La digitalización avanza a pasos agigantados. Su mayor ventaja es que permite a las pymes adaptar sus modelos de negocio, innovar y competir en mercados que antes parecían inalcanzables.

En ese contexto, la ciberseguridad se convierte en un factor clave para garantizar la continuidad y la reputación de cualquier empresa, sea cual sea su sector de actividad y su tamaño.

En un encuentro en Toledo, bajo el lema Ciberseguridad: hackeando la mente. Conoce los riesgos, cuida la seguridad de tu pyme, tres especialistas vinculados tanto al sector público como al sector privado han intercambiado experiencias y han ofrecido recomendaciones de buenas prácticas para la pequeña y mediana empresa.

¿Cómo proteger el negocio en la era de la Inteligencia Artificial a través del conocimiento de los nuevos riesgos? La seguridad digital en las pequeñas y medianas empresas se plantea hoy como una necesidad porque convivimos con algoritmos y con tecnología cada vez más desarrollada que beneficia a las empresas, pero que también utilizan los ciberdelincuentes.

La mesa redonda, organizada por elDiario.es Castilla-La Mancha, en colaboración con BBVA, ha reunido a Andrés Prado, director TIC en la Universidad de Castilla-La Mancha, y coordinador de este sector en la Conferencia de Rectores de las Universidades Españolas (CRUE), Mario Martín, CEO de la empresa UNITEL Ciberseguridad y Laura del Pino, Discipline Leader Information Security en BBVA España, en una conversación moderada por la directora del medio, Carmen Bachiller.

¿A qué tipos de fraude digital se enfrentan las empresas? ¿Cuáles son las claves de la prevención? Estas son algunas de las preguntas que deben plantearse las pymes frente a unas amenazas que evolucionan de forma constante y con un ingrediente añadido: la IA.

Pregunta.- La Universidad de Castilla-La Mancha sufrió ciberataque, allá por el año 2021. ¿Cómo fue darse cuenta de que algo no iba bien y cuál fue la reacción?

Respuesta (Andrés Prado).- Lo primero que pensamos es cómo nos podía estar pasando eso a nosotros. Nos cambió la forma de pensar y de abordar la ciberseguridad porque la cuestión no es si puede pasar sino cuándo pasará.

Ocurrió un domingo por la noche y este tipo de situaciones no lo son por azar. Hay que olvidar el romanticismo del hacker porque hay quien ha convertido la ciberdelincuencia en una industria.

Después de la sorpresa inicial, fuimos muy conscientes de nuestras capacidades y también fuimos muy honestos con la situación que estábamos abordando, por eso contamos con especialistas. También establecimos un plan de comunicación muy claro con nuestra comunidad universitaria.

Pregunta.- Si hablamos de amenazas, ¿cuáles son las tendencias en el ámbito de los ciber fraudes, especialmente en pymes?

Respuesta.- (Mario Martín).- En UNITEL creamos hace unos cuatro años un área específica de ciberseguridad tras confirmar que la ciberdelincuencia va en aumento. Desde 2020 sabemos que la aplicación de la IA está suponiendo algo bueno para frenar los ataques (a través de los SOC o centros de operaciones de seguridad que gestionan ciberataques masivos para contenerlos y neutralizarlos), pero también hay quien la utiliza, precisamente, para provocarlos.

Una de las amenazas más frecuentes ahora es el ransomware, un código malicioso que penetra en la red para escalar privilegios, secuestrar datos y después pedir un rescate. Siempre recomendamos que no se pague. Después está el phishing, por ejemplo, a través del correo electrónico, con ataques ahora muy dirigidos a determinados sectores o personas, y que busca suplantar para robar datos o dinero.

Además, hay mucho robo de credenciales que se venden en la Dark Web y los usuarios tenemos la manía de usar la misma contraseña para todo. No es un buen hábito.

Pregunta.- BBVA lleva mucho tiempo trabajando en la concienciación y la cultura de ciberseguridad. ¿Hay errores recurrentes en las pymes, humanos u organizativos, que dejan la puerta abierta al fraude? ¿Cómo les estáis ayudando a integrar la seguridad en su día a día?

Respuesta (Laura del Pino).- Hay que desmontar mitos. El primero es que los ciberdelincuentes solo atacan a empresas grandes. La realidad es que hay una industria del cibercrimen que funciona como una empresa. Al final es coste/beneficio.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo.

El otro mito es que en la ciberseguridad se soluciona todo con tecnología. Es cierto que es fundamental tener algunos básicos (como un antivirus), pero también es importante la formación.

P.- ¿En qué sentido?

R (Laura del Pino).- Por ejemplo, hay una amenaza que es el fraude por cambio de cuenta del proveedor. Consiste en suplantar la identidad de un proveedor de la empresa a través del correo electrónico. Incluye una cuenta de pago de facturas, que previamente habrá cambiado para que el dinero llegue al ciberdelincuente. Cualquier empresa debe saber cómo actúan los ciberdelincuentes para poder actuar.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo

Laura del Pino — Discipline Leader Information Security en BBVA España

¿Cómo proteger tu empresa?

P.- ¿Qué medidas pueden ponerse en práctica ante un ciber ataque?

R (Laura del Pino).- Una cosa sencilla es contar con un protocolo interno de doble verificación. Si un proveedor me pide que le pague en una cuenta nueva hay que verificarlo. Basta una simple llamada para evitar el engaño. La concienciación y formación es muy relevante.

Desde BBVA ofrecemos información y formación. Ofrecemos cursos online y gratuitos sobre ciberseguridad a través de la plataforma Coursera a cualquiera. No tiene que ser cliente.

En breve estrenaremos un espacio de noticias sobre ciberseguridad en la web y ponemos a disposición de los clientes herramientas que les ayuden a identificar posibles fraudes en la relación con el banco. Incluso monitorizamos operaciones no habituales. Hay también productos como los ciberseguros que incluyen un análisis de riesgos para comprobar cómo está la empresa en cuanto a protección.

P.- ¿Cuál es el punto de vista de UNITEL?

R (Mario Martín).- Es necesario concienciar y formar, como decía Laura. Como empresa nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error.

Nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error

Mario Martín — CEO de UNITEL Ciberseguridad

Nos ocurrió con un cliente que contactó con nosotros para recibir ayuda sobre ciberseguridad tras sufrir el engaño de una falsa factura. Quien se dio cuenta y lo paró fue precisamente el banco. El personal de las empresas debe tener formación. Eso les puede evitar muchos problemas.

P.- ¿Y la opinión de un experto en TIC?

R (Andrés Prado).- Se debe valorar mucho cuál es la exposición al fraude digital para abordar la protección. Hay que tener copias de seguridad, y blindar la identidad digital. Después, más allá del trabajo de prevención, es necesario tener clara la capacidad de reacción ante un ataque. Es algo que nosotros teníamos más adormecido cuando nos ocurrió.

Coincido en que hay que trabajar en la concienciación y en la formación. Los ataques que se han comentado son muy habituales y hay otro más: es el fraude del CEO, que cada vez se depura más gracias a la IA. Se trata de suplantar la identidad del directivo, solicitando al personal de administración hacer una transferencia urgente. El correo está redactado en el estilo del jefe.

Es importante saber el impacto que tiene perder la identidad digital de una empresa porque estará vendida. Hay que concienciar a las empresas y a quienes forman parte de ellas.

P.- ¿Qué papel juega en todo esto la IA?

R (Laura del Pino).- La IA ha democratizado el acceso a lanzar ciberataques que antes eran imposibles si uno no tenía herramientas a mano. Es absolutamente necesario tener protocolos de seguridad en la empresa.

Una empresa no puede sobrevivir en el mundo digital sin unas mínimas medidas, también relacionadas con la IA: hay que tener la última versión, lo que se llama el parcheado, de las herramientas que manejamos porque tiene vulnerabilidades que se corrigen con esos ‘parches’.

Y no bastan las contraseñas, hay que tener una doble verificación con un código que nos llegará al correo o al móvil, cuando hablamos de accesos remotos de las empresas, ahora que tanto usamos el teletrabajo. Debemos tener hábitos seguros en nuestro día a día. Es como cuando subimos al coche y nos ponemos el cinturón de seguridad.

Después está la gestión de incidentes, con un protocolo sobre qué hacer y a quién llamar. Eso es un diferencial en el impacto que puede tener en la empresa. O romper con la necesidad de urgencia en las operaciones. Los ciberdelincuentes usan ingeniería social para engañar. Antes de hacer nada, si hay algo fuera de lo habitual, hay que comprobar.

P.- Claro porque, en realidad, con el internet de las cosas todo está conectado

R (Andrés Prado).- Sí, y en ese mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles.

En un mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles

Andrés Prado — Responsable TIC en la Universidad de Castilla-La Mancha

R (Mario Martín).- Efectivamente, en UNITEL tenemos clientes en los que el 90% del trabajo de la empresa está robotizado. Un ciberataque a esas máquinas supone parar la producción. Y después, software no mantenido, software vulnerable.

También hay que probar de forma previa lo que se pone en internet. Hacemos muchos test previos de vulnerabilidad.

P.- Pese a todo, la IA nos puede ayudar a defendernos…

R (Laura del Pino).- Tiene muchas ventajas y nos ayuda a ser más eficientes. En el banco llevamos usando IA desde hace mucho tiempo, con muy buenos resultados. Desde la parte preventiva hay herramientas para detectar patrones anómalos. Y se puede usar además para formar y concienciar. Sí, hay que apostar por ello.

El Banco Central Europeo (BCE) ha instado a las principales entidades de la zona euro a presentar “antes del 31 de octubre de 2026” un plan de acción integral con medidas concretas para abordar las amenazas de ciberseguridad relacionadas con los modelos de IA de vanguardia, como Mythos, desarrollado por Anthropic.

En una carta remitida por Claudia Buch, presidenta del Consejo de Supervisión del BCE, a los consejeros delegados de las instituciones bancarias significativas de la eurozona, la alemana advierte de que la capacidad de los modelos emergentes de IA para identificar vulnerabilidades y generar 'exploits' funcionales tiene implicaciones potencialmente profundas para la confidencialidad, la integridad y la resiliencia de los sistemas de tecnología de la información y la comunicación (TIC) de los bancos.

“Se trata de un cambio a largo plazo en el panorama de amenazas, más que un fenómeno temporal o un riesgo vinculado a una sola herramienta”, señala en la carta, publicada este viernes por el BCE.

A finales de mayo, el BCE se reunió con las entidades europeas para analizar las implicaciones de los modelos de IA de vanguardia para el sector, tras lo que Frank Elderson, representante neerlandés en el directorio del BCE y vicepresidente del Consejo de Supervisión de la institución, ya adelantó que la institución enviaría una carta a todos los CEO de los bancos significativos para solicitar la implementación de medidas proactivas para garantizar la solidez y la seguridad de sus sistemas ante estos cambios.

En este sentido, Claudia Buch insta en su carta a las entidades clave a evaluar sin demora el impacto del panorama de amenazas y a desarrollar “un plan de acción integral que describa medidas concretas” para reforzar los controles pertinentes, asignar los recursos necesarios, definir claramente las funciones y responsabilidades, y establecer los plazos de implementación.

Dicho plan de acción, que deberá presentarse al Equipo Conjunto de Supervisión (ECS) correspondiente antes del 31 de octubre de 2026, tendrá en cuenta la estrategia de ciberriesgo existente del banco y abordará tanto las prioridades inmediatas como los aspectos estratégicos a largo plazo.

Vulnerabilidades y riesgos

En concreto, en el corto plazo, el BCE pide acelerar la gestión de vulnerabilidades y parches a gran escala; mejorar la monitorización, la detección y las capacidades defensivas basadas en IA; y verificar que la gestión de riesgos de terceros sea adecuada en la situación actual, teniendo en cuenta el papel de los proveedores de servicios de TIC en las cadenas de suministro críticas.

Además de estas acciones a corto plazo, el BCE señala que la resiliencia operativa y cibernética debe reforzarse mediante medidas estructurales, incluyendo el fortalecimiento de la defensa en profundidad y la higiene cibernética, y la modernización de la infraestructura mediante la sustitución o actualización de tecnologías obsoletas, sin soporte o al final de su ciclo de vida.

Asimismo, el BCE ha indicado que realizará un análisis transversal de los planes de acción presentados por los bancos para identificar tendencias, desafíos y áreas de mejora, y compartirá sus conclusiones de con las entidades para apoyarlas en el fortalecimiento de su resiliencia en materia de TIC.

Al margen de los modelos de IA de vanguardia, el BCE advierte también de que otras tecnologías emergentes, como la computación cuántica, tendrán un impacto significativo en el panorama de la ciberseguridad, señalando que abordará el riesgo emergente relacionado para los métodos de cifrado tradicionales en una carta aparte que se publicará próximamente.

“Si bien estos avances no introducen riesgos completamente nuevos, sí amplifican significativamente la velocidad y la escala con la que se materializan”, concluye Buch, para quien las vulnerabilidades existentes que permanezcan aún sin resolver podrían adquirir mayor relevancia y suponer riesgos significativos para la resiliencia operativa de los bancos.

El Gobierno de Castilla-La Mancha, a través de la Consejería de Hacienda, Administraciones Públicas y Transformación Digital, ha dado un paso estratégico en la modernización de la Administración regional con la formalización del contrato para el desarrollo de un marco normativo de inteligencia artificial (IA) generativa, destinado a transformar y mejorar los servicios públicos de la Comunidad Autónoma.

Este proyecto, que ha llevado a cabo la Agencia de Transformación Digital, va a permitir la creación de un entorno común de trabajo para el diseño, desarrollo y despliegue de soluciones de inteligencia artificial en la Junta de Comunidades, favoreciendo una implantación que “fomenta un espacio seguro”, enmarcado en la estrategia regional de ciberseguridad, además escalable y alineado con el interés público.

La iniciativa supone avanzar desde modelos aislados hacia un ecosistema integral de la inteligencia artificial, con mecanismos de gobernanza, control y evolución continua, que facilitará la incorporación progresiva de esta tecnología como herramienta de mejora de la atención a la ciudadanía y de la eficiencia administrativa.

Como consecuencia, va a promover la soberanía digital, al hacer menos dependiente estas herramientas de los grandes modelos de IA en el mercado tecnológico.

Confinanciado con fondos europeos

El contrato ha sido adjudicado a la Unión Temporal de Empresas (UTE) formada por Inetum y Écija Abogados, por un importe de 4.264.728 euros y con un plazo de ejecución de 24 meses. El proyecto está cofinanciado por el Fondo Europeo de Desarrollo Regional (Feder) dentro del Programa Operativo 2021-2027, reforzando el compromiso del Gobierno de Castilla-La Mancha con la digitalización, la innovación tecnológica y la mejora continua de los servicios públicos.

Uno de los elementos diferenciales de este proyecto es su apuesta por arquitecturas basadas en agentes inteligentes y componentes reutilizables, que permitirán automatizar procesos complejos, agilizar la toma de decisiones y acelerar el desarrollo de nuevos casos de uso dentro de la Administración regional.

El modelo contempla además la creación de un catálogo estructurado de componentes de inteligencia artificial que facilitará la reutilización de soluciones, evitará duplicidades y garantizará la coherencia tecnológica entre las diferentes consejerías y organismos públicos.

Eficiencia energética y optimización de recursos

La sostenibilidad constituye otro de los ejes estratégicos de la iniciativa. El proyecto incorpora criterios de eficiencia energética y optimización de recursos mediante arquitecturas híbridas y tecnologías avanzadas de compresión de modelos, contribuyendo a una inteligencia artificial “más eficiente, escalable y alineada con los objetivos de transición ecológica y racionalización del gasto público”.

La iniciativa refuerza igualmente el compromiso del Gobierno regional con un modelo de inteligencia artificial “ética, transparente y confiable en el ámbito público”.

Para ello, el proyecto integrará un sistema de gobernanza que establecerá estándares comunes, mecanismos de supervisión y procesos de validación destinados a garantizar un “uso responsable” de la inteligencia artificial. Asimismo, incorporará herramientas avanzadas de gestión de riesgos, auditoría y trazabilidad que aseguren la rendición de cuentas y la seguridad jurídica.

El marco de trabajo estará alineado con la normativa europea y con estándares internacionales como la ISO 42001, incorporando desde su diseño principios de transparencia, explicabilidad y supervisión humana.

La Casa Blanca ha eliminado las restricciones de exportación aplicadas sobre Fable 5 y Mythos 5, los modelos de inteligencia artificial más potentes de la empresa Anthropic. La decisión llega tres semanas después de que el Gobierno de Donald Trump ordenara a la startup impedir su uso por parte de extranjeros o fuera del territorio de EEUU, lo que, en la práctica, fue el primer veto de este tipo a un sistema de IA.

Para asegurarse de cumplir con las órdenes de Trump, Anthropic se vio obligada a desactivar el acceso completo a estos modelos. Mythos es un sistema especializado en la detección de vulnerabilidades informáticas que desató la alarma en el sector de la ciberseguridad internacional por su capacidad de encontrar agujeros que habían pasado por alto para los mejores especialistas humanos.

Por este motivo, la startup nunca lo puso en circulación, haciéndolo accesible solo a gobiernos y empresas. Fable es un modelo recortado de Mythos, adaptado para no representar un peligro para los sistemas informáticos en caso de ser utilizado por los ciberdelincuentes.

Tras semanas de negociaciones, el Gobierno de EEUU y Anthropic han pactado que la startup quedará eximida de la necesidad de contar con una licencia de exportación como las requeridas a los sistemas de armamento y otros elementos considerados críticos para la seguridad nacional. A cambio, Anthropic se ha comprometido a mejorar sus sistemas de seguridad en torno a Fable. La Casa Blanca temía que este modelo pudiera ser hackeado para acceder a las capacidades completas de Mythos, lo que dio origen al bloqueo del 12 de junio.

El origen de las sospechas estuvo en una investigación interna de Amazon. Un informe de los servicios de ciberseguridad de la multinacional alertó de que era posible eludir las barreras de protección establecidas por Anthropic, liberando sus capacidades para realizar ataques informáticos y robar información confidencial.

No estamos de acuerdo en que el descubrimiento de una posible vulnerabilidad limitada deba ser motivo para retirar un modelo comercial implementado para cientos de millones de personas

Anthropic

En un comunicado publicado este martes, la startup asegura que ha establecido nuevos mecanismos de seguridad, pero que en ningún momento ha tenido pruebas fehacientes de que el anterior pudiera ser hackeado. “Hasta la fecha, el gobierno solo nos ha proporcionado información verbal sobre una posible vulnerabilidad limitada y no universal, que consiste básicamente en solicitar al modelo que lea un código fuente específico y corrija cualquier fallo de software”, asegura Anthropic.

“No estamos de acuerdo en que el descubrimiento de una posible vulnerabilidad limitada deba ser motivo para retirar un modelo comercial implementado para cientos de millones de personas. Si este criterio se aplicara a toda la industria, creemos que paralizaría prácticamente todos los nuevos lanzamientos de modelos para todos los proveedores de modelos de vanguardia”, protesta.

Para evitar que esto vuelva a ocurrir, Anthropic planea la necesidad diseñar un marco común de evaluación de riesgos junto a socios de la industria como Google, Microsoft y la propia Amazon. Lo sucedido se enmarca en una situación en la que la Casa Blanca ha aumentado sus controles sobre la IA. Presionado por el sector bancario y el Secretario del Tesoro, Trump estuvo a punto de firmar una orden ejecutiva para obligar a los nuevos modelos a contar con una autorización gubernamental para poder salir al mercado. Finalmente, sus asesores tecnológicos, como David Sacks y Elon Muck, le convencieron de que no lo hiciera.

El servicio de internet satelital Starlink, de Elon Musk, ha dominado este sector prácticamente desde su lanzamiento. Sin embargo, un proyecto respaldado por el Gobierno chino se ha propuesto desafiar su hegemonía. SpaceSail apenas cuenta con unos cientos de satélites en órbita terrestre baja, frente a los más de 10.000 de Starlink, pero la empresa asegura que ya dispone de los dispositivos suficientes para iniciar su primera aplicación comercial. Está expandiéndose a gran velocidad y, adelanta, ha entablado negociaciones con “decenas” de países para ofrecer cobertura de internet por satélite.

Según Blaine Curcio, fundador de la consultora Orbital Gateway Consulting, con sede en Hong Kong, SpaceSail se está dirigiendo “deliberadamente” a aquellos lugares donde Starlink ha enfrentado “problemas políticos o regulatorios”. En declaraciones al medio Rest of World, Curcio comparó esta estrategia con la del fabricante chino de coches eléctricos BYD, que aprovechó miles de millones en subsidios gubernamentales para adelantar a Tesla en ventas globales.

Aunque la reciente ronda de financiación de la empresa china se vio totalmente eclipsada por la histórica salida a bolsa de SpaceX —matriz de Starlink— por valor de 85.700 millones de dólares, cabe preguntarse si la creciente influencia global de China permitirá a SpaceSail abrirse camino.

¿Qué es SpaceSail?

El proyecto, denominado oficialmente Constelación SpaceSail o Qianfan (“Mil Velas”) en chino, fue lanzado en 2023 por la empresa estatal Shanghai Spacecom Satellite Technology (SSST), con el objetivo de proporcionar internet de banda ancha “rápido, seguro y fiable” en todo el mundo.

Lan Xinzhen, analista de la revista estatal Beijing Review, señala que SpaceSail también se concibió con la seguridad nacional en mente, y que eventualmente servirá de apoyo para “proyectos en el extranjero, el comercio marítimo y misiones diplomáticas”, sin depender de empresas o infraestructuras occidentales.

SSST cuenta con el respaldo del instituto de investigación estatal Academia China de Ciencias y del Gobierno Popular Municipal de Shanghái, que aportaron una financiación inicial de 6.700 millones de yuanes (unos 943 millones de dólares). Sigue siendo un proyecto financiado íntegramente por China, con inversiones limitadas a entidades corporativas u organizaciones económicas con sede en el país, excluyendo a Hong Kong y Macao.

La información pública disponible sobre la escala de las operaciones de SpaceSail es limitada. No obstante, según Qichacha, una plataforma de información empresarial china, SSST contaba con 343 empleados en 2024, los últimos datos disponibles. Su página oficial de LinkedIn indica una horquilla de entre 201 y 500 trabajadores, mientras que la plataforma de empleo china Jobui señala que la firma ofertó 224 puestos en 2024, lo que supuso un aumento significativo respecto al año anterior.

¿Cuántos satélites ha lanzado hasta ahora?

SpaceSail lanzó sus primeros satélites en agosto de 2024, poniendo en órbita 18 dispositivos de panel plano a bordo de un cohete denominado Larga Marcha 6A. Un segundo grupo de 18 satélites se lanzó dos meses después, seguido de un tercer grupo de otros 18 en diciembre.

En la actualidad, hay al menos 200 satélites activos de SpaceSail en la órbita terrestre, tras el duodécimo y más reciente lanzamiento a bordo del cohete Larga Marcha 8 en junio de este año. La compañía ha afirmado que ya cuenta con satélites suficientes para iniciar su primera aplicación comercial: el rastreo de buques en alta mar.

La empresa aspira a comenzar con servicios comerciales más amplios de cara a finales de 2026, cuando se espera que el número total de satélites activos en órbita alcance los 648. Su constelación constará finalmente de más de 15.000 satélites, lo suficiente para proporcionar una cobertura global completa, según SSST.

¿Cómo se compara SpaceSail con Starlink?

Starlink es el líder indiscutible del sector, con más de 12 millones de usuarios activos en 160 países y territorios. Opera una constelación de alrededor de 10.413 satélites, con planes de expandirse eventualmente hasta los 42.000.

SpaceSail se encuentra todavía muy por detrás, pero sus ambiciones son enormes. La firma asegura que tendrá más de 10.000 satélites operando en órbita de baja altitud para finales de 2030.

El analista Curcio advierte de que el éxito de SpaceSail no está en absoluto garantizado y que también afronta competencia interna dentro de China. SpaceSail debe competir por cohetes y financiación con su rival doméstico SatNet, otra empresa estatal china que está construyendo su propia constelación de satélites de tamaño similar, denominada Guowang. Sin embargo, SpaceSail sigue siendo el competidor más natural para Starlink, ya que SatNet se centra principalmente en las telecomunicaciones nacionales del interior de China y en la seguridad nacional.

Según informa, SpaceSail está negociando con 30 países para implantar su servicio, cosechando ya éxitos como alternativa a Starlink allí donde los acuerdos con la compañía de Musk se han roto. Ya ha conseguido un contrato importante en Brasil, donde las autoridades chocaron con Musk en 2024 debido a la supuesta falta de moderación de contenidos en su plataforma social X. En febrero, la agencia reguladora de telecomunicaciones de Brasil, Anatel, autorizó a SpaceSail a comenzar sus servicios comerciales.

SpaceSail también ha ganado terreno en Kazajistán, donde registró una filial en enero de 2025, después de que las conversaciones con Starlink fracasaran debido a los requisitos de almacenamiento de datos y seguridad. En diciembre, la compañía firmó un acuerdo con el fabricante aeronáutico europeo Airbus para incluir SpaceSail como una opción de wifi a bordo de sus aviones.

Anthropic, la startup de IA estadounidense que está liderando el sector, ha enviado una carta a varios senadores de Estados Unidos y cargos de la Casa Blanca en la que acusa al gigante tecnológico chino Alibaba de una operación a gran escala articulada para acceder de manera ilícita a su modelo de inteligencia artificial más conocido, Claude, a través de miles de cuentas fraudulentas.

La compañía norteamericana sostiene en la misiva que operadores vinculados al laboratorio de IA Qwen, de Alibaba, atacaron capacidades importantes de Claude, entre los que se incluyen su ingeniería de software y su razonamiento como agente, en el que sería el mayor intento de una empresa china de acceder a los datos de una compañía estadounidense especializada en IA, según recoge la carta adelantada por la agencia Bloomberg.

En concreto, el ataque coordinado supuso alrededor de 28,8 millones de intercambios con Claude entre los meses de abril y junio a través de 25.000 cuentas fraudulentas. Un intento de obtener información ya ocurrido en anteriores ocasiones y que Anthropic asocia a una práctica común de empresas chinas con el objetivo de crear a través de estos datos robados un generación rival de 'chatbots' de origen chino.

Ya en febrero, la startup de IA informó de campañas “a escala industrial” llevadas a cabo por distintos laboratorios de IA chinos, en concreto DeepSeek, Moonshot y MiniMax, con el mismo objetivo, extraer datos de Claude para mejorar sus propios modelos.

Esta técnica, denominada “destilación”, consiste en entrenar modelos de IA con otros más avanzados para así mejorar sus capacidades, un método legítimo y utilizado ampliamente por las compañías del sector. Sin embargo, el robo de datos con el objetivo de aprovechar estas capacidades y así reducir el tiempo y los costes de mejora de los modelos se considera una práctica fraudulenta.

“Estos ataques de destilación se llevan a cabo de forma ilícita, sistemática y a escala industrial para aprovechar las capacidades de IA estadounidenses en laboratorios de vanguardia y presentarlas como propias sin incurrir en los costos de capacitación e I+D necesarios para entrenar los modelos estadounidenses de vanguardia”, reza el la carta de Anthropic.

La compañía china de ciberseguridad 360 Security Technology anunció este miércoles que ha desarrollado una herramienta que, según sostiene, puede competir con el modelo más potente de la estadounidense Anthropic, Mythos, cuyo acceso ha sido restringido por motivos de seguridad nacional.

Durante una conferencia sobre ciberseguridad en Pekín, el cofundador del grupo 360 Zhou Hongyi presentó dos sistemas de seguridad basados en inteligencia artificial (IA), entre ellos el 'Tulongfeng', que describió como la “versión china de Mythos”, de acuerdo con declaraciones recogidas por la prensa local.

Según el empresario, 'Tulongfeng' es un agente de detección automatizada de vulnerabilidades que abarca escenarios como código abierto, sistemas operativos o plataformas de agentes de IA, y que ya ha detectado un total de 3.432 fallos de seguridad, de los cuales 105 han sido confirmados por las autoridades chinas, aunque no ofreció más detalles al respecto.

Este anuncio se produjo menos de dos semanas después de que Anthropic suspendiera el acceso a sus modelos de IA más avanzados, Mythos 5 y Fable 5, para cumplir con una directiva de control de exportaciones del Gobierno estadounidense que le obligaba a impedir el acceso a estos a cualquier ciudadano extranjero, dentro o fuera de Estados Unidos.

La empresa optó por desactivar ambos modelos para todos los usuarios al no poder restringir el acceso por nacionalidad.

Anthropic había presentado Mythos en abril, cuando advirtió de que el modelo era capaz de detectar y explotar de forma autónoma vulnerabilidades en prácticamente cualquier software, lo que entrañaba riesgos para sectores sensibles como el financiero.

La presentación del 'Tulongfeng' se enmarca en la pugna más amplia entre Pekín y Washington por el liderazgo en el desarrollo de la inteligencia artificial. 

El teléfono suena. En la pantalla aparece un número conocido o, al menos, uno que podría serlo. Al otro lado, una voz que se presenta como tu banco y que te habla con mucha seguridad, usando datos personales, referencias a tu cuenta o a una operación reciente. Todo parece encajar. Y, sin embargo, la duda está ahí: ¿es realmente mi banco o alguien que se está haciendo pasar por él?

La suplantación telefónica se ha convertido en una de las formas de fraude más habituales y más complejas de identificar, ya que los delincuentes son más sofisticados, más creíbles y más difíciles de detectar en el momento. En ese contexto, la tranquilidad no viene de escuchar una voz convincente, sino de poder verificar que es real.

Con esa idea como punto de partida, Banco Santander ha puesto en marcha una nueva funcionalidad de seguridad integrada en su app que permite a los clientes confirmar, en tiempo real, si una llamada que están recibiendo procede realmente del banco. 

El problema no es recibir una llamada, sino no poder comprobarla

Durante años, la recomendación ante una llamada sospechosa ha sido desconfiar, colgar y contactar uno mismo con la entidad por los canales oficiales. Un consejo sensato, pero que no siempre resulta fácil de aplicar cuando la llamada parece legítima, sobre todo cuando llega en un momento de urgencia o donde incluso se utiliza información real de la persona.

Los ciberdelincuentes saben jugar con esos márgenes. Utilizan números falsificados, datos obtenidos previamente y un discurso diseñado para generar presión. El resultado es una situación incómoda para el cliente donde tiene que decidir en cuestión de segundos si confía o no. 

Ante esta problemática, la nueva funcionalidad de Banco Santander actúa justo en ese punto crucial, eliminando la necesidad de interpretar señales ambiguas. Antes de confiar en la llamada, el cliente puede confirmar su autenticidad directamente desde la app. 

Santander te llama: verificación clara y en tiempo real

El sistema, denominado Santander te llama, introduce un cambio sencillo pero significativo en la forma en la que el banco se comunica telefónicamente con sus clientes. A partir de ahora, cada vez que la entidad realice una llamada, el cliente recibe de forma simultánea dos comunicaciones oficiales, una notificación push de la app de Santander y un correo electrónico enviado desde la dirección habitual del banco.

La verificación no requiere pasos adicionales ni configuraciones complejas, ya que se produce de forma simultánea a la llamada. Desde la app, se enviará una notificación con el mensaje: “¡Hola! Te estamos llamando de Banco Santander desde el teléfono: …”. Además, al pulsar sobre la notificación, el cliente puede comprobar en cuestión de segundos más detalles de la llamada.

Dentro de la app, se muestra una interfaz que confirma que la llamada está en curso. Asimismo, la entidad ofrece al cliente información para aprender a detectar si se trata de una llamada fraudulenta, poniendo a su disposición contenidos que le ayudan a saber cómo actuar ante un posible fraude y a identificar una llamada falsa si no recibe la notificación correspondiente.

Nunca se utilizarán SMS ni aplicaciones de mensajería para este tipo de verificación, solamente a través de los dos canales mencionados anteriormente. El servicio ya está disponible para los clientes que tengan activadas las notificaciones de la app o de la banca online, integrándose de forma natural en el uso cotidiano de los canales digitales del banco. 

Saber que es el banco, cuando más falta hace

En un entorno donde las llamadas fraudulentas pueden parecer reales, disponer de una confirmación oficial y simultánea cambia por completo la experiencia del cliente. Ya no se trata de desconfiar de todo, sino de tener una referencia clara en el momento exacto.

La puesta en marcha de esta funcionalidad se enmarca en la estrategia del Santander para reforzar la seguridad digital y seguir incorporando nuevas capacidades de protección y prevención del fraude en sus canales digitales. La entidad continúa impulsando soluciones orientadas a ofrecer una experiencia bancaria cada vez más segura, sencilla y transparente para sus clientes.

Los modelos de inteligencia artificial capaces de ejecutar nuevos y devastadores ciberataques contra gobiernos y empresas están a tan solo unos meses de distancia, según han advertido las agencias de inteligencia de la llamada 'alianza de los Cinco Ojos' (Estados Unidos, Reino Unido, Australia, Nueva Zelanda y Canadá) en una inusual declaración conjunta en la que instan a los líderes a “actuar ya”.

Esta sorprendente intervención pública de la alianza de espionaje, creada tras la Segunda Guerra Mundial, se produce después de que la administración Trump decidiera a principios de este mes prohibir por primera vez el uso de una IA a los “ciudadanos extranjeros”. Se trataba de Fable, una versión recortada de Mythos, un modelo de IA desarrollado por la empresa tecnológica Anthropic y que ha levantado las alertas a nivel internacional por su capacidad de encontrar brechas de seguridad que habían pasado inadvertidas a los mejores especialistas humanos.

El comunicado, emitido a última hora de la noche del lunes, señala que si bien la IA “ayudará a mejorar la ciberdefensa con el tiempo, también acelera la velocidad, la escala y la sofisticación de las ciberamenazas”.

Los modelos de IA de vanguardia pueden transformar profundamente tanto las capacidades ciberofensivas como las defensivas. El plazo no es de años, es de meses

“Se prevé que los modelos de IA de vanguardia superen las expectativas actuales de la industria, transformando profundamente tanto las capacidades ciberofensivas como las defensivas. El plazo no es de años, es de meses”, afirma la advertencia de las agencias de la alianza. “En este entorno, la ciberresiliencia es integral para garantizar la continuidad del negocio, la confianza del mercado y el valor a largo plazo”.

Las agencias de ciberseguridad afirmaron que los saltos cualitativos en los modelos de IA demuestran que la tecnología reducirá las barreras para los actores maliciosos y aumentará la velocidad y complejidad de los ataques.

“Se requiere una respuesta de toda la organización y de toda la sociedad”, añade el comunicado de los 'Cinco Ojos'. “El ciberriesgo ya no puede tratarse como un asunto puramente técnico. Se trata de un riesgo empresarial central y de una responsabilidad de liderazgo”.

El ciberriesgo ya no puede tratarse como un asunto puramente técnico. Se trata de un riesgo empresarial central y de una responsabilidad de liderazgo

Los modelos de IA generativa son nuevas y potentes herramientas capaces de buscar vulnerabilidades en los sistemas de ciberseguridad, y pueden ayudar tanto a explotar esas brechas como a repararlas. “Lo que diferencia a los últimos modelos de IA es que son muy buenos generando exploits (programas para aprovechar fallos de seguridad)”, explica Olivia Shen, experta en seguridad nacional e IA en el Centro de Estudios sobre Estados Unidos de la Universidad de Sídney.

Aunque la declaración de los 'Five Eyes' no menciona explícitamente a ninguna empresa ni modelo de IA por su nombre, las miradas de medio mundo están puestas en la gama avanzada de herramientas de Anthropic.

Una de las últimas creaciones de esta gran firma tecnológica es Fable 5, una versión recortada de Mythos, un potente modelo de IA lanzado a principios de año. Mythos es capaz de detectar vulnerabilidades en sistemas informáticos y solo está disponible para gobiernos y empresas acreditadas debido al temor de que pueda ser instrumentalizado de forma maliciosa.

El gobierno de Estados Unidos suspendió en junio el uso de ambos modelos de Anthropic para “ciudadanos extranjeros”, alegando recomendaciones de las autoridades de seguridad nacional.

Shen señaló que, aunque buena parte del mundo está atenta a los próximos pasos de Anthropic, podría haber muchos otros modelos de IA de gran potencia en el horizonte cercano. “Creo que debemos anticipar que el próximo Mythos o el próximo Fable están a la vuelta de la esquina”, advierte Shen. “Solo podemos ver lo que ya se ha hecho público, pero podría haber otros modelos en desarrollo por parte de países como China, u otros estados, actores y empresas, que sean igual de avanzados”.

El consejero delegado de Anthropic, Dario Amodei, ha reclamado una regulación más estricta para la inteligencia artificial avanzada, que incluya la capacidad de los gobiernos para bloquear o retirar del mercado modelos que no superen pruebas de seguridad independientes, al considerar que los riesgos asociados a esta tecnología ya son “claramente” una realidad.

En un extenso ensayo, el cofundador de la startup que ha conseguido superar a OpenAI —que recientemente alertó sobre los riesgos de su propio sistema Mythos, capaz de detectar y atacar de manera autónoma brechas de seguridad informática—, sostiene que el rápido avance de la inteligencia artificial ha dejado obsoleta la estrategia regulatoria basada únicamente en la transparencia, la que defendía la industria hace apenas unos años.

El directivo plantea que los modelos de IA más potentes sean sometidos a auditorías obligatorias para evaluar riesgos en cuatro ámbitos concretos: ciberseguridad, armas biológicas, pérdida de control sobre sistemas de IA e investigación y desarrollo automatizados capaces de acelerar esos riesgos. Como elemento central de su propuesta, defiende que las autoridades dispongan de capacidad legal para impedir el despliegue de un modelo o revertir su lanzamiento si las evaluaciones concluyen que presenta riesgos inaceptables para la seguridad pública.

El Gobierno debería tener el poder de bloquear o disuadir el despliegue del modelo si se determina, a la luz de una evaluación independiente, que presenta riesgos inaceptables

Dario Amodei — cofundador y CEO de Anthropic

“El Gobierno debería tener el poder de bloquear o disuadir el despliegue del modelo si se determina, a la luz de una evaluación independiente, que presenta riesgos inaceptables”, señala el directivo en su ensayo, en el que puntualiza que esa facultad debería limitarse a los riesgos definidos previamente y contar con salvaguardas frente a decisiones arbitrarias o motivadas por favoritismos políticos.

El ejecutivo compara la situación actual de la IA con sectores como la aviación, la automoción o la industria farmacéutica, donde los productos deben superar controles técnicos antes de llegar al mercado. En este sentido, propone un esquema similar al de la agencia estadounidense de aviación civil, bajo el que los modelos más avanzados tendrían que acreditar estándares elevados de seguridad antes de su lanzamiento.

Amodei argumenta que la evidencia acumulada en los últimos meses demuestra que los sistemas más potentes ya tienen relevancia estratégica nacional e internacional. En particular, alerta del potencial de estas herramientas para afectar a infraestructuras críticas, al sistema financiero o a la seguridad nacional mediante capacidades avanzadas de ciberataque.

Políticas para proteger el empleo humano

El ensayo forma parte de una reflexión más amplia sobre el impacto económico, político y geopolítico de la inteligencia artificial. Entre otras cuestiones, el responsable de Anthropic plantea varias propuestas para establecer incentivos que ayuden a proteger el empleo.

Advierte de que la IA podría provocar “desplazamientos laborales” disruptivos y plantea estudiar mecanismos de apoyo a la renta si se produjera una sustitución masiva de empleo, así como la creación de una alianza internacional de democracias para coordinar normas, cadenas de suministro y medidas de seguridad relacionadas con la IA.

La gente está preocupada por la IA porque percibe correctamente que sus riesgos son reales

“Una amplia gama de incentivos a favor del empleo puede ayudar a frenar o reducir el desplazamiento laboral” como “seguros salariales” que compensen a las personas cuando tengan que aceptar un empleo peor remunerado o incentivos fiscales a la retención para animar a los empleadores a no realizar despidos.

También propone subvenciones para la formación de la fuerza laboral, o infraestructuras para facilitar el emparejamiento entre empleadores y empleados con el fin de acelerar el ritmo de adaptación del mercado laboral. “Deberíamos aceptar de buen grado los costes y las ineficiencias de mercado que estas políticas podrían implicar, especialmente porque es probable que se vean compensados por las ganancias de productividad impulsadas por la IA”, argumenta.

Pese a los riesgos identificados, Amodei sostiene que la tecnología puede generar beneficios económicos y científicos de gran alcance si se acompaña de marcos regulatorios adecuados. “La gente está preocupada por la IA porque percibe correctamente que sus riesgos son reales”, afirma en el texto, donde pide convertir esa preocupación en medidas concretas y no en una oposición generalizada al desarrollo de la tecnología.

Dejar la tecnología del sistema de identificación nacional del país en manos de una empresa estadounidense es una “amenaza para el interés público”. Este ha sido el motivo alegado por el Gobierno de Países Bajos para bloquear la venta de la firma local Solvinity a la multinacional estadounidense Kyndryl, una escisión de IBM que agrupa sus negocios de infraestructura. El acuerdo, que ya estaba cerrado entre ambas partes, ascendía a 100 millones de euros.

Solvinity, fundada en 2015 y con sede en Ámsterdam, es la encargada de DigiD, el sistema nacional de identificación neerlandés, utilizado por sus 18 millones de ciudadanos para acceder a servicios públicos y gubernamentales esenciales como el pago de impuestos, el acceso a historiales médicos, la gestión de pensiones, prestaciones sociales y expedientes académicos. También pone la tecnología que sirve de base a la plataforma de comunicación interna del Gobierno.

Permitir que esos contratos pasen a Kyndryl supondría un riesgo de “dependencia digital” por la “imprevisibilidad geopolítica”, según un dictamen confidencial del Ejecutivo neerlandés al que ha tenido acceso ahora el New York Times. “La amenaza al interés público solo puede evitarse prohibiendo la adquisición propuesta”, reza el documento.

Según detalla el documento, el temor de las autoridades es que leyes estadounidenses como la CLOUD Act permiten a la Casa Blanca obligar a la matriz de Kyndryl a entregar información sensible de la ciudadanía europea o a interrumpir el funcionamiento de suministros informáticos críticos. Este ha sido el motivo por el que el Tribunal de Justicia de la Unión Europea ha tumbado en dos ocasiones los acuerdos internacionales para la transferencia de datos entre Bruselas y Washington.

Los comunicados de las empresas sobre la caída del acuerdo, emitidos a finales de mayo, ya dejaron entrever el problema real que había aflorado durante la operación. “La politización de este proceso ha eclipsado los claros e importantes beneficios que esta operación habría aportado a los clientes de Solvinity y a los ciudadanos neerlandeses”, declaró Kyndryl: “Nos sentimos profundamente decepcionados por la decisión del Gobierno de los Países Bajos de prohibir la adquisición de Solvinity”.

“Solvinity continúa dialogando con las autoridades pertinentes sobre las consideraciones formuladas en el contexto de la seguridad nacional, la autonomía digital y la protección de las infraestructuras críticas neerlandesas”, ha afirmado por su parte la empresa neerlandesa.

Este veto se produce en un marco de creciente debate en el continente respecto a la dependencia estratégica de la tecnología estadounidense. El pasado mes de abril, un informe del laboratorio de ideas Future of Technology Institute expuso que los sistemas informáticos esenciales de España y otros 22 países de la región presentan una alta exposición a las decisiones políticas de la Casa Blanca.

En este caso, la resolución de prohibir la venta a Kyndryl por parte de Países Bajos se mantuvo firme a pesar de la maquinaria diplomática que Washington desplegó entre bambalinas para intentar salvar la operación, destaca el New York Times. Según revelaron funcionarios neerlandeses y estadounidenses, el embajador de Estados Unidos, junto con la Oficina del Representante Comercial de Estados Unidos, presionaron intensamente para que se aprobara la compra. Los esfuerzos fracasaron. Fuentes de la Casa Blanca han expresado al citado medio que la decisión forma parte de una ofensiva europea contra sus empresas tecnológicas.

El Instituto Nacional de Ciberseguridad (INCIBE), ha lanzado una alerta de importancia alta debido a una nueva campaña de fraude digital. Esta vez la amenaza se basa en una técnica denominada smishing, donde los ciberdelincuentes utilizan mensajes de texto para engañar a los ciudadanos. El objetivo principal de estos atacantes es suplantar la identidad de la Agencia Tributaria. Mediante el envío masivo de estos SMS, los estafadores buscan que las víctimas entreguen información delicada de carácter personal y financiero. Es fundamental que los usuarios estén al tanto de esta maniobra para proteger sus cuentas bancarias. El INCIBE subraya que la sofisticación de estos ataques está aumentando para atrapar a los más desprevenidos.  

De hecho, la prevención es actualmente la mejor herramienta de defensa disponible para toda la ciudadanía afectada. El impacto de este tipo de estafas puede ser devastador para la economía de los usuarios. La mecánica del fraude es directa y engañosa, aprovechando la autoridad que proyecta una institución pública como la Agencia Tributaria. Los mensajes recibidos por las víctimas suelen informar sobre un supuesto comunicado pendiente de consultar o una devolución. Para acceder a dicha información, se incluye un enlace que redirige a una página web fraudulenta. Este sitio web está diseñado cuidadosamente para imitar la apariencia visual de la sede electrónica oficial de Hacienda. 

Una vez que el usuario se encuentra en el portal falso, se le solicita que introduzca datos bancarios. Es común que pidan números de tarjetas de crédito o credenciales de acceso a la banca electrónica. Sin embargo, se trata simplemente de un anzuelo para capturar información confidencial de forma ilícita. La rapidez con la que operan estos sitios temporales dificulta en ocasiones su cierre inmediato. Por ello, el INCIBE insiste en la importancia de verificar siempre el origen de cualquier enlace.

Uno de los puntos clave para detectar el engaño reside en analizar detenidamente la dirección URL del enlace proporcionado. Los expertos señalan que las páginas oficiales de la administración pública siempre terminan en dominios .gob.es o .es. En cambio, las plataformas utilizadas por los ciberdelincuentes suelen emplear extensiones mucho más genéricas. Dominios acabados en .top o .click son señales claras de que nos encontramos ante una web de estafa. Estas extensiones son preferidas por los atacantes porque permiten crear y descartar sitios web de forma muy rápida. Cualquier carácter extraño o extensión inusual debe ponernos inmediatamente en estado de máxima alerta. La vigilancia del navegador puede ser la primera barrera efectiva para evitar caer en esta trampa.

Otro elemento que induce al error es el nombre del remitente que aparece en la pantalla del teléfono móvil. Los atacantes emplean una técnica conocida como SMS spoofing para camuflar el número de teléfono de origen. Esto permite que en el dispositivo del usuario aparezca el nombre legítimo de la AEAT como remitente. Lo más peligroso es que el mensaje fraudulento puede colarse en el mismo hilo de mensajes auténticos. Ver mensajes anteriores legítimos en la misma conversación genera una falsa sensación de seguridad en la víctima. No obstante, el INCIBE advierte que no debemos fiarnos únicamente de la etiqueta que identifica al remitente. Esta suplantación técnica es una de las razones por las que este fraude está teniendo éxito. 

Es imperativo desconfiar incluso si el mensaje parece provenir de una fuente de confianza habitual. La tecnología actual permite estas manipulaciones con relativa sencillez para los grupos de ciberdelincuencia organizada. La redacción y el nivel de personalización del mensaje son otros indicadores fundamentales que delatan la falsedad de la comunicación. Las notificaciones reales de la administración pública suelen incluir el nombre, apellidos o parte del NIF. En esta campaña de smishing, los mensajes son extremadamente genéricos y carecen de cualquier identificación personal. Se utilizan expresiones extrañas como “dirigida a usted” o “que usted recibe en calidad de titular”. 

Además, es frecuente encontrar errores tipográficos, como espacios innecesarios antes de los signos de puntuación. La redacción suele ser redundante, artificial y alejada de los estándares comunicativos de la Agencia Tributaria. Estos fallos son típicos en plantillas automatizadas que se traducen o generan de manera masiva por atacantes. Si el tono del mensaje suena forzado o no incluye sus datos básicos, es casi seguro un fraude. La observación detallada de la gramática puede salvarnos de un problema financiero mayor.

Es vital recordar la política oficial de comunicación que sigue la Agencia Tributaria. La AEAT ha reiterado en numerosas ocasiones que jamás solicitará información confidencial por SMS o correo electrónico. Esto incluye números de tarjetas bancarias, claves de acceso o cualquier dato sensible de cuentas corrientes. Tampoco se envían enlaces directos para cobrar devoluciones de impuestos o consultar expedientes específicos. Todas las gestiones relacionadas con devoluciones se tramitan exclusivamente a través de la sede electrónica oficial. Otro canal legítimo es la declaración de la renta presentada formalmente por los cauces establecidos cada año. Cualquier mensaje que prometa un reembolso rápido mediante un simple clic en un enlace es falso.

Actuar rápido

Para aquellos que reciban el mensaje pero aún no hayan interactuado con el enlace, existen pasos preventivos recomendados. Lo más aconsejable es reportar el mensaje al buzón de incidentes del INCIBE para su análisis. Esta acción colaborativa permite recopilar datos que sirven para alertar y proteger a otros usuarios vulnerables. Posteriormente, se debe proceder a bloquear al remitente en el dispositivo móvil de forma permanente. El último paso preventivo es la eliminación definitiva del mensaje para evitar pulsaciones accidentales en el futuro. Si existe alguna duda real sobre una deuda o comunicación, se debe contactar por canales oficiales. Acceder directamente a la web de la Agencia Tributaria sin usar enlaces externos es la mejor práctica. 

En el caso de que un usuario ya haya facilitado sus datos en la web fraudulenta, debe actuar con celeridad. Lo primero es contactar con la entidad bancaria para bloquear tarjetas y movimientos no autorizados. Es fundamental reunir todas las evidencias posibles, como capturas de pantalla de los mensajes y enlaces. Se recomienda presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado con estas pruebas. Además, el INCIBE aconseja realizar egosurfing periódicamente para comprobar si nuestra información ha sido expuesta. Actuar con rapidez puede minimizar el impacto del robo de identidad y de los fondos bancarios. La concienciación ciudadana sigue siendo el pilar fundamental para erradicar estas prácticas delictivas en internet.

En la industria tecnológica, llegar el primero al restaurante no te asegura una silla en la mesa. La sociedad digital no se entiende sin Google, pero la realidad es que la herramienta que lanzó la revolución en el acceso a la información fue AltaVista, adquirida después por Yahoo. El caso de MySpace y su colapso justo antes de que Facebook reventara el mercado de las redes sociales es quizá uno de los más conocidos. Pero hay ejemplos allá donde se mire, como pueden atestiguar aquellos que aseguraban que los teléfonos inteligentes iban a cambiar el mundo con una blackberry en la mano, poco antes de que Steve Jobs presentara el primer iPhone.

El 30 de noviembre de 2022 la humanidad se asomó a ChatGPT y volvió a ver el futuro de la tecnología. El primer chatbot de inteligencia artificial se convirtió en la herramienta digital de más rápida adopción de la historia e impulsó a su creadora, la entonces fundación sin ánimo de lucro OpenAI, al foco mundial. Había empezado oficialmente la revolución de la IA generativa. La cara visible de OpenAI, Sam Altman, se convirtió en una de las personas más populares del planeta y estrechó las manos de decenas de líderes políticos y magnates mientras lanzaba vaticinios sobre el futuro de esta tecnología, el empleo o las relaciones personales.

Poco más de tres años y medio después la situación es muy diferente. El liderazgo de los de Altman, que un día fue incuestionable, ahora corresponde a Anthropic. Se trata de otra startup fundada por un grupo de extrabajadores de OpenAI que salieron de la empresa ante el temor de que esta hubiera dado de lado la seguridad en pos de lograr avances de la manera más veloz posible. Su líder, Dario Amodei, es ahora uno de los mayores evangelistas de la seguridad de la IA.

En cuestión de un par de años, la escisión ha superado a su antecesora. Todo ha sido gracias a superarla en las herramientas destinadas al ámbito corporativo, lo que ha producido un efecto cascada: el dinero de las empresas ha permitido a Antropic acercarse a la ansiada meta de lograr un modelo de negocio rentable para la IA, con unos ingresos anualizados de 47.000 millones de dólares (unos 40.000 millones de euros), según sus datos de mayo. Es casi el doble que la última cifra oficial ofrecida por OpenAI, que se queda en los 24.000 millones.

Esto, a su vez, la ha llevado a superarla también en valoración, con una última ronda de financiación privada que la sitúa en unos 965.000 millones de dólares, unos 100.000 más que OpenAI. La consecuencia de todo ello ha sido otro hito clave: ha sido la primera gran startup de IA en iniciar los trámites para su salida a bolsa. El punto que marca que la era de las promesas ha terminado y arranca la de la presión de los inversores para que logren beneficios.

Una estrategia en tres pasos que ha servido para conseguir el primer cambio de liderazgo en el sector de la IA.

Paso uno: IA para todos con herramientas para unos pocos

Anthropic también tiene un chatbot de IA similar a ChatGPT, llamado Claude. Pero la primera clave del sorpasso no es haber centrado sus esfuerzos en robarle usuarios a OpenAI a través de él. Han sido una serie de herramientas paralelas, como Claude Code, pensadas específicamente para programar.

“Los modelos de IA se adoptan más fácilmente en determinados contextos. Las condiciones clave son que el coste de los errores sea bajo, que el resultado sea fácil de verificar y que el conocimiento esté mayoritariamente codificado. La programación cumple bastante bien con las tres”, explica a elDiario.es Sampsa Samila, profesor del IESE especializado en IA.

La IA es para todos, pero lo que ha llevado al éxito a Anthropic son sus herramientas para los especialistas en tecnología. Específicamente, para los desarrolladores, que han encontrado en la IA su mayor aliada: “El software es fácil de actualizar y, por tanto, los errores se pueden corregir con relativa facilidad. Hay muchas herramientas para probar y verificar programas. El conocimiento está en gran medida en documentación codificada y en el propio código”, continúa Samila, director académico de la Iniciativa sobre IA y Futuro de la dirección de la citada escuela de negocios.

La estrategia para arrebatar el trono a OpenAI no era doblegar a ChatGPT, sino hacerse fuerte en un nicho y crecer a partir de él. “Los chatbots genéricos son canales de distribución potentes, pero por sí solos no constituyen la fuente más sólida de ventaja duradera”, continúa el profesor: “Es demasiado fácil para los clientes cambiar de proveedor, por lo que el poder de fijación de precios es débil. Integrarse en flujos de trabajo y procesos hace que cambiar de proveedor sea mucho más difícil y, por tanto, es mucho más probable que sea una fuente de beneficios sostenidos”.

Paso dos: el ansiado modelo de negocio para la IA

OpenAI “ha tenido un éxito extraordinario en el mercado de consumo”, pero ha sido “esa ventaja técnica en propuestas de valor para el mercado empresarial” de Anthropic la que “ha favorecido una adopción pagada muy rápida en ámbitos profesionales”, coincide el profesor Esteve Amirall, del departamento de Operaciones, Innovación y Data Sciences de Esade.

En los comentarios de Amirall se esconde la segunda clave: “pagada”. ChatGPT lo usan cientos de millones de personas, pero muchas menos pagan por él. Diversas filtraciones apuntan a que OpenAI pierde dinero incluso con las suscripciones de 20 euros, puesto que el coste de la computación que requieren esos usuarios excede ese precio. Mientras, las empresas que han adoptado soluciones basadas en su tecnología están teniendo problemas para rentabilizar su inversión.

El enfoque de Anthropic, en cambio, es el que ha generado el primer modelo de negocio con visos de ser rentable para la inteligencia artificial. Las empresas están dispuestas a pagar mucho dinero por Claude Code y otras herramientas de la startup que les permiten automatizar y potenciar el trabajo de sus desarrolladores. “Proyectos en los que antes invertíamos meses ahora se pueden completar en días por equipos más pequeños. Es uno de los mayores saltos que he visto en los últimos 20 años”, expresaba en el último Mobile World Congress un alto ejecutivo de una de las mayores telecos de Europa.

Proyectos en los que antes invertíamos meses ahora se pueden completar en días por equipos más pequeños. Es uno de los mayores saltos que he visto en los últimos 20 años

“Han sido los que mejor han entendido que las empresas no solo necesitaban un chatbot de usuarios, sino un producto que se pusiera mucho foco en la seguridad, la privacidad y el control de los datos”, explicaba Diego Méndez, director ejecutivo de la firma de software española Tailor Hub, en un reportaje de este medio. “Lo interesante es que Claude Code no solo es un producto, sino una apuesta por una forma diferente de desarrollar software”.

Es una transformación en el sector de la programación que ha bajado rápidamente por toda la cadena, desde las grandes empresas a los aficionados. OpenAI, Google y xAI han sacado herramientas similares, pero Anthropic es la que ha conseguido hacerse con este negocio. “El hecho de que sus modelos funcionaran particularmente bien en tareas de programación, y que esa capacidad se extendiera después hacia entornos de trabajo colaborativo, ha sido un factor decisivo”, sostiene Amirall.

Esa revolución de la programación es la que ha catapultado los ingresos de Anthropic. En enero de 2025, la empresa facturaba unos 1.000 millones al año. En febrero de ese año sacó al mercado Claude Code. A mediados de 2025, sus ingresos habían crecido hasta los 4.000 millones, según la cifra anualizada. Al cierre del ejercicio estaba ya en 9.000 millones. En abril de 2026 llegó a los 30.000 millones y en mayo alcanzó los 47.000.

OpenAI por su parte, no ha aprovechado esa ola por el momento. En 2025 facturó unos 13.000 millones de dólares, mientras que este año está en cifras de llegar a los 24.000. Es un crecimiento enorme, pero lejos de los porcentajes que necesita para sostener sus enormes inversiones en computación.

Desesperados por encontrar beneficios, los de Altman han virado hacia la publicidad basada en la extracción de datos de los usuarios. Es el modelo de negocio que impulsó la revolución digital, pero que da síntomas de agotamiento. Según la última encuesta de IAB, la patronal del marketing digital, solo el 16% de los usuarios afirma que le gusta recibir publicidad personalizada. El propio Altman afirmó que sería “el último recurso de la empresa” porque “la combinación de anuncios con IA” le resultaba “especialmente inquietante”.

Paso tres: impacto real con Mythos

Anthropic también ha sido la primera en lograr un impacto que ha trascendido por completo al sector de la IA. Lo ha logrado con el modelo Mythos, al que todas las empresas del mundo están intentando acceder en este momento. Se trata de una herramienta que mantiene en alerta al sector de la ciberseguridad internacional por su capacidad para localizar brechas en sistemas informáticos y atacarlas de manera autónoma.

Debido al riesgo de que se utilice con fines maliciosos, Anthropic decidió no distribuirla de forma abierta al público. En su lugar, facilita el acceso a grandes empresas tecnológicas y entidades bancarias para que evalúen sus infraestructuras y subsanen las vulnerabilidades antes de que sufran agresiones externas. Las primeras habían sido las estadounidenses y las británicas, lo que ha derivado en presiones a nivel internacional por parte de gobiernos e instituciones de ciberseguridad para lograr acceso al modelo.

Anthropic ha sido tema de conversación en los más altos despachos de las sedes de gobierno, los sectores financieros o de los gestores de infraestructuras críticas. España, que ha consiguido acceder a Mythos esta semana, lo ha celebrado como una muestra de su “influencia en el debate sobre gobernanza de IA de frontera”. “Y responde a la petición que en este sentido trasladaron representantes del Ejecutivo español en sus contactos con Anthropic”, añaden fuentes del Ministerio de Transformación Digital.

Es un techo de cristal que OpenAI no ha conseguido traspasar. Altman ha pasado tres años advirtiendo de que sus productos iban a poner el mundo patas arriba. Sin embargo, ese impacto real no ha llegado. En sus últimas declaraciones al respecto, el ejecutivo ha reconocido que “se equivocaron bastante” en cuanto a las implicaciones sociales y económicas de ChatGPT. “Pensaba que, a estas alturas, la supresión de puestos de trabajo de oficina para principiantes habría tenido un mayor impacto del que realmente ha tenido”, ha admitido, afirmando que se “alegra” de que el apocalipsis laboral que anunció no se haya cumplido.

La ironía es que el siguiente capítulo de esta historia puede repetir el anterior. Anthropic nació de la ruptura con OpenAI por considerar que esta había sacrificado la seguridad en favor de la velocidad y el crecimiento. Ahora, con los trámites de salida a bolsa en marcha, podría ser la primera gran startup de IA sometida a la presión trimestral de los inversores. Con todo, los especialistas consultados enfatizan que no hay que dar por muerta a la empresa que lo empezó todo. “Ambos actores están en niveles tecnológicos muy similares y todavía quedan muchos sectores por explorar. El mercado corporativo seguirá siendo, sin duda, uno de los grandes mercados de esta tecnología”, recuerda Esteve Almirall: “Estamos solo al principio”.

PNV, PSE-EE, EH Bildu y Sumar han sacado adelante una iniciativa en el Parlamento Vasco para reforzar los medios de la Ertzaintza para perseguir la ciberdelincuencia, con el objeto de hacer frente “al actual incremento de ciberdelitos y enfrentarse a los futuros retos del cibercrimen”. La iniciativa partía de la coalición abertzale, que ya venía avisando del “continuo aumento de la ciberdelincuencia”.

El acuerdo alcanzado, ante el que PP y Vox han votado en contra, según informa Europa Press, establece que el Gobierno vasco profundizará en “el proceso de modernización de la Euskal Polizia”, lo que incluye también a los cuerpos locales, “en el ámbito de la ciberseguridad, con el objeto de hacer frente al actual incremento de ciberdelitos y enfrentarse a los futuros retos del cibercrimen”.

Además, en el marco del vigente Plan de Empleo de la Ertzaintza, reforzará los recursos humanos para hacer frente a los ciberdelitos y continuará con la actualización y modernización de los recursos técnicos de la Ertzaintza, también desde el punto de vista de la ciberseguridad, para lo cual se elaborará una planificación específica. Asimismo, la formación en ciberdelitos tendrá su lugar y “relevancia” dentro de los planes de estudio de la academia de Arkaute, para, entre otras cosas, atender adecuadamente a las víctimas. Por último, se reforzarán las labores de prevención, detección y respuesta ante ciberataques, mediante la colaboración entre Cyberzaintza y la jefatura de coordinación de Ciberseguridad de la Ertzaintza.

El parlamentario de EH Bildu Gorka Ortiz de Guinea ha señalado la necesidad de avanzar “hacia un modelo que garantice la seguridad en el espacio digital” ante unos datos “terribles” que reflejan que, “en ocho años casi se ha cuadriplicado la cantidad de ciberdelitos, hasta llegar a ser más de 28.000 en 2025”. Además, ha advertido que estos datos no son “reales”, ya que “diversos estudios manifiestan que la cifra negra del delito digital multiplica ese impacto real más allá de las estadísticas oficiales”. A pesar del “peso” que tienen los ciberdelitos en el total de delitos, el parlamentario de EH Bildu ha criticado que en la Ertzaintza “solo hay 26 ertzainas para investigar 28.000 delitos y es obvio que no son suficientes”. Ortiz de Guinea ha mostrado su satisfacción por el acuerdo: “Es importante que todos nos demos cuenta de que la ciberdelicuencia es un tsunami y que nuestra Policía debe estar muy bien preparada para combatirla”.

La parlamentaria del PNV Josune Escota, que ha remarcado que el acuerdo no implicar “blaquear a EH Bildu”, ha asegurado, frente a la idea de “desbordamiento o improvisación” ante la ciberdelincuencia, que existe “un sistema estructurado que, lógicamente, está en evolución constante y alineado con los estándares europeos”.

Además, ha dicho que en las comisarías “hay agentes que han recibido formación en ciberdelincuencia y que se encargan de asesorar a los agentes de investigación sobre la manera de enfocar esa investigación”, además de existir “unos coordinadores de cibercriminalidad en todas las comisarías, que supervisan las denuncias que se han recogido y hacen seguimiento de todas las gestiones que se realizan”.

Por su parte, ha precisado, la jefatura de coordinación de ciberseguridad, “una iniciativa del año 2025”, se encarga de los casos “más complejos, de los de mayor impacto, los que afectan a menores y los que requieren de alta especialización” y que actualmente está impulsando la optimización de los procesos de denuncia en la Ertzaintza, “la formación y sensibilización a todos los niveles y la clarificación de los términos en las investigaciones de ciberseguridad”.

La parlamentaria del PSE-EE Miren Gallástegui ha reconocido que la ciberdelincuencia “se ha convertido, sin duda, en una de las mayores amenazas para la seguridad y la privacidad en el mundo digital”. “Nos encontramos ante un fenómeno que va a requerir cada vez más de presencia, recursos y atención”, ha manifestado.

Por su parte, la parlamentaria del PP Ainhoa Domaica ha reconocido que, según los datos del Departamento de Seguridad, en 2025 “es verdad que se ha producido un incremento de 1.303 delitos y un incremento porcentual del 4,83%, pero también hay que dimensionar estos 28.271 delitos forman parte de los 143.406 delitos que se produjeron en Euskadi en 2025”, de forma que “la ciberdelincuencia tiene un peso en la delincuencia en Euskadi del 19,71%”.

En ese sentido, Domaica ha puesto de manifiesto que “los delitos presenciales son más del 80% de los delitos que se producen aquí y que son los que realmente generan una mayor preocupación en los ciudadanos”. La parlamentaria del PP ha dicho ver “una intención de EH Bildu de empezar a hablar de seguridad” y “un nuevo acuerdo PNV-Bildu”, que ha enmarcado en “la nueva estrategia del PNV de abrazarse a Bildu, de blanquearlo, de comprarle su discurso en seguridad, aunque hasta ahora ha venido cuestionando sistemáticamente a la Ertzaintza y su funcionamiento democrático” y que “se niega a condenar los ataques a los ertzainas”.

El portavoz de Sumar, Jon Hernández, ha reconocido que hay “una alta incidencia, y lógicamente va a seguir en aumento, de la ciberdelincuencia y de los delitos relacionados con la ciberseguridad” y que hay “una capacidad de protección limitada en Euskadi que debe mejorarse y a la que se le debe dar importancia”. Hernández ha coincidido en la necesidad de modernización de la Ertzaintza “para responder a un tipo de delincuencia que sofisticada y en continua evolución”, así como de formación y aumento de recursos porque el Gobierno vasco tiene “un déficit importante”.

Por último, la portavoz de Vox, Amaia Martínez Grisaleña, ha dicho que le “eriza la piel” que “sea Bildu, precisamente, quien venga a hablar de seguridad”, cuando “continúan apoyando y que todavía no han condenado todos esos crímenes y extorsiones que un grupo terrorista como fue ETA ha producido en nuestra tierra”. “Y nos incomoda que el PNV apoye en un tema de seguridad precisamente a Bildu”, ha indicado.

Es un tema tan sensible que el sector, que tiene la ciberseguridad por bandera y en su ADN operativo, habla de él con todas las precauciones del mundo. Los grandes bancos europeos se han quedado fuera –al menos, de momento– del acceso restringido a Claude Mythos, el modelo de inteligencia artificial de Anthropic que puede llevar la ciberseguridad a un nuevo nivel, por ser capaz de detectar fallos que hasta ahora habían pasado desapercibidos. Esa carencia contrasta con que Anthropic sí ha habilitado el sistema a las entidades de Estados Unidos –hace más de un mes– y del Reino Unido –desde mediados de abril. Esto ha puesto en alerta al Banco Central Europeo (BCE), que ha pedido a las empresas financieras que estén preparadas. 

Esa ausencia de accesibilidad también ha llevado a las autoridades europeas y españolas a reclamar pasos por parte de Anthropic, cuanto antes mejor, lo que deja claro el calado del problema. El pasado lunes, el ministro de Economía, Carlos Cuerpo, criticó que “Europa no puede ser una región de segunda” y defendió que tenga “acceso temprano” para “descubrir cuáles son las vulnerabilidades existentes y protegernos a la velocidad a la que están desarrollándose estos modelos”.

“Es necesario tener una respuesta desde Europa, con las herramientas que tenemos, incluyendo la regulación con la normativa Artificial Intelligence Act, podemos defendernos y empujar para que nuestras empresas también tengan acceso a estos modelos y sean capaces de protegerse por lo que pueda venir”, recalcó Cuerpo.

Europa no puede ser una región de segunda

Carlos Cuerpo — vicepresidente y ministro de Economía

Solo un día después, el presidente del Eurogrupo, Kyriakos Pierrakakis, ministro de Economía y Hacienda de Grecia, asumió “el desafío” que suponen “tecnologías como la IA”, que “requieren marcos de gobernanza internacional en un momento en que el multilateralismo está siendo cuestionado”.

Y advirtió de que Europa no puede permitirse “el lujo de no intentar establecer canales de comunicación con Estados Unidos, tanto sobre este tema como sobre otros, porque, francamente, los cambios que veremos derivados de la IA serán significativos”. “Parte de la cuestión es si se tendrá acceso a determinados LLM [en referencia a los Grandes Modelos de Lenguaje, como se conoce a estos sistemas] y a algoritmos específicos”. 

El responsable del Eurogrupo también señaló que “otra parte es cuán fuerte se es en este debate para poder participar de manera no asimétrica en cualquier discusión tecnológica, ya sea en el ámbito de la IA o en cualquier otro tipo de tecnología. Este es un tema que afecta al comercio y, en realidad, a casi todo en el contexto de la relación transatlántica; por eso esta cuestión será abordada por la Comisión”. “Estamos en contacto con la empresa, por lo que esperamos que ese acceso pueda obtenerse”, adelantó sobre la multinacional tecnológica.

Es un tema que afecta al comercio y, en realidad, a casi todo en el contexto de la relación transatlántica

Kyriakos Pierrakakis — presidente del Eurogrupo

Europa asume que está en contacto con Anthropic, pero el gigante estadounidense no da su brazo a torcer. Por ejemplo, la Comisión de Mercado Interior del Parlamento Europeo ha invitado a la compañía a participar en una audiencia pública a finales de esta semana. Anthropic ha indicado que “no podía aceptar la invitación con tan poca antelación”.

¿Por qué es un problema para la banca?

Mythos es capaz de detectar agujeros en sistemas informáticos que habían pasado desaparecidos para los especialistas humanos y corregirlos. Sin embargo, también permite explotarlos, lo que ha disparado las alarmas que no tienen acceso a él.

Por el momento, las organizaciones que lo han probado no han dado demasiados detalles sobre su impacto real. La única que ha publicado datos concretos ha sido la Fundación Mozilla, que aseguró que gracias a Mythos pudo encontrar y corregir 271 fallos de seguridad de su navegador Firefox. El Instituto de Seguridad de la Inteligencia Artificial británico, que también ha tenido acceso al modelo, llevó a cabo una simulación en la que esta IA completó un ciberataque a un entorno corporativo de 32 pasos, algo que ninguna otra había ejecutado antes.

El cambio de paradigma que puede suponer el nuevo modelo de Anthropic abarca todos los sectores, pero la banca es uno de los más sensibles a cualquier cuestión de ciberseguridad. Algunas grandes entidades españolas comentan esa falta de acceso preferente. Otras, en cambio, prefieren guardar silencio a la espera de ver qué pasa en las próximas semanas. 

Que el sector se está preparando es obvio. El BCE convocó hace unos días a los principales responsables de Riesgos del sector financiero para pedir que estén preparados. Entre ellos, los de las grandes entidades españolas. “Existió esa reunión”, asumió el consejero delegado de Santander, Héctor Grisi, en la rueda de prensa de resultados del primer trimestre. A la cita acudieron, apuntó, “los jefes de Riesgos de los principales bancos, el nuestro estuvo presente”.

A pesar de reconocer ese encuentro, ni las empresas ni el propio BCE detallan de qué se habló y qué se reclamó. El organismo presidido por Christine Lagarde se escuda en que no comenta las reuniones que mantiene con los bancos. 

La ciberseguridad es una prioridad para el banco. Una de las mayores preocupaciones

Héctor Grisi — consejero delegado del Banco Santander

“La ciberseguridad es una prioridad para el banco. Una de las mayores preocupaciones. Evaluamos siempre las infraestructuras, con nuevas capacidades basadas en IA, actualizando los protocolos, trabajando con socios para que la IA se utilice para proteger mejor a los clientes. Trabajamos sin parar para que no haya ningún problema”, enumeró el CEO de Santander a los medios.

En la misma línea, su homólogo de BBVA, Onur Genç, también se refirió a esa cita con el BCE. “Seguiremos reforzando nuestros sistemas de seguridad”, apuntó. “Estuvimos en esa reunión”, a la que trató de restar peso. “No se trata de alarma, sino de estudiar la situación, ver qué podría ocurrir. Es un modelo de Anthropic bastante potente” y se trata de “ver cómo podemos luchar contra las amenazas, estar protegidos”.

elDiario.es ha contactado con Anthropic en varias ocasiones para preguntar por el acceso de los bancos europeos a Mythos, pero no ha recibido respuesta. La compañía está inmersa en negociaciones clave con la Casa Blanca tras un conflicto con el Pentágono por los límites de la aplicación militar de su tecnología.

El riesgo para los bancos europeos aumenta con tiempo, conforme otras organizaciones prueban Mythos y crecen las posibilidades de que alguien lo saque del circuito de seguridad. Anthropic, de hecho, investiga una posible filtración del modelo a terceros que no deberían haber tenido acceso a él, a través de uno de sus proveedores.

Estar preparados

La Comisión Europea y los organismos especlializados están intentando engrasar el proceso. Fuentes oficiales de la Agencia de la Unión Europea para la Ciberseguridad (ENISA) indican a elDiario.es que la entidad “está actualmente en contacto con organizaciones que han accedido o han revisado el modelo. No obstante, es demasiado pronto para que ENISA pueda proporcionar más información sobre esta cuestión en este momento”.

Mientras, piden a los bancos que se mantengan atentos. “Las recomendaciones de ENISA siguen siendo las mismas para los riesgos de la IA”, detallan: “Como primer paso, las organizaciones deben establecer una sólida estructura de gobernanza en torno a la IA, con una supervisión clara de su estrategia, roles y responsabilidades transparentes, y evitar los riesgos que surgen de la 'IA en las sombras'”, como se conoce a los procesos que integran esta tecnología sin las suficientes salvaguardas de seguridad.

La EBA, la Autoridad Bancaria Europea, reconoce por su parte a este medio que “por el momento” no “ha recibido confirmación alguna sobre el acceso de bancos o proveedores europeos al modelo Mythos. Seguimos de cerca la evolución de la ciberseguridad y la IA, mantenemos un contacto estrecho con nuestros interlocutores europeos e internacionales”, añadió un portavoz de esta agencia independiente dentro de la estructura de la UE que persigue asegurar la estabilidad del sistema financiero.

“A pesar de las dudas sobre las capacidades de Mythos y dada la limitada información disponible, la EBA considera que el marco regulatorio actual de la UE proporciona una base sólida, tanto para la industria como para los supervisores, a la hora de abordar los riesgos asociados”, apuntó. También, que “seguirá supervisando la situación con todas las partes interesadas, centrándose en cómo mitigar mejor los riesgos potenciales asociados a estas herramientas, en particular el riesgo de su uso indebido o acceso por parte de agentes malintencionados”.

El debate de fondo es de quién va a poder acceder a los avances, cuándo y cuánto. Así lo concluía el presidente del Eurogrupo: “La cuestión más estratégica es qué tipo de capacidades podremos desarrollar en los próximos meses y años para poder ser una parte mucho más sólida de la ecuación en cualquier debate tecnológico. De eso trata, precisamente, la soberanía tecnológica”.

En la boyante industria de la inteligencia artificial es difícil seguir la pista de todos los actores si no se es un usuario habitual de sus herramientas. Sobre Anthropic, una de las startups más punteras del negocio, la primera referencia que tuvo parte de la opinión pública llegó de una gran bronca de Donald Trump. Una “empresa de izquierda radical y woke” dirigida por “locos izquierdistas” cuyo “egoísmo está poniendo en riesgo vidas estadounidenses” y que aspira, según el presidente estadounidense, a “dictar cómo nuestro gran ejército lucha y gana guerras”.

El motivo que desencadenó el rapapolvo fue la guerra de Irán. El fin de semana en el que comenzaron los bombardeos estadounidenses sobre el país, Anthropic se negó a levantar algunas restricciones que pesaban sobre el uso militar de su IA. Según informó la empresa y medios estadounidenses, esos límites eran, en concreto, dos: el que impide que se use para dirigir armamento autónomo y el que la bloquea para realizar vigilancia masiva sobre la población.

Eso ocurrió hace dos meses. Esta semana, Trump se ha referido a la startup como “un grupo de gente muy inteligente”, que “pueden ser de gran utilidad”. “Me gusta la gente con alto coeficiente intelectual, y ellos sin duda tienen un alto coeficiente intelectual”, dice ahora el republicano sobre la cúpula de Anthropic. “Tienden a ser de izquierdas, de izquierda radical, pero nos llevamos bien con ellos”, admite: “Creo que se están encarrilando”.

¿Qué ha ocurrido entre ambas declaraciones? Según Trump, una reunión en la Casa Blanca en la que mantuvieron “conversaciones muy buenas” con Anthropic. Pero hay algo más que el republicano no cita: la salida a la luz de un modelo de inteligencia artificial que podría llevar la ciberseguridad mundial a un nuevo nivel. O ser la peor pesadilla de cualquier sistema informático, dependiendo de quién la controle.

El antes y después de Claude Mythos

La última semana de marzo, Anthropic comunicó que había desarrollado Claude Mythos, un modelo de inteligencia artificial que, asegura, posee una capacidad sin precedentes para identificar y explotar vulnerabilidades en los principales sistemas operativos y navegadores web: Mejor que los humanos más habilidosos.

Por este motivo, su lanzamiento se restringió a un puñado de empresas de confianza, con el objetivo de que pudieran analizar su ciberseguridad e impedir que Claude Mythos desencadenara una campaña de ataques informáticos a gran escala. Primero se otorgó acceso a las grandes tecnológicas estadounidenses, después a los bancos del país, y más recientemente a los bancos británicos.

Hasta el momento, esa lista de socios no ha dado apenas detalles sobre el funcionamiento de Claude Mythos. Amazon, Microsoft o Google (inversores directos de Anthropic) o bancos como Goldman Sachs, JPMorgan, Citigroup o Bank of America se han limitado a hacer declaraciones sobre la importancia estratégica de la ciberseguridad cuando han sido preguntados al respecto.

La única que ha dado cifras es Mozilla, la fundación que desarrolla el navegador Firefox, que este lunes publicó un parche para 271 agujeros de seguridad detectados por Mythos. “Las vulnerabilidades informáticas son finitas, y estamos entrando en un mundo donde finalmente podremos encontrarlas todas”, ha afirmado sobre las capacidades de este tipo de modelos.

Las vulnerabilidades informáticas son finitas, y estamos entrando en un mundo donde finalmente podremos encontrarlas todas

Fundación Mozilla — sobre Claude Mythos

“Lo único que se sabe es que es una herramienta superpotente”, explica Rafael López, investigador de ciberseguridad de la firma Checkpoint. “Si antes tú podías tardar un mes en encontrar vulnerabilidades de un producto, aquí estamos hablando de horas”, continúa.

“Puede sacar los colores a más de una aplicación y más de un sistema de seguridad, pero no es tan fuegos artificiales como lo han querido vender”, cuestiona el especialista: “Seguirán haciendo falta personas que revisen que todo lo que dice es correcto, aunque está claro que va a ayudar muchísimo y puede hacer que todo sea mucho más fácil”.

Esa falta de detalles sobre las capacidades reales de Mythos ha espoleado las suspicacias acerca de si todo lo que está sucediendo a su alrededor podría tener un componente propagandístico. Y uno de los primeros que ha apuntado en esa dirección es Sam Altman, director ejecutivo de OpenAI, que también ha sido acusada múltiples veces de utilizar a su favor el marketing del miedo.

“Es una estrategia de marketing increíble decir: 'Hemos construido una bomba, estamos a punto de lanzarla sobre tu cabeza, te venderemos un refugio antibombas por 100 millones de dólares que necesitas para resguardar todas tus pertenencias, pero solo si te elegimos como cliente'”, ha afeado Altman, que hace dos años comparó el desarrollo de la IA con el Proyecto Manhattan, que derivó en la creación de la bomba atómica.

La ética de Anthropic y la desventaja estratégica con China

Cuando Trump cargó contra Anthropic hace dos meses, su golpe no se quedó en la dialéctica. También ordenó etiquetar a la startup como “un riesgo para la cadena de suministro”, lo que implica que ni ella ni ninguna otra empresa que tenga relación con ella puede ser contratada por la administración. En la práctica, equivale a un asesinato corporativo.

Anthropic llevó la decisión a los tribunales y consiguió frenarla de manera cautelar. Puede que la irrupción de Claude Mythos haya recordado a Trump cuáles son los riesgos de condenar al ostracismo a una de sus empresas de IA más punteras. Pero para entender por qué su reacción inicial fue tan contundente, hay que mirar a China.

La reacción de Anthropic al inicio de la guerra de Irán evidenció una desventaja estratégica entre Washington y Pekín. En el gigante asiático no se concibe que una empresa pueda poner límites al uso militar de su tecnología, como hizo la startup dirigida por Dario Amodei. “El sistema chino parte de la premisa de que cualquier desarrollo civil tiene una aplicación militar desde el primer día, y viceversa”, explica Claudio Feijóo, catedrático de la Universidad Politécnica de Madrid especializado en la economía y tecnología chinas.

En Occidente, explica el experto, se suele hablar de “tecnologías duales” cuando pueden emplearse en ambos campos. En China, en cambio esa conexión se da por hecha y está integrada en la propia ley estatal a través del concepto de la “fusión civil-militar”. “Se aplica a todos los niveles de la sociedad”, continúa Feijóo, involucrando directamente tanto a “las universidades” como a “las empresas punteras de tecnología”.

Es bajo este prisma donde el castigo ejemplarizante de Donald Trump contra Anthropic cobra sentido estratégico. El temor de fondo en la Casa Blanca es el “efecto contagio”: el miedo a que la rebelión ética de una empresa sirva de ejemplo para que los empleados de otras corporaciones clave se nieguen a colaborar con el Pentágono, como ocurrió en el pasado en multinacionales como Google.

Como advierte Feijóo, se trata de una prueba más de que el mundo se está “chinificando”, al colocar “la seguridad nacional está por encima de cualquier otra cosa”. Cuando el Estado invoca la carta de la seguridad, “se pierde la racionalidad” y el mensaje a las empresas es claro: “todos en fila y a cumplir lo que hace falta para el país”.

Un acuerdo que nadie quiere firmar

Si bien la asimetría entre el Partido Comunista Chino y la Casa Blanca en el control que pueden ejercer de sus empresas tecnológicas queda en evidencia en casos como el de Anthropic, el problema radica en la desconfianza mutua entre las dos superpotencias. En el ámbito de la defensa existe desde hace años una iniciativa internacional para el Uso Responsable de la Inteligencia Artificial en el Ámbito Militar (REAIM, por sus siglas en inglés) que busca garantizar que haya siempre “una persona en el bucle”: que ningún sistema autónomo ataque sin supervisión humana.

El acuerdo fue impulsado por Corea del Sur y Países Bajos y ha sido ratificado por decenas de países, entre ellos España. Pero en la lista no están Washington, ni Pekín, ni Moscú. “Nadie quiere firmarlo porque nadie se fía de que los otros lo estén cumpliendo”, explica Feijóo. “Cuando la gente no quiere firmar un acuerdo que tiene que ver con controlar la inteligencia artificial en el sector de defensa”, concluye, “lo que te hace pensar es que ya lo están haciendo”.

Sufrir un caso de ciberdelincuencia no siempre representa necesariamente el final del calvario para el afectado, sino el inicio de un nuevo riesgo. En muchos casos, este suceso es solo el preámbulo de una estafa secundaria conocida técnicamente como Recovery Room o sala de recuperación. Este método delictivo se ceba con personas que ya han sufrido un quebranto económico previo, buscando explotar su desesperación por recuperar lo perdido, de ahí que la Organización de Consumidores y Usuarios (OCU) haya alertado del incremento de estos casos detectados recientemente en el entorno financiero. Los estafadores operan bajo una lógica perversa al convertir la vulnerabilidad emocional de la víctima en su principal herramienta de manipulación y engaño.

No se trata de un contacto fortuito, sino de un ataque dirigido que suele basarse en bases de datos obtenidas de estafas anteriores. En este escenario, la esperanza de recuperar los ahorros perdidos se transforma rápidamente en una nueva trampa económica de difícil salida. Es vital entender que esta práctica busca asestar un segundo golpe financiero a quienes ya se encuentran en una situación crítica y vulnerable.

El funcionamiento de este fraude se basa íntegramente en la falsa promesa de rescatar fondos que ya se consideraban definitivamente perdidos por el usuario. Los delincuentes aseguran poseer medios tecnológicos o legales muy avanzados para rastrear el dinero estafado en primer lugar. Según detalla el Instituto Nacional de Ciberseguridad (INCIBE), los atacantes suelen presentarse falsamente como expertos auditores o incluso como abogados de gran prestigio. El contacto inicial con la potencial víctima se realiza de forma proactiva mediante llamadas telefónicas, correos electrónicos o mensajes privados en redes sociales. La narrativa construida por estos grupos criminales es extremadamente convincente, utilizando un lenguaje técnico que simula una solvencia profesional totalmente inexistente. 

Al dirigirse a víctimas de fraudes previos, los estafadores suelen conocer detalles específicos sobre el engaño original que sufrió el afectado en el pasado. Esta información privilegiada les permite generar una falsa pero potente sensación de confianza y legitimidad desde el primer momento de la charla. Sin embargo, el objetivo final es siempre el mismo: solicitar el pago de cantidades adicionales bajo conceptos que son totalmente inventados.

La OCU subraya con firmeza que ninguna entidad legítima o despacho de abogados serio solicita nunca pagos por adelantado para realizar estas gestiones. Los estafadores justifican estas peticiones de dinero alegando supuestos gastos administrativos, tasas legales de última hora o impuestos de salida pendientes. También es sumamente común que mencionen comisiones bancarias internacionales o costes específicos necesarios para el desbloqueo de los fondos recuperados. Todos estos argumentos carecen de cualquier tipo de base real y forman parte del guion diseñado para extraer el máximo capital posible. 

Una vez que la víctima realiza la transferencia solicitada, los delincuentes suelen desaparecer de forma inmediata rompiendo cualquier vía de contacto. En otras ocasiones, si detectan que el afectado aún posee recursos disponibles, inventan nuevas incidencias burocráticas para seguir pidiendo más fondos. Este ciclo de extorsión económica puede prolongarse mientras la víctima mantenga la esperanza de recuperar su inversión inicial. Es fundamental desconfiar sistemáticamente de cualquier persona que prometa resultados garantizados en la recuperación de estafas digitales complejas.

Para dotar al engaño de una apariencia altamente profesional, los grupos criminales utilizan identidades suplantadas de empresas reales y organismos oficiales. El INCIBE advierte que es habitual el uso fraudulento de logotipos reales, sellos institucionales falsificados y páginas web con un diseño muy sofisticado. Estas plataformas fraudulentas a menudo incluyen testimonios de éxito e historias de recuperación que son completamente ficticias y manipuladas. Los delincuentes también pueden llegar a hacerse pasar por representantes de las fuerzas de seguridad del estado o de agencias gubernamentales. Esta táctica busca intimidar a la víctima o hacerle creer de forma errónea que el proceso cuenta con un respaldo legal oficial. 

La presión psicológica sobre el usuario se intensifica mediante el uso de plazos cortos y una falsa sensación de extrema urgencia. Se advierte al ciudadano que la celeridad demandada es solo un método para forzar decisiones impulsivas y evitar que reflexione. La verificación independiente de la existencia de estas empresas es un paso crítico que nunca debe ser omitido por el consumidor. Existen variantes de esta estafa que van mucho más allá de la simple petición de dinero. En algunos casos, los atacantes solicitan a la víctima que instale software de acceso remoto en sus dispositivos personales bajo pretextos técnicos. El INCIBE señala que esta maniobra permite a los delincuentes observar contraseñas en tiempo real y vaciar las cuentas bancarias directamente. 

También es frecuente que pidan la creación de nuevas billeteras digitales con la excusa de recibir en ellas los supuestos fondos rescatados. En realidad, los estafadores mantienen el control total sobre estas carteras y se apropian de cualquier ingreso que se realice en ellas. Este tipo de intrusión maliciosa compromete no solo las finanzas, sino también toda la seguridad digital y la privacidad del usuario afectado. Los expertos recomiendan encarecidamente no permitir nunca el acceso de terceros desconocidos a ordenadores o teléfonos móviles personales. La protección de las claves privadas y las credenciales bancarias es siempre la última línea de defensa ante estos ataques.

Cortar y bloquear, lo primero

Ante la recepción de una oferta de este tipo, las recomendaciones de los especialistas son claras, directas y eminentemente preventivas para el usuario. En primer lugar, se debe proceder a cortar cualquier tipo de comunicación de forma inmediata con el remitente de la propuesta. No se debe facilitar bajo ningún concepto documentos personales, contraseñas bancarias ni realizar pagos por supuestas tasas o comisiones de gestión. Nunca se debe confiar ciegamente en los datos de contacto o enlaces proporcionados por la misma persona que ha iniciado el contacto. Es prudente bloquear los números de teléfono, los perfiles en redes sociales y marcar los correos electrónicos sospechosos como basura. Además, si se ha llegado a instalar algún programa sugerido por los estafadores, es estrictamente necesario revisar técnicamente el dispositivo. Por último, el cambio inmediato de todas las contraseñas expuestas y la activación de la doble autenticación son ahora pasos de seguridad obligatorios.

La colaboración ciudadana y el reporte activo de estos incidentes son elementos esenciales para combatir la actual impunidad de estas redes. El INCIBE pone a disposición de todos los ciudadanos su Línea de Ayuda en Ciberseguridad gratuita a través del número marcado como 017. Este servicio ofrece una orientación especializada y confidencial para gestionar correctamente situaciones de fraude, robo de datos o extorsión. Es fundamental recopilar todas las pruebas posibles del contacto, como capturas de pantalla de chats, correos recibidos y justificantes de pago. Esta documentación será de vital importancia al presentar la denuncia formal ante las Fuerzas y Cuerpos de Seguridad del Estado. Denunciar permite a las autoridades rastrear los patrones delictivos y bloquear los recursos financieros que utilizan habitualmente los estafadores.

La startup de inteligencia artificial Anthropic ha confirmado este miércoles que investiga un posible acceso no autorizado a Claude Mythos Preview. Se trata de un modelo desarrollado recientemente capaz de encontrar agujeros de seguridad en sistemas informáticos que hasta ahora se consideraban robustos y que ha puesto en alerta a las grandes tecnológicas y principales bancos del mundo.

Su lanzamiento se había restringido a un puñado de empresas de confianza debido a estos riesgos, con el objetivo de que pudieran analizar su ciberseguridad e impedir que Claude Mythos desencadenara una campaña de ataques informáticos a gran escala. No obstante, este miércoles Bloomberg ha informado de que un grupo de personas ajeno a esa pantalla de seguridad ha accedido al modelo sin autorización. Horas más tarde, Anthropic ha reconocido que lo está investigando.

“Estamos investigando un informe que advierte de a un acceso no autorizado a Claude Mythos Preview a través de uno de nuestros entornos de proveedores externos”, ha declarado la startup. Este acceso se habría producido gracias al sistema utilizado por terceras compañías que realizan trabajos de desarrollo para Anthropic.

Según ha explicado Bloomberg, un pequeño grupo de personas en un foro privado obtuvo acceso al modelo el mismo día en que la startup anunció su despliegue para pruebas con socios estratégicos. No obstante, la empresa ha asegurado que no existen pruebas de que la actividad se extendiera más allá del entorno de ese proveedor.

Anthropic lanzó Mythos este mes bajo un despliegue restringido para que corporaciones como Amazon, Microsoft, Apple, Cisco y CrowdStrike pudieran identificar y parchear vulnerabilidades críticas en sus propios sistemas antes de que la tecnología llegue al público general. Algunos bancos estadounidenses también han tenido acceso al modelo.

Mozilla, la organización que desarrolla el navegador Firefox y que también ha contaco con ese acceso anticipado, ha publicado un parche para 271 vulnerabilidades detectadas por Mythos. “Nuestra experiencia es esperanzadora para los equipos que superan el vértigo y se ponen manos a la obra”, había declarado la organización. “Las vulnerabilidades informáticas son finitas, y estamos entrando en un mundo donde finalmente podremos encontrarlas todas”.

La aparición de Mythos también parecía haber relajado las tensiones entre la Casa Blanca y Anthropic. La startup fue incluida en una lista negra el pasado febrero por negarse a ceder ante algunas peticiones del Pentágono en cuanto al uso de su IA en la guerra de Irán. Esto provocó la ira de Donald Trump, que los denomino “locos izquierdistas”. Sin embargo, en los últimos días se han producido acercamientos y el presidente estadounidense ha afirmado que la tecnología de Anthropic “podría ser muy útil” y que sus dirigentes “se están encarrilando”.

La posible brecha de seguridad en Mythos se suma, no obstante, a otros incidentes recientes que han puesto bajo escrutinio los procesos de Anthropic. El pasado marzo, la compañía atribuyó a un error humano el descubrimiento del nombre y las descripciones de Mythos en un registro de datos accesible públicamente. Además, este mismo mes se produjo la publicación no autorizada del código fuente de Claude Code, su asistente de programación.

El Ministerio para la Transformación Digital ha aprobado una orden ministerial que impide realizar cualquier comunicación comercial telefónica a través de números que no comiencen por el prefijo 400. La medida, que forma parte del Plan Antiestafas, fija octubre como fecha límite para que las operadoras bloqueen cualquier intento de contacto publicitario que no utilice esta nueva numeración.

“En el día de hoy hemos publicado en el BOE una instrucción que va a obligar a que todas las operadoras telefónicas obliguen a todas las empresas a hacer las llamadas comerciales, siempre con un número 400”, ha detallado el ministro Óscar López este martes en un evento de AMETIC, la patronal tecnológica. “Esta medida entrará en vigor a partir de octubre y por lo tanto, todos los ciudadanos que sepan que a partir de octubre solo podrán recibir llamadas comerciales que entren de un número 400 y el resto serán bloqueadas”.

Los nuevos números 400 serán unidireccionales. Esto significa que los ciudadanos podrán recibir la comunicación, pero el sistema les impedirá devolver la llamada a ese mismo número. Con esta restricción, el Gobierno busca neutralizar las estafas de rellamada, en las que los ciberdelincuentes intentan que la víctima contacte con números de tarificación especial dejándole un gancho en un primer contacto.

Además de la imposición del nuevo prefijo, las operadoras de telecomunicaciones también deberán permitir que sus clientes restrinjan totalmente cualquier contacto comercial vinculado a los números 400.

Registro de nombres contra el fraude por SMS

El paquete de medidas también incluye la mensajería móvil. Con el objetivo de frenar las suplantaciones de identidad de empresas e instituciones a través de SMS, la Comisión Nacional de los Mercados y la Competencia (CNMC) creará un registro oficial donde todos los organismos deberán inscribir los códigos alfanuméricos que utilizan como remitentes.

“A partir de junio, se acabaron los SMS suplantando la personalidad de compañías”, ha afirmado López, señalando que el objetivo es conseguir que “solamente las empresas y las entidades que estén en ese registro de la CNMC podrán hacer esos envíos masivos”. A partir del 7 de junio, las operadoras tienen la orden de bloquear cualquier mensaje cuyo remitente no figure en esta base de datos verificada.

Estas medidas se suman a un protocolo previo que, desde marzo de 2025, prohíbe el uso de numeración móvil para servicios de atención al cliente, obligando al uso de números cortos, fijos locales o rangos gratuitos (800 y 900).

El ministro ha defendido que esas primeras medidas han servico para frenar millones de contactos publicitarios y estafas. “Con las medidas que hemos puesto hasta ahora, hemos conseguido bloquear ya 192 millones de llamadas y 17 millones de SMS”. Según datos del sector, compañías como Telefónica interceptan actualmente cerca de 500.000 llamadas fraudulentas cada día antes de que lleguen al terminal del usuario final.

La nueva normativa se aplicará a todas las compañías, con la única excepción de las pequeñas operadoras de luz, gas y teléfono que posean menos de un 5% de cuota de mercado, cuenten con menos de 250 trabajadores o facturen menos de 50 millones de euros anuales. En caso de incumplimiento tras la entrada en vigor, los ciudadanos podrán denunciar directamente ante la Oficina de Atención al Usuario de Telecomunicaciones (OAUT) o la CNMC.

La cadena de gimnasios Basic-Fit ha sufrido un robo de la información que afecta a aproximadamente un millón de sus socios en Europa. Entre los afectados hay clientes de sus gimnasios en España, Francia, Alemania y Países Bajos. Los datos sustraídos incluyen nombres y apellidos, direcciones, correos electrónicos, números de teléfono, fechas de nacimiento, números de cuenta bancaria e información sobre su membresía y consumo, según ha informado Basic-Fit a las víctimas a través de correo electrónico.

“Concretamente, incluye el tipo de membresía, el saldo de pagos, el número de pase de Basic-Fit, un identificador interno, los horarios y clubs de tus visitas recientes”, desglosa la empresa sobre este último punto. Los ciberdelincuentes también han accedido al tipo de dispositivo que los socios utilizaron para validar esas últimas visitas, como por ejemplo la marca del teléfono. Las contraseñas del servicio no se han visto afectadas, según la comunicación.

El acceso a los datos se produjo el pasado 8 de abril en el sistema encargado de registrar las visitas de los socios a los centros deportivos. El operador, que presta servicio a más de 4,5 millones de clientes en seis países europeos, ha detallado que sus herramientas de monitorización detectaron la intrusión y bloquearon el acceso. El sistema que gestiona su modelo de franquicias en otros países europeos opera de manera independiente y no se ha visto afectado por la filtración.

“Los hackers encontraron una vulnerabilidad en la seguridad de nuestro sistema”, ha explicado un portavoz de Basic-Fit a elDiario.es. “La solucionamos minutos después de detectar la brecha. Lamentablemente, la seguridad 100% no existe, tal y como confirma el NCSC (la agencia nacional de ciberseguridad del Reino Unido), que aconseja a las empresas que trabajen en su resiliencia”, añaden las mismas fuentes: “Los hackers no se han puesto en contacto con nosotros y, por lo que sabemos, los datos no se han publicado en ningún lugar”.

Ataques de suplantación de identidad

La empresa comunica a los afectados que no es “necesario” que tomen “ninguna medida inmediata”. No obstante, avisa que deben tener “cuidado con los posibles intentos de phishing”, una modalidad de ataque en la que los ciberdelincuentes suplantan la identidad de empresas e instituciones para ganarse la confianza de las víctimas y robar sus datos financieros o su dinero.

La acumulación de datos personales como las sustraídas en este tipo de incidentes, como cuentas bancarias, números de teléfono y fechas de nacimiento, facilita el diseño de los ganchos para engañar al objetivo. Los ciberdelincuentes utilizan detalles específicos como nombres completos o registros de actividad para generar un “sesgo de autoridad” y una sensación de urgencia que impida que sospeche de la interacción.

Además, el volumen de información filtrada permite la profesionalización de las estafas mediante centros de llamadas, donde los datos son vendidos a terceros o empleados para cometer fraudes financieros posteriores.

En caso de sospecha de haber clicado en un enlace fraudulento o de haber introducido datos bancarios en páginas que podrían estar operadas por ciberestafadores, la recomendación de las fuerzas de seguridad es comunicar lo sucedido de inmediato al banco y denunciar los hechos a la Policía. El Instituto Nacional de Ciberseguridad dispone del número gratuito 017 y del teléfono de WhatsApp 900 116 117 para resolver dudas de seguridad. Atiende a ciudadanos, empresas y profesionales y es confidencial.