Un mensaje de un superior pide autorizar un pago, el nombre resulta familiar, la imagen de la empresa es correcta y la petición encaja con una gestión pendiente. Antes de dar la orden queda por resolver una pregunta que ninguno de esos indicios contesta por sí solo, ¿ha sido realmente esa persona quien ha enviado el mensaje? En España, solo el 31% de los trabajadores consultados por WatchGuard afirma que comprueba siempre la identidad del remitente por una vía independiente antes de actuar ante solicitudes sensibles.
El 69% restante reconoce que en ocasiones omite ese paso cuando la petición afecta a dinero, credenciales o información confidencial. La encuesta internacional incluye a más de 500 empleados de ocho países, el dato español mide la regularidad con la que dicen verificar. Dentro de ese 69% caben tanto quienes comprueban la identidad con frecuencia como quienes rara vez lo hacen.
Qué hace creíble un mensaje
Preguntados por cómo ha cambiado su percepción en cinco años, el 42% de los participantes españoles confía hoy más en las comunicaciones digitales, el 39% confía menos y el 19% mantiene el mismo nivel. Apenas tres puntos separan a los dos primeros grupos, en el trabajo diario, sin embargo, hay un comportamiento que sí comparte una mayoría amplia. El 76% declara haber abierto un enlace o un archivo adjunto porque parecía proceder de alguien conocido.
La imagen de marca también pesa, para el 42%, el uso correcto de la identidad corporativa aumenta la credibilidad de una solicitud. El 32% menciona la presencia de un detalle familiar del entorno profesional o personal y el 26% señala que reconoce al remitente. Solo el 16% dice que confió en la petición después de haber realizado una comprobación independiente.
Corey Nachreiner, responsable de seguridad de la información de WatchGuard, vincula estos resultados a la capacidad de la IA para imitar voces, rostros o formas de escribir. El problema práctico para quien recibe el encargo es que la apariencia de familiaridad, que le permite trabajar deprisa con compañeros y proveedores, puede mantenerse incluso cuando la petición no procede de ellos.
La urgencia y la autoridad del remitente
El informe plantea un supuesto específico para medir hasta qué punto cambia el juicio ante una orden de dirección, en España, el 48% probablemente confiaría en un mensaje de texto urgente atribuido al consejero delegado que pidiera un pago o una transferencia de datos, sin verificarlo por otra vía. La media internacional es del 42%, si la orden llegase en un mensaje de voz, las proporciones serían del 44% en España y del 40% en el conjunto de países.
La videollamada introduce un matiz, el 63% de los participantes españoles utilizaría el rostro, la voz o la identidad mostrada en pantalla para evaluar una solicitud inusual o sensible, frente al 53% global. En cambio, el 23% daría prioridad a consultar por otra vía o seguir el procedimiento de su organización, la cifra internacional para esa respuesta asciende al 28%. La encuesta describe qué harían los participantes en esa situación hipotética.
Las prácticas declaradas varían considerablemente entre países, en Australia, el 69% afirma que comprueba siempre la identidad ante peticiones sensibles. En Alemania lo hace el 22% y en España el 31%, por sectores, en el conjunto internacional destaca el sanitario, con un 63% de verificación sistemática. El sector público ofrece un contraste significativo.
En España, la formación insuficiente es la barrera más citada para mejorar la preparación ante un ciberataque, con un 32% de respuestas. Le sigue la falta de concienciación, con el 15%, WatchGuard propone que las organizaciones definan procedimientos de confirmación para pagos, cambios de credenciales y entregas de información, y que practiquen con situaciones similares a las que el empleado puede encontrar durante su jornada.
La diferencia se aprecia al volver al supuesto del pago urgente, para comprobarlo por una vía independiente, el trabajador necesita saber a quién puede acudir, disponer de un canal que ya conozca y tener margen para esperar la respuesta. Son condiciones que debe establecer la empresa antes de que llegue el mensaje, dejar esa decisión exclusivamente en manos de quien recibe la orden convierte cada solicitud en una excepción que debe resolver sobre la marcha.
Si (
No(
