El balance de ciberseguridad de INCIBE correspondiente a 2025 dejó un dato que conviene no perder de vista: en España se gestionaron 122.223 incidentes de ciberseguridad el año pasado, un 26% más que en 2024. Y entre todos ellos, el phishing volvió a ser el favorito de los atacantes, con 25.133 casos.
¿Lo curioso? La inmensa mayoría de esos incidentes no se producen por fallos sofisticados. Se producen porque alguien hizo clic donde no debía, usó una contraseña que ya estaba en una filtración o no tenía activado un segundo factor.
La buena noticia: con tres medidas básicas se evita la mayor parte de los sustos.
Barrera 1: la contraseña, ese gran malentendido
Casi todas las empresas con las que trabajamos saben que las contraseñas son importantes. Lo que muchas no saben es que la mayoría siguen usando contraseñas que un atacante con herramientas básicas tarda menos de un minuto en romper.
Lo que recomienda INCIBE (y lo que vemos que funciona en el día a día):
- Frases largas mejor que palabras complicadas. "Mi gato Pelusa duerme en el sofá" es más segura que "P@$$w0rd2026" y mucho más fácil de recordar.
- Una contraseña distinta para cada servicio. Si te roban la del correo y tienes la misma en el banco, ya tienes el segundo problema servido.
- Un gestor de contraseñas para no morir en el intento. No tiene que ser caro: hay opciones empresariales por menos de 5 euros por usuario al mes.
Y un detalle del que se habla poco: forzar al equipo a cambiar la contraseña cada tres meses suele ser contraproducente. La gente acaba poniendo "Empresa01", "Empresa02"... Es mejor una buena contraseña permanente, bien guardada, que una secuencia de contraseñas malas.
Barrera 2: el doble factor (MFA), el cinturón de seguridad de la oficina
MFA significa autenticación multifactor (multi-factor authentication). En román paladino: cuando entras en un sistema, además de la contraseña, se te pide un segundo dato. Normalmente un código que te llega al móvil o que genera una app específica.
Es la cerradura de seguridad de la puerta de tu oficina, la que va por encima de la cerradura normal.
¿Por qué importa tanto? Porque incluso si un atacante consigue tu contraseña, sin el segundo factor no puede entrar. Microsoft publicó hace tiempo un dato que ha hecho carrera en el sector: activar MFA bloquea más del 99% de los intentos de acceso con credenciales robadas. Es una de esas medidas con relación esfuerzo-beneficio brutal.
Hoy en día casi cualquier servicio empresarial (correo, herramientas de trabajo, banca, accesos remotos) permite activar MFA en los ajustes de seguridad. Si todavía no lo tienes en tu empresa, esto es lo primero por lo que empezar.
Barrera 3: la formación, la barrera que más se descuida
Aquí es donde casi todas las empresas fallan. Compran tecnología, instalan firewalls, contratan antivirus... pero se olvidan de la persona que va a usar todo eso.
Y los datos cantan: el phishing sigue siendo el principal vector de ataque precisamente porque ataca al eslabón humano, no al técnico. Un correo bien hecho que aparenta venir del banco, de un proveedor o de un compañero, y la persona pincha. No por torpeza, sino porque el atacante ha hecho un trabajo cada vez mejor.
Lo que funciona en formación corporativa:
- Sesiones cortas y prácticas, no charlas magistrales de tres horas. Mejor 20 minutos cada cierto tiempo que un día entero al año.
- Simulacros de phishing. Enviar correos falsos controlados al equipo y ver quién pica. Es la mejor forma de aprender, y nadie se siente humillado si se gestiona bien.
- Casos reales de empresas conocidas. Cuando se cuenta lo que le pasó a una pyme parecida a la tuya, el mensaje cala mucho mejor que cualquier teoría.
Lo que sumando estas tres barreras consigues
No vamos a prometerte que eliminas el riesgo. Eso no existe. Pero estas tres medidas, bien implantadas, tapan la inmensa mayoría de los caminos por los que un ciberdelincuente intentaría colarse en tu empresa.
Y no requieren grandes inversiones. Requieren método, disciplina y, sobre todo, alguien que se ocupe de que se hagan bien y se mantengan en el tiempo.
En Iberiza llevamos más de 20 años haciendo exactamente eso: ayudar a empresas a poner las barreras básicas bien puestas antes de que toque arrepentirse. Si quieres revisar cómo está la tuya, hablamos.