Un clic basta: los descuidos digitales que cuestan miles de millones de pesos 

Más de 2.4 millones de fraudes bancarios y pérdidas superiores a los 10 mil millones de pesos en solo seis meses, se registraron en el primer semestre de 2025, según datos de la Condusef, y la causa principal no fueron fallas en los sistemas, sino errores humanos. Abrir un enlace desconocido, reutilizar contraseñas o ignorar una actualización están detrás de más del 68% de los incidentes de ciberseguridad en México, de acuerdo con el mismo reporte. Mientras instituciones públicas y empresas privadas refuerzan su infraestructura tecnológica, los especialistas advierten que el mayor riesgo sigue siendo la falta de educación digital de las personas.

El patrón que revelan esas cifras se repite en distintos sectores y tamaños de organización, pues no importa qué tan robusto sea el sistema de protección, si un usuario entrega sus credenciales o hace clic en el lugar equivocado, el atacante entra. Los especialistas llaman a esto el “factor humano”, y hoy es la principal puerta de entrada de los ciberdelincuentes en México.

“La realidad es que los ciberdelincuentes han cambiado su enfoque. Antes buscaban vulnerar sistemas; hoy buscan vulnerar a las personas. Un clic, una llamada o un mensaje pueden ser suficientes para abrir la puerta a un ataque”, explica Sergio Mora, CTO en Ecosistemas Global.

A diferencia de los ataques que explotan fallas técnicas en sistemas, la ingeniería social apunta directamente al factor humano, mediante engaños, suplantación de identidad y manipulación de la confianza, los ciberdelincuentes logran que las propias víctimas les abran la puerta, sin necesidad de vulnerar ningún código.

De acuerdo con el especialista de Ecosistemas Global, las tácticas más utilizadas por los ciberdelincuentes en este tipo de ataques son:

• Phishing: correos electrónicos que suplantan a instituciones legítimas, especialmente comunes en sectores como el financiero, comercio electrónico y servicios digitales, donde los usuarios interactúan constantemente con plataformas en línea.
• Smishing: mensajes SMS con enlaces maliciosos que han ganado terreno en la banca móvil y telecomunicaciones, aprovechando la inmediatez y la alta tasa de apertura de estos canales.
• Vishing: llamadas telefónicas donde los atacantes se hacen pasar por personal de bancos o soporte técnico, un método frecuente en usuarios de servicios financieros tradicionales.
• Baiting (cebo): promesas de descargas gratuitas, premios o dispositivos físicos para infectar equipos, una práctica común en entornos corporativos e industriales.
• Pretexting: creación de escenarios falsos convincentes como auditorías o emergencias, para obtener información sensible, especialmente en áreas como recursos humanos, finanzas y atención a clientes.

Para Mora, el crecimiento de estas tácticas responde a su alta efectividad. “La ingeniería social funciona porque explota algo que ninguna tecnología puede controlar al cien por ciento: la confianza. Los ataques son cada vez más personalizados, más creíbles y mejor dirigidos”.

A pesar de que las organizaciones han incrementado su inversión en herramientas de ciberseguridad, los ataques continúan al alza. Para el especialista, la explicación es clara: “existe un desfase entre la tecnología y la cultura digital. Muchas empresas han invertido en infraestructura, pero no necesariamente en educación y concientización. Puedes tener el mejor sistema de protección, pero si un colaborador entrega sus credenciales, el atacante entra por la puerta principal”, señala el CTO de Ecosistemas Global.

Sectores como retail, educación, salud y servicios han sido particularmente afectados, no solo por el volumen de información sensible que manejan, como datos personales, financieros y operativos, sino también por la interacción constante con usuarios, clientes y proveedores, lo que amplía significativamente la superficie de ataque.  “El sector financiero es uno de los más atacados porque combina dos elementos clave para los ciberdelincuentes: dinero y urgencia. Las personas reaccionan más rápido ante un mensaje que involucra su cuenta o su dinero, y ahí es donde los atacantes aprovechan para engañar”, explica Sergio Mora.

Frente a este escenario, expertos en ciberseguridad señalan que la respuesta no puede limitarse a invertir en infraestructura tecnológica. La diferencia entre un incidente menor y una crisis financiera o reputacional puede depender de una sola acción como abrir o no abrir un enlace. Organismos como la Condusef y el CERT-MX han recomendado a instituciones públicas y privadas reforzar sus programas de capacitación interna como parte de sus estrategias de prevención.

“La ciberseguridad hoy es un tema cultural. No se trata solo de implementar herramientas, sino de cambiar comportamientos. Verificar antes de hacer clic, desconfiar de lo urgente y proteger la información personal son acciones básicas que pueden evitar pérdidas millonarias”, concluye Mora.

***

********************************