El calendario fiscal de los contribuyentes afronta una de las fechas más relevantes con la llegada del segundo plazo del pago de la Renta del ejercicio 2025. Todos aquellos ciudadanos que optaron por fraccionar el importe a ingresar al presentar su liquidación deben abonar el 40% restante antes del próximo cinco de noviembre. Este vencimiento representa una cita ineludible para miles de hogares que fraccionaron su deuda en dos partes, habiendo satisfecho el 60% inicial en primavera. Sin embargo, la inminencia de esta fecha límite no solo moviliza a los contribuyentes, sino que ha reactivado las alarmas de ciberseguridad ante el despliegue de campañas masivas de fraude.

Ante el incremento sostenido de mensajes engañosos detectados en los últimos días, la Organización de Consumidores y Usuarios (OCU) ha emitido una alerta para advertir sobre los riesgos de estas suplantaciones. La OCU señala que los estafadores utilizan el gancho del vencimiento del cinco de noviembre para enviar comunicaciones fraudulentas que simulan proceder de la Agencia Tributaria. Según detalla la propia organización de consumidores, estas trampas digitales buscan explotar la incertidumbre y el miedo a sanciones administrativas entre quienes tienen pendiente el pago del IRPF. El objetivo prioritario de las redes delictivas consiste en engañar al usuario para que acceda al enlace malicioso.

El modus operandi desplegado en esta campaña de fraude destaca por la variedad de pretextos utilizados para infundir urgencia y conseguir que el ciudadano actúe sin verificar la autenticidad del remitente. Entre los mensajes más habituales detectados por la OCU se encuentran aquellos que aseguran falsamente que el cargo bancario correspondiente a la segunda fracción ha sido rechazado por la entidad financiera. En otros casos, los ciberdelincuentes advierten sobre una supuesta incidencia grave en la domiciliación bancaria o amenazan directamente con la imposición inmediata de recargos y sanciones económicas. Independientemente de la variante empleada, todas las comunicaciones insisten en la urgencia de acceder al enlace web.

La Agencia Tributaria ha reaccionado ante el repunte de este tipo de ciberestafas mediante avisos oficiales destinados a proteger a los contribuyentes frente al conocido como smishing. La entidad pública recuerda tajantemente que jamás solicita información confidencial, datos bancarios, números de cuenta ni tarjetas de crédito a través de mensajes de texto SMS o correos electrónicos. Desde el organismo estatal se insiste en que las comunicaciones oficiales nunca contienen enlaces directos dirigidos al pago de deudas ni exigen la entrega de claves personales para resolver incidencias tributarias. Este tipo de fraude busca aprovechar la confianza de los ciudadanos para obtener sus datos bancarios.

Para tranquilidad de los contribuyentes que eligieron la opción de domiciliación bancaria para la segunda fracción al presentar su declaración, la Agencia Tributaria aclara que el procedimiento es totalmente automático. En estos casos, el importe correspondiente al 40% pendiente será cargado directamente en la cuenta corriente facilitada el mismo día cinco de noviembre. Por lo tanto, los ciudadanos que hayan domiciliado el pago no necesitan realizar ninguna gestión adicional, ni acceder a ningún portal web, ni confirmar nuevamente sus datos en plataforma alguna. Únicamente resulta necesario comprobar que la cuenta bancaria designada dispone de saldo suficiente para atender el cargo del recibo.

Qué hacer

Por su parte, aquellos contribuyentes que decidieron fraccionar el pago del IRPF pero no solicitaron la domiciliación bancaria de esta segunda cuota deben efectuar el ingreso de forma manual antes de que concluya el plazo legal del cinco de noviembre. La OCU recalca que esta gestión debe realizarse obligatoriamente mediante el Modelo 102 a través de los canales oficiales habilitados por la administración pública. Para ello, los interesados pueden formalizar el pago por vía electrónica ingresando directamente en la Sede Electrónica de la Agencia Tributaria o acudiendo a entidades bancarias colaboradoras. Resulta fundamental que el usuario introduzca manualmente la dirección web oficial en su navegador habitual.

En el caso de recibir un SMS sospechoso relacionado con el pago de la Renta, las recomendaciones de la OCU y de las autoridades de ciberseguridad pasan por no responder, no hacer clic en los enlaces y eliminar la comunicación inmediatamente. Si existen dudas sobre el estado real de la liquidación del impuesto, se debe consultar el expediente personal entrando por medios propios en la Sede Electrónica oficial. Asimismo, si un ciudadano ha sido víctima del engaño y ha facilitado datos bancarios o contraseñas, es urgente que contacte de inmediato con su entidad financiera para bloquear las tarjetas o cuentas afectadas. También se deben guardar todas las evidencias del mensaje engañoso y denunciarlo.

El Instituto Nacional de Ciberseguridad (INCIBE) y la Organización de Consumidores y Usuarios (OCU) han alertado sobre una campaña de estafa digital que trata de suplantar a la Dirección General de Tráfico (DGT). Los ciberdelincuentes distribuyen mensajes SMS y correos electrónicos para engañar exigiendo el pago urgente de una supuesta multa pendiente. La trampa utiliza la autoridad del organismo y la amenaza de sanciones para sembrar pánico. Para lograr credibilidad, los atacantes replican el logotipo institucional, lo que hace que muchas personas accedan al enlace por temor a recargos. Las autoridades recuerdan que la DGT jamás notifica sanciones por estos canales.

El funcionamiento de este fraude combina ingeniería social con páginas web fraudulentas muy elaboradas. La estafa comienza al recibir un aviso sobre una multa cuyo importe aumenta si no se abona de inmediato. Los mensajes advierten que la sanción inicial de 100 euros subirá a 200 y alcanzará 400 en apenas 24 horas. Esta estrategia busca anular la capacidad crítica del receptor para evitar que verifique la autenticidad del mensaje. Al pulsar en el enlace, la víctima llega a un portal malicioso que imita la sede electrónica de la DGT. Una vez dentro, se exige ingresar el nombre y la matrícula para consultar el expediente falso.

Las modalidades incluyen tanto mensajes de texto conocidos como smishing o correos denominados en este caso phishing. En los correos identificados por las autoridades se emplean asuntos engañosos sobre expedientes en curso o recordatorios de recargos. Los SMS suelen mostrar siglas oficiales en el remitente e invitan a revisar el expediente. Al analizar la dirección del remitente, se observa que no pertenece al dominio oficial de la DGT. A pesar de incluir siglas institucionales en el enlace, la URL dirige a servidores maliciosos administrados por ciberdelincuentes. La apariencia profesional confunde a los usuarios, convirtiendo esta campaña en un peligro constante.

Tras acceder a la plataforma fraudulenta e introducir la matrícula, la página muestra una sanción inventada por exceso de velocidad. Para persuadir a la víctima de completar el pago, la web exige una cantidad reducida de 70 euros, una cifra suficientemente baja para no generar alarma. A continuación, el sistema redirige a una pasarela falsa donde se requiere la numeración de la tarjeta, fecha de caducidad y código de seguridad. Algunas versiones muestran pantallas de validación que solicitan claves SMS que nunca llegan. Si la víctima introduce sus credenciales bancarias en esta interfaz, los estafadores obtienen el control absoluto sobre sus fondos.

Detectar este tipo de fraudes resulta fundamental para proteger la privacidad de los conductores frente al ciberdelito. Entre las principales señales destaca la extrema urgencia transmitida, así como plazos desproporcionados exigidos bajo amenaza de severos recargos. Asimismo, la presencia de erratas tipográficas, fallos gramaticales o correos no corporativos debería encender las alarmas de cualquier ciudadano. Desde la DGT aclaran que las sanciones solo se notifican por correo postal, Dirección Electrónica Vial o edictos. Ninguna institución pública solicita datos financieros ni pagos instantáneos mediante enlaces enviados por mensajería.

Medidas a tomar

En caso de recibir un mensaje sospechoso en el móvil o en el correo, se recomienda mantener la calma y no interactuar. Bajo ninguna circunstancia se debe pulsar en los enlaces, descargar archivos ni rellenar formularios. La conducta adecuada consiste en realizar capturas de pantalla como evidencia, bloquear al remitente y eliminar la comunicación. Si existen dudas sobre infracciones reales, el ciudadano debe verificar la información accediendo independientemente a la web oficial de la DGT. Reportar estos incidentes al canal de ciberseguridad ayuda a frenar la propagación de nuevos ataques en el país.

Cuando una persona ha sido engañada y ha facilitado datos bancarios en la web falsa, debe activar un protocolo de emergencia inmediato. Es prioritario contactar con la entidad financiera para solicitar el bloqueo preventivo de la tarjeta y revisar movimientos recientes. Adicionalmente, se deben conservar las pruebas del fraude para presentar una denuncia formal ante las Fuerzas y Cuerpos de Seguridad del Estado. Asimismo, conviene acudir a la línea de ayuda en ciberseguridad para recibir asesoramiento ante la suplantación de identidad. Los expertos aconsejan practicar egosurfing periódicamente para comprobar si los datos personales se han publicado.

La directora general de la Guardia Civil, Mercedes González, ha destacado este martes, durante la visita del rey Felipe VI a la CiberComandancia de León, la expansión de esta unidad con la creación de un 'ciberpuesto' en Bizkaia para aumentar la capacidad de respuesta ante la ciberdelincuencia. Dicho 'ciberpuesto' permite reforzar desde Barakaldo las capacidades operativas de la CiberComandancia en la gestión de las denuncias telemáticas recibidas a través de la Oficina Nacional de Recepción Electrónica de Denuncias (ON-RED), así como en la investigación de ciberdelitos.

Asimismo, se prevé la ampliación de las denuncias que se pueden tramitar de forma telemática próximamente. “Hoy la CiberComandancia es ejemplo de cómo la tecnología bien entendida es la mejor aliada para robustecer una institución como la nuestra que se dedica a servir y proteger a la ciudadanía desde hace más de 182 años”, ha subrayado Mercedes González.

Además de la directora general de la Guardia Civil, el acto institucional de la visita de Felipe VI ha contado con la intervención del director general del Instituto de Ciberseguridad (Incibe), Félix Barrio, y el coronel jefe de la CiberComandancia, Jorge Juan Pérez. Acompañado por el ministro del Interior, Fernando Grande-Marlaska, el rey ha conocido las dependencias de la CiberComandancia, los cometidos de la unidad, su estructura, sus capacidades para investigar ciberdelitos y algunas investigaciones llevadas a cabo.

Desde este mes de septiembre, los operadores de telefonía móvil en España tienen la obligación legal de aplicar un bloqueo automático sobre todos los mensajes SMS, MMS y comunicaciones RCS comerciales cuyo remitente alfanumérico no aparezca inscrito en el Registro de Alias oficial. Esta iniciativa regulatoria, supervisada por la Comisión Nacional de los Mercados y la Competencia (CNMC), representa el último despliegue del Plan Antiestafas del Gobierno para atajar los fraudes digitales de suplantación de identidad o smishing que afectan diariamente a miles de usuarios en todo el país.

Con la entrada en vigor de este mecanismo, las redes telefónicas españolas filtran de manera continua todo el tráfico de mensajería dirigido a números nacionales. A partir de ahora, cualquier entidad pública o privada —incluyendo bancos, aseguradoras, empresas de transporte, comercios y administraciones públicas— que pretenda remitir avisos utilizando su nombre comercial, marca registrada, denominación social o dominio web deberá haber completado previamente la correspondiente inscripción en la base de datos del regulador estatal para que sus notificaciones puedan ser efectivamente entregadas en los teléfonos móviles de los usuarios receptores.

El procedimiento técnico establece que las compañías operadoras deben consultar diariamente la base de datos pública gestionada por la CNMC para verificar la legitimidad de las cabeceras. Cuando un mensaje intente transmitirse utilizando un identificador alfanumérico que no coincida con la lista oficial de remitentes validados, la red lo interceptará y bloqueará de forma automatizada antes de su recepción. Además, el mecanismo exige garantizar una vinculación directa entre el titular legítimo de la marca y los proveedores de servicios de mensajería o agregadores autorizados para gestionar la transmisión técnica de los envíos comerciales.

Dentro de los protocolos de seguridad estipulados, los proveedores de mensajería habilitados quedan obligados a ejecutar medidas de bloqueo directo en origen siempre que detecten identificadores no registrados, intermediarios no autorizados o envíos que carezcan de la confirmación explícita del titular. De forma complementaria, las empresas operadoras deberán interceptar sistemáticamente todos los mensajes dirigidos a números españoles que procedan de empresas extranjeras no inscritas formalmente en España, estableciéndose como única excepción operativa aquellos supuestos en los que el usuario se encuentre en itinerancia o roaming.

El desarrollo normativo de este sistema se fundamenta en la Orden TDF/149/2025 y en diversas resoluciones de la CNMC. El Registro de Alias quedó constituido en marzo y, posteriormente, se anunció que la base de datos estaría operativa desde el 7 de junio. Sin embargo, la fecha límite para la aplicación del bloqueo se aplazó mediante la Orden Ministerial TDF/558/2026, publicada en el BOE, a petición de los operadores y del propio regulador para gestionar el elevado volumen de solicitudes registradas y testear adecuadamente la compleja integración de los sistemas en red.

Tras vencer esta moratoria técnica, la CNMC ha confirmado que no se otorgarán nuevas prórrogas a las compañías. Aquellas entidades que no hayan registrado sus alias no podrán enviar comunicaciones identificadas con su nombre, aunque conservan la opción de remitir SMS si prescinden de la cabecera comercial. Asimismo, los identificadores de nueva creación pueden tramitarse en cualquier momento a través de la Sede Electrónica del organismo. Como medida de transición, las solicitudes presentadas antes del 14 de septiembre contarán con autorización temporal de hasta tres meses mientras se resuelve su expediente en el registro.

La regulación de las cabeceras alfanuméricas supone un gran cambio en un ámbito informativo que hasta la fecha carecía de control normativo y permitía el uso libre de nombres comerciales por parte de terceros. Según los datos recopilados por las autoridades, el conjunto del Plan Antiestafas ha conseguido bloquear desde marzo un total de 48 millones de llamadas fraudulentas y más de 2,2 millones de SMS engañosos. Esta estrategia de protección digital se reforzará además en octubre, fecha en la que entrará en vigor la obligación para las empresas de utilizar únicamente el prefijo 400 en llamadas comerciales, bajo la misma amenaza de bloqueo en red.

La puesta en marcha de este control ha generado diversas reacciones entre los colectivos de protección al consumidor. La OCU ha valorado la iniciativa como un avance positivo aunque mostró cautela al recordar que medidas previas resultaron insuficientes con el paso del tiempo. Por su parte, FACUA-Consumidores en Acción ha reclamado un esfuerzo decidido de inspección a las administraciones para perseguir los intentos de fraude bloqueados, mientras la CNMC insiste a pymes, autónomos y empresas en la necesidad de revisar notificaciones electrónicas y mantener actualizada la inscripción de sus marcas.

La Guardia Civil ha desmantelado una red de ciberestafadores que operaba mediante un 'call center' desde el que se hacían pasar por un banco para obtener las cuentas de los clientes. En la operación han sido detenidas 29 personas y se investiga a otras 57 en un total de 24 provincias, entre ellas Cantabria.

El 'call center' llegaba a enviar más de 100.000 mensajes SMS falsos a la hora en los que alertaban a las víctimas de unos altos cargos bancarios y las invitaban a paralizar la transacción a través de un número de teléfono, desde donde eran engañadas posteriormente para obtener los accesos a sus cuentas bancarias.

Según ha informado la Guardia Civil en un comunicado, en la operación los agentes han logrado recuperar más de 250.000 euros estafados. Los delincuentes consiguieron estafar más de un millón de euros a 43 víctimas de Aragón: 25 en la provincia de Huesca, 11 de Zaragoza y 7 de Teruel.

Denuncias con el mismo patrón

La 'operación Ibermellow' comenzó el año pasado tras numerosas denuncias en Huesca con un mismo patrón, de lo que se conoce como 'smishing' y 'vishing', que consiste en un tipo de ciberataque en el que los delincuentes primeramente se hacen pasar por la entidad bancaria de la víctima, con el envío de un falso SMS a sus números de teléfono móvil, en que alertan de unos cargos de alto importe en su cuenta bancaria y un número de teléfono de contacto para paralizar dicha transacción.

En una segunda fase, las víctimas reciben una llamada telefónica, donde los ciberdelincuentes, que se hacen pasar por el gestor de la entidad bancaria, disponen de parte de los datos personales de las víctimas, lo que hace que la estafa sea más convincente y así consiguen que se realicen transferencias a cuentas bancarias controladas por los estafadores o la contratación de préstamos personales para posteriormente desviar ese dinero a otras cuentas.

Tras la realización de análisis técnicos en los archivos y documentación aportada en las denuncias iniciales, se comprobó cómo los supuestos autores, una vez que conseguían engañar a las víctimas, movían por distintas cuentas bancarias el dinero desviado a la cuenta fraudulenta para evitar el seguimiento policial, siendo finalmente retirado en cajeros de Barcelona, Madrid y Murcia.

De esta forma, los agentes investigadores pudieron realizar una precisa labor de trazabilidad bancaria, consiguiendo la identidad de un numeroso grupo de individuos relacionados con los delitos que actuaban como 'mulas económicas'.

Más de 57.000 euros incautados

En una primera fase, en el pasado mes de marzo, tras realizar las entradas y registros en las localidades de Badalona (Barcelona), Tarrasa (Barcelona), Carabanchel (Madrid) y Cartagena (Murcia), se procedió a desarticular el 'call center', con una capacidad técnica para enviar más de 100.000 mensajes a la hora.

Esta primera fase culminó con cinco detenciones de miembros la cúpula de la organización criminal e interviniéndose 57.520 euros en efectivo, numerosos artículos de lujo, 365 tarjetas SIM, 176 tarjetas bancarias, 95 máquinas de envío masivo de SMS, 70 teléfonos móviles, y diversa documentación, todo ello utilizado para la comisión de los delitos.

La segunda fase logró desarticular por completo el complejo sistema de blanqueo de capitales que la organización criminal tenía distribuido por gran parte del territorio nacional, por lo que se procedió a la detención e investigación de las 'mulas económicas', los captadores y de los extractores de dinero, así como la recuperación de 256.708 euros de diferentes cuentas bancarias controladas por los ciberestafadores.

El operativo ha sido llevado a cabo por la Unidad Orgánica de Policía Judicial y el Equipo Arroba de Huesca. Además han participado las Unidades de Seguridad Ciudadana (USECIC) de las Comandancias de la Guardia Civil de Madrid y Murcia y el Grupo de Reserva y Seguridad (GRS) de las Zonas de la Guardia Civil de Barcelona y Valencia, finalizó con la detención de 24 personas y otras 57 personas investigadas, en las provincias de A Coruña, Álava, Alicante, Ávila, Badajoz, Barcelona, Cantabria, Cádiz, Córdoba, Gerona, Granada, Las Palmas de Gran Canaria, Madrid, Málaga, Murcia, Ourense, Salamanca, Santa Cruz de Tenerife, Sevilla, Tarragona, Toledo, Valladolid, Valencia y Zaragoza.

Las estafas que circulan a través de WhatsApp siguen adaptándose a funciones habituales de la aplicación para intentar engañar a los usuarios. En algunos casos, los delincuentes aprovechan herramientas que forman parte del uso cotidiano de la plataforma y las convierten en el punto de partida de una situación que busca presionar a su víctima. Según la Policía Nacional, una de las últimas estafas utiliza fotografías de visualización única para iniciar el contacto con la víctima.

Este tipo de imágenes 'efímeras' desaparece después de abrirse y, precisamente por eso, puede despertar más curiosidad cuando llega desde un número desconocido. El contenido no es el objetivo final del fraude, sino un recurso para provocar una reacción y conseguir que el destinatario continúe pendiente de la conversación. A partir de ahí, los responsables intentan generar una sensación de culpa y urgencia que facilite la extorsión posterior.

La clave está en no actuar por impulso ante archivos o mensajes que llegan sin contexto. La recomendación pasa por desconfiar de fotografías, vídeos, enlaces o documentos enviados desde números que no se reconocen y evitar responder a conversaciones sospechosas. Si el contacto ya ha sido iniciado y aparecen amenazas o peticiones de dinero, lo aconsejable es cortar la comunicación, no pagar y utilizar las herramientas de bloqueo y reporte disponibles en WhatsApp.

El engaño empieza con una foto que solo puede verse una vez

El fraude comienza cuando una persona recibe una fotografía de visualización única desde un número que no figura entre sus contactos. Normalmente, no hay una explicación previa que permita saber qué contiene el archivo, y esa falta de contexto forma parte del propio engaño. La intención es provocar el impulso de abrir la imagen antes de pensar si tiene sentido hacerlo o quién puede estar detrás del envío.

Una vez visualizada, la fotografía suele mostrar contenido sensible, comprometido o íntimo. Ese material no tiene por qué pertenecer a quien ha enviado el mensaje y sirve únicamente para preparar la siguiente fase. Cuando el remitente comprueba que la imagen se ha abierto, vuelve a escribir y asegura que la mandó por error. A partir de ese momento, el tono cambia y la conversación deja de parecer un simple envío equivocado.

El siguiente paso consiste en responsabilizar al destinatario por haber visto el contenido. La acusación parte de una idea falsa: presentar como una conducta indebida el hecho de abrir una fotografía que el propio desconocido ha enviado de forma voluntaria. Con ello se intenta generar inseguridad y hacer creer a la víctima que ha cometido algo reprochable, aunque la situación haya sido provocada desde el principio por quien está detrás del fraude.

Después aparece la extorsión. El delincuente suele amenazar con presentar una denuncia, tomar represalias o provocar algún tipo de consecuencia si no recibe un dinero a cambio. La presión busca aprovechar el desconcierto y conseguir que la persona actúe antes de analizar lo ocurrido. El contenido inesperado, la acusación y la exigencia económica se utilizan así de forma encadenada para aumentar el miedo y reducir el margen de reacción.

El funcionamiento de esta modalidad se apoya principalmente en la manipulación psicológica. Primero se utiliza la curiosidad para lograr que la imagen se abra y, después, la culpa y el miedo para mantener la conversación activa. El estafador necesita que la víctima responda, se justifique o acepte la idea de que ha hecho algo incorrecto. Por eso, entrar en explicaciones o intentar razonar con quien envía las amenazas solo prolonga una situación creada para ejercer presión.

Cuando la extorsión es a tus contactos

En los últimos días, la Policía Nacional también ha alertado de otra modalidad de estafa que aprovecha las vulnerabilidades de los dispositivos móviles para acceder a una cuenta de usuario en WhatsApp. En concreto, el atacante explota los fallos de seguridad del móvil por carecer de la versión más actualizada del sistema operativo y logra utilizar la aplicación al mismo tiempo que su víctima sin que ella se dé cuenta.

Una vez obtenido el acceso a WhatsApp, los ciberdelincuentes pueden enviar mensajes a los contactos de familiares solicitándoles dinero para hacer un pago en concreto o a través de una transferencia bancaria. Al manipular la aplicación, los atacantes logran interactuar con los familiares sin que la víctima vea reflejada esas mismas conversaciones en su dispositivo.

Qué conviene hacer si te llega uno de estos mensajes

La principal medida preventiva es no abrir imágenes, vídeos, archivos ni enlaces que lleguen desde contactos desconocidos. En el caso de las fotografías de visualización única, su carácter efímero puede aumentar la curiosidad porque solo existe una oportunidad para verlas. Precisamente por eso, conviene no dejarse llevar por ese impulso y desconfiar de cualquier contenido inesperado que aparezca sin una explicación clara.

También es recomendable no responder a mensajes sospechosos aunque, en un primer momento, parezcan inofensivos. Contestar confirma al remitente que el número está activo y puede facilitar que el contacto continúe. Si la fotografía ya se ha abierto y comienzan las amenazas, no conviene discutir, explicar por qué se vio el archivo ni intentar convencer a la otra persona de nada. Mantener el intercambio solo da más oportunidades para seguir presionando.

Si aparece una petición de dinero, la recomendación es no realizar ningún pago ni aceptar las condiciones planteadas. La estrategia del fraude consiste precisamente en generar urgencia para conseguir una reacción rápida. Salir de esa dinámica implica detener la conversación, bloquear el número y reportarlo dentro de WhatsApp, evitando cualquier nueva interacción con la cuenta desde la que se están enviando los mensajes.

La actuación recomendada cambia poco aunque el engaño ya haya avanzado. Si la imagen se abrió, eso no obliga a seguir participando en la conversación ni a responder ante las amenazas. Cortar el contacto evita que el estafador siga utilizando la culpa como herramienta de presión, mientras que el bloqueo impide que continúe escribiendo desde ese número y el reporte permite señalar la cuenta dentro de la propia plataforma.

La advertencia principal consiste, por tanto, en no reaccionar de manera inmediata ante contenidos inesperados enviados por desconocidos. Si la fotografía no se abre, el fraude pierde el recurso que utiliza para iniciar la acusación. Y si ya se ha visualizado, la mejor respuesta sigue siendo no pagar, no negociar y no mantener el contacto. El engaño depende en buena medida de que la víctima continúe participando en una conversación diseñada para generar miedo y conseguir dinero.

La carta dejó de pasar de mano en mano y muchos locales buscaron una forma rápida de enseñar sus platos sin tocar papel. Durante la pandemia de coronavirus, los códigos QR se pusieron de moda porque resolvían una necesidad inmediata: permitir que una persona abriera información en su móvil sin recibir un objeto usado antes por otros clientes.

Ese cambio encajó bien con bares, restaurantes y comercios, ya que bastaba apuntar con la cámara del móvil para consultar una carta, pagar o entrar en una web. La costumbre se extendió porque ahorraba contacto, reducía esperas y convertía una acción pequeña en una rutina diaria.

El código QR almacena datos con una estructura bidimensional

Un código QR es una etiqueta óptica que contiene información y que una máquina puede leer. Su nombre viene de Quick Response code, expresión que en español se traduce como código de respuesta rápida, porque nació para acelerar el acceso a datos frente al código de barras tradicional.

La diferencia está en la forma de guardar la información. El código de barras trabaja en una sola dirección, mientras que el QR reparte los datos en horizontal y vertical dentro de un cuadrado formado por módulos pequeños.

La creación de un QR empieza con el contenido que se quiere entregar al usuario, ya sea una web, un texto, un teléfono o los datos de una red Wi-Fi. El generador transforma ese contenido en bits, los coloca dentro de la cuadrícula y añade zonas técnicas que ayudan a reconocer la orientación del código.

También incorpora corrección de errores, de manera que una pequeña mancha o un deterioro parcial no inutilicen siempre la lectura. Al final, el sistema lo convierte en una imagen que puede imprimirse, descargarse o integrarse en un diseño.

Los modelos estático y dinámico ofrecen usos distintos

Dentro de ese proceso aparecen dos opciones muy usadas. Un QR estático guarda el contenido de forma fija, así que cualquier cambio obliga a crear otro código y repartirlo otra vez. Por eso funciona mejor con datos que apenas cambian, como un número de serie, una identificación o un registro puntual.

El QR dinámico trabaja de otra manera, porque apunta a una redirección corta y permite cambiar el destino después de haberlo impreso. Esa flexibilidad resulta útil para menús, cupones o campañas que necesitan actualizarse.

La ventaja más evidente aparece en el momento de uso. Casi cualquier móvil actual puede leer un QR con la cámara, de manera que el usuario no necesita escribir una dirección larga ni buscar una página concreta. La lectura suele ser rápida, admite más datos que un código de barras y aguanta ciertos daños gracias a la corrección de errores.

Para quien lo crea, el coste es bajo y el mantenimiento resulta fácil, sobre todo cuando se usa un QR dinámico y el destino puede cambiar sin tocar el cartel, la factura o el documento impreso.

Un mal diseño reduce la lectura del código

El móvil no interpreta el QR como una fotografía normal. Primero localiza los tres cuadrados grandes de las esquinas, calcula la perspectiva y recompone la cuadrícula aunque la cámara esté algo inclinada. Después traduce los módulos negros y blancos en unos y ceros, reconstruye la información codificada y ejecuta la acción prevista. En el caso de un restaurante, por ejemplo, ese patrón no contiene el menú como imagen, sino la dirección web que lo aloja, que el teléfono reconoce y muestra para que pueda abrirse.

Esa manera de leer el código explica por qué el diseño no se puede dejar al azar. Si el contraste es flojo, el tamaño se queda corto o falta ese margen blanco alrededor, el móvil empieza a dudar y le cuesta reconocerlo.

Pasa mucho cuando se intenta hacerlo más vistoso con un logotipo, colores suaves o algún recorte: en el cartel queda bien, pero la cámara pierde referencias y el escaneo falla. Por eso merece la pena probarlo antes de imprimirlo. Un QR puede llamar la atención, pero en cuanto el teléfono tarda en reaccionar o no abre nada, deja de tener sentido.

Los ciberdelincuentes aprovechan la facilidad para crear códigos

Crear un código QR es tan sencillo que ahí aparece el problema. Cualquiera puede generar uno en segundos y esconder detrás una web falsa, un archivo peligroso o una acción que el usuario no espera al escanear. La dificultad está en que el patrón de cuadrados no da ninguna pista sobre lo que hay dentro, así que el gesto de apuntar con el móvil se hace a ciegas.

Por ejemplo, un código pegado en una farola, colocado encima de otro o enviado sin contexto puede abrir una página engañosa, preparar un correo o añadir un contacto sin que se note. Por eso conviene parar un segundo antes de escanear y confiar solo en códigos que tengan un origen claro.

Los distintos formatos amplían los usos del QR

El formato más extendido es el QR modelo 2, habitual en bares, tiendas, revistas y campañas de marketing y pueden contener enlaces, ubicaciones de Google Maps, galerías, PDF o tarjetas de contacto.

También existen Micro QR para superficies pequeñas, Data Matrix para texto o datos numéricos, iQR en formato cuadrado o rectangular, SQRC para información confidencial, FrameQR con espacio para imágenes y HCC2D, una propuesta de código bidimensional en color de alta capacidad.

La variedad de formatos ha llevado el QR a casi cualquier situación cotidiana. Permite acceder a documentos y vídeos, pagar, usar entradas digitales, obtener información en museos, compartir ubicaciones, comprobar documentos o conectarse a una red Wi-Fi sin escribir la contraseña. Su facilidad para pasar del papel al móvil explica que siga usándose aunque ya no responda a una necesidad sanitaria.

Se ha vuelto a detectar una masiva y peligrosa campaña de mensajes de texto fraudulentos que suplanta, de forma directa, a la Tesorería General de la Seguridad Social. Los ciberdelincuentes esta vez envían un SMS al teléfono móvil de los ciudadanos informándoles de que disponen de una supuesta actualización pendiente en el sistema. El mensaje insta de manera urgente a pulsar sobre un enlace de internet adjunto para gestionar dicho trámite administrativo de forma inmediata. Sin embargo, este enlace redirige a una página web falsa que suplanta la identidad de la propia Tesorería General.

Esta estafa ha sido identificada y calificada con un nivel de importancia alta por el Instituto Nacional de Ciberseguridad (INCIBE), así como por la Guardia Civil, que ha utilizado sus redes oficiales para alertar a la ciudadanía sobre este engaño que busca hacerse con datos confidenciales de los usuarios mediante enlaces maliciosos. Este tipo de ciberataque es conocido bajo la denominación técnica de smishing, una modalidad de fraude que se basa en el envío de mensajes de texto simulando ser una entidad legítima. El objetivo principal de estos mensajes es confundir a los receptores para robarles información privada o realizarles un cargo económico en sus cuentas de forma fraudulenta.

Por lo general, los ciberdelincuentes aprovechan la confianza que los usuarios depositan en las instituciones públicas o de servicios esenciales para hacerlos picar en el anzuelo de manera rápida. La Seguridad Social constituye uno de los cebos más utilizados por estas organizaciones cibernéticas, junto con otras entidades públicas de gran relevancia como la Agencia Tributaria, los ayuntamientos locales o los servicios postales de Correos, con el fin de maximizar el número de víctimas y obtener un mayor impacto económico ilícito. De esta forma, la víctima asume falsamente la autenticidad del remitente.

Una vez que el usuario hace clic en el enlace que acompaña al mensaje de texto, es redirigido a un sitio web fraudulento que copia con gran precisión el portal real. La página falsa imita a la perfección los logotipos de la Seguridad Social, las tipografías corporativas, los colores institucionales y la disposición visual para lograr una apariencia de absoluta verosimilitud ante el público. Con el propósito de dar mayor credibilidad al fraude y tranquilizar al usuario, el sitio web malicioso exige superar un supuesto control de seguridad. Este filtro falso consiste en una verificación para confirmar que la persona no es un robot, lo que imita las medidas habituales que se encuentran en entornos seguros y legítimos en internet, logrando así que la víctima disminuya su nivel de alerta y continúe con los pasos del trámite.

Asimismo, este tipo de mecanismos interactivos pretenden convencer al usuario de la legalidad de las operaciones antes de solicitar datos. En el interior de este portal web falso, se muestra una notificación que informa sobre la disponibilidad de una supuesta prestación económica que está pendiente de revisión. Concretamente, en los casos reportados por los afectados a organizaciones de consumidores como la OCU, se ofrece un total pendiente de cobro de 305 euros. Para supuestamente gestionar el abono y proceder al trámite, la página solicita de manera sucesiva el ingreso de datos personales como el nombre completo y el número del DNI. Una vez introducidos estos datos, el sistema fraudulento solicita de forma obligatoria los datos bancarios completos y el número de la tarjeta de crédito bajo el falso pretexto de realizar un ingreso directo de esa cantidad de dinero. El usuario no sospecha que está entregando sus claves en bandeja.

A pesar del cuidado diseño visual de la página web falsa, existen múltiples elementos técnicos que delatan el engaño si se realiza una observación atenta y analítica. Los enlaces de internet que circulan en esta campaña masiva utilizan diferentes direcciones que imitan dominios legítimos del Estado, pero que en realidad son completamente extraños. Entre los dominios fraudulentos detectados y denunciados por portales de verificación figuran ejemplos con errores ortográficos como portelsegscoial punto click, seg guion social guion gob punto us, portaliseg guion socolsegob punto click o portaeliseg guion socailbgob punto click. Estas direcciones sospechosas no guardan ninguna relación con la única dirección web oficial de la Seguridad Social.

La Seguridad Social ha recordado de manera tajante a todos los ciudadanos que bajo ninguna circunstancia solicita el pago de deudas ni la actualización de datos mediante enlaces recibidos por SMS. Para acceder de manera completamente segura a cualquier tipo de trámite de la Tesorería General y evitar cualquier engaño, es necesario utilizar únicamente las vías oficiales autorizadas. Los usuarios deben abrir de forma directa en sus navegadores la aplicación de Importass, el portal web oficial de la Tesorería General de la Seguridad Social, o bien acceder a su área personal a través de la Sede Electrónica. Desde estas aplicaciones del Estado se pueden consultar de forma verídica todas las notificaciones pendientes sin correr el riesgo de sufrir una estafa financiera ni comprometer los datos de las tarjetas.

Rapidez y capturas

Para aquellas personas que hayan accedido al enlace y facilitado datos de carácter personal o bancario, se recomienda actuar de forma rápida siguiendo un protocolo de seguridad. El primer paso indispensable es ponerse en contacto inmediato con su entidad financiera para proceder al inmediato bloqueo de las tarjetas y evitar cargos económicos no autorizados. En segundo lugar, es muy importante reunir y guardar de manera ordenada todas las evidencias posibles del fraude informático, como capturas de pantalla, los mensajes recibidos y las direcciones web de los enlaces maliciosos. La rapidez en la reacción y el acopio de pruebas digitales resultan cruciales para minimizar el impacto del fraude y reclamar devoluciones bancarias.

Una vez recopiladas todas las evidencias necesarias sobre la estafa, el afectado debe presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. Asimismo, es aconsejable reportar el mensaje fraudulento al buzón de incidentes del INCIBE para alertar sobre la campaña activa y evitar que otras personas resulten estafadas. Como medida preventiva adicional, los expertos recomiendan practicar el egosurfing de manera periódica durante los meses posteriores al incidente para verificar que la información personal expuesta no esté siendo utilizada de forma indebida en la red.

La Guardia Civil ha alertado de una modalidad de estafa telefónica en la que los delincuentes se hacen pasar por agentes del cuerpo para ganarse la confianza de las víctimas. Este tipo de fraude se apoya en la apariencia de una comunicación oficial para conseguir que la persona siga las indicaciones de quien llama sin comprobar antes si realmente está hablando con un miembro de la institución.

La suplantación de organismos públicos puede resultar especialmente convincente cuando durante el contacto aparecen elementos que parecen legítimos. Por este motivo, la Guardia Civil recomienda extremar las precauciones ante cualquier llamada inesperada y comprobar siempre por canales oficiales quién está detrás de ella antes de facilitar información personal, realizar una gestión o seguir instrucciones relacionadas con cuentas bancarias.

El objetivo de estas llamadas es conseguir datos personales o financieros mediante engaño. La forma de actuar puede cambiar de un caso a otro, pero la recomendación general es desconfiar de cualquier petición de información sensible y finalizar la comunicación cuando existan dudas sobre su procedencia. Para dar credibilidad al fraude, los estafadores recurren a diferentes métodos con los que intentan mantener el contacto con la víctima.

En qué consiste la estafa

Uno de los recursos utilizados para que la llamada parezca legítima es el número que aparece en la pantalla. Según la agencia EFE, en este caso las víctimas habían recibido llamadas del número de teléfono de la Comandancia de Madrid (918073900) en las que un supuesto agente del cuerpo les informaba de que habían sido víctimas de una estafa y de los pasos a realizar para evitar que esta se materializara.

Pero, según ha informado la propia Guardia Civil, aunque el teléfono pueda mostrar una numeración aparentemente vinculada a este organismo, esto no significa que el contacto proceda realmente del cuerpo. Los autores aprovechan esa apariencia para presentarse como agentes e intentar ganarse la confianza de la víctima. Por tanto, el teléfono que figura durante la llamada forma parte del engaño y no permite confirmar por sí solo quién está al otro lado.

Una vez iniciada la conversación, los delincuentes plantean una situación relacionada con el dinero de la persona. Pueden asegurar que ha sufrido una estafa, que existe algún problema con sus cuentas o que mantiene una deuda pendiente. Después, ofrecen una supuesta ayuda para recuperar fondos o evitar pérdidas y empiezan a solicitar información personal y bancaria, como contraseñas, códigos de verificación recibidos por SMS o los datos completos de una tarjeta. Todo ello suele ir acompañado de presión para actuar rápidamente e incluso de amenazas sobre posibles consecuencias legales, una detención o el embargo de fondos, con el objetivo de generar miedo y evitar que la víctima compruebe la información por su cuenta.

El engaño puede continuar mediante una segunda comunicación. Los supuestos agentes pueden facilitar otro número de teléfono para seguir desde allí con las gestiones, bajo el argumento de proteger el dinero o bloquear determinados movimientos. En realidad, se busca continuar recopilando información que pueda facilitar el acceso a las cuentas bancarias de la víctima. El cambio de número ayuda además a transmitir la sensación de que se está siguiendo un procedimiento oficial, aunque el contacto sigue siendo con las personas que están detrás de la estafa.

Otra de las variantes consiste en llevar la conversación a WhatsApp. A través del chat, los estafadores pueden pedir la instalación de una aplicación de asistencia remota, que presentan como necesaria para solucionar el supuesto problema. Si se descarga siguiendo sus instrucciones y se conceden los permisos solicitados, los delincuentes pueden llegar a controlar el dispositivo a distancia. En ese momento, el riesgo ya no se limita a los datos facilitados durante la llamada, sino que puede afectar también a la información y los servicios disponibles en el teléfono.

Qué hacer ante una de estas llamadas

La principal recomendación es colgar cuando durante la conversación aparezcan amenazas, peticiones de dinero o solicitudes de información sensible. No deben facilitarse datos personales, contraseñas, credenciales bancarias, códigos de verificación enviados por SMS ni números completos de tarjetas en una llamada de estas características. Tampoco conviene seguir las indicaciones de alguien que diga actuar en nombre de la Guardia Civil únicamente porque el teléfono que aparece en pantalla parezca pertenecer a un organismo oficial.

Si durante la llamada se habla de una cuenta bancaria o de un posible movimiento fraudulento, la comprobación debe hacerse directamente con la entidad a través de sus canales habituales. De esta forma se puede confirmar si existe realmente alguna incidencia y comunicar una posible operación sospechosa sin continuar el contacto con los estafadores. La misma precaución debe aplicarse ante cualquier supuesto aviso oficial: la identidad de quien llama debe comprobarse de manera independiente antes de proporcionar datos o realizar una gestión.

También debe rechazarse cualquier petición para instalar aplicaciones de soporte o control remoto en el teléfono. Las autoridades no solicitarán contraseñas ni pedirán descargar este tipo de herramientas como requisito para solucionar una incidencia comunicada mediante una llamada. Si se indica que hay que instalar un programa, conceder permisos en el dispositivo o realizar algún paso para permitir el acceso a distancia, lo recomendable es cortar la comunicación y no seguir ninguna de esas instrucciones.

Por último, conviene comprobar siempre que se está utilizando un canal oficial. Que un número parezca legítimo, que la persona conozca algunos datos básicos o que plantee una situación urgente no demuestra que la llamada sea auténtica. Ante cualquier duda, lo adecuado es finalizar el contacto y buscar por separado los teléfonos o canales oficiales de la Guardia Civil. De este modo se puede confirmar si existe realmente algún problema antes de facilitar información o realizar cualquier acción.

Cada vez más empresas abandonan el tradicional sistema de claves alfanuméricas para adoptar las denominadas passkeys como nuevo estándar de seguridad. Esta tecnología surge para solucionar el eslabón más débil de la ciberseguridad corporativa: las contraseñas que los empleados olvidan, reutilizan o comparten inadecuadamente. Las passkeys representan una revolución en la autenticación que ya están integrando algunos gigantes tecnológicos en sus plataformas. El cambio no es meramente estético, sino una respuesta directa a la creciente vulnerabilidad de los sistemas tradicionales frente a ataques masivos.

Actualmente, millones de trabajadores utilizan este método para acceder a sus herramientas diarias sin tener que memorizar complejos códigos de acceso. Es el inicio de una era sin contraseñas donde la comodidad y la protección avanzada convergen finalmente para el usuario. La adopción masiva está transformando la manera en que las organizaciones protegen sus activos digitales más críticos y confidenciales. El éxito de esta transición depende de entender que la seguridad informática ha cambiado para siempre gracias a esta solución.

Una passkey es fundamentalmente una credencial criptográfica diseñada para sustituir definitivamente a las contraseñas tradicionales en el entorno laboral. En lugar de teclear una clave, el trabajador confirma su identidad utilizando los mismos métodos que ya emplea para desbloquear su smartphone personal. Esto incluye el reconocimiento facial, la huella dactilar o un número PIN específico configurado previamente en su dispositivo de trabajo. Al eliminar la necesidad de memorizar caracteres complejos, se reduce drásticamente el error humano que suele comprometer la seguridad de la red.

El proceso de inicio de sesión se vuelve mucho más ágil, pasando de minutos de espera a apenas unos pocos segundos. Este método se basa en estándares globales para garantizar una interoperabilidad total entre diferentes sistemas y navegadores. Los dispositivos modernos ya están listos para implementar esta tecnología de forma nativa. Así, la biometría se convierte en la llave digital definitiva que abre las puertas de las aplicaciones y servicios corporativos.

El funcionamiento técnico de estas credenciales se asienta sobre un sistema robusto de criptografía asimétrica basado en dos claves distintas. Cuando un empleado crea una passkey, su dispositivo genera automáticamente una clave pública y otra clave privada que están interconectadas. La clave pública se almacena de forma segura en el servidor de la empresa o del servicio al que se desea acceder. Por el contrario, la clave privada nunca abandona el dispositivo del usuario y permanece protegida en componentes de hardware aislados. Durante el inicio de sesión, el servidor envía un desafío que solo puede resolverse mediante el uso de la clave privada local. Esta validación se realiza internamente en el equipo tras verificar la identidad del trabajador mediante su biometría o su código PIN.

Es importante destacar que el servicio externo nunca recibe la huella dactilar ni la imagen del rostro del usuario durante este proceso. Este aislamiento garantiza que la información sensible del empleado permanezca siempre bajo su control directo y fuera de servidores externos. Uno de los mayores atractivos de las passkeys empresariales es su resistencia absoluta frente a los ataques de phishing más convencionales. Una passkey está vinculada intrínsecamente al dominio específico para el que fue creada, impidiendo su uso en sitios web fraudulentos o imitaciones.

Aunque un ciberdelincuente logre engañar al trabajador para que acceda a una URL falsa, la credencial simplemente no funcionará allí. Además, al no existir un texto que memorizar, el empleado no puede entregar accidentalmente sus datos de acceso a terceros malintencionados. Por otro lado, este sistema elimina el riesgo asociado a las filtraciones masivas de bases de datos de contraseñas corporativas. Los servidores solo guardan claves públicas que resultan inútiles para un atacante sin acceso físico al dispositivo donde reside la clave privada. Esto neutraliza los ataques de fuerza bruta y el uso de credenciales robadas que circulan masivamente en la internet oscura. La seguridad ya no depende de la complejidad de una palabra, sino de la robustez de un algoritmo criptográfico avanzado.

La implementación de passkeys conlleva beneficios operativos significativos que van más allá de la mera protección de los datos de la empresa. El departamento de soporte técnico suele dedicar una gran parte de su tiempo a gestionar incidencias relacionadas con el olvido de claves. Al adoptar este nuevo método, las solicitudes de restablecimiento de contraseñas disminuyen drásticamente, liberando recursos valiosos para tareas de mayor impacto. La productividad de la plantilla también mejora, ya que el acceso a las herramientas de trabajo es mucho más rápido y fluido. El ahorro en costes administrativos y de soporte justifica por sí solo la inversión tecnológica necesaria para realizar esta importante transición. Además, las empresas pueden cumplir más fácilmente con las normativas europeas de protección de datos que exigen métodos de autenticación fuertes.

Dos modalidades

Y es que, como afirma Jordi Alarcón, responsable de IT de Esofitec, empresa especializada en soluciones tecnológicas de facturación, contabilidad, gestión y recursos humanos, “cuando hablamos de contraseñas siempre existe la vulnerabilidad. Este sistema las elimina, ofrece más seguridad y hace el acceso más sencillo. Desde el punto de vista de un departamento de IT son un gran avance, ya que reduce el problema que suponen los errores humanos, el eslabón más débil en las estructuras de ciberseguridad”.

Dentro del ámbito empresarial, existen dos modalidades principales de passkeys que las empresas deben evaluar según sus políticas de seguridad internas. Las passkeys sincronizadas permiten utilizar la misma credencial en varios dispositivos autorizados a través de servicios en la nube de confianza. Esta opción ofrece una gran comodidad y flexibilidad para empleados que cambian constantemente entre su ordenador portátil, su tablet y su móvil. Sin embargo, para entornos con requisitos de seguridad extremos, existen las passkeys vinculadas estrictamente a un único dispositivo físico. Estas credenciales no pueden copiarse ni sincronizarse, actuando como guardianes de fortaleza que exigen el uso exclusivo de un hardware concreto. Muchas empresas optan por estas últimas para proteger accesos críticos a infraestructuras sensibles o datos financieros de alta confidencialidad.

El periodo estival suele asociarse a la desconexión y al descanso vacacional, pero para los departamentos de tecnología representa una etapa de máxima alerta. Los expertos en ciberseguridad advierten que los ataques informáticos a empresas experimentan un incremento aproximado del 30% durante estos meses de calor. Esta tendencia responde a una estrategia deliberada de los ciberdelincuentes, quienes aprovechan que las organizaciones operan con personal reducido y protocolos de vigilancia menos estrictos. No bajar la guardia resulta fundamental para garantizar la continuidad del negocio tras el regreso de las vacaciones.

Y es que la ciberdelincuencia no descansa cuando el resto de la sociedad se toma un respiro necesario, intensificando sus campañas de intrusión. Por ello, el nivel de protección debe ser una prioridad estratégica dentro del cumplimiento corporativo de cualquier empresa. Mantener la vigilancia activa es la única forma de evitar que un descanso merecido se transforme en una crisis reputacional. La vulnerabilidad de las compañías aumenta sobre todo debido a la combinación de plantillas bajo mínimos y una relajación general de las medidas preventivas. Durante el verano, muchos empleados trabajan de forma remota desde ubicaciones poco habituales, lo que multiplica los vectores de entrada para posibles intrusiones. Los atacantes son plenamente conscientes de que el departamento de informática puede estar vacío o con menos recursos técnicos disponibles.

Esta situación crea un entorno perfecto para que los intentos maliciosos tengan una mayor probabilidad de éxito que en otros meses del año. Es común que los protocolos de acceso se vuelvan más laxos para facilitar la operatividad de quienes cubren las ausencias. Además, la contratación de personal temporal para sustituciones añade un riesgo extra si no existe una formación de seguridad adecuada. Por tanto, la seguridad no debe verse como algo técnico, sino como un pilar organizacional fundamental. La concienciación debe ser el primer cortafuegos ante cualquier amenaza que busque explotar el factor humano.

Entre las amenazas más recurrentes en esta temporada, el phishing se posiciona como la técnica preferida debido a su alta efectividad. Se estima que los intentos de suplantación de identidad por correo electrónico aumentan significativamente, especialmente los dirigidos a individuos específicos. Los delincuentes utilizan ganchos relacionados con reservas de hoteles, billetes de avión y ofertas turísticas para engañar a los trabajadores desprevenidos. Además del fraude al consejero delegado y el robo de identidad, el ransomware sigue siendo una preocupación crítica para los expertos. Estos ataques buscan cifrar la información sensible de la empresa para exigir un rescate económico por su posterior liberación. La sofisticación de estos mensajes maliciosos hace que incluso el personal más experimentado pueda caer en la trampa.

Para mitigar estos riesgos, implementar la autenticación multifactor en todas las cuentas corporativas se considera una medida de primer orden. Este sistema añade una capa de verificación adicional que dificulta enormemente el acceso no autorizado a los recursos críticos. Asimismo, es imperativo realizar una actualización exhaustiva de todos los sistemas y software antes de iniciar el periodo de vacaciones. Los parches de seguridad corrigen vulnerabilidades conocidas que los hackers intentarán explotar si no están debidamente cerradas. La automatización de las copias de seguridad es otro pilar fundamental para asegurar la recuperación de datos ante un desastre.

El uso de conexiones remotas seguras es indispensable para aquellos trabajadores que mantienen su actividad laboral durante el periodo estival. Desde el Instituto Nacional de Ciberseguridad recuerdan que “durante las vacaciones de verano se visitan aeropuertos, hoteles, etc. En casi todos estos lugares existe la posibilidad de conectarse a Internet a través de redes Wi-Fi públicas. Como no sabemos quién las gestiona, ni quién puede estar conectado, es preferible no conectarse a ellas. Antes de acceder a servicios online con usuario y contraseña, asegurarse de que la dirección empieza por ”https“, y mucho mejor emplear una ”VPN“.

Además, se debe ejercer un control estricto sobre los dispositivos móviles que se utilizan para fines laborales. Implementar políticas de cifrado, contraseñas robustas y la capacidad de borrado remoto es vital en caso de pérdida o robo. Limitar los accesos al personal estrictamente autorizado reduce significativamente el radio de impacto de una posible brecha. El principio de mínimo privilegio asegura que cada usuario solo acceda a lo que realmente necesita.

“La seguridad depende, sobre todo, de las personas”, afirma Jordi Alarcón, responsable de IT de Esofitec, empresa especializada en soluciones tecnológicas de facturación, contabilidad, gestión y recursos humanos: “Nos relajamos, asumimos la carga de compañeros de vacaciones o seguimos revisando el correo corporativo desde el móvil, sin estar tan alerta, lo que facilita que acabemos haciendo clic en enlaces maliciosos. Por eso, si vas a teletrabajar desde un entorno no habitual, evita conectarte a wifis abiertas y mantén el Bluetooth o el AirDrop desactivados. Y, si eres responsable de ciberseguridad, aprovecha para revisar el protocolo de copias de seguridad y activar protocolos de ciberresiliencia.”

Cómo reaccionar

La formación del personal, incluyendo a los sustitutos temporales, constituye una de las mejores inversiones en materia de seguridad informática. Es crucial que los nuevos empleados conozcan los protocolos de la empresa y sepan identificar los ataques más comunes. No descargar aplicaciones de origen dudoso ni archivos adjuntos sospechosos son pautas básicas que deben reforzarse constantemente. La curiosidad por ofertas vacacionales o guías de viaje en formato PDF puede esconder virus informáticos altamente peligrosos. Además, se recomienda moderar la información que los empleados publican en sus perfiles personales de redes sociales. Compartir la ubicación en tiempo real o las fechas exactas del viaje puede dar pistas valiosas a los atacantes.

Contar con un plan de respuesta ante incidentes bien definido permite actuar con rapidez si ocurre una intrusión accidental. Todos los miembros de la organización deben saber a quién contactar y qué pasos iniciales seguir de forma inmediata. La detección temprana de comportamientos anómalos en los equipos puede evitar un desastre de mayor impacto reputacional. Antes de cerrar por vacaciones, realizar una búsqueda proactiva de brechas de seguridad ayuda a blindar el entorno digital. Por eso, en verano la ciberseguridad sigue siendo una necesidad imperativa para la supervivencia empresarial. Proteger la infraestructura tecnológica significa salvaguardar la confianza de los clientes y la reputación de la marca. Los ciberdelincuentes no se toman vacaciones y su actividad se intensifica precisamente cuando detectan una menor vigilancia.

La digitalización avanza a pasos agigantados. Su mayor ventaja es que permite a las pymes adaptar sus modelos de negocio, innovar y competir en mercados que antes parecían inalcanzables.

En ese contexto, la ciberseguridad se convierte en un factor clave para garantizar la continuidad y la reputación de cualquier empresa, sea cual sea su sector de actividad y su tamaño.

En un encuentro en Toledo, bajo el lema Ciberseguridad: hackeando la mente. Conoce los riesgos, cuida la seguridad de tu pyme, tres especialistas vinculados tanto al sector público como al sector privado han intercambiado experiencias y han ofrecido recomendaciones de buenas prácticas para la pequeña y mediana empresa.

¿Cómo proteger el negocio en la era de la Inteligencia Artificial a través del conocimiento de los nuevos riesgos? La seguridad digital en las pequeñas y medianas empresas se plantea hoy como una necesidad porque convivimos con algoritmos y con tecnología cada vez más desarrollada que beneficia a las empresas, pero que también utilizan los ciberdelincuentes.

La mesa redonda, organizada por elDiario.es Castilla-La Mancha, en colaboración con BBVA, ha reunido a Andrés Prado, director TIC en la Universidad de Castilla-La Mancha, y coordinador de este sector en la Conferencia de Rectores de las Universidades Españolas (CRUE), Mario Martín, CEO de la empresa UNITEL Ciberseguridad y Laura del Pino, Discipline Leader Information Security en BBVA España, en una conversación moderada por la directora del medio, Carmen Bachiller.

¿A qué tipos de fraude digital se enfrentan las empresas? ¿Cuáles son las claves de la prevención? Estas son algunas de las preguntas que deben plantearse las pymes frente a unas amenazas que evolucionan de forma constante y con un ingrediente añadido: la IA.

Pregunta.- La Universidad de Castilla-La Mancha sufrió ciberataque, allá por el año 2021. ¿Cómo fue darse cuenta de que algo no iba bien y cuál fue la reacción?

Respuesta (Andrés Prado).- Lo primero que pensamos es cómo nos podía estar pasando eso a nosotros. Nos cambió la forma de pensar y de abordar la ciberseguridad porque la cuestión no es si puede pasar sino cuándo pasará.

Ocurrió un domingo por la noche y este tipo de situaciones no lo son por azar. Hay que olvidar el romanticismo del hacker porque hay quien ha convertido la ciberdelincuencia en una industria.

Después de la sorpresa inicial, fuimos muy conscientes de nuestras capacidades y también fuimos muy honestos con la situación que estábamos abordando, por eso contamos con especialistas. También establecimos un plan de comunicación muy claro con nuestra comunidad universitaria.

Pregunta.- Si hablamos de amenazas, ¿cuáles son las tendencias en el ámbito de los ciber fraudes, especialmente en pymes?

Respuesta.- (Mario Martín).- En UNITEL creamos hace unos cuatro años un área específica de ciberseguridad tras confirmar que la ciberdelincuencia va en aumento. Desde 2020 sabemos que la aplicación de la IA está suponiendo algo bueno para frenar los ataques (a través de los SOC o centros de operaciones de seguridad que gestionan ciberataques masivos para contenerlos y neutralizarlos), pero también hay quien la utiliza, precisamente, para provocarlos.

Una de las amenazas más frecuentes ahora es el ransomware, un código malicioso que penetra en la red para escalar privilegios, secuestrar datos y después pedir un rescate. Siempre recomendamos que no se pague. Después está el phishing, por ejemplo, a través del correo electrónico, con ataques ahora muy dirigidos a determinados sectores o personas, y que busca suplantar para robar datos o dinero.

Además, hay mucho robo de credenciales que se venden en la Dark Web y los usuarios tenemos la manía de usar la misma contraseña para todo. No es un buen hábito.

Pregunta.- BBVA lleva mucho tiempo trabajando en la concienciación y la cultura de ciberseguridad. ¿Hay errores recurrentes en las pymes, humanos u organizativos, que dejan la puerta abierta al fraude? ¿Cómo les estáis ayudando a integrar la seguridad en su día a día?

Respuesta (Laura del Pino).- Hay que desmontar mitos. El primero es que los ciberdelincuentes solo atacan a empresas grandes. La realidad es que hay una industria del cibercrimen que funciona como una empresa. Al final es coste/beneficio.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo.

El otro mito es que en la ciberseguridad se soluciona todo con tecnología. Es cierto que es fundamental tener algunos básicos (como un antivirus), pero también es importante la formación.

P.- ¿En qué sentido?

R (Laura del Pino).- Por ejemplo, hay una amenaza que es el fraude por cambio de cuenta del proveedor. Consiste en suplantar la identidad de un proveedor de la empresa a través del correo electrónico. Incluye una cuenta de pago de facturas, que previamente habrá cambiado para que el dinero llegue al ciberdelincuente. Cualquier empresa debe saber cómo actúan los ciberdelincuentes para poder actuar.

Las empresas más pequeñas suelen estar menos protegidas y les cuesta menos atacarlas. Las pymes son un objetivo

Laura del Pino — Discipline Leader Information Security en BBVA España

¿Cómo proteger tu empresa?

P.- ¿Qué medidas pueden ponerse en práctica ante un ciber ataque?

R (Laura del Pino).- Una cosa sencilla es contar con un protocolo interno de doble verificación. Si un proveedor me pide que le pague en una cuenta nueva hay que verificarlo. Basta una simple llamada para evitar el engaño. La concienciación y formación es muy relevante.

Desde BBVA ofrecemos información y formación. Ofrecemos cursos online y gratuitos sobre ciberseguridad a través de la plataforma Coursera a cualquiera. No tiene que ser cliente.

En breve estrenaremos un espacio de noticias sobre ciberseguridad en la web y ponemos a disposición de los clientes herramientas que les ayuden a identificar posibles fraudes en la relación con el banco. Incluso monitorizamos operaciones no habituales. Hay también productos como los ciberseguros que incluyen un análisis de riesgos para comprobar cómo está la empresa en cuanto a protección.

P.- ¿Cuál es el punto de vista de UNITEL?

R (Mario Martín).- Es necesario concienciar y formar, como decía Laura. Como empresa nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error.

Nos encontramos a menudo en Castilla-La Mancha con mucha falta de cultura de la ciberseguridad entre las pymes. No quieren invertir en algo que no sea tangible, porque creen que no va con su negocio y eso es un error

Mario Martín — CEO de UNITEL Ciberseguridad

Nos ocurrió con un cliente que contactó con nosotros para recibir ayuda sobre ciberseguridad tras sufrir el engaño de una falsa factura. Quien se dio cuenta y lo paró fue precisamente el banco. El personal de las empresas debe tener formación. Eso les puede evitar muchos problemas.

P.- ¿Y la opinión de un experto en TIC?

R (Andrés Prado).- Se debe valorar mucho cuál es la exposición al fraude digital para abordar la protección. Hay que tener copias de seguridad, y blindar la identidad digital. Después, más allá del trabajo de prevención, es necesario tener clara la capacidad de reacción ante un ataque. Es algo que nosotros teníamos más adormecido cuando nos ocurrió.

Coincido en que hay que trabajar en la concienciación y en la formación. Los ataques que se han comentado son muy habituales y hay otro más: es el fraude del CEO, que cada vez se depura más gracias a la IA. Se trata de suplantar la identidad del directivo, solicitando al personal de administración hacer una transferencia urgente. El correo está redactado en el estilo del jefe.

Es importante saber el impacto que tiene perder la identidad digital de una empresa porque estará vendida. Hay que concienciar a las empresas y a quienes forman parte de ellas.

P.- ¿Qué papel juega en todo esto la IA?

R (Laura del Pino).- La IA ha democratizado el acceso a lanzar ciberataques que antes eran imposibles si uno no tenía herramientas a mano. Es absolutamente necesario tener protocolos de seguridad en la empresa.

Una empresa no puede sobrevivir en el mundo digital sin unas mínimas medidas, también relacionadas con la IA: hay que tener la última versión, lo que se llama el parcheado, de las herramientas que manejamos porque tiene vulnerabilidades que se corrigen con esos ‘parches’.

Y no bastan las contraseñas, hay que tener una doble verificación con un código que nos llegará al correo o al móvil, cuando hablamos de accesos remotos de las empresas, ahora que tanto usamos el teletrabajo. Debemos tener hábitos seguros en nuestro día a día. Es como cuando subimos al coche y nos ponemos el cinturón de seguridad.

Después está la gestión de incidentes, con un protocolo sobre qué hacer y a quién llamar. Eso es un diferencial en el impacto que puede tener en la empresa. O romper con la necesidad de urgencia en las operaciones. Los ciberdelincuentes usan ingeniería social para engañar. Antes de hacer nada, si hay algo fuera de lo habitual, hay que comprobar.

P.- Claro porque, en realidad, con el internet de las cosas todo está conectado

R (Andrés Prado).- Sí, y en ese mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles.

En un mundo tan conectado debemos saber qué tenemos expuesto en el mundo digital. No solo afecta a las personas, sino también a las cosas. Cada vez hay más elementos industriales conectados. A las pymes también empieza a afectarles

Andrés Prado — Responsable TIC en la Universidad de Castilla-La Mancha

R (Mario Martín).- Efectivamente, en UNITEL tenemos clientes en los que el 90% del trabajo de la empresa está robotizado. Un ciberataque a esas máquinas supone parar la producción. Y después, software no mantenido, software vulnerable.

También hay que probar de forma previa lo que se pone en internet. Hacemos muchos test previos de vulnerabilidad.

P.- Pese a todo, la IA nos puede ayudar a defendernos…

R (Laura del Pino).- Tiene muchas ventajas y nos ayuda a ser más eficientes. En el banco llevamos usando IA desde hace mucho tiempo, con muy buenos resultados. Desde la parte preventiva hay herramientas para detectar patrones anómalos. Y se puede usar además para formar y concienciar. Sí, hay que apostar por ello.

La Guardia Civil ha detenido en Alicante a un ciberdeprededador sexual en serie al que se le imputan 36 delitos contra la libertad sexual a más de una veintena de víctimas menores de 16 años durante una década, y a quien se le han intervenido 200 dispositivos de almacenamiento de imágenes.

El autor utilizaba técnicas de 'grooming' (hacerse pasar por un menor de edad para ganarse la confianza de otros menores y que le enviasen imágenes íntimas), donde combinaba el engaño y manipulación emocional para conseguir la explotación sexual infantil, ha informado la Guardia Civil en un comunicado.

Los agentes encargados de esta operación, de nombre 'Achillea', han conseguido identificar a más de 20 víctimas especialmente vulnerables, con edades desde los ocho años, por todo el territorio nacional y en distintos puntos del extranjero.

La investigación comenzó gracias a la denuncia de una víctima residente en la isla de Gran Canaria, interpuesta ante la Guardia Civil en 2024.

Durante las primeras actuaciones se realizó el registro del domicilio del acusado, donde se intervino una gran cantidad de dispositivos de almacenamiento con capacidad para almacenar 18.000 gigabytes.

El Equipo de Policía Judicial de la Guardia Civil en Santa María de Guía inició el análisis de los más de 200 dispositivos de datos intervenidos, entre teléfonos móviles, discos duros externos, ordenadores y pen drives, donde hallaron una gran cantidad de archivos de vídeo e imágenes pedófilas.

Como resultado del análisis de la información recabada, los guardias civiles han conseguido por el momento identificar a más de 20 víctimas menores de 16 años.

Según las investigaciones, el ciberpederasta se dedicó a contactar durante más de una década con las víctimas por aplicaciones de mensajería y redes sociales.

Se hacía pasar por un menor de edad llamado Juan, ganándose la confianza de las víctimas, y después de un tiempo manipulándolas emocionalmente, llegando incluso a hacerse 'novio' de alguna de ellas, consiguió que las menores de edad se grabaran o fotografiaran realizando actos de carácter sexual y que le enviaran los archivos.

El acusado guardó esos archivos pedófilos para su propio consumo sexual, organizando una colección privada, han señalado las mismas fuentes.

Como resultado de las investigaciones, se ha conseguido detener al autor, una persona natural de Alicante, y la Sección Civil y de Instrucción del Tribunal de Instancia de Santa María de Guía ha decretado su ingreso en prisión, comunicada y sin fianza.

Recomendaciones contra el 'grooming'

Desde la Guardia Civil recomiendan mantener perfiles cerrados y no aceptar solicitudes de desconocidos, incluso si tienen amigos en común, y evitar publicar la ubicación, el nombre del colegio o números de teléfono en redes públicas.

También sugieren la supervisión parental de las actividades 'online' y mantener una comunicación abierta para que el menor sienta confianza si algo le incomoda.

El consejero de Seguridad, Bingen Zupiria, insiste en que la Ertzaintza “está preparada a nivel técnico y operativo para efectuar con éxito cualquier tipo de investigación de ciberdelitos”. Responde así, en el Parlamento Vasco, a una pregunta de EH Bildu por una operación en que se eligió como Policía judicial a la Guardia Civil. La formación abertzale lleva ya meses insistiendo en la necesidad de dotar adecuadamente al cuerpo para poder responder a una creciente realidad. Recientemente, ha trascendido que, por ejemplo, las cuentas en redes sociales de dos miembros del Gobierno han sido 'hackeadas', las de la vicelehendakari Ibone Bengoetxea y las del consejero de Vivienda, Denis Itxaso.

Sobre el caso concreto —un registro de la Guardia Civil en Vitoria por orden del Tribunal de Instancia de Getxo por una estafa de unos 416.000 euros en criptoactivos—, Zupiria indica que “no se tuvo conocimiento de la denuncia”, como tampoco de la investigación posterior. Preguntado por si la competencia debería haber sido de la Ertzaintza, Zupiria no se moja. En Euskadi, las Fuerzas de Seguridad del Estado pueden operar en investigaciones de ámbito superior al autonómico o con ramificaciones internacionales. De lo contrario, el resto de asuntos deberían ser dirigidos exclusivamente por la Policía vasca.

El consejero señala, en todo caso, que existe una “coordinación fluida” con el resto de cuerpos en el marco del CITCO, que es un foro de ámbito estatal para compartir información sobre terrorismo, crimen organizado y otras grandes causas. Igualmente, Zupiria señala que la Ertzaintza opera en “colaboración con Europol e Interpol”, lo que “es esencial en casos transfonterizos”. Eso permite, por ejemplo, el “acceso a redes internacionales de expertos”. “Esta alianza policial resulta fundamental no sólo para la resolución efectiva de los casos sino también para la prevención mediante el análisis de patrones globales”, asegura.

Los últimos datos apuntan a que la unidad especializada contra la ciberdelincuencia de la Ertzaintza tiene una dotación de 26 efectivos. Con un subcomisario al frente, hay dos oficiales, tres suboficiales, cuatro cabos o agentes primeros y 16 ertzainas rasos. Adicionalmente, existe una entidad externa llamada Cyberzaintza.

“Sólo 26 ertzainas para investigar 28.000 delitos; es obvio que no son suficientes”, dijo EH Bildu en el Parlamento Vasco, donde promovió una moción para reforzar esos equipos. El Gobierno matiza que, además de ese grupo especializado, todas las comisarías y equipos de investigación dan cobertura a estos casos. Como ejemplo, Zupiria cita que la unidad central emite “informes técnicos de trazabilidad de criptomonedas” cuando la “complejidad” de un asunto “sobrepasa los conocimientos” del personal de las comisarías. En 2025 la Ertzaintza conoció 541 denuncias relacionadas con esta materia.

El Instituto Nacional de Ciberseguridad (INCIBE), ha lanzado una alerta de importancia alta debido a una nueva campaña de fraude digital. Esta vez la amenaza se basa en una técnica denominada smishing, donde los ciberdelincuentes utilizan mensajes de texto para engañar a los ciudadanos. El objetivo principal de estos atacantes es suplantar la identidad de la Agencia Tributaria. Mediante el envío masivo de estos SMS, los estafadores buscan que las víctimas entreguen información delicada de carácter personal y financiero. Es fundamental que los usuarios estén al tanto de esta maniobra para proteger sus cuentas bancarias. El INCIBE subraya que la sofisticación de estos ataques está aumentando para atrapar a los más desprevenidos.  

De hecho, la prevención es actualmente la mejor herramienta de defensa disponible para toda la ciudadanía afectada. El impacto de este tipo de estafas puede ser devastador para la economía de los usuarios. La mecánica del fraude es directa y engañosa, aprovechando la autoridad que proyecta una institución pública como la Agencia Tributaria. Los mensajes recibidos por las víctimas suelen informar sobre un supuesto comunicado pendiente de consultar o una devolución. Para acceder a dicha información, se incluye un enlace que redirige a una página web fraudulenta. Este sitio web está diseñado cuidadosamente para imitar la apariencia visual de la sede electrónica oficial de Hacienda. 

Una vez que el usuario se encuentra en el portal falso, se le solicita que introduzca datos bancarios. Es común que pidan números de tarjetas de crédito o credenciales de acceso a la banca electrónica. Sin embargo, se trata simplemente de un anzuelo para capturar información confidencial de forma ilícita. La rapidez con la que operan estos sitios temporales dificulta en ocasiones su cierre inmediato. Por ello, el INCIBE insiste en la importancia de verificar siempre el origen de cualquier enlace.

Uno de los puntos clave para detectar el engaño reside en analizar detenidamente la dirección URL del enlace proporcionado. Los expertos señalan que las páginas oficiales de la administración pública siempre terminan en dominios .gob.es o .es. En cambio, las plataformas utilizadas por los ciberdelincuentes suelen emplear extensiones mucho más genéricas. Dominios acabados en .top o .click son señales claras de que nos encontramos ante una web de estafa. Estas extensiones son preferidas por los atacantes porque permiten crear y descartar sitios web de forma muy rápida. Cualquier carácter extraño o extensión inusual debe ponernos inmediatamente en estado de máxima alerta. La vigilancia del navegador puede ser la primera barrera efectiva para evitar caer en esta trampa.

Otro elemento que induce al error es el nombre del remitente que aparece en la pantalla del teléfono móvil. Los atacantes emplean una técnica conocida como SMS spoofing para camuflar el número de teléfono de origen. Esto permite que en el dispositivo del usuario aparezca el nombre legítimo de la AEAT como remitente. Lo más peligroso es que el mensaje fraudulento puede colarse en el mismo hilo de mensajes auténticos. Ver mensajes anteriores legítimos en la misma conversación genera una falsa sensación de seguridad en la víctima. No obstante, el INCIBE advierte que no debemos fiarnos únicamente de la etiqueta que identifica al remitente. Esta suplantación técnica es una de las razones por las que este fraude está teniendo éxito. 

Es imperativo desconfiar incluso si el mensaje parece provenir de una fuente de confianza habitual. La tecnología actual permite estas manipulaciones con relativa sencillez para los grupos de ciberdelincuencia organizada. La redacción y el nivel de personalización del mensaje son otros indicadores fundamentales que delatan la falsedad de la comunicación. Las notificaciones reales de la administración pública suelen incluir el nombre, apellidos o parte del NIF. En esta campaña de smishing, los mensajes son extremadamente genéricos y carecen de cualquier identificación personal. Se utilizan expresiones extrañas como “dirigida a usted” o “que usted recibe en calidad de titular”. 

Además, es frecuente encontrar errores tipográficos, como espacios innecesarios antes de los signos de puntuación. La redacción suele ser redundante, artificial y alejada de los estándares comunicativos de la Agencia Tributaria. Estos fallos son típicos en plantillas automatizadas que se traducen o generan de manera masiva por atacantes. Si el tono del mensaje suena forzado o no incluye sus datos básicos, es casi seguro un fraude. La observación detallada de la gramática puede salvarnos de un problema financiero mayor.

Es vital recordar la política oficial de comunicación que sigue la Agencia Tributaria. La AEAT ha reiterado en numerosas ocasiones que jamás solicitará información confidencial por SMS o correo electrónico. Esto incluye números de tarjetas bancarias, claves de acceso o cualquier dato sensible de cuentas corrientes. Tampoco se envían enlaces directos para cobrar devoluciones de impuestos o consultar expedientes específicos. Todas las gestiones relacionadas con devoluciones se tramitan exclusivamente a través de la sede electrónica oficial. Otro canal legítimo es la declaración de la renta presentada formalmente por los cauces establecidos cada año. Cualquier mensaje que prometa un reembolso rápido mediante un simple clic en un enlace es falso.

Actuar rápido

Para aquellos que reciban el mensaje pero aún no hayan interactuado con el enlace, existen pasos preventivos recomendados. Lo más aconsejable es reportar el mensaje al buzón de incidentes del INCIBE para su análisis. Esta acción colaborativa permite recopilar datos que sirven para alertar y proteger a otros usuarios vulnerables. Posteriormente, se debe proceder a bloquear al remitente en el dispositivo móvil de forma permanente. El último paso preventivo es la eliminación definitiva del mensaje para evitar pulsaciones accidentales en el futuro. Si existe alguna duda real sobre una deuda o comunicación, se debe contactar por canales oficiales. Acceder directamente a la web de la Agencia Tributaria sin usar enlaces externos es la mejor práctica. 

En el caso de que un usuario ya haya facilitado sus datos en la web fraudulenta, debe actuar con celeridad. Lo primero es contactar con la entidad bancaria para bloquear tarjetas y movimientos no autorizados. Es fundamental reunir todas las evidencias posibles, como capturas de pantalla de los mensajes y enlaces. Se recomienda presentar una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado con estas pruebas. Además, el INCIBE aconseja realizar egosurfing periódicamente para comprobar si nuestra información ha sido expuesta. Actuar con rapidez puede minimizar el impacto del robo de identidad y de los fondos bancarios. La concienciación ciudadana sigue siendo el pilar fundamental para erradicar estas prácticas delictivas en internet.

Agentes de la Policía Autonómica – Cuerpo General de la Policía Canaria han localizado y detenido en Tenerife a un hombre sobre el que pesaba una requisitoria internacional por ciberdelincuencia y estafa, tras una investigación centrada en sus movimientos clandestinos y su entorno de apoyo.

Las pesquisas permitieron constatar que el ahora detenido habría llegado incluso a perjudicar económicamente a personas de su entorno más cercano, estafando presuntamente a un familiar directo por un importe aproximado de 20.000 euros.

El investigado llegó a ocultarse en la zona de Benijos, en la parte alta del término municipal de La Orotava, tratando de mantenerse alejado de cualquier exposición pública. Finalmente, los agentes lograron localizarlo en el municipio de Candelaria, donde presuntamente se refugiaba en el domicilio de un familiar lejano.

Según la investigación, el prófugo adoptaba medidas para dificultar su detección, evitando el uso de documentación personal, registros administrativos o movimientos fácilmente rastreables.

Debido a su presunta vinculación con actividades relacionadas con la ciberdelincuencia y el blanqueo de capitales, apenas abandonaba el domicilio, limitando al máximo sus desplazamientos y extremando las medidas para evitar dejar cualquier tipo de rastro.

Los agentes consideran que esta forma de actuar respondía a una estrategia deliberada para reducir al máximo tanto su huella física como digital mientras permanecía oculto.

La operación culminó con la localización y detención del investigado, procediéndose a su ingreso en prisión y poniendo fin a su evasión de la acción judicial.

Se ha consolidado como una herramienta fundamental para millones de usuarios que buscan inmediatez y sencillez en sus transacciones financieras diarias. Sin embargo, la popularidad de Bizum no ha pasado inadvertida para los ciberdelincuentes, quienes explotan la agilidad del sistema para ejecutar fraudes cada vez más sofisticados. El Banco de España, de hecho, ha emitido alertas advirtiendo sobre el incremento de estas prácticas delictivas que afectan directamente a la seguridad de los usuarios. 

Los atacantes emplean diversas técnicas con el fin de manipular y presionar a sus víctimas en momentos de distracción o urgencia. Este entorno digital cambiante exige que la ciudadanía esté plenamente informada sobre los riesgos asociados a las nuevas funcionalidades de pago instantáneo. La clave para no caer en el engaño reside en comprender profundamente el funcionamiento técnico de las herramientas que utilizamos en nuestros dispositivos móviles.

Ante la creciente vulnerabilidad, las autoridades financieras insisten en la necesidad de extremar la precaución durante cualquier operación monetaria realizada de forma telemática. El núcleo de esta estafa emergente, conocida como Bizum inverso, reside en un cambio sutil pero letal de la operación financiera estándar. Mientras que en un envío normal el emisor transfiere fondos, en este fraude el delincuente utiliza deliberadamente la opción de solicitud de dinero. La víctima recibe una notificación en su terminal que, a primera vista, parece un ingreso de fondos pendiente de ser aceptado por el usuario. Sin embargo, al pulsar sobre el mensaje para confirmar la acción, el usuario está autorizando realmente un cargo directo en su propia cuenta bancaria. 

El dinero se transfiere de manera instantánea al estafador, dejando al estafado con un saldo negativo inesperado y con pocas posibilidades de reversión. Los criminales aprovechan que muchos usuarios desconocen que Bizum permite tanto enviar como pedir cantidades específicas de dinero a cualquier contacto. Este desconocimiento técnico es el pilar fundamental sobre el que se construye el éxito de esta peligrosa y habitual modalidad de robo digital. Es fundamental leer con extremo detenimiento cada palabra de las notificaciones bancarias antes de proceder a cualquier validación.

Las plataformas de compraventa de artículos de segunda mano son el escenario predilecto donde estos ciberdelincuentes despliegan sus anzuelos más efectivos. Aplicaciones populares suelen ser el canal de comunicación inicial entre el estafador y su víctima potencial. El proceso comienza cuando un supuesto comprador contacta con un vendedor mostrando un interés inmediato y excesivo por un producto anunciado recientemente. Para asegurar la reserva, el atacante propone realizar un pago rápido a través de Bizum como una supuesta señal de buena voluntad. En lugar de efectuar el ingreso prometido, envía una solicitud de cobro bajo el pretexto de que es el trámite necesario para la transacción. El vendedor, ansioso por cerrar la venta, suele actuar con rapidez y acepta la notificación sin revisar los detalles financieros del mensaje. Al finalizar el proceso, la persona descubre con asombro que no ha recibido ninguna señal, sino que ha regalado su propio capital. 

Este tipo de engaño se repite con frecuencia debido a la confianza ciega que los usuarios depositan en la aplicación del banco. La efectividad del Bizum inverso no se debe a un fallo técnico de la aplicación, sino a la manipulación psicológica del individuo. Los estafadores suelen utilizar excusas de urgencia extrema o problemas técnicos ficticios para presionar al usuario y evitar que este reflexione. Al generar una sensación de prisa, logran que la víctima actúe de manera impulsiva sin analizar la veracidad de la notificación recibida. 

Los mensajes a menudo están redactados de forma confusa o contienen enlaces externos que redirigen a sitios web maliciosos y fraudulentos. En ocasiones, los delincuentes incluso suplantan la identidad de empresas conocidas o servicios oficiales para ganar una capa extra de credibilidad. El Banco de España subraya que estos criminales son expertos en detectar la falta de familiaridad de las personas con la tecnología. Por ello, el factor humano sigue siendo el eslabón más débil en la cadena de seguridad de las transacciones financieras online.

Un concepto fundamental que todo usuario debe interiorizar es que recibir dinero mediante este sistema no requiere ninguna acción adicional. Cuando alguien nos envía fondos de forma legítima, el ingreso se refleja automáticamente en nuestro saldo bancario sin intervenciones manuales del receptor. Cualquier notificación que nos inste a aceptar, confirmar o validar un ingreso recibido debe ser tratada de inmediato como una alarma. La aplicación de Bizum únicamente solicita la intervención del usuario cuando este va a realizar un pago o autorizar una solicitud ajena. Por lo tanto, si uno está esperando cobrar una venta, jamás debería tener que pulsar botones de confirmación en su pantalla móvil.

Bloquear y denunciar

Para prevenir estos incidentes, es vital adoptar una serie de hábitos de seguridad robustos en nuestra interacción con las finanzas digitales. Siempre se debe desconfiar de compradores que acepten precios elevados de inmediato sin negociar ni preguntar por el estado del objeto. Es recomendable verificar el perfil, la antigüedad y las valoraciones de cualquier persona que nos contacte en una red de compraventa. Nunca se deben compartir datos personales sensibles ni información bancaria privada con individuos desconocidos a través de chats o llamadas telefónicas. Si un supuesto conocido nos pide dinero, es prudente confirmar su identidad mediante otro canal de comunicación como una llamada directa.

Si desgraciadamente ya se ha producido la estafa, el tiempo de reacción es un factor crítico para intentar mitigar el daño económico. Lo primero que debe hacer el afectado es contactar inmediatamente con su entidad bancaria para informar de la transacción fraudulenta realizada. Es fundamental solicitar el bloqueo preventivo de las cuentas o tarjetas si se sospecha que las credenciales han sido comprometidas seriamente. Aunque las operaciones en este sistema suelen ser irreversibles, el banco evaluará si existe alguna posibilidad legal de recuperar el dinero. El siguiente paso obligatorio es interponer una denuncia formal ante las Fuerzas y Cuerpos de Seguridad del Estado, como la Policía. Para que la investigación sea efectiva, se deben aportar todas las pruebas posibles como capturas de mensajes y números de teléfono.

Sufrir un caso de ciberdelincuencia no siempre representa necesariamente el final del calvario para el afectado, sino el inicio de un nuevo riesgo. En muchos casos, este suceso es solo el preámbulo de una estafa secundaria conocida técnicamente como Recovery Room o sala de recuperación. Este método delictivo se ceba con personas que ya han sufrido un quebranto económico previo, buscando explotar su desesperación por recuperar lo perdido, de ahí que la Organización de Consumidores y Usuarios (OCU) haya alertado del incremento de estos casos detectados recientemente en el entorno financiero. Los estafadores operan bajo una lógica perversa al convertir la vulnerabilidad emocional de la víctima en su principal herramienta de manipulación y engaño.

No se trata de un contacto fortuito, sino de un ataque dirigido que suele basarse en bases de datos obtenidas de estafas anteriores. En este escenario, la esperanza de recuperar los ahorros perdidos se transforma rápidamente en una nueva trampa económica de difícil salida. Es vital entender que esta práctica busca asestar un segundo golpe financiero a quienes ya se encuentran en una situación crítica y vulnerable.

El funcionamiento de este fraude se basa íntegramente en la falsa promesa de rescatar fondos que ya se consideraban definitivamente perdidos por el usuario. Los delincuentes aseguran poseer medios tecnológicos o legales muy avanzados para rastrear el dinero estafado en primer lugar. Según detalla el Instituto Nacional de Ciberseguridad (INCIBE), los atacantes suelen presentarse falsamente como expertos auditores o incluso como abogados de gran prestigio. El contacto inicial con la potencial víctima se realiza de forma proactiva mediante llamadas telefónicas, correos electrónicos o mensajes privados en redes sociales. La narrativa construida por estos grupos criminales es extremadamente convincente, utilizando un lenguaje técnico que simula una solvencia profesional totalmente inexistente. 

Al dirigirse a víctimas de fraudes previos, los estafadores suelen conocer detalles específicos sobre el engaño original que sufrió el afectado en el pasado. Esta información privilegiada les permite generar una falsa pero potente sensación de confianza y legitimidad desde el primer momento de la charla. Sin embargo, el objetivo final es siempre el mismo: solicitar el pago de cantidades adicionales bajo conceptos que son totalmente inventados.

La OCU subraya con firmeza que ninguna entidad legítima o despacho de abogados serio solicita nunca pagos por adelantado para realizar estas gestiones. Los estafadores justifican estas peticiones de dinero alegando supuestos gastos administrativos, tasas legales de última hora o impuestos de salida pendientes. También es sumamente común que mencionen comisiones bancarias internacionales o costes específicos necesarios para el desbloqueo de los fondos recuperados. Todos estos argumentos carecen de cualquier tipo de base real y forman parte del guion diseñado para extraer el máximo capital posible. 

Una vez que la víctima realiza la transferencia solicitada, los delincuentes suelen desaparecer de forma inmediata rompiendo cualquier vía de contacto. En otras ocasiones, si detectan que el afectado aún posee recursos disponibles, inventan nuevas incidencias burocráticas para seguir pidiendo más fondos. Este ciclo de extorsión económica puede prolongarse mientras la víctima mantenga la esperanza de recuperar su inversión inicial. Es fundamental desconfiar sistemáticamente de cualquier persona que prometa resultados garantizados en la recuperación de estafas digitales complejas.

Para dotar al engaño de una apariencia altamente profesional, los grupos criminales utilizan identidades suplantadas de empresas reales y organismos oficiales. El INCIBE advierte que es habitual el uso fraudulento de logotipos reales, sellos institucionales falsificados y páginas web con un diseño muy sofisticado. Estas plataformas fraudulentas a menudo incluyen testimonios de éxito e historias de recuperación que son completamente ficticias y manipuladas. Los delincuentes también pueden llegar a hacerse pasar por representantes de las fuerzas de seguridad del estado o de agencias gubernamentales. Esta táctica busca intimidar a la víctima o hacerle creer de forma errónea que el proceso cuenta con un respaldo legal oficial. 

La presión psicológica sobre el usuario se intensifica mediante el uso de plazos cortos y una falsa sensación de extrema urgencia. Se advierte al ciudadano que la celeridad demandada es solo un método para forzar decisiones impulsivas y evitar que reflexione. La verificación independiente de la existencia de estas empresas es un paso crítico que nunca debe ser omitido por el consumidor. Existen variantes de esta estafa que van mucho más allá de la simple petición de dinero. En algunos casos, los atacantes solicitan a la víctima que instale software de acceso remoto en sus dispositivos personales bajo pretextos técnicos. El INCIBE señala que esta maniobra permite a los delincuentes observar contraseñas en tiempo real y vaciar las cuentas bancarias directamente. 

También es frecuente que pidan la creación de nuevas billeteras digitales con la excusa de recibir en ellas los supuestos fondos rescatados. En realidad, los estafadores mantienen el control total sobre estas carteras y se apropian de cualquier ingreso que se realice en ellas. Este tipo de intrusión maliciosa compromete no solo las finanzas, sino también toda la seguridad digital y la privacidad del usuario afectado. Los expertos recomiendan encarecidamente no permitir nunca el acceso de terceros desconocidos a ordenadores o teléfonos móviles personales. La protección de las claves privadas y las credenciales bancarias es siempre la última línea de defensa ante estos ataques.

Cortar y bloquear, lo primero

Ante la recepción de una oferta de este tipo, las recomendaciones de los especialistas son claras, directas y eminentemente preventivas para el usuario. En primer lugar, se debe proceder a cortar cualquier tipo de comunicación de forma inmediata con el remitente de la propuesta. No se debe facilitar bajo ningún concepto documentos personales, contraseñas bancarias ni realizar pagos por supuestas tasas o comisiones de gestión. Nunca se debe confiar ciegamente en los datos de contacto o enlaces proporcionados por la misma persona que ha iniciado el contacto. Es prudente bloquear los números de teléfono, los perfiles en redes sociales y marcar los correos electrónicos sospechosos como basura. Además, si se ha llegado a instalar algún programa sugerido por los estafadores, es estrictamente necesario revisar técnicamente el dispositivo. Por último, el cambio inmediato de todas las contraseñas expuestas y la activación de la doble autenticación son ahora pasos de seguridad obligatorios.

La colaboración ciudadana y el reporte activo de estos incidentes son elementos esenciales para combatir la actual impunidad de estas redes. El INCIBE pone a disposición de todos los ciudadanos su Línea de Ayuda en Ciberseguridad gratuita a través del número marcado como 017. Este servicio ofrece una orientación especializada y confidencial para gestionar correctamente situaciones de fraude, robo de datos o extorsión. Es fundamental recopilar todas las pruebas posibles del contacto, como capturas de pantalla de chats, correos recibidos y justificantes de pago. Esta documentación será de vital importancia al presentar la denuncia formal ante las Fuerzas y Cuerpos de Seguridad del Estado. Denunciar permite a las autoridades rastrear los patrones delictivos y bloquear los recursos financieros que utilizan habitualmente los estafadores.

La presente campaña de la Declaración de la Renta, iniciada oficialmente el pasado 8 de abril, representa un periodo crítico tanto para contribuyentes… como para los profesionales de la ciberdelincuencia que buscan lucrarse ilícitamente. Durante estas semanas de trámites fiscales, los ataques de phishing y smishing se multiplican aprovechando el volumen de comunicaciones oficiales y la urgencia de los ciudadanos por cumplir con sus obligaciones. Solo en la campaña anterior, instituciones como el INCIBE gestionaron decenas de miles de incidentes relacionados con fraudes online, confirmando que estas fechas son un señuelo recurrente. Los expertos advierten que la presión psicológica es el arma principal para que el usuario actúe rápido y sin cuestionar la veracidad del mensaje recibido. 

Desde organismos como INCIBE insisten en que es fundamental entender que el engaño puede comenzar con un simple correo electrónico que parece legítimo, pero que en realidad busca robar credenciales de acceso fiscales. Se trata de uno de los cebos más efectivos en la actualidad, un mail que simula una “nueva notificación electrónica”, utilizando un lenguaje administrativo muy convincente. Estos mensajes suelen incluir asuntos alarmistas sobre referencias de expedientes que invitan a una reacción inmediata para evitar supuestos problemas legales. Los ciberdelincuentes redirigen a las víctimas a páginas web clonadas que imitan con precisión milimétrica la sede electrónica de la Agencia Tributaria. En estos entornos fraudulentos, los usuarios introducen datos sensibles como su DNI o claves de acceso, que pasan directamente a manos de los atacantes. 

La rapidez con la que se ejecutan estas campañas dificulta muchas veces la detección por parte de los filtros de seguridad convencionales de los usuarios. Por ello, se recomienda desconfiar de cualquier comunicación que no haya sido esperada o que no siga los cauces habituales de la administración pública. La irrupción de la inteligencia artificial generativa ha elevado la sofisticación de estos ataques a niveles nunca vistos en campañas de años anteriores. Actualmente, los mensajes de fraude ya no contienen los errores gramaticales o de diseño que antes servían como señales de alerta evidentes. La IA permite crear interfaces idénticas a las oficiales y redactar textos con un tono profesional impecable, incluyendo incluso datos personalizados del contribuyente. Esto genera una falsa sensación de seguridad que facilita que incluso los usuarios más prevenidos puedan bajar la guardia ante una supuesta notificación.

Además, los ciberdelincuentes utilizan ahora ataques multicanal, coordinando correos electrónicos, SMS y llamadas telefónicas para construir una historia creíble y coherente. El objetivo final es siempre el mismo: obtener información confidencial o forzar un pago indebido bajo la apariencia de una gestión oficial necesaria. Pero afortunadamente existen señales de advertencia críticas que todo contribuyente debe aprender a identificar para proteger su información personal y bancaria durante este ejercicio fiscal. Entre ellas destaca el uso de un lenguaje alarmista que menciona bloqueos de expedientes, sanciones inminentes o embargos para provocar miedo en el receptor. También son frecuentes las promesas de reembolsos inmediatos de importes exactos, enviadas a través de enlaces acortados en mensajes de texto SMS. 

Desde Hacienda se recuerda de forma insistente que la Agencia Tributaria nunca solicita pagos urgentes ni datos bancarios a través de medios no seguros como el correo electrónico. Es vital revisar siempre el dominio del remitente, buscando variaciones sutiles que intentan imitar la dirección oficial agenciatributaria.gob.es de forma fraudulenta. Cualquier mensaje que incite a descargar archivos adjuntos, como supuestas facturas o PDFs de notificaciones, debe ser tratado con extrema precaución.

La Organización de Consumidores y Usuarios (OCU) también ha alzado la voz para alertar a los ciudadanos sobre la proliferación de estos engaños estacionales. Según la OCU, los argumentos de los estafadores cambian periódicamente, pasando de requerimientos de pago a peticiones de documentación imprescindible para recibir una devolución. La organización insiste en que la primera pista de fraude es el propio mensaje, especialmente si promete una devolución de dinero totalmente inesperada. Recomiendan encarecidamente no hacer clic en los enlaces recibidos y, en su lugar, pasar el cursor por encima para verificar la dirección de destino real. Si la dirección web no coincide con los dominios oficiales del Estado, se debe eliminar el mensaje de inmediato sin interactuar con él. La OCU recalca que mantenerse alerta es la mejor defensa ya que, una vez introducidos los datos, el proceso de reclamación puede ser complejo.

Para operar con total seguridad, es imprescindible conocer cuáles son los únicos dominios y canales oficiales que utiliza la Agencia Tributaria en sus comunicaciones. Las direcciones web legítimas incluyen siempre dominios como sede.agenciatributaria.gob.es o variantes que finalizan estrictamente en aeat.es o agenciatributaria.es. Además, la administración utiliza sistemas de identificación robustos y oficiales como el certificado digital, el DNI electrónico o el sistema Cl@ve Móvil. Hacienda ha dejado claro que nunca utiliza servicios de mensajería instantánea ni solicita información económica personal a través de plataformas como Bizum. Por otro lado, las llamadas telefónicas de supuestos agentes solo se producen si el contribuyente ha solicitado previamente una cita para ser atendido. Cualquier llamada inesperada que solicite datos bancarios o presione para realizar un trámite en el momento debe considerarse un intento de fraude telefónico o vishing.

Rapidez y pruebas

Otros métodos de engaño incluyen la oferta de servicios de pago para gestionar citas previas que, en realidad, son trámites totalmente gratuitos. Páginas web fraudulentas se presentan como intermediarios para aprovechar la saturación del sistema y la urgencia de los usuarios por resolver su situación. Igualmente, la presencia de formularios excesivamente simples que solicitan la contraseña del correo electrónico es una señal inequívoca de que se trata de una estafa. Ningún organismo oficial pedirá jamás las claves de acceso a servicios personales de mensajería o redes sociales bajo ningún concepto. Los delincuentes también utilizan documentos adjuntos maliciosos que, al ser abiertos, instalan malware en el dispositivo de la víctima para monitorizar su actividad bancaria. 

Ante cualquier duda sobre la autenticidad de un documento, lo más seguro es acudir directamente a la sede electrónica para cotejarlo mediante el código seguro de verificación. En el caso de que un ciudadano sospeche que ha podido caer en la trampa o haya introducido datos en un enlace sospechoso, debe actuar con rapidez. Lo primero es recopilar todas las pruebas posibles, como capturas de pantalla, enlaces y mensajes recibidos, para facilitar una posterior denuncia. Es fundamental cambiar de inmediato las contraseñas comprometidas y contactar con la entidad bancaria para solicitar el bloqueo preventivo de tarjetas o cuentas. El incidente debe reportarse a las Fuerzas y Cuerpos de Seguridad del Estado y a la propia Agencia Tributaria a través de sus canales de denuncias. Además, el INCIBE pone a disposición de los usuarios la Línea de Ayuda en Ciberseguridad (017) para recibir orientación experta sobre cómo proceder tras el ataque. La celeridad en estas acciones, insisten, es determinante para minimizar el impacto financiero y evitar que los delincuentes hagan un uso extensivo de la información robada. 

Anthropic, la startup que compite con OpenAI por el liderazgo de la inteligencia artificial, afirma que ha desarrollado un modelo demasiado peligroso para ser liberado al público. La compañía ha anunciado esta semana que su nueva tecnología, denominada Claude Mythos, posee una capacidad sin precedentes para identificar y explotar vulnerabilidades de ciberseguridad. Según sus datos internos, el sistema ha localizado miles de fallos en los principales programas, incluyendo todos los grandes sistemas operativos y navegadores web.

La startup ha expresado en un comunicado que teme que si publica el modelo en abierto este pueda ser utilizado por grupos de ciberdelincuentes para aprovecharse de agujeros en el código que hasta ahora habían pasado inadvertidos. Claude Mythos es un modelo general que también puede generar texto como los chatbots más conocidos, pero han sido su capacidad de analizar software lo que lo que ha desatado las alarmas.

“Los modelos de IA han alcanzado un nivel de capacidad de codificación que les permite superar a todos, salvo a los humanos más habilidosos, a la hora de encontrar y explotar vulnerabilidades de software”, asegura Anthropic en su comunicado.

Los modelos de IA han alcanzado un nivel que les permite superar a todos, salvo a los humanos más habilidosos, a la hora de encontrar y explotar vulnerabilidades de software

Anthropic

Entre los hitos del modelo, presume Anthropic, está el descubrimiento de una vulnerabilidad de 27 años de antigüedad en OpenBSD, un sistema operativo diseñado específicamente para ser difícil de hackear. Logan Graham, responsable del equipo de pruebas de la empresa, ha calificado el avance como “un punto de inflexión” para la industria tecnológica.

Ante el temor de que la herramienta sea utilizada por los ciberdelincuentes, Anthropic ha optado por un despliegue restringido a través de una iniciativa llamada Project Glasswing. Se trata de una coalición de 40 organizaciones, entre las que se encuentran gigantes como Apple, Amazon, Microsoft, Google y la Linux Foundation, a los que ha dado acceso al modelo para que parcheen las posibles brechas que Claude Mythos pueda detectar en sus sistemas.

A pesar del revuelo generado en torno a las capacidades de esta nueva IA en las últimas horas, por el momento ninguna de estas compañías ha desmentido las capacidades de las que presume Anthropic. Amazon, Google y Microsoft son inversores oficiales de la startup, mientras que Apple y la Linux Foundation colaboran estrechamente con la empresa.

El secretario del Tesoro reúne a los bancos

El debate en torno a Claude Mythos ha escalado fuera de las fronteras de la industria tecnológica este viernes. Varios diarios económicos, entre ellos el Financial Times, han informado de que el secretario del Tesoro de Estados Unidos, Scott Bessent, convocó esta semana a los máximos responsables de algunos de los mayores bancos del país para abordar los riesgos asociados a esta IA.

Según el citado medio, que cita fuentes conocedoras del encuentro, a este asistieron directivos de Bank of America, Citigroup, Goldman Sachs, Morgan Stanley y Wells Fargo. También participó el presidente de la Reserva Federal, Jay Powell. El consejero delegado de JPMorgan Chase, Jamie Dimon también había sido invitado, aunque finalmente no pudo asistir.

Había sido precisamente Dimon el que, en su carta anual publicada esta semana, había escrito que los ciberataques “siguen siendo uno de nuestros mayores riesgos”, que “la IA casi con seguridad lo agravará” y que será necesaria una inversión significativa en defensa.

Según ha informado Anthropic, ya antes de esta reunión con los principales bancos, sus responsables habían iniciado conversaciones con el gobierno estadounidense para hablar de los riesgos de Claude Mythos para la seguridad nacional. La salida a la luz del modelo pilla a la startup en medio de una guerra abierta con la Casa Blanca: Donald Trump ordenó calificar a la empresa como un “riesgo para la cadena de suministro” después de que esta se negara a levantar algunas salvaguardas de seguridad en el uso de su IA en la guerra de Irán.

La sombra de una estrategia comercial

Sin embargo, no todos los expertos comparten el clima de pánico. El analista Gary Marcus, uno de los mayores críticos con el “autobombo” que rodea a la industria de la IA, ha señalado que el anuncio de Anthropic podría estar “inflado” y responder más a una maniobra de marketing que a una amenaza inmediata.

Marcus advierte que, en las pruebas de explotación del navegador Firefox presentadas por la empresa, se desactivó el “sandboxing” (un mecanismo de aislamiento de seguridad), lo que facilitó enormemente la tarea del modelo y lo convirtió más en una “prueba de concepto” que en un peligro real.

Además, Marcus subraya que modelos de código abierto mucho más pequeños y económicos ya han demostrado ser capaces de realizar análisis de vulnerabilidades similares a los de Mythos. Para el analista, el modelo está “en la tendencia” de evolución de la industria, pero no representa un salto fuera de los gráficos respecto a sus competidores.