Según el informe de 2025 de Verizon sobre violaciones de datos, casi el 60% de las violaciones registradas en el mundo tuvo algún elemento humano detrás: un clic, una contraseña escrita en la página equivocada, una llamada que convenció a alguien de actuar demasiado rápido. Eso no es una falla de carácter. Es el resultado esperado de poner miles de decisiones diarias en manos de gente ocupada, bajo presión para responder rápido.
La capacitación ayuda, y ayuda bastante. Un estudio global de 2026 con datos de simulaciones de correo falso, hecho por la empresa de capacitación en seguridad KnowBe4, midió una tasa promedio de clic de 33,2% en empresas sin ninguna preparación, que cae a 4,2% después de un año de capacitación continua. Es una caída real. También es la prueba de que el número nunca llega a cero: en una empresa de cien personas, incluso después de un año de capacitación, estadísticamente todavía queda alguien listo para hacer clic.
La pregunta que decide el tamaño del daño no es "cómo evitar el clic" —nadie evita el 100%—. Es "qué hace la empresa en los minutos siguientes". Y ahí es exactamente donde la mayoría de las empresas no tiene ninguna respuesta lista.
Por qué siempre alguien va a hacer clic
En una empresa que ya capacitó a todo el equipo, distribuyó avisos internos y exige cuidado con el correo, todavía ocurre esta situación común: alguien hace clic, escribe la contraseña en una página falsa, y nadie se da cuenta en el momento. El aviso llega recién días después, cuando empiezan a salir correos extraños desde la cuenta de esa persona: cobrando un pago a un proveedor, pidiendo una transferencia urgente, o simplemente enviando spam a sus contactos.
En Europa, Medio Oriente y África, el correo falso que se hace pasar por alguien de confianza apareció en el 19% de las violaciones de datos registradas por Verizon en 2025, detrás solo del robo directo de credenciales y del uso de sistemas vulnerables. El patrón se repite: alguien confía en la apariencia del mensaje, porque fue diseñado exactamente para eso.
El mismo estudio de Verizon señala algo incómodo: una fracción pequeña del equipo concentra la mayor parte del riesgo. Cerca del 8% de los empleados es responsable del 80% de los incidentes ligados a comportamiento humano. Eso no significa que la solución sea vigilar más de cerca a esas personas; significa que una estructura pensada solo para "que todos se cuiden" deja justamente a ese grupo sin ninguna red de protección extra.
El daño no es solo la información que se filtró. Es la hora que el equipo pasa tratando de entender qué pasó, el proveedor que llama desconfiado porque recibió un pedido de pago extraño desde el correo de la empresa, y el empleado que pasa semanas escribiendo con miedo de volver a equivocarse.
Cuando la cuenta comprometida es la de alguien de finanzas o de atención al cliente, el daño crece de una manera específica: quien recibe el correo extraño es justamente quien confía en ese remitente: un cliente, un proveedor, un colega de otra área. El mensaje sale desde dentro de la empresa, con la apariencia correcta, en medio de una conversación que ya existía. Por eso "descubrirlo tres días después" cuesta mucho más que "descubrirlo al instante": en tres días, esa cuenta ya tuvo tiempo de escribirle a todos los que confían en ella.
Capacitar reduce, pero no cierra la puerta
La forma común de manejar esto es capacitar al equipo, mandar un aviso, y esperar lo mejor. Funciona hasta cierto punto: los números del inicio muestran que la capacitación reduce bastante la probabilidad de clic. El problema es tratar "reducir" como si fuera "eliminar" —y planear la seguridad de la empresa como si el clic nunca fuera a ocurrir.
Otra versión de la misma salida común es comprar una herramienta de seguridad más y dejar que funcione sola, sin que nadie mire lo que avisa. Una alerta que nadie revisa vale lo mismo que ninguna alerta: solo cuesta más cara.
El efecto secundario más común aparece cuando el clic ocurre de todos modos: la reacción natural es buscar quién se equivocó. Eso enseña la lección equivocada. La próxima persona que se dé cuenta de que hizo clic va a demorar en avisar, con miedo al reto, y cada hora de demora es una hora más en la que la cuenta comprometida sigue activa, leyendo mensajes, enviando correos, abriendo archivos.
Culpar a quien hizo clic no es un control. Es la ausencia de uno. El control de verdad no promete evitar el clic: evita que el clic se convierta en un daño grande.
Lo que tiene que existir en la práctica
Un entorno preparado para ese momento se apoya en mecanismos verificables, no en un aviso interno.
Un segundo paso de confirmación además de la contraseña. Aunque la persona escriba la contraseña correcta en la página equivocada, ese segundo paso —un código, una notificación en el celular— no llega a quien robó la contraseña. La cuenta sigue cerrada aunque la contraseña esté en manos equivocadas.
Un camino corto para avisar, sin miedo al castigo. La persona que hizo clic es la primera en saber que algo anda mal. Si avisar es rápido y no se convierte en una sanción, el aviso llega en minutos, no tres días después, cuando los correos extraños ya empezaron a salir.
Una alerta de acceso fuera de lo normal que llega a alguien, en el momento. Un inicio de sesión desde un lugar u horario extraño, o una serie de intentos fallidos de contraseña, tiene que encender una señal para quien se ocupa de la seguridad, no quedar solo registrado en un informe que nadie abre.
Suspensión inmediata de la cuenta sospechosa. En cuanto llega la alerta o se hace el aviso, la cuenta se bloquea antes de convertirse en una investigación de varios días. Impedir el uso de la cuenta ahora resuelve más que cambiar la contraseña después.
Un mapa de lo que esa cuenta alcanzaba. Saber a qué buzones, carpetas, sistemas y contactos tenía acceso ese inicio de sesión es lo que permite revisar exactamente qué necesita atención, en vez de reconstruir todo de memoria bajo presión.
Así es como trabaja Skills IT: con un segundo paso de confirmación además de la contraseña, un canal directo para avisar sin castigo y el corte de acceso de la cuenta sospechosa antes de que se convierta en una investigación mayor.
Lo que cambia cuando la respuesta es rápida
La ganancia no es abstracta. Una empresa que identifica y contiene un incidente rápido evita buena parte del daño en cadena: cambios de contraseña con pánico, un cliente que llama desconfiado, un proveedor que pide confirmación telefónica antes de procesar un pago.
El tamaño del problema de actuar despacio aparece en los números del sector: en 2025, el tiempo promedio que las empresas tardaron en identificar y contener una violación de datos, según el informe de IBM sobre el costo de las violaciones, fue de 241 días —el índice más bajo en nueve años, y aun así, meses—. Cada día adicional es un día más en el que la cuenta comprometida puede seguir usándose.
En una empresa pequeña o mediana, sin nadie vigilando el acceso todo el tiempo, ese intervalo suele descubrirse por accidente: un cliente que llama a preguntar, un empleado que nota un correo enviado que él no escribió. Reducir ese intervalo de meses a minutos no depende de la suerte: depende de tener, desde antes del clic, el segundo paso de confirmación, la alerta y el camino para avisar.
La ganancia financiera está en eso: menos horas del equipo apagando incendios, menos riesgo de un pago indebido hecho a un proveedor engañado, y un equipo que sigue confiando en el canal de aviso en vez de esconder el error.
Hay todavía una ganancia menos visible: la decisión correcta en el momento correcto. Cuando la alerta llega en minutos y el mapa de acceso ya existe, quien decide sabe exactamente qué revisar, sin tener que apagar sistemas enteros por precaución ni esperar días por un diagnóstico completo antes de actuar. Eso es tiempo de equipo trabajando, en vez de tiempo de equipo reconstruyendo lo que pasó.
Cuatro preguntas para llevar a la próxima reunión
Antes de revisar la capacitación otra vez, vale la pena preguntar qué existe para el momento en que la capacitación no sea suficiente:
- ¿Existe un segundo paso de confirmación además de la contraseña en todo acceso importante? Si la respuesta es "solo en algunos sistemas", la cuenta más fácil de vulnerar hoy probablemente es la que quedó afuera.
- ¿Quién recibe una alerta cuando un inicio de sesión se sale de lo normal? Si la respuesta es "nadie, pero queda registrado", la alerta existe solo en el papel.
- ¿Alguien sabe, sin tener que reconstruirlo desde cero, a qué alcanza una cuenta específica? Sin ese mapa, cada incidente se vuelve una investigación larga aunque sea pequeño.
- Si alguien del equipo hiciera clic hoy, ¿en cuánto tiempo lo sabría la empresa? Si la respuesta no es minutos, vale la pena entender por qué antes de que ocurra de verdad.
