Es verano de 2026 y dos personas acuden a la sede de una empresa pública de un gran municipio español. Es un padre acompañado de su hijo, un adolescente de 17 años. Vienen a disculparse por un error de juventud, casi “una trastada”, reconocerían más tarde fuentes policiales. Pero una extremadamente grave: el joven ha utilizado modelos comerciales de inteligencia artificial para abrir una brecha en la seguridad del portal oficial de la institución y robar los datos personales de unos 5.000 ciudadanos.

Pese a que el progenitor acudió con su hijo para pedir perdón e informar sobre la necesidad de cerrar el agujero, el alcance de los hechos hizo obligatoria la denuncia a las autoridades. Hoy el caso está en manos de la jurisdicción de menores. Es un ejemplo de las situaciones que se están viviendo alrededor de la IA, pero que pasará bajo el radar.

La Policía no tiene previsto hacer públicos los detalles del caso porque el joven está colaborando. Y podría hacerlo aún más. “Hemos planteado a la autoridad judicial que este chico pueda colaborar con nosotros, obviamente sin tener información de ninguna investigación, pero sí ayudándonos a crear alguna herramienta que nos ayude a monitorizar lo que está sucediendo”, explica el inspector Javier Izquierdo, jefe de grupo de investigación de Ciberataques de la Policía Nacional.

Los hackers adolescentes, y más aún aquellos que colaboran con la Policía, han sido durante décadas un estereotipo exagerado. Una figura alejada de la realidad sobre el terreno de la ciberdelincuencia, cada vez más especializada y profesionalizada. Sin embargo, están reapareciendo. En muchos casos, como el citado, con actividades en las que “no vemos ningún ánimo de lucro”, continúa Izquierdo.

“Estamos deteniendo a chavales menores, algunos con altísimos conocimientos de ciber. Chavales con 15 o 16 años que no han pisado una facultad de informática en la vida, pero que disponen de una cantidad de herramientas que antes no estaban a su alcance. Son nativos digitales, han nacido con una pantalla delante, y ahora cuentan con las posibilidades que ofrece la inteligencia artificial. Es como darle una pistola a un mono, para ellos los ciberataques se han convertido en un reto”, alerta el inspector jefe.

Estamos deteniendo a chavales que no han pisado una facultad de informática en la vida, pero que disponen de herramientas de IA que antes no estaban a su alcance. Es como darle una pistola a un mono

Javier Izquierdo — jefe del grupo de investigación de Ciberataques

Para la Policía esto resulta muy preocupante. No solo por la inconsciencia de los jóvenes, que cometen delitos extremadamente graves solo por “el reto”. También, porque es un patrón: al igual que hace décadas, cuando la llegada de Internet abrió un territorio nuevo en el que algunos adolescentes jugaban a poner a prueba los límites de la tecnología, el mundo está cambiando de nuevo.

La inteligencia artificial vuelve a abrir un espacio inexplorado. Nuevas herramientas, nuevas armas y nuevas defensas. Y con tendencias más peligrosas que el aumento de hackers adolescentes.

Una tecnología que cambia las reglas

Al jefe de la Brigada Central de Seguridad Informática, el comisario Juan Carlos Sancho, le extraña un tanto la petición de elDiario.es de visitar las instalaciones del grupo de investigación de Ciberataques. Para él, es solo una oficina. Pero como la unidad encargada de investigar los ciberdelitos más complejos, es la primera línea donde se están investigando los cambios que la inteligencia artificial trae a los ciberataques.

Una parte de la lógica es sencilla. Hay un efecto llamada. Para los criminales es más fácil pedirle a ChatGPT que haga su trabajo que jugársela sobre el terreno. “Gente que hasta hace un año se dedicaba a llevar la gasolina en una barquita para dársela a los narcos que cruzan el estrecho para traer hachís, ahora la estamos deteniendo por hacer ciberataques de spoofing”, cuenta el comisario.

Gente que hasta hace un año se dedicaba a llevar la gasolina a los narcos en el estrecho, ahora la estamos deteniendo por ciberataques de spoofing

Juan Carlos Sancho — jefe de la Brigada Central de Seguridad Informática

El spoofing es la técnica de suplantar el número de teléfono o el correo electrónico de una empresa o institución. Uno de los formatos más repetidos es falsificar el remitente de los SMS de los bancos para que el intento de estafa llegue bajo el nombre oficial de la entidad: “Se ha detectado una transferencia de 5.000 euros desde su cuenta. Si no reconoce el cargo, active el sistema de seguridad en el siguiente enlace”.

Para este tipo de perfiles, la IA ha derribado las barreras de entrada. “Toda la primera campaña, todas las primeras comunicaciones de 'voy a buscar víctimas', eso ahora lo hace la IA. Gente que no tenía ningún tipo de cultura informática, ni formación técnica ni nada de nada, está cometiendo este tipo de delitos. Compran la herramienta como si la pidieran por Amazon, compran los listados de potenciales víctimas, y con la ayuda de la IA se ponen a ciberatacar”, explica Sancho.

Esta “democratización” del cibercrimen es el principal cambio que ha traído consigo la IA, destacan el comisario y sus agentes. La IA ha limado muchas de las trabas que frenaban a los delincuentes a dar el salto al ciber. Elimina, por ejemplo, la principal pista que permitía detectar fraudes simples, como las faltas de ortografía, facilitando la redacción de ganchos más convincentes.

El impacto se percibe también en estafas más complejas, en las que se están empleando chatbots para contactar a potenciales víctimas. La Policía está viendo cómo en delitos como “el despiece del cerdo” (llamado así porque los ciberdelincuentes se ganan la confianza de la víctima durante semanas o meses para luego intentar estafarla varias veces) ya hay grupos que utilizan IA para llevar a cabo el primer contacto e intentar guiar a los ciudadanos a plataformas falsas de inversión. Los estafadores reales intervienen después, cuando alguien ha mordido el anzuelo y llega el momento del fraude.

Pero el salto va más allá. Un ejemplo detectado en bandas más especializadas es el uso de IA para burlar la verificación de identidad online que utilizan los bancos e instituciones financieras con sistemas de “prueba de vida”, que comprueban que quien aparece ante la cámara es una persona real y no una grabación. Los más habituales son los que piden al usuario que se grabe sosteniendo su DNI y haciendo diferentes movimientos con la cabeza.

“Hemos visto grupos que utilizan DNI robados para darse de alta en servicios muy, muy relevantes, a través de los cuales cometen fraudes. Se ponen una careta de la persona del DNI con inteligencia artificial, y mueven la cara como les pide el sistema. Pero claro, luego ves los vídeos de diferentes personas y está el mismo cuadro, la misma silla o incluso la misma camiseta. Pero la cara ha cambiado”, detalla Sancho.

Veías los vídeos de diferentes personas y estaba el mismo cuadro, la misma silla o incluso la misma camiseta. Pero la cara había cambiado

Juan Carlos Sancho — jefe de la Brigada Central de Seguridad Informática

El comisario sostiene que el agujero que utilizó ese grupo ya se ha subsanado, pero el caso da idea de las capacidades de estas nuevas herramientas. “La empresa que hacía la acreditación se había relajado mucho”, lamenta. En este nuevo escenario, la falta de actualización de las herramientas es una puerta abierta a los delincuentes. “Prefiero no dar más detalles, por si acaso”, responde el comisario ante las preguntas de este medio.

La defensa debe evolucionar ya

La inteligencia artificial está permitiendo automatizar estafas y refinar fraudes para que perfiles sin conocimientos técnicos puedan lanzar ciberataques exitosos. Pero las amenazas que ya eran peligrosas antes, ahora lo son aún más. “Este nuevo paradigma es crítico, no solo por la aparición de actores con escasa especialización, sino también por la potencia que alcanzan aquellos que tradicionalmente han supuesto una amenaza grave”, explica el Centro Criptológico Nacional (CCN).

Si la Policía Nacional libra la batalla diaria contra los fraudes que sufren ciudadanos y empresas, el CCN se ocupa de la alta ciberseguridad de las instituciones e infraestructuras críticas del Estado. Depende directamente del Centro Nacional de Inteligencia (CNI) y su misión es vigilar amenazas a escala global. Su conclusión es clara. “La IA no descansa. Nos enfrentamos a un escenario de automatización y paralelización de los ciberataques que puede hacer colapsar las estructuras defensivas si no se adaptan a la misma velocidad que la parte ofensiva. Los próximos 12 a 18 meses serán decisivos”, avanza el organismo a elDiario.es.

La IA no descansa. Puede hacer colapsar las estructuras defensivas si no se adaptan a la misma velocidad que la parte ofensiva

Centro Criptológico Nacional

Cuando habla de “automatización y paralelización”, el organismo se refiere a cómo los modelos de IA pueden leer el código de una aplicación o analizar cómo responde una web, detectar fallos y preparar herramientas diseñadas expresamente para explotarlos. Esto, que antes exigía horas de análisis especializado sin garantía de éxito, es algo que la máquina puede automatizar y repetir con miles de objetivos a la vez.

Según fuentes policiales, es exactamente el proceso que siguió el joven contra el portal oficial de la empresa pública, con una orden a la IA tan sencilla como: “escanéame la infraestructura de este servicio, dime por dónde se puede atacar y cómo podemos sacar información”.

Esa “capacidad de la IA para detectar automáticamente deficiencias o vulnerabilidades en el software, y desarrollar el código necesario para explotarlas” es la que está cambiando también el modus operandi de las bandas de ciberdelincunecia organizada y los grupos patrocinados por estados, expone el CCN. La tendencia dominante ha dejado de ser los ataques de ransomware, basados en el secuestro de archivos y sistemas informáticos para extorsionar a la víctima. Ahora se centra en el robo de información y bases de datos personales para su posterior venta en el mercado negro.

Un ataque de ransomware equivale a asaltar un comercio por la puerta principal. Explotar un agujero descubierto por la IA es como encontrar las llaves de la entrada de servicio y llevarse la caja fuerte sin ser visto. Es mucho más limpio, ya que de momento “solo es posible determinar si un incidente se ha realizado con IA tras su investigación”, recuerda el organismo.

La consecuencia no son más ciberataques, sino más daño. No hay “un incremento significativo en el número de incidentes gestionados”, pero sí “un aumento en el impacto recibido”, señala el CCN. Los datos del Ministerio del Interior apuntan en la misma línea en cuanto al volumen: el peso de la cibercriminalidad sobre el total de delitos se mantiene en torno al 20% desde 2023, en plena explosión de la IA generativa. No miden, en cambio, la gravedad de los ataques.

Para los defensores, todo esto tiene una parte positiva: no hay que irse muy lejos para encontrar la solución. También es la inteligencia artificial: IA defensiva que frene a la IA ofensiva. O, lo que es lo mismo, “centros de operaciones de ciberseguridad soportados por agentes de IA donde las máquinas, y no las personas, puedan responder a los ciberataques ejecutados con ayuda de la IA”, pide el CCN.

Las personas no pueden seguir el ritmo de las máquinas. Por ello, los defensores deben hacer “un uso extensivo de la IA” tanto para detectar y cerrar los agujeros de seguridad, como para “optimizar las capacidades técnicas de los analistas”. “El punto clave aquí es el control de estos agentes por personas, que deben tener un nivel de formación elevado tanto en ciberseguridad como en IA”, advierte el organismo.

Más allá de la IA contra la IA

Para el resto de ciudadanos, el espíritu crítico es el mejor escudo. Pese a su sofisticación, los fraudes y estafas con IA siguen dependiendo, en casi todos los casos, de engañar a la víctima. “Hay que poner en duda todo lo que se vea en una pantalla. Ya no te puedes creer un audio, un texto o un vídeo solo porque lo estés viendo: tienes que ponerlo en duda”, enfatiza el comisario Juan Carlos Sancho.

Ante cualquier tipo de comunicación oficial o web que genere sospechas, la respuesta debe ser contactar con los canales oficiales de esa empresa u organismo, continúa el mando policial. Incluso aunque en la pantalla del teléfono aparezca el nombre de una entidad reconocida. Y ante todo, siempre hay que desconfiar de cualquier acción que requiera actuar de urgencia, una sensación que los ciberdelincuentes explotan por su capacidad de anular el espíritu crítico de la víctima.

Hay que poner en duda todo lo que se vea en una pantalla. Ya no te puedes creer un audio, un texto o un vídeo solo porque lo estés viendo: tienes que ponerlo en duda

Juan Carlos Sancho — jefe de la Brigada Central de Seguridad Informática

Cuando esa comunicación venga de personas del círculo cercano, también hay un método sencillo para anular cualquier engaño, provenga de la IA o no. Establecer una palabra clave. “En mi familia tenemos una contraseña, una palabra que es una tontería, pero que solo sabemos nosotros. Si alguna vez les pido dinero por WhatsApp o por teléfono, saben que me tienen que pedir esa palabra”, expone Sancho.

Con todo, los especialistas técnicos piden que la responsabilidad recaiga también en las compañías. Esta semana, más de 400 científicos e investigadores de una treintena de países pidieron en una carta abierta a los laboratorios que desarrollan los modelos más potentes que corrijan la “negligencia irresponsable” en sus prácticas de ciberseguridad, tanto en la investigación de IA avanzada como en su despliegue.

Mientras tanto, en la oficina de la unidad de ciberataques, intentan desincentivar a todos aquellos a los que se les pase por la cabeza que los ciberataques son demasiado fáciles como para no intentarlo. Es la “prevención activa”: los agentes crean páginas-señuelo donde se anuncian herramientas ofensivas y en cuanto detectan que alguien está intentando comprar, envían un mensaje de advertencia informando de las penas que recoge el Código Penal y advirtiendo de que la Policía monitoriza constantemente esos canales.

No es una trampa en la que vayan a caer delincuentes experimentados, pero sí puede asustar lo suficiente a los más inexpertos o a los adolescentes aspirantes a hacker, asume el inspector jefe Izquierdo. No obstante, son métodos sencillos que no esconden el problema global: la IA facilita los ciberataques y los defensores piden más recursos, tanto personales como técnicos. “Va a haber que crecer como unidad y con equipos de investigación especializados en esta materia, porque si no, de aquí a muy poco tiempo vamos a estar desbordados. Lo tengo claro”.

El Instituto Nacional de Ciberseguridad (INCIBE) y la Organización de Consumidores y Usuarios (OCU) han alertado sobre una campaña de estafa digital que trata de suplantar a la Dirección General de Tráfico (DGT). Los ciberdelincuentes distribuyen mensajes SMS y correos electrónicos para engañar exigiendo el pago urgente de una supuesta multa pendiente. La trampa utiliza la autoridad del organismo y la amenaza de sanciones para sembrar pánico. Para lograr credibilidad, los atacantes replican el logotipo institucional, lo que hace que muchas personas accedan al enlace por temor a recargos. Las autoridades recuerdan que la DGT jamás notifica sanciones por estos canales.

El funcionamiento de este fraude combina ingeniería social con páginas web fraudulentas muy elaboradas. La estafa comienza al recibir un aviso sobre una multa cuyo importe aumenta si no se abona de inmediato. Los mensajes advierten que la sanción inicial de 100 euros subirá a 200 y alcanzará 400 en apenas 24 horas. Esta estrategia busca anular la capacidad crítica del receptor para evitar que verifique la autenticidad del mensaje. Al pulsar en el enlace, la víctima llega a un portal malicioso que imita la sede electrónica de la DGT. Una vez dentro, se exige ingresar el nombre y la matrícula para consultar el expediente falso.

Las modalidades incluyen tanto mensajes de texto conocidos como smishing o correos denominados en este caso phishing. En los correos identificados por las autoridades se emplean asuntos engañosos sobre expedientes en curso o recordatorios de recargos. Los SMS suelen mostrar siglas oficiales en el remitente e invitan a revisar el expediente. Al analizar la dirección del remitente, se observa que no pertenece al dominio oficial de la DGT. A pesar de incluir siglas institucionales en el enlace, la URL dirige a servidores maliciosos administrados por ciberdelincuentes. La apariencia profesional confunde a los usuarios, convirtiendo esta campaña en un peligro constante.

Tras acceder a la plataforma fraudulenta e introducir la matrícula, la página muestra una sanción inventada por exceso de velocidad. Para persuadir a la víctima de completar el pago, la web exige una cantidad reducida de 70 euros, una cifra suficientemente baja para no generar alarma. A continuación, el sistema redirige a una pasarela falsa donde se requiere la numeración de la tarjeta, fecha de caducidad y código de seguridad. Algunas versiones muestran pantallas de validación que solicitan claves SMS que nunca llegan. Si la víctima introduce sus credenciales bancarias en esta interfaz, los estafadores obtienen el control absoluto sobre sus fondos.

Detectar este tipo de fraudes resulta fundamental para proteger la privacidad de los conductores frente al ciberdelito. Entre las principales señales destaca la extrema urgencia transmitida, así como plazos desproporcionados exigidos bajo amenaza de severos recargos. Asimismo, la presencia de erratas tipográficas, fallos gramaticales o correos no corporativos debería encender las alarmas de cualquier ciudadano. Desde la DGT aclaran que las sanciones solo se notifican por correo postal, Dirección Electrónica Vial o edictos. Ninguna institución pública solicita datos financieros ni pagos instantáneos mediante enlaces enviados por mensajería.

Medidas a tomar

En caso de recibir un mensaje sospechoso en el móvil o en el correo, se recomienda mantener la calma y no interactuar. Bajo ninguna circunstancia se debe pulsar en los enlaces, descargar archivos ni rellenar formularios. La conducta adecuada consiste en realizar capturas de pantalla como evidencia, bloquear al remitente y eliminar la comunicación. Si existen dudas sobre infracciones reales, el ciudadano debe verificar la información accediendo independientemente a la web oficial de la DGT. Reportar estos incidentes al canal de ciberseguridad ayuda a frenar la propagación de nuevos ataques en el país.

Cuando una persona ha sido engañada y ha facilitado datos bancarios en la web falsa, debe activar un protocolo de emergencia inmediato. Es prioritario contactar con la entidad financiera para solicitar el bloqueo preventivo de la tarjeta y revisar movimientos recientes. Adicionalmente, se deben conservar las pruebas del fraude para presentar una denuncia formal ante las Fuerzas y Cuerpos de Seguridad del Estado. Asimismo, conviene acudir a la línea de ayuda en ciberseguridad para recibir asesoramiento ante la suplantación de identidad. Los expertos aconsejan practicar egosurfing periódicamente para comprobar si los datos personales se han publicado.

El Gobierno de Castilla-La Mancha ha elegido a Lola Higuera González como nueva directora gerente de la Agencia de Transformación Digital de Castilla-La Mancha. Sustituye así Juan Ángel Morejudo al frente de este organismo dependiente de la Consejería de Hacienda, Administraciones Públicas y Transformación Digital, tal y como publica este miércoles el Diario Oficial de Castilla-La Mancha (DOCM).

La nueva directora gerente de la Agencia es graduada en Ingeniería en Sistemas de Telecomunicación por la Universidad de Alcalá, máster universitario en Ciencia de Datos (Universitat Oberta de Catalunya), máster universitario en Profesor de Educación Secundaria Obligatoria y Bachillerato, especialidad Tecnología e Informática (UCLM) y máster universitario en Innovación y Transformación Digital (UOC). Actualmente, está cursando el máster universitario en Privacidad y Ciberseguridad (UOC). En sus estudios universitarios de Grado, cabe destacar el año cursado en la Università degli stud Roma Tre (Italia), según ha informado la Junta en nota de prensa.

Habla cuatro idiomas -español, inglés, italiano y francés- y, desde el año 2018, ha ocupado diferentes puestos en empresas privadas del sector de las nuevas tecnologías y la innovación, entre los que destaca la beca como investigadora en el prestigioso Center for Collective Intelligence del MIT de Massachusetts (Estados Unidos).

Entre el año 2021 y 2022 desempeñó el cargo de técnico superior de Tecnologías de la Información y la Comunicación (TIC) en la Junta de Comunidades y un año después pasó a convertirse en directora del Centro Regional de Innovación Digital (CRID), también de la Junta de Comunidades. Hasta ahora ocupaba el cargo de directora general de Infraestructuras de las Telecomunicaciones y Ciberseguridad.

María Asunción Cañada, nueva directora general

Por su parte, también el DOCM publica este miércoles el nombramiento de María Asunción Cañada Belda como nueva directora general de Infraestructuras de las Telecomunicaciones y Ciberseguridad, cargo que, como se indicaba anteriormente, hasta ahora ostentado por Lola Higuera.

María Asunción Cañada es ingeniera técnica informática de Gestión por la Universidad de Castilla-La Mancha (UCLM), máster en Dirección Estratégica en Tecnologías de la Información por la UCLM y está cursando actualmente el grado en Ingeniería Informática por la Universidad Internacional de La Rioja.

Además de otros puestos en la empresa privada, desde 2012 es funcionaria de carrera en la Junta de Comunidades de Castilla-La Mancha. Desde entonces ha estado ligada a la Administración regional en el ejercicio de cargos como analista programador en la Consejería de Educación, Cultura y Deportes, analista de aplicaciones en la Consejería de Presidencia o analista de sistemas en la Consejería de Desarrollo Sostenible.

Desde el año 2024 desempeñaba el cargo de jefa de servicio de Comunicación Audiovisual en la Agencia de Transformación Digital de Castilla-La Mancha.

Renfe ha abierto este viernes una investigación técnica sobre un “incidente de ciberseguridad” relativo a la obtención de datos de viajeros cuyo origen se sitúa en servidores de Adif previamente comprometidos y conectados con las redes de la empresa estatal.

Según ha explicado a través de un comunicado, las indagaciones preliminares apuntan a que los atacantes han tenido acceso a un volumen “limitado” de información de los clientes, principalmente nombres y direcciones de correo electrónico, sin afectación sobre información bancaria ni financiera.

Renfe ha asegurado que su reacción ha sido “inmediata” gracias a la activación de los protocolos de respuesta, el aislamiento de los entornos implicados y la adopción de medidas extraordinarias de contención junto a especialistas independientes en ciberseguridad.

Las pesquisas continúan su curso, aunque la firma ha descartado la sustracción de medios de pago, números de DNI u otros datos sensibles. Además, no hay evidencia de que el material haya sido divulgado públicamente.

“Renfe cuenta con las máximas certificaciones y estándares de seguridad aplicables a infraestructuras críticas y mantiene inversiones permanentes en ciberseguridad, monitorización y protección de sus sistemas. La compañía continúa reforzando estas medidas y colaborando con las autoridades competentes para esclarecer los hechos”, ha resumido.

El suceso ha tenido lugar después de varias semanas de intentos continuados de ataques informáticos contra la infraestructura de Renfe, los cuales fueron bloqueados con éxito por sus mecanismos de protección.

Reacción de Adif

Por su parte, Adif ha informado de que detectó a última hora del jueves una “actividad inusual” dentro de sus sistemas, momento desde el que sus especialistas en ciberseguridad estuvieron trabajando para contrarrestar el ataque y contener su impacto.

“Ninguna aplicación ni sistema relacionado con la explotación ferroviaria se ha visto afectado. La circulación ferroviaria está garantizada y se desarrolla en condiciones de normalidad”, ha precisado Adif.

La administradora de las vías por donde discurren los trenes en España ha presentado la correspondiente denuncia y ha puesto el suceso en conocimiento del Centro Criptológico Nacional (CCN). Asimismo, ha avisado a empresas y proveedores que hayan podido verse afectados para que adopten las medidas oportunas.

Las Olimpiadas Internacionales de Tecnología de la Fundación NTT DATA han convocado a más de cinco mil participantes de nueve países, una gran cita internacional para la que únicamente cuatro estudiantes españoles han logrado clasificarse para disputar la final virtual. Gisela Pérez, Pablo Gil, Mar y Darius Atanasiu, con edades de entre nueve y quince años, representan la creatividad y el compromiso social del talento digital en España. Sus proyectos en la plataforma Scratch ofrecen soluciones prácticas ante problemas como la contaminación marina, la ciberseguridad, el esfuerzo personal y el acoso escolar en las aulas cotidianas.

Con solo nueve años de edad, la barcelonesa Gisela Pérez es la participante más joven de la delegación española en la final internacional. Su aventura interactiva, titulada “Huella humana”, nació tras observar con tristeza la acumulación de plásticos y residuos durante sus excursiones familiares a las playas y bosques. El juego arranca en la orilla del mar ante un brick de leche flotando, preguntando al usuario qué haría al verlo tirado. Mediante retos de limpieza del entorno natural y decisiones responsables guiadas por un avatar propio, Gisela demuestra que los pequeños gestos diarios son esenciales para proteger la salud ecológica del planeta entero.

Desde Vejer de la Frontera, en la provincia de Cádiz, el estudiante de once años Pablo Gil destaca en la competición gracias a su proyecto enfocado en la ciberseguridad infantil. Denominado “Internet seguro”, el juego fue creado tras descubrir su apasionada curiosidad por la informática durante el confinamiento. Preocupado por los riesgos digitales que afrontan sus compañeros al navegar solos por la red, Pablo diseñó retos prácticos para detectar mensajes fraudulentos, contraseñas débiles y trampas de desconocidos. La iniciativa promueve una lección clave: en este juego nadie gana ni pierde, pues todo el mundo aprende a proteger sus datos personales con responsabilidad.

En Salamanca, la joven Mar Miguel, de trece años, se situó entre las ganadoras nacionales tras competir con su videojuego interactivo “Patinando con Minion”. Desarrollado con el apoyo de mentores de la entidad organizadora, el proyecto transmite que aprender cualquier habilidad nueva exige paciencia, dedicación y superación constante ante los obstáculos. Mediante dinámicas de juego progresivas, la propuesta enseña que cometer errores forma parte natural de la educación y que lo fundamental es mantener el entusiasmo por intentarlo de nuevo. La aportación de Mar demuestra que la tecnología resulta idónea para cultivar la perseverancia y el pensamiento crítico juvenil.

En la categoría de los participantes de mayor edad, Darius Atanasiu, un madrileño de quince años vecino de Pinto, presenta el videojuego “Máscara” contra el acoso escolar. Darius, alumno de cuarto de la ESO y programador autodidacta desde los once años, dedicó quince horas a estructurar una propuesta que empieza preguntando al jugador sobre su postura ética frente al acoso. A través de minijuegos sobre empatía e inclusión, la historia muestra cómo los estudiantes afectados ayudan al protagonista, dejando claro que no hay que callarse ante las injusticias. Su proyecto fomenta la solidaridad activa y el trabajo en equipo en los centros educativos.

Dos minutos

La propuesta de Darius resulta especialmente oportuna ante los datos actuales de acoso escolar en España, donde un 14% del alumnado sufre acoso o ciberbullying. El estudiante sostiene que un videojuego informal logra concienciar mejor a los jóvenes que las charlas tradicionales, al involucrarlos en una experiencia reflexiva activa. Para llegar a la final, Darius compaginó sus estudios ordinarios con diez exigentes módulos técnicos, apoyado por una familia que valora la disciplina y el trabajo autodidacta. Su esfuerzo demuestra el enorme potencial de la tecnología cuando se orienta hacia la convivencia pacífica y el bienestar emocional.

Ante la inminente final virtual, los cuatro representantes españoles ultiman sus presentaciones de dos minutos en formato videollamada ante un jurado internacional. Gisela, Pablo, Mar y Darius han demostrado que la programación informática puede transformar retos cotidianos en valiosas herramientas de cambio social. Su logro posiciona a la educación pública y al talento joven de España en el mapa internacional de la innovación digital. Ganen o no en la cita decisiva, estos cuatro estudiantes han probado que la tecnología combinada con la empatía es el mejor camino para construir un futuro mucho más limpio, seguro, justo e inclusivo para toda la sociedad.

Desde este mes de septiembre, los operadores de telefonía móvil en España tienen la obligación legal de aplicar un bloqueo automático sobre todos los mensajes SMS, MMS y comunicaciones RCS comerciales cuyo remitente alfanumérico no aparezca inscrito en el Registro de Alias oficial. Esta iniciativa regulatoria, supervisada por la Comisión Nacional de los Mercados y la Competencia (CNMC), representa el último despliegue del Plan Antiestafas del Gobierno para atajar los fraudes digitales de suplantación de identidad o smishing que afectan diariamente a miles de usuarios en todo el país.

Con la entrada en vigor de este mecanismo, las redes telefónicas españolas filtran de manera continua todo el tráfico de mensajería dirigido a números nacionales. A partir de ahora, cualquier entidad pública o privada —incluyendo bancos, aseguradoras, empresas de transporte, comercios y administraciones públicas— que pretenda remitir avisos utilizando su nombre comercial, marca registrada, denominación social o dominio web deberá haber completado previamente la correspondiente inscripción en la base de datos del regulador estatal para que sus notificaciones puedan ser efectivamente entregadas en los teléfonos móviles de los usuarios receptores.

El procedimiento técnico establece que las compañías operadoras deben consultar diariamente la base de datos pública gestionada por la CNMC para verificar la legitimidad de las cabeceras. Cuando un mensaje intente transmitirse utilizando un identificador alfanumérico que no coincida con la lista oficial de remitentes validados, la red lo interceptará y bloqueará de forma automatizada antes de su recepción. Además, el mecanismo exige garantizar una vinculación directa entre el titular legítimo de la marca y los proveedores de servicios de mensajería o agregadores autorizados para gestionar la transmisión técnica de los envíos comerciales.

Dentro de los protocolos de seguridad estipulados, los proveedores de mensajería habilitados quedan obligados a ejecutar medidas de bloqueo directo en origen siempre que detecten identificadores no registrados, intermediarios no autorizados o envíos que carezcan de la confirmación explícita del titular. De forma complementaria, las empresas operadoras deberán interceptar sistemáticamente todos los mensajes dirigidos a números españoles que procedan de empresas extranjeras no inscritas formalmente en España, estableciéndose como única excepción operativa aquellos supuestos en los que el usuario se encuentre en itinerancia o roaming.

El desarrollo normativo de este sistema se fundamenta en la Orden TDF/149/2025 y en diversas resoluciones de la CNMC. El Registro de Alias quedó constituido en marzo y, posteriormente, se anunció que la base de datos estaría operativa desde el 7 de junio. Sin embargo, la fecha límite para la aplicación del bloqueo se aplazó mediante la Orden Ministerial TDF/558/2026, publicada en el BOE, a petición de los operadores y del propio regulador para gestionar el elevado volumen de solicitudes registradas y testear adecuadamente la compleja integración de los sistemas en red.

Tras vencer esta moratoria técnica, la CNMC ha confirmado que no se otorgarán nuevas prórrogas a las compañías. Aquellas entidades que no hayan registrado sus alias no podrán enviar comunicaciones identificadas con su nombre, aunque conservan la opción de remitir SMS si prescinden de la cabecera comercial. Asimismo, los identificadores de nueva creación pueden tramitarse en cualquier momento a través de la Sede Electrónica del organismo. Como medida de transición, las solicitudes presentadas antes del 14 de septiembre contarán con autorización temporal de hasta tres meses mientras se resuelve su expediente en el registro.

La regulación de las cabeceras alfanuméricas supone un gran cambio en un ámbito informativo que hasta la fecha carecía de control normativo y permitía el uso libre de nombres comerciales por parte de terceros. Según los datos recopilados por las autoridades, el conjunto del Plan Antiestafas ha conseguido bloquear desde marzo un total de 48 millones de llamadas fraudulentas y más de 2,2 millones de SMS engañosos. Esta estrategia de protección digital se reforzará además en octubre, fecha en la que entrará en vigor la obligación para las empresas de utilizar únicamente el prefijo 400 en llamadas comerciales, bajo la misma amenaza de bloqueo en red.

La puesta en marcha de este control ha generado diversas reacciones entre los colectivos de protección al consumidor. La OCU ha valorado la iniciativa como un avance positivo aunque mostró cautela al recordar que medidas previas resultaron insuficientes con el paso del tiempo. Por su parte, FACUA-Consumidores en Acción ha reclamado un esfuerzo decidido de inspección a las administraciones para perseguir los intentos de fraude bloqueados, mientras la CNMC insiste a pymes, autónomos y empresas en la necesidad de revisar notificaciones electrónicas y mantener actualizada la inscripción de sus marcas.

Guadalajara volverá a convertirse durante tres días en punto de encuentro para profesionales, estudiantes, empresas, administraciones y aficionados a la ciberseguridad con la celebración de la 11ª edición de HoneyCON, el congreso de seguridad informática de la ciudad, que tendrá lugar los días 24, 25 y 26 de septiembre de 2026, en la sede de la UNED.

El congreso está organizado por HoneySEC, asociación sin ánimo de lucro ubicada en Guadalajara, cuyo objetivo es fomentar las buenas prácticas en materia de seguridad informática y en el uso de las nuevas tecnologías.

HoneyCON nació con una clara vocación divulgativa: acercar la ciberseguridad a la sociedad y crear un espacio donde empresas, especialistas, instituciones, estudiantes y ciudadanos puedan compartir conocimiento y experiencias, según explican sus impulsores.

Tras once ediciones, HoneyCON mantiene precisamente uno de sus principales rasgos diferenciadores: “Ser la conferencia de seguridad informática de la ciudad de Guadalajara, de todos y para todos”.

¿Qué ofrece el congreso?

El programa combina contenidos especializados con actividades accesibles para personas que quieren iniciarse en este ámbito, además de iniciativas de concienciación y actividades relacionadas con centros educativos.

Las actividades comenzarán el jueves 24 de septiembre con una nueva edición de Hack&Beers Guadalajara, una de las citas tradicionales vinculadas a HoneyCON. A partir de las 18:00 horas, el encuentro reunirá ciberseguridad, divulgación y un ambiente informal que facilita el intercambio de experiencias entre asistentes y ponentes.

La jornada contará con tres intervenciones. Patricia Sotodosos abrirá el programa con Hackeando al Hacker: lo que el OSINT revela, abordando las posibilidades que ofrece la inteligencia de fuentes abiertas.

A continuación, Sergio Cotarelo presentará Sin infraestructura no hay servicio. Finalmente, Ángel Luis Veloy cerrará las ponencias con Del malware al efecto estratégico: cuando un ciberataque deja de ser técnico, llevando el debate desde la vertiente puramente tecnológica hacia el impacto que puede alcanzar un incidente de ciberseguridad.

Esta primera jornada permitirá abrir HoneyCON en un formato “cercano y participativo”, explican desde la organización, favoreciendo el contacto entre profesionales y aficionados y preparando el terreno para las sesiones técnicas que continuarán durante el viernes y el sábado.

El viernes 25 de septiembre llegará el núcleo principal del congreso al Centro Asociado de la UNED de Guadalajara, donde se desarrollará el track general de HoneyCON 2026. La jornada incluirá además actividades especializadas, como un taller privado sobre ciberseguridad industrial, un ámbito que cada vez adquiere mayor importancia ante la digitalización de fábricas, infraestructuras y servicios esenciales. La inauguración oficial está prevista para las 16:00 horas. A partir de ese momento comenzará una tarde de ponencias en la que tendrán presencia algunos de los asuntos que están marcando actualmente la evolución de la ciberseguridad.

A las 16:30 horas, Blanca González presentará Agentes fuera de control. A las 17:20 horas será el turno de Josep Albors con El Regreso del Dragón. Tras las siguientes sesiones y el descanso, Lorenzo Martínez ofrecerá a las 19:20 horas Memorias de un perito forense, acercando a los asistentes al mundo de la investigación y el análisis forense digital. La jornada técnica concluirá con Cota y Kevin Cuenca, que a las 20:10 horas abordarán el Análisis de Firmware.

El viernes finalizará con una cena abierta al público, previa reserva y con la correspondiente entrada, concebida también como un espacio de networking y convivencia entre asistentes, ponentes, organización y profesionales del sector.

El sábado, último día, dedicado a actividades prácticas

HoneyCON cerrará su 11ª edición el sábado 26 de septiembre con una mañana especialmente orientada a los talleres y actividades prácticas, reforzando uno de los principios del congreso: que la ciberseguridad no solo se explique, sino que también pueda experimentarse y aprenderse de forma práctica.

A partir de las 10:00 horas se desarrollarán simultáneamente diferentes actividades. Mario Álvarez impartirá Lockpicking. Introducción al hacking analógico. Ampliando el alcance de las auditorías de seguridad, un taller que permitirá conocer cómo la seguridad física también forma parte de una evaluación integral de seguridad.

En paralelo tendrá lugar Súper Abuelos en la red X1RedMasSegura, de Juan Bermejo, una actividad que refleja la apuesta de HoneyCON por extender la concienciación en ciberseguridad a diferentes generaciones y colectivos. También a las 10:00 horas se celebrará El escáner dijo ‘OK’: Windows dijo ‘NOT Patched’, completando una mañana en la que los asistentes podrán acercarse desde distintas perspectivas a problemas reales relacionados con la seguridad informática.

La edición de 2026 finalizará a las 14:00 horas con la tradicional comida de cierre de HoneyCON, poniendo fin a tres jornadas de actividades y convivencia alrededor de la seguridad informática.

Un congreso de ciberseguridad abierto a la sociedad

Más allá de las ponencias y talleres, HoneyCON pretende contribuir a generar cultura de ciberseguridad. El programa global del evento contempla charlas técnicas, talleres abiertos, actividades de sensibilización para familias, actividades privadas especializadas y acciones relacionadas con centros educativos de la provincia de Guadalajara.

“En un escenario marcado por el crecimiento de las amenazas digitales, la inteligencia artificial, el fraude online, los ataques contra empresas y administraciones y la creciente dependencia de la tecnología, la concienciación y la formación se han convertido en elementos fundamentales”, recuerda la organización. HoneyCON busca acercar estas cuestiones a la ciudadanía utilizando un formato que combina conocimiento técnico, divulgación, formación y comunidad.

Durante los días 24, 25 y 26 de septiembre, Guadalajara volverá así a reunir a la comunidad de ciberseguridad en un evento construido desde la ciudad y abierto a todos los públicos, consolidando una iniciativa que alcanza ya su undécima edición.

Las entradas para asistir presencialmente a las charlas del congreso ya se encuentran disponibles y, debido al carácter presencial del evento, la organización recomienda realizar previamente la reserva.

Un equipo independiente de especialistas de ciberseguridad ha logrado acceder a los sistemas internos de OpenAI utilizando Claude, el modelo de inteligencia artificial desarrollado por su competidora directa, Anthropic. Los investigadores consiguieron hackear la cuenta corporativa de ChatGPT de un empleado de la compañía, lo que les permitió visualizar archivos internos e incluso proponer modificaciones en su repositorio de algoritmos secretos.

El ataque fue ejecutado como parte del programa oficial de recompensas de OpenAI, una práctica común en las tecnológicas que anima a los expertos en ciberseguridad a encontrar los agujeros en sus sistemas antes de que lo hagan los hackers. Por ello, los investigadores no llegaron a alterar el código de ChatGPT ni a realizar otro tipo de modificaciones, pero han ofrecido a OpenAI las pruebas de cómo podrían haberlo hecho. Esta les ha recompensado con 6.500 dólares.

La acción se produjo en julio, pero el equipo de expertos ha desvelado ahora los detalles en exclusiva a The Wall Street Journal (WSJ). Se trata del mismo medio que adelantó la dimisión de Jacob Coxon, el ingeniero de Anthropic que alertó que ni esta empresa ni OpenAI cuentan con los protocolos de seguridad adecuados para impedir que la IA “pierda el control”, lo que podría suponer un peligro existencial para la humanidad antes de 2030.

Ahora, en medio del debate sobre la seguridad de la inteligencia artificial, el equipo de investigadores, pertenecientes a la firma Hacktron AI, pone más dudas sobre la mesa sobre las prácticas de los principales laboratorios que la desarrollan. No solo lograron penetrar en OpenAI, sino que pudieron usar Claude con un propósito malicioso que viola los términos de la compañía. “Agradecemos a los investigadores que se pusieran en contacto con nosotros y compartieran sus hallazgos”, ha comunicado OpenAI. Anthropic, por su parte, no ha hecho comentarios sobre el incidente.

A través del foro

Según los datos publicados, el ataque comenzó el 23 de julio, cuando los investigadores detectaron un fallo en Discourse, la plataforma externa que aloja el foro de la comunidad de OpenAI, cuando esta debía procesar determinados archivos de imagen. El equipo intentó utilizar primero una versión especializada de Claude Opus 4.8 para que escribiera el código necesario para explotar la brecha, sin éxito. Esa misma noche, tras el lanzamiento de Opus 5 por parte de Anthropic, volvieron a intentarlo empleando este modelo. No puso resistencia.

Con la ayuda de Opus 5, los especialistas accedieron a las credenciales de identificación de varios usuarios registrados en ese foro interno de OpenAI. Luego probaron esas mismas credenciales para iniciar sesión a ChatGPT, lo que les abrió la puerta a sus sistemas internos. A través de esa vía, alcanzaron “Monorepo”, el repositorio central donde la empresa dirigida por Sam Altman guarda algunos de los ingredientes secretos de su tecnología, como los algoritmos que hacen que sus modelos de IA funcionen de manera más rápida y eficiente.

No llegaron hasta la propia cocina de ChatGPT, puesto que ese entorno no contenía los archivos de sus parámetros internos (aquellos que determinan cómo procesa la información y genera sus respuestas) pero sí revisar documentación oficial de la compañía y su funcionamiento. Como prueba de su intrusión, enviaron una solicitud de cambio en el código de esos archivos con el nombre de su equipo. “Hemos limitado los permisos de los tokens de inicio de sesión de la comunidad y revocado los tokens y sesiones afectados”, ha dicho OpenAI sobre la intrusión.

Un incidente más

“No creo que seamos tan fuertes como los actores de amenazas chinos. Solo somos tres tipos con suscripciones a Claude y Codex”, ha afirmado Mohan Pedhapati, director de tecnología de Hacktron AI, al WSJ. La cita de los hackers chinos es una referencia a otro incidente sufrido por Anthropic, que ha reconocido que un ataque real proveniente del gigante asiático logró acceder a sus sistemas a finales de 2025. Dario Amodei, fundador y director ejecutivo de la compañía, fue llamado a declarar en diciembre.

Esa investigación continúa activa. En agosto, un grupo de 22 senadores demócratas envió un nuevo requerimiento a Amodei para profundizar en sus explicaciones y exigir la entrega de los registros de actividad de sus modelos. La petición se produjo después de que Anthropic reconociera que un grupo de sus agentes de IA también había escapado de sus entornos de pruebas y navegado sin control por internet intentando cumplir las órdenes que se les habían encomendado, en línea con el incidente de OpenAI y Hugging Face. Los especialistas consultados por este medio opinan que esto es una prueba de que esos entornos de seguridad “no estaban bien diseñados”.

Lo ocurrido con el hackeo supuestamente procedente de China en su competencia parece que no alteró los protocolos de OpenAI, que no decidió aumentar la seguridad hasta este julio. Así lo ha reconocido el presidente y cofundador de la empresa, Greg Brockman, que afirma que fue después del incidente de Hugging Face y el revelado ahora por los investigadores cuando decidieron actuar: “Tomamos al 25% de nuestros ingenieros de producción y les dijimos: 'Lo sentimos, todos vuestros proyectos quedan en pausa. Ahora estáis defendiendo'. Encontramos una serie de problemas graves y los solucionamos”.

El suceso incide sobre la responsabilidad de las compañías a la hora de controlar el uso que se hace de los productos que ponen en el mercado, como están pidiendo responsables públicos tanto estadounidenses como europeos. “El control está en el elemento humano. La supervisión es humana y la responsabilidad tiene que ser humana también”, recordaba este jueves Alberto Gago, director de la Agencia Española de Supervisión de la IA (AESIA), en otro reportaje de elDiario.es.

Quería empezar celebrando que no todo está perdido y que sigue habiendo motivos de esperanza en esta humanidad tras la contención de la ultraderecha en Suecia. Pero otro freno se ha cruzado por el camino, el de la inteligencia artificial. O, mejor dicho, el debate sobre qué hay que hacer con ella.

El debate y las preguntas (algunas existenciales) sobre si hay que frenar ciertos desarrollos o no, sobre los peligros que entraña (o no) para nuestras vidas, sobre cómo tiene que regularse y quién tiene que hacerlo, sobre si las advertencias son interesadas… y un largo etcétera. 

Temo no ser muy original y, aunque no me llevo mal con ella y hablo de vez en cuando con Claude, ChatGPT y Gemini, me ha parecido más prudente no preguntarle. Os aconsejo leer las informaciones y los análisis que hemos ido contando en la última semana en elDiario.es, empezando por los de nuestro especialista de la casa, Carlos del Castillo, que este miércoles ha presentado su nuevo libro, Inteligencia artificial: cartografía de una revolución’ (Editorial Planeta, 2026) a los socios y socias de elDiario.es. O el podcast del día anterior, en el que Juanlu conversa con el periodista sobre el tema del momento.

En esta información, contamos por qué el resto del mundo desconfía del plan de Silicon Valley y de Dario Amodei, el CEO de Anthropic, cuyo ensayo abrió la caja de pandora. La ex secretaria de Estado de Digitalización e Inteligencia Artificial, Carme Artigas, advierte que el sector conocía desde hace años sus propios riesgos, pero que llevaba ese mismo tiempo evitando su supervisión. En este artículo explica por qué ahora.

El experto Esteve Almirall se pregunta quién gana cuando los dueños de la IA piden que los regulen. Considera que es posible regular la inteligencia artificial, pero que el reto es proteger a la sociedad sin convertir la seguridad en el privilegio comercial de unas pocas empresas. 

Me tranquiliza que un experto como Cristian Canton, que hoy es el director asociado del Barcelona Supercomputing Center - Centro Nacional de Supercomputación (BSC), y que fue jefe de un departamento de IA en Meta (Instagram, WhatsApp, Facebook), diga que la inteligencia artificial “no nos va a matar a todos”. Me quedo con este destacado: “La IA no piensa. Cuando le das una instrucción, utiliza todo su repertorio de herramientas para alcanzar el objetivo. Si eso implica acceder de forma ilícita a un servidor, lo hará. Por eso es indispensable delimitar con claridad cómo debe ejecutar la tarea y bajo qué límites. Tenemos que guiarla”.

El debate, seguramente, no esté en frenar o contener, como si fuera un reactor nuclear, sino en gobernar cómo se despliega.

Pero no todo acaba con la IA (nunca mejor dicho). Te animo a que sigas leyendo este boletín y espero que el resto de informaciones y reflexiones te sean útiles o te parezcan interesantes.

El dato

24

Son los kilos de comida al año que cada persona tira a la basura en España. Según el Informe de desperdicio alimentario de 2025, del Ministerio de Agricultura, Pesca y Alimentación, el año pasado se tiraron más de 1.129 millones de kilos o litros. Es el equivalente a 24,03 kg (o litros) por persona y año, según los datos desglosados por Agricultura, que indican cambios a lo largo de los últimos ejercicios. La mayor parte se lleva a cabo en los hogares, donde crece el desperdicio de platos preparados, probablemente, por el aumento de sus ventas en los supermercados. “Es un problema económico y moral. Estamos bajando el desperdicio, pero sigue siendo una tasa alta”, apunta el ministro, Luis Planas. 

El gráfico

Bomberos, médicos, maestros, policías… jueces. La actualidad en unos casos (incendios, danas, politización de la justicia) y el descontento de muchos colectivos, en otros (en la sanidad o en la enseñanza), nos ha hecho preguntarnos ¿cuánto cobran los empleados públicos en España? Dar una cifra exacta es complicado. Depende de la administración para la que trabajen —algunos dependen de los ministerios, otros de las comunidades autónomas y también de las corporaciones locales, que establecen sus propios rangos salariales—, de la profesión, sus funciones y responsabilidad, los complementos que reciben, dónde están destinados, si realizan guardias o turnos especiales, su antigüedad… El gráfico es solo un botón de muestra, en esta completísima información, hacemos una radiografía salarial de los más de 3,6 millones de empleados públicos, de los que menos a los que más cobran.

Tipos (y tipas) de interés

Lawrence Wong, primer ministro de Singapur. Se mantiene. Esta vez, más que evaluar al protagonista, lo utilizo como tema de debate (o provocación). El Gobierno de Singapur ha anunciado hace unos días una subida del 9% de los salarios de los altos cargos ministeriales: el sueldo anual del primer ministro, Lawrence Wong, aumentará en más de un millón de dólares, hasta los 2,8 millones (unos 2,45 millones de euros). Son los sueldos de políticos más altos del mundo. Donald Trump cobra 400.000 dólares por el cargo y Pedro Sánchez, 96.000 euros. Responde a la estrategia a largo plazo para atraer talento y reducir la corrupción, diseñada en las primeras décadas tras la independencia del país. 

La ciudad-Estado (que es casi una dictadura disfrazada de democracia) argumenta que los bajos salarios hacían que los mejores candidatos rara vez se dedicaran a la política y que, cuando lo hacían, se veían expuestos a la tentación. El sistema aplica un modelo de incentivos y sanciones y funciona bajo una lógica corporativa, con objetivos. La remuneración de los políticos se vincula a los 1.000 ciudadanos con mayores ingresos del país, y una parte sustancial de la remuneración (alrededor del 35%) es un variable vinculado a cuatro métricas que cada una de ellas pesa un 25%: el crecimiento del PIB real, la contención del desempleo y el aumento del ingreso real tanto de la clase media como del 20% de la población con menores recursos. Si a la población singapurense no le va bien económicamente o se destruye empleo, el sueldo final del primer ministro y su gabinete se reduce automáticamente y el variable es cero. 

Las cifras macroeconómicas parecen avalar el éxito del modelo en cuanto al cumplimiento de los parámetros exactos por los que se evalúa la nómina de sus gobernantes: registra una renta per cápita nominal cercana a los 90.000 dólares (que roza los 140.000 dólares ajustada al poder de compra, duplicando con holgura la media de la OCDE), un crecimiento del PIB real del 4,6% en el primer trimestre y una tasa de desempleo anclada en el 2,0%. No obstante, economistas e historiadores recuerdan que este rendimiento extraordinario no responde únicamente al sistema de objetivos, sino también a factores estructurales diferenciales como su condición de hub fiscal y logístico global, su reducido tamaño geográfico y un marco regulatorio altamente flexible e inmune –claro– a las fricciones partidistas.

Si esta estrategia reduce la corrupción es también objeto de un debate abierto: Singapur ocupa el tercer puesto por la cola entre 182 países en un índice, pero Hong Kong, con salarios mucho más bajos, también obtiene buenos resultados. 

No todo nos parece mal

No sé qué relación tienes tú con Amazon. Imagino que de amor-odio, como casi todos. Nos hemos acostumbrado a comprar casi todo por Internet. Muchas cosas que apenas encuentras en cualquier otro lado (y que a veces ni necesitas). Nos facilita la vida y nos la perjudica al mismo tiempo, especialmente por la movilidad, por la contaminación… y por el efecto sobre el comercio tradicional y cómo su transformación (que muchas veces termina en cierre) configura un nuevo paisaje urbano, sobre todo en las ciudades. El año pasado Amazon registró el mayor volumen de entregas rápidas de su historia, con más de 190 millones de envíos completados el mismo día o un día después en España. Casi nada. El repartidor con el paquete de Amazon (que no es de Amazon) ya forma parte de nuestra cotidianidad y, sin embargo, no hace tanto. 

Justo esta semana, el gigante que construyó Jeff Bezos, uno de los hoy todopoderosos oligarcas tecnológicos, ha cumplido 15 años en España. Cuenta la compañía que el punto de partida aquí fue el pedido de un ejemplar del Código Penal y que, en estos tres lustros, ha acumulado una inversión de 25.000 millones de euros, ha alcanzado una plantilla que ronda las 30.000 personas y más de 17.000 pymes venden en su plataforma. La multinacional estadounidense que comenzó vendiendo libros es hoy una de las grandes empresas tecnológicas mundiales, no exenta –tampoco en este caso– de polémica. Las multimillonarias inversiones en centros de datos, especialmente en Aragón, no convencen a todos por igual por el elevado consumo de recursos energéticos.

Nos gusta la competencia

Estas informaciones de otros medios me han parecido interesantes:

Y con esto lo dejo por hoy. Muchas gracias por estar ahí y hasta la próxima semana. 

¡Un abrazo!

El Instituto Nacional de Ciberseguridad (INCIBE) y la Policía Nacional han alertado a la ciudadanía de la propagación de una peligrosa modalidad de ciberestafa a través de WhatsApp. Esta amenaza, calificada por expertos en ciberseguridad como un ataque de tipo zero-click, está generando un impacto social más elevado de lo habitual en España. A diferencia de los engaños tradicionales, donde los ciberdelincuentes necesitan convencer al usuario para que pulse un enlace malicioso, escanee un código QR o descargue un archivo adjunto infectado, esta técnica vulnera el perfil de la víctima sin requerir interacción alguna por su parte.

Y es que la peligrosidad radica en que el titular del teléfono sigue utilizando su cuenta con total normalidad, completamente ajeno al fraude que los atacantes están ejecutando de forma paralela a su propio nombre. El origen del problema técnico se encuentra en la explotación en cadena de dos fallos de seguridad que afectan directamente a dispositivos móviles desactualizados. Según los investigadores, las bandas criminales aprovechan una vulnerabilidad crítica presente en anteriores versiones de iOS, combinada con un fallo en la app de mensajería. Este escenario de riesgo se produce principalmente en teléfonos antiguos cuyo software no ha sido renovado por falta de espacio o por omitir las descargas de seguridad.

Los desarrolladores de la plataforma han lanzado parches que corrigen estas brechas, por lo que la exposición al ataque afecta de forma exclusiva a quienes mantienen terminales y aplicaciones en versiones obsoletas desprovistas del código de protección. Una vez que los ciberdelincuentes logran el acceso no autorizado al perfil, despliegan una cuidada estrategia de suplantación de identidad dirigida a los contactos más estrechos de la víctima. Utilizando la cuenta legítima del usuario, los atacantes entran en las conversaciones recientes con familiares o amigos para solicitarles transferencias económicas urgentes.

Los mensajes apelan al vínculo afectivo inventando situaciones de apuro, como la necesidad de abonar un envío contra reembolso o adquirir un móvil por una supuesta rotura del terminal habitual. Al recibir la comunicación desde el número y chat de siempre, las personas del entorno confían plenamente en la veracidad de la petición e ingresan importes elevados en cuentas señaladas por los estafadores sin llegar a sospechar en ningún momento del engaño.

La clave técnica que permite a los estafadores mantener el delito en la absoluta invisibilidad se basa en la sincronización de la cuenta a través de dispositivos vinculados. Los atacantes interactúan mediante la versión web de la plataforma y, tras enviar los textos fraudulentos, seleccionan de inmediato la opción de eliminar solo para mí. Como consecuencia de la sincronización entre el terminal del titular y el equipo del atacante, los mensajes enviados se borran instantáneamente de la pantalla de la víctima pero permanecen intactos en los chats de los destinatarios. De este modo, la persona suplantada no encuentra ningún rastro ni registro de las peticiones en su historial.

Las fuerzas de seguridad y el INCIBE han registrado múltiples casos documentados que demuestran el elevado alcance de este fraude desde sus primeras detecciones en Italia durante el año 2026. Un ejemplo esclarecedor es el de usuarios jóvenes y profesores universitarios cuyos padres y parejas recibieron solicitudes de pago por importes cercanos a los mil euros de manera totalmente inesperada. Las víctimas no llegaron en ningún momento a facilitar códigos SMS de confirmación ni claves PIN, lo que evidencia la eficacia del ataque directo al sistema. La efectividad psicológica reside en la absoluta confianza interpersonal que caracteriza a las conversaciones de WhatsApp, donde el receptor no intuye que tras el perfil habitual se encuentra una red criminal.

Cómo reaccionar

Ante cualquier sospecha de que la cuenta de mensajería ha sido comprometida por este método, las autoridades recomiendan activar de forma inmediata un protocolo estricto de contención de daños. El primer paso consiste en alertar cuanto antes a los contactos más cercanos utilizando medios alternativos, como llamadas de voz, SMS tradicionales o correo electrónico, para que no realicen ninguna transferencia bancaria. Posteriormente, es indispensable acceder a los ajustes de la aplicación para revisar la sección de dispositivos vinculados y cerrar cualquier sesión no reconocida. Asimismo, se aconseja desinstalar y volver a instalar la aplicación.

Para consolidar la protección del teléfono móvil y evitar futuros ciberataques, resulta imprescindible actualizar el sistema operativo iOS y la aplicación a su última versión disponible de manera urgente. Junto a la actualización de software, los especialistas insisten en la activación inmediata de la verificación en dos pasos desde la configuración de seguridad de la app. En el caso de que se haya materializado algún perjuicio económico, es necesario contactar de inmediato con la entidad bancaria para intentar la cancelación del pago y acudir a la Policía Nacional o Guardia Civil para interponer la correspondiente denuncia.

Cada día realizamos infinidad de operaciones a través de internet: compramos entradas para un concierto, reservamos un apartamento para las vacaciones, hacemos una transferencia, pagamos con el móvil o enviamos documentación importante. Se ha vuelto algo tan habitual que apenas reparamos en ello. Y aunque cada vez estamos más informados sobre cómo hacerlo con seguridad, la educación financiera y la prevención siguen siendo fundamentales, especialmente cuando la inteligencia artificial puede hacer más convincentes las estafas. Porque esa comodidad ha simplificado muchas gestiones, pero también ha ampliado el terreno de juego para los ciberdelincuentes, que perfeccionan continuamente sus métodos para aprovechar cualquier descuido.

Los fraudes resultan cada vez más difíciles de identificar. Los mensajes fraudulentos ya no están plagados de faltas de ortografía ni llegan desde direcciones claramente sospechosas. Hoy pueden imitar con fidelidad la imagen de una empresa conocida, hacerse pasar por un familiar o utilizar herramientas de IA para generar textos o incluso voces que parecen auténticas. En este contexto, actuar con calma y conocer unas pautas básicas de seguridad puede marcar la diferencia.

Los pequeños hábitos

La mayoría de las estafas digitales no aprovechan grandes fallos de seguridad, sino pequeños gestos cotidianos. Por eso, incorporar algunas rutinas sencillas puede reducir de forma considerable el riesgo de convertirse en víctima de un fraude.

Una de las primeras recomendaciones consiste en descargar únicamente las aplicaciones que realmente sean necesarias y siempre desde las tiendas oficiales o desde la web del desarrollador. Del mismo modo, conviene desconfiar de cualquier programa cuya procedencia no esté clara o que llegue a través de un enlace recibido por mensajería o correo electrónico.

También es importante evitar realizar operaciones sensibles cuando estamos conectados a una red wifi pública. Consultar la banca online, introducir datos sensibles o efectuar compras desde conexiones compartidas puede exponer información personal si la red no ofrece las garantías de seguridad adecuadas.

Mantener actualizados el móvil, el ordenador o la tableta es otra medida sencilla y muy eficaz. Las actualizaciones no solo incorporan nuevas funciones, sino que corrigen vulnerabilidades que podrían ser aprovechadas por los ciberdelincuentes. Lo mismo ocurre con el antivirus, que conviene mantener al día.

Otro consejo básico es navegar únicamente por páginas web de confianza. Antes de introducir datos personales o bancarios merece la pena dedicar unos segundos a comprobar que la dirección es la correcta y no presenta elementos sospechosos. Esa prudencia debe aplicarse a los enlaces que llegan por SMS, correo electrónico o aplicaciones de mensajería. Aunque aparentemente procedan de una empresa conocida, nunca está de más verificar su autenticidad antes de pulsar sobre ellos.

Las contraseñas son otra pieza fundamental de la seguridad digital. Utilizar una diferente para cada servicio, crear claves robustas y activar, cuando sea posible, la verificación en dos pasos añade una capa adicional de protección. Igualmente, conviene revisar periódicamente la configuración de privacidad de las redes sociales y evitar compartir más información de la necesaria. Cuantos menos datos circulen sobre nosotros, más difícil será que alguien pueda utilizarlos para construir un engaño creíble.

El papel de la IA

Entre las estafas que más se han extendido en los últimos años figura la conocida como el fraude del hijo en apuros. Todo comienza con un mensaje desde un número desconocido en el que alguien asegura haber cambiado de teléfono y pide ayuda urgente para realizar una transferencia. La situación busca provocar una reacción inmediata, apelando a la preocupación de quien recibe el mensaje.

En estos casos, un gesto tan sencillo como llamar al número habitual del supuesto familiar suele bastar para descubrir que se trata de un intento de fraude. La misma recomendación sirve para cualquier comunicación inesperada que solicite dinero, datos personales o códigos de verificación: antes de actuar, conviene detenerse unos segundos y comprobar la información por otra vía.

La irrupción de la inteligencia artificial ha elevado aún más el nivel de sofisticación de estos engaños. Hoy resulta posible generar mensajes perfectamente redactados, imágenes realistas e incluso voces capaces de imitar a otra persona con un alto grado de fidelidad. Sin embargo, la tecnología también refuerza una idea que sigue vigente: la mejor defensa continúa siendo el criterio de quien está al otro lado de la pantalla.

Por todo ello, la educación financiera adquiere un papel cada vez más relevante. Conocer cómo funcionan las estafas, identificar las señales de alerta y adoptar hábitos seguros permite desenvolverse con mayor tranquilidad en un entorno digital que forma parte de nuestra vida diaria. No se trata de desconfiar de todo, sino de aprender a reconocer cuándo conviene hacer una pausa antes de compartir información o realizar una operación.

Al igual que cerramos la puerta de casa al salir o utilizamos el cinturón de seguridad al conducir, proteger nuestros datos personales y financieros debería convertirse en un gesto cotidiano. La prevención no elimina por completo el riesgo, pero sí dificulta enormemente el trabajo de quienes intentan aprovecharse de la confianza de los demás.

Esta es una información del programa Educación Financiera de Ibercaja en colaboración con Funcas. Cultura financiera para todos. Más información en fundacionibercaja.es/educacionfinanciera.

La advertencia llega envuelta en un tono de máxima urgencia. En una carta abierta firmada por más de un centenar de empresas del sector tecnológico y de ciberseguridad, gigantes como OpenAI, Anthropic, Google, Microsoft o Amazon avisan que se avecina una oleada de ciberataques impulsados por inteligencia artificial contra infraestructuras críticas, “desde hospitales y plantas de tratamiento de agua hasta la infraestructura que alimenta Internet”. “Tenemos una ventana limitada para fortalecer las ciberdefensas”, recalcan.

El manifiesto asegura que la situación en la ciberseguridad cambiará profundamente en los “próximos meses”: “Los ciberataques impulsados por IA se generalizarán y se volverán mucho más sofisticados a medida que los modelos de todo el mundo adquieran mayor capacidad”. Un escenario para el que la industria tecnológica propone un plan de cuatro frentes: exigir a las empresas privadas que revisen sus protocolos, instar a las firmas de ciberseguridad a liderar la respuesta, hacer que los desarrolladores de IA sean “responsables” con sus modelos avanzados, y, sobre todo, reclamar a los gobiernos que tomen cartas en el asunto.

En este sentido, piden a las instituciones que modernicen sus estructuras de defensa, engrasando los canales de alerta entre el sector público y el privado y estableciendo mecanismos de coordinación de respuestas. Pero, especialmente, piden dinero: “Financiar la ciberdefensa”, a través del “acceso a IA defensiva eficaz, pruebas autorizadas y asistencia práctica a través de proveedores y socios de confianza”.

“Es fundamental reconocer que la seguridad actual no será suficiente”, inciden los firmantes, entre los que también se encuentran Amazon, IBM, Oracle o el BBVA como representante español. Un aviso que hace unas semanas ya elevaron la inteligencia estadounidense y sus principales socios, conocidos como la alianza de Los Cinco Ojos.

El escape del verano

La carta llega tras un verano en el que se han sucedido las noticias sobre modelos de IA que “escaparon” de sus entornos protegidos para realizar ciberataques contra otras empresas u objetivos. OpenAI, Anthropic y Meta han revelado haber tenido este tipo de incidentes en los dos últimos meses.

El más sonado envolvió a OpenAI y la plataforma de código para desarrolladores Hugging Face, ambas firmantes del texto. Las dos compañías se vieron envueltas en un incidente de seguridad cuando agentes autónomos de la creadora de ChatGPT rompieron el aislamiento de su entorno de pruebas, accedieron de forma no autorizada a Internet y se coordinaron entre sí para penetrar en los sistemas de Hugging Face.

Si bien estas revelaciones consiguieron acaparar portadas y provocaron inquietud en algunos especialistas, otros expertos indicaron que las empresas estaban buscando un impacto publicitario. “Me parece que en algunos casos tiene un componente de venta del producto”, opina Rafael López, analista de ciberseguridad de la firma Checkpoint.

“Por ejemplo, en el caso de Anthropic, explicaron que el modelo se había dado cuenta de que estaba en un entorno aislado y fue capaz de salir de él para conectarse a Internet y realizar los ataques que le habían ordenado. Ese 'incidente' le viene muy bien a la empresa de IA, porque puede vender las capacidades del modelo en ciberseguridad y para hacer cosas que antes se creían imposibles”, detalla el especialista: “No digo que todo sea humo, pero sí que es un argumento muy bueno de venta”.

Ahora estas empresas defienden que esos sistemas pueden ser un escudo ante la amenaza de ataques automatizados. “Pongamos la IA con capacidad cibernética al alcance de los defensores, empezando por los equipos que protegen los servicios esenciales”, solicitan en la carta. Con todo, los expertos recuerdan que el diagnóstico que hacen los gigantes tecnológicos es verídico: muchos estados llevan años descuidando la protección de sus infraestructuras, con configuraciones obsoletas y falta de personal defensivo.

Además de las grandes tecnológicas del software y la nube (AWS, Microsoft, Google, Oracle) y los laboratorios de IA (OpenAI, Anthropic, Hugging Face, Scale AI, Perplexity), entre los firmantes del manifiesto figuran las mayores multinacionales de la ciberseguridad privada (CrowdStrike, Palo Alto Networks, Zscaler, Fortinet, Cloudflare, Snyk), firmas de consultoría (PwC, KPMG, Oliver Wyman) y gigantes financieros como el citado BBVA y Citi, Mastercard o Visa.

Se ha vuelto a detectar una masiva y peligrosa campaña de mensajes de texto fraudulentos que suplanta, de forma directa, a la Tesorería General de la Seguridad Social. Los ciberdelincuentes esta vez envían un SMS al teléfono móvil de los ciudadanos informándoles de que disponen de una supuesta actualización pendiente en el sistema. El mensaje insta de manera urgente a pulsar sobre un enlace de internet adjunto para gestionar dicho trámite administrativo de forma inmediata. Sin embargo, este enlace redirige a una página web falsa que suplanta la identidad de la propia Tesorería General.

Esta estafa ha sido identificada y calificada con un nivel de importancia alta por el Instituto Nacional de Ciberseguridad (INCIBE), así como por la Guardia Civil, que ha utilizado sus redes oficiales para alertar a la ciudadanía sobre este engaño que busca hacerse con datos confidenciales de los usuarios mediante enlaces maliciosos. Este tipo de ciberataque es conocido bajo la denominación técnica de smishing, una modalidad de fraude que se basa en el envío de mensajes de texto simulando ser una entidad legítima. El objetivo principal de estos mensajes es confundir a los receptores para robarles información privada o realizarles un cargo económico en sus cuentas de forma fraudulenta.

Por lo general, los ciberdelincuentes aprovechan la confianza que los usuarios depositan en las instituciones públicas o de servicios esenciales para hacerlos picar en el anzuelo de manera rápida. La Seguridad Social constituye uno de los cebos más utilizados por estas organizaciones cibernéticas, junto con otras entidades públicas de gran relevancia como la Agencia Tributaria, los ayuntamientos locales o los servicios postales de Correos, con el fin de maximizar el número de víctimas y obtener un mayor impacto económico ilícito. De esta forma, la víctima asume falsamente la autenticidad del remitente.

Una vez que el usuario hace clic en el enlace que acompaña al mensaje de texto, es redirigido a un sitio web fraudulento que copia con gran precisión el portal real. La página falsa imita a la perfección los logotipos de la Seguridad Social, las tipografías corporativas, los colores institucionales y la disposición visual para lograr una apariencia de absoluta verosimilitud ante el público. Con el propósito de dar mayor credibilidad al fraude y tranquilizar al usuario, el sitio web malicioso exige superar un supuesto control de seguridad. Este filtro falso consiste en una verificación para confirmar que la persona no es un robot, lo que imita las medidas habituales que se encuentran en entornos seguros y legítimos en internet, logrando así que la víctima disminuya su nivel de alerta y continúe con los pasos del trámite.

Asimismo, este tipo de mecanismos interactivos pretenden convencer al usuario de la legalidad de las operaciones antes de solicitar datos. En el interior de este portal web falso, se muestra una notificación que informa sobre la disponibilidad de una supuesta prestación económica que está pendiente de revisión. Concretamente, en los casos reportados por los afectados a organizaciones de consumidores como la OCU, se ofrece un total pendiente de cobro de 305 euros. Para supuestamente gestionar el abono y proceder al trámite, la página solicita de manera sucesiva el ingreso de datos personales como el nombre completo y el número del DNI. Una vez introducidos estos datos, el sistema fraudulento solicita de forma obligatoria los datos bancarios completos y el número de la tarjeta de crédito bajo el falso pretexto de realizar un ingreso directo de esa cantidad de dinero. El usuario no sospecha que está entregando sus claves en bandeja.

A pesar del cuidado diseño visual de la página web falsa, existen múltiples elementos técnicos que delatan el engaño si se realiza una observación atenta y analítica. Los enlaces de internet que circulan en esta campaña masiva utilizan diferentes direcciones que imitan dominios legítimos del Estado, pero que en realidad son completamente extraños. Entre los dominios fraudulentos detectados y denunciados por portales de verificación figuran ejemplos con errores ortográficos como portelsegscoial punto click, seg guion social guion gob punto us, portaliseg guion socolsegob punto click o portaeliseg guion socailbgob punto click. Estas direcciones sospechosas no guardan ninguna relación con la única dirección web oficial de la Seguridad Social.

La Seguridad Social ha recordado de manera tajante a todos los ciudadanos que bajo ninguna circunstancia solicita el pago de deudas ni la actualización de datos mediante enlaces recibidos por SMS. Para acceder de manera completamente segura a cualquier tipo de trámite de la Tesorería General y evitar cualquier engaño, es necesario utilizar únicamente las vías oficiales autorizadas. Los usuarios deben abrir de forma directa en sus navegadores la aplicación de Importass, el portal web oficial de la Tesorería General de la Seguridad Social, o bien acceder a su área personal a través de la Sede Electrónica. Desde estas aplicaciones del Estado se pueden consultar de forma verídica todas las notificaciones pendientes sin correr el riesgo de sufrir una estafa financiera ni comprometer los datos de las tarjetas.

Rapidez y capturas

Para aquellas personas que hayan accedido al enlace y facilitado datos de carácter personal o bancario, se recomienda actuar de forma rápida siguiendo un protocolo de seguridad. El primer paso indispensable es ponerse en contacto inmediato con su entidad financiera para proceder al inmediato bloqueo de las tarjetas y evitar cargos económicos no autorizados. En segundo lugar, es muy importante reunir y guardar de manera ordenada todas las evidencias posibles del fraude informático, como capturas de pantalla, los mensajes recibidos y las direcciones web de los enlaces maliciosos. La rapidez en la reacción y el acopio de pruebas digitales resultan cruciales para minimizar el impacto del fraude y reclamar devoluciones bancarias.

Una vez recopiladas todas las evidencias necesarias sobre la estafa, el afectado debe presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Asimismo, es aconsejable reportar el mensaje fraudulento al buzón de incidentes del INCIBE para alertar sobre la campaña activa y evitar que otras personas resulten estafadas. Como medida preventiva adicional, los expertos recomiendan practicar el egosurfing de manera periódica durante los meses posteriores al incidente para verificar que la información personal expuesta no esté siendo utilizada de forma indebida en la red.

Cáceres será la sede el próximo mes de septiembre de la III edición del Congreso Extremeño de Transformación Digital, Inteligencia Artificial, Ciberseguridad y Robótica. Bajo el lema 'Activa tu potencia', el encuentro promovido por la Consejería de Economía, Empleo y Transformación Digital abordará materias clave como el empleo, el talento, el emprendimiento y la inversión a través de la participación de más de 40 ponentes.

La presentación institucional ha corrido a cargo del secretario general de Transformación Digital e Inteligencia Artificial, Juan Carlos Preciado, y del director general de Digitalización Regional, Jesús Coslado. Durante el acto, Preciado ha destacado el peso creciente del sector en la estructura económica autonómica, señalando que en 2025 el empleo tecnológico creció en Extremadura ocho veces más rápido que el empleo general, generando cerca de uno de cada cinco nuevos puestos de trabajo con salarios un 38,5 % superiores a la media regional.

El balance presentado por la Junta muestra un incremento en los indicadores de eficiencia del tejido productivo. La productividad por trabajador ocupado ha pasado de 57.354 euros al inicio de la legislatura a 65.281 euros, lo que supone una subida cercana al 14 %. Asimismo, entre enero y junio de 2026, la facturación del sector servicios en la comunidad creció un 7 %, situándose por encima del 5,7 % registrado a nivel nacional.

Crecimiento económico e impacto de la IA

En el ámbito empresarial, el 15,14 % de las compañías extremeñas de diez o más trabajadores utiliza ya herramientas de inteligencia artificial, lo que representa un aumento de casi seis puntos en comparación con el año anterior. “No hablamos únicamente de más tecnología, sino de menos complejidad administrativa, mejores servicios públicos, empresas más productivas y empleo de mayor calidad”, ha remarcado Preciado.

En materia de gestión pública, el proceso de digitalización ha permitido multiplicar por siete los trámites y solicitudes electrónicas en los últimos tres años. La revisión de 431 procedimientos ha recortado un 57 % los tiempos de tramitación y un 70 % el volumen de documentación requerida a los ciudadanos.

Por su parte, Jesús Coslado ha explicado que esta edición incorporará el formato 'Inmersión Digital', concebido para fomentar el aprendizaje práctico y el networking. “No queremos que el asistente sea un mero espectador; queremos que experimente la tecnología, participe, establezca contactos y salga de Potencial Digital con nuevas ideas, capacidades y oportunidades”, ha concluido el director general.

Cada vez más empresas abandonan el tradicional sistema de claves alfanuméricas para adoptar las denominadas passkeys como nuevo estándar de seguridad. Esta tecnología surge para solucionar el eslabón más débil de la ciberseguridad corporativa: las contraseñas que los empleados olvidan, reutilizan o comparten inadecuadamente. Las passkeys representan una revolución en la autenticación que ya están integrando algunos gigantes tecnológicos en sus plataformas. El cambio no es meramente estético, sino una respuesta directa a la creciente vulnerabilidad de los sistemas tradicionales frente a ataques masivos.

Actualmente, millones de trabajadores utilizan este método para acceder a sus herramientas diarias sin tener que memorizar complejos códigos de acceso. Es el inicio de una era sin contraseñas donde la comodidad y la protección avanzada convergen finalmente para el usuario. La adopción masiva está transformando la manera en que las organizaciones protegen sus activos digitales más críticos y confidenciales. El éxito de esta transición depende de entender que la seguridad informática ha cambiado para siempre gracias a esta solución.

Una passkey es fundamentalmente una credencial criptográfica diseñada para sustituir definitivamente a las contraseñas tradicionales en el entorno laboral. En lugar de teclear una clave, el trabajador confirma su identidad utilizando los mismos métodos que ya emplea para desbloquear su smartphone personal. Esto incluye el reconocimiento facial, la huella dactilar o un número PIN específico configurado previamente en su dispositivo de trabajo. Al eliminar la necesidad de memorizar caracteres complejos, se reduce drásticamente el error humano que suele comprometer la seguridad de la red.

El proceso de inicio de sesión se vuelve mucho más ágil, pasando de minutos de espera a apenas unos pocos segundos. Este método se basa en estándares globales para garantizar una interoperabilidad total entre diferentes sistemas y navegadores. Los dispositivos modernos ya están listos para implementar esta tecnología de forma nativa. Así, la biometría se convierte en la llave digital definitiva que abre las puertas de las aplicaciones y servicios corporativos.

El funcionamiento técnico de estas credenciales se asienta sobre un sistema robusto de criptografía asimétrica basado en dos claves distintas. Cuando un empleado crea una passkey, su dispositivo genera automáticamente una clave pública y otra clave privada que están interconectadas. La clave pública se almacena de forma segura en el servidor de la empresa o del servicio al que se desea acceder. Por el contrario, la clave privada nunca abandona el dispositivo del usuario y permanece protegida en componentes de hardware aislados. Durante el inicio de sesión, el servidor envía un desafío que solo puede resolverse mediante el uso de la clave privada local. Esta validación se realiza internamente en el equipo tras verificar la identidad del trabajador mediante su biometría o su código PIN.

Es importante destacar que el servicio externo nunca recibe la huella dactilar ni la imagen del rostro del usuario durante este proceso. Este aislamiento garantiza que la información sensible del empleado permanezca siempre bajo su control directo y fuera de servidores externos. Uno de los mayores atractivos de las passkeys empresariales es su resistencia absoluta frente a los ataques de phishing más convencionales. Una passkey está vinculada intrínsecamente al dominio específico para el que fue creada, impidiendo su uso en sitios web fraudulentos o imitaciones.

Aunque un ciberdelincuente logre engañar al trabajador para que acceda a una URL falsa, la credencial simplemente no funcionará allí. Además, al no existir un texto que memorizar, el empleado no puede entregar accidentalmente sus datos de acceso a terceros malintencionados. Por otro lado, este sistema elimina el riesgo asociado a las filtraciones masivas de bases de datos de contraseñas corporativas. Los servidores solo guardan claves públicas que resultan inútiles para un atacante sin acceso físico al dispositivo donde reside la clave privada. Esto neutraliza los ataques de fuerza bruta y el uso de credenciales robadas que circulan masivamente en la internet oscura. La seguridad ya no depende de la complejidad de una palabra, sino de la robustez de un algoritmo criptográfico avanzado.

La implementación de passkeys conlleva beneficios operativos significativos que van más allá de la mera protección de los datos de la empresa. El departamento de soporte técnico suele dedicar una gran parte de su tiempo a gestionar incidencias relacionadas con el olvido de claves. Al adoptar este nuevo método, las solicitudes de restablecimiento de contraseñas disminuyen drásticamente, liberando recursos valiosos para tareas de mayor impacto. La productividad de la plantilla también mejora, ya que el acceso a las herramientas de trabajo es mucho más rápido y fluido. El ahorro en costes administrativos y de soporte justifica por sí solo la inversión tecnológica necesaria para realizar esta importante transición. Además, las empresas pueden cumplir más fácilmente con las normativas europeas de protección de datos que exigen métodos de autenticación fuertes.

Dos modalidades

Y es que, como afirma Jordi Alarcón, responsable de IT de Esofitec, empresa especializada en soluciones tecnológicas de facturación, contabilidad, gestión y recursos humanos, “cuando hablamos de contraseñas siempre existe la vulnerabilidad. Este sistema las elimina, ofrece más seguridad y hace el acceso más sencillo. Desde el punto de vista de un departamento de IT son un gran avance, ya que reduce el problema que suponen los errores humanos, el eslabón más débil en las estructuras de ciberseguridad”.

Dentro del ámbito empresarial, existen dos modalidades principales de passkeys que las empresas deben evaluar según sus políticas de seguridad internas. Las passkeys sincronizadas permiten utilizar la misma credencial en varios dispositivos autorizados a través de servicios en la nube de confianza. Esta opción ofrece una gran comodidad y flexibilidad para empleados que cambian constantemente entre su ordenador portátil, su tablet y su móvil. Sin embargo, para entornos con requisitos de seguridad extremos, existen las passkeys vinculadas estrictamente a un único dispositivo físico. Estas credenciales no pueden copiarse ni sincronizarse, actuando como guardianes de fortaleza que exigen el uso exclusivo de un hardware concreto. Muchas empresas optan por estas últimas para proteger accesos críticos a infraestructuras sensibles o datos financieros de alta confidencialidad.

El correo electrónico reúne hoy una parte importante de la actividad digital de cualquier usuario. En una misma cuenta pueden acumularse conversaciones, documentos de trabajo, fotografías, recibos y accesos a otras plataformas. Perder la contraseña o quedarse sin el teléfono habitual puede provocar que toda esa información quede temporalmente fuera de alcance. Por ello, se han ido incorporando distintas vías para comprobar la identidad cuando el método principal no está disponible.

Hasta ahora, la recuperación de una cuenta de Google podía apoyarse en recursos como los códigos enviados por SMS o las aplicaciones de autenticación. Estas opciones continúan formando parte de los sistemas de protección, pero dependen de que el titular conserve el dispositivo, tenga conexión o pueda consultar el código correspondiente. Cuando ninguna de esas alternativas resulta accesible, volver a entrar puede convertirse en un proceso más complicado y dejar al usuario sin acceso a contenidos que necesita consultar.

Google ha comenzado a desplegar una nueva posibilidad basada en la verificación facial mediante un vídeo selfie. La herramienta permite asociar previamente una grabación del rostro a la cuenta y utilizarla más adelante si el propietario queda bloqueado o no dispone de su móvil u ordenador de confianza. No sustituye de forma automática al resto de mecanismos, sino que añade otra vía para demostrar quién está intentando acceder y recuperar el control del perfil. Su finalidad es ampliar las opciones disponibles ante una pérdida de acceso.

Cómo se configura y se utiliza el vídeo selfie

La preparación se realiza desde un dispositivo con cámara. El usuario debe situarse frente a ella y seguir una serie de indicaciones que le piden efectuar pequeños movimientos de cabeza. El objetivo es registrar la cara desde varios ángulos, en lugar de guardar únicamente una imagen fija. El proceso consiste en una grabación corta que queda vinculada a la cuenta de Google para que pueda emplearse en una futura comprobación.

Ese registro inicial es necesario porque sirve como referencia. Si en otro momento la persona no puede iniciar sesión por los medios habituales, el sistema le pedirá que grabe una nueva secuencia. Después comparará ambas capturas para determinar si corresponden al mismo rostro. La coincidencia permite confirmar la identidad y facilitar el regreso a la cuenta sin depender exclusivamente de un mensaje de texto o de un código temporal.

Durante la comprobación también se solicitan movimientos en directo. Esta medida pretende verificar que hay una persona delante de la cámara en ese instante y reducir la posibilidad de que alguien utilice una fotografía obtenida de internet, una imagen impresa o una grabación preparada con anterioridad. La autenticación no se basa, por tanto, en un solo fotograma, sino en una secuencia que recoge distintos gestos y posiciones del rostro.

La incorporación de este sistema amplía las opciones disponibles. Puede resultar útil si el titular ha perdido el teléfono, no tiene acceso al equipo desde el que suele conectarse o no puede utilizar temporalmente otros métodos configurados. Aun así, el vídeo facial funciona como una alternativa adicional dentro del proceso de recuperación y no implica la desaparición de las herramientas anteriores.

Privacidad y medidas frente a la suplantación

La grabación solo se almacena cuando el usuario da su consentimiento. Mientras permanece asociada al perfil, se conserva cifrada para impedir que pueda consultarse. Además, el titular mantiene la posibilidad de eliminarla desde los ajustes de su cuenta si deja de querer utilizar esta forma de identificación. De este modo, la activación del recurso depende de una decisión expresa y puede revocarse posteriormente.

El funcionamiento combina varias capas de protección. Por un lado, compara el vídeo realizado durante el intento de acceso con el registrado en la configuración inicial. Por otro, exige respuestas físicas en tiempo real para comprobar que la captura está siendo creada en ese momento. La unión de ambos controles busca dificultar los intentos de entrar con fotografías, vídeos manipulados u otros materiales que traten de imitar la apariencia del propietario.

Este tipo de verificación parte de una idea sencilla: utilizar un rasgo que acompaña al usuario incluso cuando no conserva sus dispositivos habituales. Sin embargo, el sistema no convierte el rostro en el único requisito para acceder de manera cotidiana. Su función principal es ofrecer una salida adicional en situaciones en las que la persona no puede recurrir a las fórmulas que tenía preparadas.

La llegada del vídeo selfie también recuerda la importancia de configurar con antelación varias opciones de recuperación. Tener más de un procedimiento disponible reduce la dependencia de un único teléfono o aplicación. La nueva herramienta añade la identificación facial a ese conjunto de alternativas y permite que el propietario disponga de otra forma de acreditar quién es cuando pierde el acceso a una cuenta que concentra una parte relevante de su información personal y profesional.

El periodo estival suele asociarse a la desconexión y al descanso vacacional, pero para los departamentos de tecnología representa una etapa de máxima alerta. Los expertos en ciberseguridad advierten que los ataques informáticos a empresas experimentan un incremento aproximado del 30% durante estos meses de calor. Esta tendencia responde a una estrategia deliberada de los ciberdelincuentes, quienes aprovechan que las organizaciones operan con personal reducido y protocolos de vigilancia menos estrictos. No bajar la guardia resulta fundamental para garantizar la continuidad del negocio tras el regreso de las vacaciones.

Y es que la ciberdelincuencia no descansa cuando el resto de la sociedad se toma un respiro necesario, intensificando sus campañas de intrusión. Por ello, el nivel de protección debe ser una prioridad estratégica dentro del cumplimiento corporativo de cualquier empresa. Mantener la vigilancia activa es la única forma de evitar que un descanso merecido se transforme en una crisis reputacional. La vulnerabilidad de las compañías aumenta sobre todo debido a la combinación de plantillas bajo mínimos y una relajación general de las medidas preventivas. Durante el verano, muchos empleados trabajan de forma remota desde ubicaciones poco habituales, lo que multiplica los vectores de entrada para posibles intrusiones. Los atacantes son plenamente conscientes de que el departamento de informática puede estar vacío o con menos recursos técnicos disponibles.

Esta situación crea un entorno perfecto para que los intentos maliciosos tengan una mayor probabilidad de éxito que en otros meses del año. Es común que los protocolos de acceso se vuelvan más laxos para facilitar la operatividad de quienes cubren las ausencias. Además, la contratación de personal temporal para sustituciones añade un riesgo extra si no existe una formación de seguridad adecuada. Por tanto, la seguridad no debe verse como algo técnico, sino como un pilar organizacional fundamental. La concienciación debe ser el primer cortafuegos ante cualquier amenaza que busque explotar el factor humano.

Entre las amenazas más recurrentes en esta temporada, el phishing se posiciona como la técnica preferida debido a su alta efectividad. Se estima que los intentos de suplantación de identidad por correo electrónico aumentan significativamente, especialmente los dirigidos a individuos específicos. Los delincuentes utilizan ganchos relacionados con reservas de hoteles, billetes de avión y ofertas turísticas para engañar a los trabajadores desprevenidos. Además del fraude al consejero delegado y el robo de identidad, el ransomware sigue siendo una preocupación crítica para los expertos. Estos ataques buscan cifrar la información sensible de la empresa para exigir un rescate económico por su posterior liberación. La sofisticación de estos mensajes maliciosos hace que incluso el personal más experimentado pueda caer en la trampa.

Para mitigar estos riesgos, implementar la autenticación multifactor en todas las cuentas corporativas se considera una medida de primer orden. Este sistema añade una capa de verificación adicional que dificulta enormemente el acceso no autorizado a los recursos críticos. Asimismo, es imperativo realizar una actualización exhaustiva de todos los sistemas y software antes de iniciar el periodo de vacaciones. Los parches de seguridad corrigen vulnerabilidades conocidas que los hackers intentarán explotar si no están debidamente cerradas. La automatización de las copias de seguridad es otro pilar fundamental para asegurar la recuperación de datos ante un desastre.

El uso de conexiones remotas seguras es indispensable para aquellos trabajadores que mantienen su actividad laboral durante el periodo estival. Desde el Instituto Nacional de Ciberseguridad recuerdan que “durante las vacaciones de verano se visitan aeropuertos, hoteles, etc. En casi todos estos lugares existe la posibilidad de conectarse a Internet a través de redes Wi-Fi públicas. Como no sabemos quién las gestiona, ni quién puede estar conectado, es preferible no conectarse a ellas. Antes de acceder a servicios online con usuario y contraseña, asegurarse de que la dirección empieza por ”https“, y mucho mejor emplear una ”VPN“.

Además, se debe ejercer un control estricto sobre los dispositivos móviles que se utilizan para fines laborales. Implementar políticas de cifrado, contraseñas robustas y la capacidad de borrado remoto es vital en caso de pérdida o robo. Limitar los accesos al personal estrictamente autorizado reduce significativamente el radio de impacto de una posible brecha. El principio de mínimo privilegio asegura que cada usuario solo acceda a lo que realmente necesita.

“La seguridad depende, sobre todo, de las personas”, afirma Jordi Alarcón, responsable de IT de Esofitec, empresa especializada en soluciones tecnológicas de facturación, contabilidad, gestión y recursos humanos: “Nos relajamos, asumimos la carga de compañeros de vacaciones o seguimos revisando el correo corporativo desde el móvil, sin estar tan alerta, lo que facilita que acabemos haciendo clic en enlaces maliciosos. Por eso, si vas a teletrabajar desde un entorno no habitual, evita conectarte a wifis abiertas y mantén el Bluetooth o el AirDrop desactivados. Y, si eres responsable de ciberseguridad, aprovecha para revisar el protocolo de copias de seguridad y activar protocolos de ciberresiliencia.”

Cómo reaccionar

La formación del personal, incluyendo a los sustitutos temporales, constituye una de las mejores inversiones en materia de seguridad informática. Es crucial que los nuevos empleados conozcan los protocolos de la empresa y sepan identificar los ataques más comunes. No descargar aplicaciones de origen dudoso ni archivos adjuntos sospechosos son pautas básicas que deben reforzarse constantemente. La curiosidad por ofertas vacacionales o guías de viaje en formato PDF puede esconder virus informáticos altamente peligrosos. Además, se recomienda moderar la información que los empleados publican en sus perfiles personales de redes sociales. Compartir la ubicación en tiempo real o las fechas exactas del viaje puede dar pistas valiosas a los atacantes.

Contar con un plan de respuesta ante incidentes bien definido permite actuar con rapidez si ocurre una intrusión accidental. Todos los miembros de la organización deben saber a quién contactar y qué pasos iniciales seguir de forma inmediata. La detección temprana de comportamientos anómalos en los equipos puede evitar un desastre de mayor impacto reputacional. Antes de cerrar por vacaciones, realizar una búsqueda proactiva de brechas de seguridad ayuda a blindar el entorno digital. Por eso, en verano la ciberseguridad sigue siendo una necesidad imperativa para la supervivencia empresarial. Proteger la infraestructura tecnológica significa salvaguardar la confianza de los clientes y la reputación de la marca. Los ciberdelincuentes no se toman vacaciones y su actividad se intensifica precisamente cuando detectan una menor vigilancia.

La digitalización avanza a pasos agigantados. Su mayor ventaja es que permite a las pymes adaptar sus modelos de negocio, innovar y competir en mercados que antes parecían inalcanzables.

En ese contexto, la ciberseguridad se convierte en un factor clave para garantizar la continuidad y la reputación de cualquier empresa, sea cual sea su sector de actividad y su tamaño.

En un encuentro en Toledo, bajo el lema Ciberseguridad: hackeando la mente. Conoce los riesgos, cuida la seguridad de tu pyme, tres especialistas vinculados tanto al sector público como al sector privado han intercambiado experiencias y han ofrecido recomendaciones de buenas prácticas para la pequeña y mediana empresa.

¿Cómo proteger el negocio en la era de la Inteligencia Artificial a través del conocimiento de los nuevos riesgos? La seguridad digital en las pequeñas y medianas empresas se plantea hoy como una necesidad porque convivimos con algoritmos y con tecnología cada vez más desarrollada que beneficia a las empresas, pero que también utilizan los ciberdelincuentes.

La mesa redonda, organizada por elDiario.es Castilla-La Mancha, en colaboración con BBVA, ha reunido a Andrés Prado, director TIC en la Universidad de Castilla-La Mancha, y coordinador de este sector en la Conferencia de Rectores de las Universidades Españolas (CRUE), Mario Martín, CEO de la empresa UNITEL Ciberseguridad y Laura del Pino, Discipline Leader Information Security en BBVA España, en una conversación moderada por la directora del medio, Carmen Bachiller.

¿A qué tipos de fraude digital se enfrentan las empresas? ¿Cuáles son las claves de la prevención? Estas son algunas de las preguntas que deben plantearse las pymes frente a unas amenazas que evolucionan de forma constante y con un ingrediente añadido: la IA.

Pregunta.- La Universidad de Castilla-La Mancha sufrió ciberataque, allá por el año 2021. ¿Cómo fue darse cuenta de que algo no iba bien y cuál fue la reacción?

Respuesta (Andrés Prado).- Lo primero que pensamos es cómo nos podía estar pasando eso a nosotros. Nos cambió la forma de pensar y de abordar la ciberseguridad porque la cuestión no es si puede pasar sino cuándo pasará.

Ocurrió un domingo por la noche y este tipo de situaciones no lo son por azar. Hay que olvidar el romanticismo del hacker porque hay quien ha convertido la ciberdelincuencia en una industria.

Después de la sorpresa inicial, fuimos muy conscientes de nuestras capacidades y también fuimos muy honestos con la situación que estábamos abordando, por eso contamos con especialistas. También establecimos un plan de comunicación muy claro con nuestra comunidad universitaria.

Pregunta.- Si hablamos de amenazas, ¿cuáles son las tendencias en el ámbito de los ciber fraudes, especialmente en pymes?

Respuesta.- (Mario Martín).- En UNITEL creamos hace unos cuatro años un área específica de ciberseguridad tras confirmar que la ciberdelincuencia va en aumento. Desde 2020 sabemos que la aplicación de la IA está suponiendo algo bueno para frenar los ataques (a través de los SOC o centros de operaciones de seguridad que gestionan ciberataques masivos para contenerlos y neutralizarlos), pero también hay quien la utiliza, precisamente, para provocarlos.

Una de las amenazas más frecuentes ahora es el ransomware, un código malicioso que penetra en la red para escalar privilegios, secuestrar datos y después pedir un rescate. Siempre recomendamos que no se pague. Después está el phishing, por ejemplo, a través del correo electrónico, con ataques ahora muy dirigidos a determinados sectores o personas, y que busca suplantar para robar datos o dinero.

Además, hay mucho robo de credenciales que se venden en la Dark Web y los usuarios tenemos la manía de usar la misma contraseña para todo. No es un buen hábito.

Pregunta.- BBVA lleva mucho tiempo trabajando en la concienciación y la cultura de ciberseguridad. ¿Hay errores recurrentes en las pymes, humanos u organizativos, que dejan la puerta abierta al fraude? ¿Cómo les estáis ayudando a integrar la seguridad en su día a día?

Respuesta (Laura del Pino).- Hay que desmontar mitos. El primero es que los ciberdelincuentes solo atacan a empresas grandes. La realidad es que hay una industria del cibercrimen que funciona como una empresa. Al final es coste/beneficio.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo.

El otro mito es que en la ciberseguridad se soluciona todo con tecnología. Es cierto que es fundamental tener algunos básicos (como un antivirus), pero también es importante la formación.

P.- ¿En qué sentido?

R (Laura del Pino).- Por ejemplo, hay una amenaza que es el fraude por cambio de cuenta del proveedor. Consiste en suplantar la identidad de un proveedor de la empresa a través del correo electrónico. Incluye una cuenta de pago de facturas, que previamente habrá cambiado para que el dinero llegue al ciberdelincuente. Cualquier empresa debe saber cómo actúan los ciberdelincuentes para poder actuar.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo

Laura del Pino — Discipline Leader Information Security en BBVA España

¿Cómo proteger tu empresa?

P.- ¿Qué medidas pueden ponerse en práctica ante un ciber ataque?

R (Laura del Pino).- Una cosa sencilla es contar con un protocolo interno de doble verificación. Si un proveedor me pide que le pague en una cuenta nueva hay que verificarlo. Basta una simple llamada para evitar el engaño. La concienciación y formación es muy relevante.

Desde BBVA ofrecemos información y formación. Ofrecemos cursos online y gratuitos sobre ciberseguridad a través de la plataforma Coursera a cualquiera. No tiene que ser cliente.

En breve estrenaremos un espacio de noticias sobre ciberseguridad en la web y ponemos a disposición de los clientes herramientas que les ayuden a identificar posibles fraudes en la relación con el banco. Incluso monitorizamos operaciones no habituales. Hay también productos como los ciberseguros que incluyen un análisis de riesgos para comprobar cómo está la empresa en cuanto a protección.

P.- ¿Cuál es el punto de vista de UNITEL?

R (Mario Martín).- Es necesario concienciar y formar, como decía Laura. Como empresa nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error.

Nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error

Mario Martín — CEO de UNITEL Ciberseguridad

Nos ocurrió con un cliente que contactó con nosotros para recibir ayuda sobre ciberseguridad tras sufrir el engaño de una falsa factura. Quien se dio cuenta y lo paró fue precisamente el banco. El personal de las empresas debe tener formación. Eso les puede evitar muchos problemas.

P.- ¿Y la opinión de un experto en TIC?

R (Andrés Prado).- Se debe valorar mucho cuál es la exposición al fraude digital para abordar la protección. Hay que tener copias de seguridad, y blindar la identidad digital. Después, más allá del trabajo de prevención, es necesario tener clara la capacidad de reacción ante un ataque. Es algo que nosotros teníamos más adormecido cuando nos ocurrió.

Coincido en que hay que trabajar en la concienciación y en la formación. Los ataques que se han comentado son muy habituales y hay otro más: es el fraude del CEO, que cada vez se depura más gracias a la IA. Se trata de suplantar la identidad del directivo, solicitando al personal de administración hacer una transferencia urgente. El correo está redactado en el estilo del jefe.

Es importante saber el impacto que tiene perder la identidad digital de una empresa porque estará vendida. Hay que concienciar a las empresas y a quienes forman parte de ellas.

P.- ¿Qué papel juega en todo esto la IA?

R (Laura del Pino).- La IA ha democratizado el acceso a lanzar ciberataques que antes eran imposibles si uno no tenía herramientas a mano. Es absolutamente necesario tener protocolos de seguridad en la empresa.

Una empresa no puede sobrevivir en el mundo digital sin unas mínimas medidas, también relacionadas con la IA: hay que tener la última versión, lo que se llama el parcheado, de las herramientas que manejamos porque tiene vulnerabilidades que se corrigen con esos ‘parches’.

Y no bastan las contraseñas, hay que tener una doble verificación con un código que nos llegará al correo o al móvil, cuando hablamos de accesos remotos de las empresas, ahora que tanto usamos el teletrabajo. Debemos tener hábitos seguros en nuestro día a día. Es como cuando subimos al coche y nos ponemos el cinturón de seguridad.

Después está la gestión de incidentes, con un protocolo sobre qué hacer y a quién llamar. Eso es un diferencial en el impacto que puede tener en la empresa. O romper con la necesidad de urgencia en las operaciones. Los ciberdelincuentes usan ingeniería social para engañar. Antes de hacer nada, si hay algo fuera de lo habitual, hay que comprobar.

P.- Claro porque, en realidad, con el internet de las cosas todo está conectado

R (Andrés Prado).- Sí, y en ese mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles.

En un mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles

Andrés Prado — Responsable TIC en la Universidad de Castilla-La Mancha

R (Mario Martín).- Efectivamente, en UNITEL tenemos clientes en los que el 90% del trabajo de la empresa está robotizado. Un ciberataque a esas máquinas supone parar la producción. Y después, software no mantenido, software vulnerable.

También hay que probar de forma previa lo que se pone en internet. Hacemos muchos test previos de vulnerabilidad.

P.- Pese a todo, la IA nos puede ayudar a defendernos…

R (Laura del Pino).- Tiene muchas ventajas y nos ayuda a ser más eficientes. En el banco llevamos usando IA desde hace mucho tiempo, con muy buenos resultados. Desde la parte preventiva hay herramientas para detectar patrones anómalos. Y se puede usar además para formar y concienciar. Sí, hay que apostar por ello.

El Banco Central Europeo (BCE) ha instado a las principales entidades de la zona euro a presentar “antes del 31 de octubre de 2026” un plan de acción integral con medidas concretas para abordar las amenazas de ciberseguridad relacionadas con los modelos de IA de vanguardia, como Mythos, desarrollado por Anthropic.

En una carta remitida por Claudia Buch, presidenta del Consejo de Supervisión del BCE, a los consejeros delegados de las instituciones bancarias significativas de la eurozona, la alemana advierte de que la capacidad de los modelos emergentes de IA para identificar vulnerabilidades y generar 'exploits' funcionales tiene implicaciones potencialmente profundas para la confidencialidad, la integridad y la resiliencia de los sistemas de tecnología de la información y la comunicación (TIC) de los bancos.

“Se trata de un cambio a largo plazo en el panorama de amenazas, más que un fenómeno temporal o un riesgo vinculado a una sola herramienta”, señala en la carta, publicada este viernes por el BCE.

A finales de mayo, el BCE se reunió con las entidades europeas para analizar las implicaciones de los modelos de IA de vanguardia para el sector, tras lo que Frank Elderson, representante neerlandés en el directorio del BCE y vicepresidente del Consejo de Supervisión de la institución, ya adelantó que la institución enviaría una carta a todos los CEO de los bancos significativos para solicitar la implementación de medidas proactivas para garantizar la solidez y la seguridad de sus sistemas ante estos cambios.

En este sentido, Claudia Buch insta en su carta a las entidades clave a evaluar sin demora el impacto del panorama de amenazas y a desarrollar “un plan de acción integral que describa medidas concretas” para reforzar los controles pertinentes, asignar los recursos necesarios, definir claramente las funciones y responsabilidades, y establecer los plazos de implementación.

Dicho plan de acción, que deberá presentarse al Equipo Conjunto de Supervisión (ECS) correspondiente antes del 31 de octubre de 2026, tendrá en cuenta la estrategia de ciberriesgo existente del banco y abordará tanto las prioridades inmediatas como los aspectos estratégicos a largo plazo.

Vulnerabilidades y riesgos

En concreto, en el corto plazo, el BCE pide acelerar la gestión de vulnerabilidades y parches a gran escala; mejorar la monitorización, la detección y las capacidades defensivas basadas en IA; y verificar que la gestión de riesgos de terceros sea adecuada en la situación actual, teniendo en cuenta el papel de los proveedores de servicios de TIC en las cadenas de suministro críticas.

Además de estas acciones a corto plazo, el BCE señala que la resiliencia operativa y cibernética debe reforzarse mediante medidas estructurales, incluyendo el fortalecimiento de la defensa en profundidad y la higiene cibernética, y la modernización de la infraestructura mediante la sustitución o actualización de tecnologías obsoletas, sin soporte o al final de su ciclo de vida.

Asimismo, el BCE ha indicado que realizará un análisis transversal de los planes de acción presentados por los bancos para identificar tendencias, desafíos y áreas de mejora, y compartirá sus conclusiones de con las entidades para apoyarlas en el fortalecimiento de su resiliencia en materia de TIC.

Al margen de los modelos de IA de vanguardia, el BCE advierte también de que otras tecnologías emergentes, como la computación cuántica, tendrán un impacto significativo en el panorama de la ciberseguridad, señalando que abordará el riesgo emergente relacionado para los métodos de cifrado tradicionales en una carta aparte que se publicará próximamente.

“Si bien estos avances no introducen riesgos completamente nuevos, sí amplifican significativamente la velocidad y la escala con la que se materializan”, concluye Buch, para quien las vulnerabilidades existentes que permanezcan aún sin resolver podrían adquirir mayor relevancia y suponer riesgos significativos para la resiliencia operativa de los bancos.

El Gobierno de Castilla-La Mancha, a través de la Consejería de Hacienda, Administraciones Públicas y Transformación Digital, ha dado un paso estratégico en la modernización de la Administración regional con la formalización del contrato para el desarrollo de un marco normativo de inteligencia artificial (IA) generativa, destinado a transformar y mejorar los servicios públicos de la Comunidad Autónoma.

Este proyecto, que ha llevado a cabo la Agencia de Transformación Digital, va a permitir la creación de un entorno común de trabajo para el diseño, desarrollo y despliegue de soluciones de inteligencia artificial en la Junta de Comunidades, favoreciendo una implantación que “fomenta un espacio seguro”, enmarcado en la estrategia regional de ciberseguridad, además escalable y alineado con el interés público.

La iniciativa supone avanzar desde modelos aislados hacia un ecosistema integral de la inteligencia artificial, con mecanismos de gobernanza, control y evolución continua, que facilitará la incorporación progresiva de esta tecnología como herramienta de mejora de la atención a la ciudadanía y de la eficiencia administrativa.

Como consecuencia, va a promover la soberanía digital, al hacer menos dependiente estas herramientas de los grandes modelos de IA en el mercado tecnológico.

Confinanciado con fondos europeos

El contrato ha sido adjudicado a la Unión Temporal de Empresas (UTE) formada por Inetum y Écija Abogados, por un importe de 4.264.728 euros y con un plazo de ejecución de 24 meses. El proyecto está cofinanciado por el Fondo Europeo de Desarrollo Regional (Feder) dentro del Programa Operativo 2021-2027, reforzando el compromiso del Gobierno de Castilla-La Mancha con la digitalización, la innovación tecnológica y la mejora continua de los servicios públicos.

Uno de los elementos diferenciales de este proyecto es su apuesta por arquitecturas basadas en agentes inteligentes y componentes reutilizables, que permitirán automatizar procesos complejos, agilizar la toma de decisiones y acelerar el desarrollo de nuevos casos de uso dentro de la Administración regional.

El modelo contempla además la creación de un catálogo estructurado de componentes de inteligencia artificial que facilitará la reutilización de soluciones, evitará duplicidades y garantizará la coherencia tecnológica entre las diferentes consejerías y organismos públicos.

Eficiencia energética y optimización de recursos

La sostenibilidad constituye otro de los ejes estratégicos de la iniciativa. El proyecto incorpora criterios de eficiencia energética y optimización de recursos mediante arquitecturas híbridas y tecnologías avanzadas de compresión de modelos, contribuyendo a una inteligencia artificial “más eficiente, escalable y alineada con los objetivos de transición ecológica y racionalización del gasto público”.

La iniciativa refuerza igualmente el compromiso del Gobierno regional con un modelo de inteligencia artificial “ética, transparente y confiable en el ámbito público”.

Para ello, el proyecto integrará un sistema de gobernanza que establecerá estándares comunes, mecanismos de supervisión y procesos de validación destinados a garantizar un “uso responsable” de la inteligencia artificial. Asimismo, incorporará herramientas avanzadas de gestión de riesgos, auditoría y trazabilidad que aseguren la rendición de cuentas y la seguridad jurídica.

El marco de trabajo estará alineado con la normativa europea y con estándares internacionales como la ISO 42001, incorporando desde su diseño principios de transparencia, explicabilidad y supervisión humana.