A pesar de los firewalls más avanzados y los software de seguridad más complejos, el ataque digital más antiguo y simple sigue siendo el rey. El phishing, esa técnica que busca engañarte con un correo falso para que entregues tus claves o descargues malware, no solo no ha desaparecido, sino que se mantiene como la principal puerta de entrada para hackeos masivos. ¿La razón? El eslabón más débil no es un servidor, sino nosotros mismos.

Un análisis global de KnowBe4, que revisó la impresionante cifra de 67.7 millones de simulaciones de phishing en más de 62,000 organizaciones, arroja una verdad incómoda: antes de cualquier capacitación, uno de cada tres empleados (33.1%) pica el anzuelo y hace clic en enlaces fraudulentos. Los datos revelan que el problema va más allá de la tecnología y se hunde en cinco puntos ciegos culturales y operativos dentro de las empresas.

El primero y más grave es tratar la capacitación como un trámite anual. Muchas compañías ven el entrenamiento en ciberseguridad como una vacuna que se aplica una vez y ya, cuando en realidad debería ser un hábito constante. Según el reporte, los programas continuos pueden reducir la susceptibilidad al phishing en un 40% en solo 90 días, y hasta un 86% después de un año completo. La memoria se desvanece, y los cibercriminales no dejan de innovar.

Otro error común es la excesiva confianza en los filtros tecnológicos. Las empresas invierten en barreras automáticas para bloquear correos maliciosos, pero cuando uno logra colarse –y siempre lo logran–, el personal no está preparado para identificarlo. Se crea una falsa sensación de seguridad que deja una brecha enorme: la bandeja de entrada.

El estudio también señala que existe un exceso de confianza peligroso entre los profesionales. Muchos creen, erróneamente, que su ojo entrenado detectaría un ataque de inmediato. Los números demuestran lo contrario. Esta sobreestimación lleva a bajar la guardia, especialmente con mensajes que imitan perfectamente comunicaciones internas de Recursos Humanos o del departamento de TI, los cuales son los campeones en generar clics.

Mientras las empresas monitorean amenazas técnicas –virus, intrusiones en red–, descuidan el rastreo del comportamiento humano de riesgo. No miden qué tan seguido sus equipos caen en simulacros, ni analizan los patrones que los llevan a hacer clic. Se combate el síntoma (el malware que entra) pero no la causa (la persona que lo dejó entrar).

Al final, el reporte deja una conclusión clara para la cultura geek y tech: la ciberseguridad ya no es un tema exclusivo de los ingenieros en sistemas. Es un asunto de cultura organizacional y educación continua. En un mundo donde un solo clic equivocado puede derrumbar la infraestructura digital de una empresa, invertir en concientizar al equipo no es un gasto, es la última línea de defensa. Y, por lo visto, es la que más urge reforzar.