordinario en el mercado de consumo”, pero ha sido “esa ventaja técnica en propuestas de valor para el mercado empresarial” de Anthropic la que “ha favorecido una adopción pagada muy rápida en ámbitos profesionales”, coincide el profesor Esteve Amirall, del departamento de Operaciones, Innovación y Data Sciences de Esade.

En los comentarios de Amirall se esconde la segunda clave: “pagada”. ChatGPT lo usan cientos de millones de personas, pero muchas menos pagan por él. Diversas filtraciones apuntan a que OpenAI pierde dinero incluso con las suscripciones de 20 euros, puesto que el coste de la computación que requieren esos usuarios excede ese precio. Mientras, las empresas que han adoptado soluciones basadas en su tecnología están teniendo problemas para rentabilizar su inversión.

El enfoque de Anthropic, en cambio, es el que ha generado el primer modelo de negocio con visos de ser rentable para la inteligencia artificial. Las empresas están dispuestas a pagar mucho dinero por Claude Code y otras herramientas de la startup que les permiten automatizar y potenciar el trabajo de sus desarrolladores. “Proyectos en los que antes invertíamos meses ahora se pueden completar en días por equipos más pequeños. Es uno de los mayores saltos que he visto en los últimos 20 años”, expresaba en el último Mobile World Congress un alto ejecutivo de una de las mayores telecos de Europa.

Proyectos en los que antes invertíamos meses ahora se pueden completar en días por equipos más pequeños. Es uno de los mayores saltos que he visto en los últimos 20 años

“Han sido los que mejor han entendido que las empresas no solo necesitaban un chatbot de usuarios, sino un producto que se pusiera mucho foco en la seguridad, la privacidad y el control de los datos”, explicaba Diego Méndez, director ejecutivo de la firma de software española Tailor Hub, en un reportaje de este medio. “Lo interesante es que Claude Code no solo es un producto, sino una apuesta por una forma diferente de desarrollar software”.

Es una transformación en el sector de la programación que ha bajado rápidamente por toda la cadena, desde las grandes empresas a los aficionados. OpenAI, Google y xAI han sacado herramientas similares, pero Anthropic es la que ha conseguido hacerse con este negocio. “El hecho de que sus modelos funcionaran particularmente bien en tareas de programación, y que esa capacidad se extendiera después hacia entornos de trabajo colaborativo, ha sido un factor decisivo”, sostiene Amirall.

Esa revolución de la programación es la que ha catapultado los ingresos de Anthropic. En enero de 2025, la empresa facturaba unos 1.000 millones al año. En febrero de ese año sacó al mercado Claude Code. A mediados de 2025, sus ingresos habían crecido hasta los 4.000 millones, según la cifra anualizada. Al cierre del ejercicio estaba ya en 9.000 millones. En abril de 2026 llegó a los 30.000 millones y en mayo alcanzó los 47.000.

OpenAI por su parte, no ha aprovechado esa ola por el momento. En 2025 facturó unos 13.000 millones de dólares, mientras que este año está en cifras de llegar a los 24.000. Es un crecimiento enorme, pero lejos de los porcentajes que necesita para sostener sus enormes inversiones en computación.

Desesperados por encontrar beneficios, los de Altman han virado hacia la publicidad basada en la extracción de datos de los usuarios. Es el modelo de negocio que impulsó la revolución digital, pero que da síntomas de agotamiento. Según la última encuesta de IAB, la patronal del marketing digital, solo el 16% de los usuarios afirma que le gusta recibir publicidad personalizada. El propio Altman afirmó que sería “el último recurso de la empresa” porque “la combinación de anuncios con IA” le resultaba “especialmente inquietante”.

Paso tres: impacto real con Mythos

Anthropic también ha sido la primera en lograr un impacto que ha trascendido por completo al sector de la IA. Lo ha logrado con el modelo Mythos, al que todas las empresas del mundo están intentando acceder en este momento. Se trata de una herramienta que mantiene en alerta al sector de la ciberseguridad internacional por su capacidad para localizar brechas en sistemas informáticos y atacarlas de manera autónoma.

Debido al riesgo de que se utilice con fines maliciosos, Anthropic decidió no distribuirla de forma abierta al público. En su lugar, facilita el acceso a grandes empresas tecnológicas y entidades bancarias para que evalúen sus infraestructuras y subsanen las vulnerabilidades antes de que sufran agresiones externas. Las primeras habían sido las estadounidenses y las británicas, lo que ha derivado en presiones a nivel internacional por parte de gobiernos e instituciones de ciberseguridad para lograr acceso al modelo.

Anthropic ha sido tema de conversación en los más altos despachos de las sedes de gobierno, los sectores financieros o de los gestores de infraestructuras críticas. España, que ha consiguido acceder a Mythos esta semana, lo ha celebrado como una muestra de su “influencia en el debate sobre gobernanza de IA de frontera”. “Y responde a la petición que en este sentido trasladaron representantes del Ejecutivo español en sus contactos con Anthropic”, añaden fuentes del Ministerio de Transformación Digital.

Es un techo de cristal que OpenAI no ha conseguido traspasar. Altman ha pasado tres años advirtiendo de que sus productos iban a poner el mundo patas arriba. Sin embargo, ese impacto real no ha llegado. En sus últimas declaraciones al respecto, el ejecutivo ha reconocido que “se equivocaron bastante” en cuanto a las implicaciones sociales y económicas de ChatGPT. “Pensaba que, a estas alturas, la supresión de puestos de trabajo de oficina para principiantes habría tenido un mayor impacto del que realmente ha tenido”, ha admitido, afirmando que se “alegra” de que el apocalipsis laboral que anunció no se haya cumplido.

La ironía es que el siguiente capítulo de esta historia puede repetir el anterior. Anthropic nació de la ruptura con OpenAI por considerar que esta había sacrificado la seguridad en favor de la velocidad y el crecimiento. Ahora, con los trámites de salida a bolsa en marcha, podría ser la primera gran startup de IA sometida a la presión trimestral de los inversores. Con todo, los especialistas consultados enfatizan que no hay que dar por muerta a la empresa que lo empezó todo. “Ambos actores están en niveles tecnológicos muy similares y todavía quedan muchos sectores por explorar. El mercado corporativo seguirá siendo, sin duda, uno de los grandes mercados de esta tecnología”, recuerda Esteve Almirall: “Estamos solo al principio”.

PNV, PSE-EE, EH Bildu y Sumar han sacado adelante una iniciativa en el Parlamento Vasco para reforzar los medios de la Ertzaintza para perseguir la ciberdelincuencia, con el objeto de hacer frente “al actual incremento de ciberdelitos y enfrentarse a los futuros retos del cibercrimen”. La iniciativa partía de la coalición abertzale, que ya venía avisando del “continuo aumento de la ciberdelincuencia”.

El acuerdo alcanzado, ante el que PP y Vox han votado en contra, según informa Europa Press, establece que el Gobierno vasco profundizará en “el proceso de modernización de la Euskal Polizia”, lo que incluye también a los cuerpos locales, “en el ámbito de la ciberseguridad, con el objeto de hacer frente al actual incremento de ciberdelitos y enfrentarse a los futuros retos del cibercrimen”.

Además, en el marco del vigente Plan de Empleo de la Ertzaintza, reforzará los recursos humanos para hacer frente a los ciberdelitos y continuará con la actualización y modernización de los recursos técnicos de la Ertzaintza, también desde el punto de vista de la ciberseguridad, para lo cual se elaborará una planificación específica. Asimismo, la formación en ciberdelitos tendrá su lugar y “relevancia” dentro de los planes de estudio de la academia de Arkaute, para, entre otras cosas, atender adecuadamente a las víctimas. Por último, se reforzarán las labores de prevención, detección y respuesta ante ciberataques, mediante la colaboración entre Cyberzaintza y la jefatura de coordinación de Ciberseguridad de la Ertzaintza.

El parlamentario de EH Bildu Gorka Ortiz de Guinea ha señalado la necesidad de avanzar “hacia un modelo que garantice la seguridad en el espacio digital” ante unos datos “terribles” que reflejan que, “en ocho años casi se ha cuadriplicado la cantidad de ciberdelitos, hasta llegar a ser más de 28.000 en 2025”. Además, ha advertido que estos datos no son “reales”, ya que “diversos estudios manifiestan que la cifra negra del delito digital multiplica ese impacto real más allá de las estadísticas oficiales”. A pesar del “peso” que tienen los ciberdelitos en el total de delitos, el parlamentario de EH Bildu ha criticado que en la Ertzaintza “solo hay 26 ertzainas para investigar 28.000 delitos y es obvio que no son suficientes”. Ortiz de Guinea ha mostrado su satisfacción por el acuerdo: “Es importante que todos nos demos cuenta de que la ciberdelicuencia es un tsunami y que nuestra Policía debe estar muy bien preparada para combatirla”.

La parlamentaria del PNV Josune Escota, que ha remarcado que el acuerdo no implicar “blaquear a EH Bildu”, ha asegurado, frente a la idea de “desbordamiento o improvisación” ante la ciberdelincuencia, que existe “un sistema estructurado que, lógicamente, está en evolución constante y alineado con los estándares europeos”.

Además, ha dicho que en las comisarías “hay agentes que han recibido formación en ciberdelincuencia y que se encargan de asesorar a los agentes de investigación sobre la manera de enfocar esa investigación”, además de existir “unos coordinadores de cibercriminalidad en todas las comisarías, que supervisan las denuncias que se han recogido y hacen seguimiento de todas las gestiones que se realizan”.

Por su parte, ha precisado, la jefatura de coordinación de ciberseguridad, “una iniciativa del año 2025”, se encarga de los casos “más complejos, de los de mayor impacto, los que afectan a menores y los que requieren de alta especialización” y que actualmente está impulsando la optimización de los procesos de denuncia en la Ertzaintza, “la formación y sensibilización a todos los niveles y la clarificación de los términos en las investigaciones de ciberseguridad”.

La parlamentaria del PSE-EE Miren Gallástegui ha reconocido que la ciberdelincuencia “se ha convertido, sin duda, en una de las mayores amenazas para la seguridad y la privacidad en el mundo digital”. “Nos encontramos ante un fenómeno que va a requerir cada vez más de presencia, recursos y atención”, ha manifestado.

Por su parte, la parlamentaria del PP Ainhoa Domaica ha reconocido que, según los datos del Departamento de Seguridad, en 2025 “es verdad que se ha producido un incremento de 1.303 delitos y un incremento porcentual del 4,83%, pero también hay que dimensionar estos 28.271 delitos forman parte de los 143.406 delitos que se produjeron en Euskadi en 2025”, de forma que “la ciberdelincuencia tiene un peso en la delincuencia en Euskadi del 19,71%”.

En ese sentido, Domaica ha puesto de manifiesto que “los delitos presenciales son más del 80% de los delitos que se producen aquí y que son los que realmente generan una mayor preocupación en los ciudadanos”. La parlamentaria del PP ha dicho ver “una intención de EH Bildu de empezar a hablar de seguridad” y “un nuevo acuerdo PNV-Bildu”, que ha enmarcado en “la nueva estrategia del PNV de abrazarse a Bildu, de blanquearlo, de comprarle su discurso en seguridad, aunque hasta ahora ha venido cuestionando sistemáticamente a la Ertzaintza y su funcionamiento democrático” y que “se niega a condenar los ataques a los ertzainas”.

El portavoz de Sumar, Jon Hernández, ha reconocido que hay “una alta incidencia, y lógicamente va a seguir en aumento, de la ciberdelincuencia y de los delitos relacionados con la ciberseguridad” y que hay “una capacidad de protección limitada en Euskadi que debe mejorarse y a la que se le debe dar importancia”. Hernández ha coincidido en la necesidad de modernización de la Ertzaintza “para responder a un tipo de delincuencia que sofisticada y en continua evolución”, así como de formación y aumento de recursos porque el Gobierno vasco tiene “un déficit importante”.

Por último, la portavoz de Vox, Amaia Martínez Grisaleña, ha dicho que le “eriza la piel” que “sea Bildu, precisamente, quien venga a hablar de seguridad”, cuando “continúan apoyando y que todavía no han condenado todos esos crímenes y extorsiones que un grupo terrorista como fue ETA ha producido en nuestra tierra”. “Y nos incomoda que el PNV apoye en un tema de seguridad precisamente a Bildu”, ha indicado.