A estas alturas casi todos sabemos que no deberíamos abrir enlaces sospechosos, facilitar contraseñas o hacer una transferencia porque alguien nos la pida con urgencia. Hemos oído hablar de phishing, falsas llamadas del banco, SMS de paquetería y mensajes de WhatsApp de supuestos familiares que necesitan dinero.
Y, sin embargo, seguimos cayendo.
Los datos lo demuestran. En 2025 se registraron en España 429.677 fraudes informáticos, un 4 % más que el año anterior. Casi nueve de cada diez ciberdelitos fueron estafas.
¿Cómo es posible con todo lo que ya sabemos?
Quizá porque una cosa es conocer una ciberestafa cuando alguien nos la explica y otra reconocerla cuando aparece mezclada con nuestra vida cotidiana.
Una estafa no llega diciendo que es una estafa
Después de descubrir el engaño todo parece evidente. El enlace era extraño. Había demasiada prisa. ¿Cómo no nos dimos cuenta?
Pero el mensaje no llegó cuando sabíamos que estábamos asistiendo a una formación sobre phishing. Llegó mientras esperábamos un paquete urgente, revisábamos el correo del trabajo, hacíamos una compra o atendíamos otras diez cosas.
Ahí entra en juego la ingeniería social: utiliza la confianza, la urgencia, la autoridad o el contexto para conseguir que actuemos antes de detenernos a comprobar.
Conocer las señales no garantiza que siempre vayamos a reconocerlas a tiempo
Un experimento con 472 participantes lo ilustra bien. Solo identificaron correctamente como sospechosos el 42 % de los correos de phishing y, al mismo tiempo, consideraron fraudulentos el 31 % de los mensajes legítimos. La precisión general fue del 56 %.
El problema, por tanto, no es simplemente que nos falte información. El contexto en el que tomamos una decisión puede hacer que aquello que sabemos quede en segundo plano justo durante los segundos que necesita el engaño para funcionar.
El engaño puede tener muy buena pinta
Durante años hemos aprendido a desconfiar de correos mal escritos, diseños extraños o mensajes que no parecen propios de una empresa seria.
Hay que seguir fijándose en esas señales, pero su ausencia ya no demuestra demasiado.
Las estafas pueden estar bien redactadas, utilizar información real sobre nosotros y hacerse pasar por empresas o personas conocidas. La inteligencia artificial facilita todavía más la creación de comunicaciones personalizadas y convincentes.
Por eso, en lugar de preguntarnos únicamente “¿esto parece real?”, podemos preguntarnos: “¿qué me están pidiendo que haga?”
Si nos solicitan dinero, una contraseña, un código de verificación, datos personales, instalar una aplicación, abrir un archivo o cambiar una cuenta bancaria, tenemos una razón para detenernos y comprobarlo, aunque el mensaje parezca completamente normal.
Lo mismo ocurre cuando aparece la urgencia: hazlo ahora, perderás el acceso, la factura vence hoy, necesito esta transferencia cuanto antes.
La prisa forma parte del engaño porque deja menos espacio para verificar.
Saber de ciberestafas ayuda. Tener hábitos de comprobación, también
Esto tiene una consecuencia importante, especialmente en las empresas.
La formación en ciberseguridad no debería limitarse a enseñar cómo es un phishing y esperar que cada persona sea capaz de reconocer siempre el siguiente. También debe enseñar qué situaciones deben hacernos parar.
Si un proveedor comunica un cambio de cuenta bancaria, podemos comprobarlo utilizando un contacto conocido. Si alguien solicita credenciales o un código, no los facilitamos. Si una petición económica se sale de lo habitual, la confirmamos por otra vía.
No porque todo sea sospechoso, sino porque hay acciones cuyas consecuencias justifican dedicar unos segundos más a verificar.
También ayuda que, dentro de la empresa, preguntar o comunicar una sospecha sea fácil. Una persona que cree haber cometido un error debería saber rápidamente a quién avisar, porque reaccionar a tiempo puede reducir el daño.
No caemos simplemente porque “no sepamos”
Probablemente esa sea la respuesta a la pregunta con la que empezábamos.
Conocer las ciberestafas reduce el riesgo, pero no elimina la confianza, la prisa, la distracción ni los automatismos con los que tomamos cientos de pequeñas decisiones cada día. Y son precisamente esas circunstancias las que aprovechan los delincuentes.
Necesitamos conocer cómo funcionan los fraudes, pero también acostumbrarnos a detener determinadas acciones y comprobar antes de continuar.
En nuestro eBook Ciberestafas habituales: cómo reconocerlas y protegerse repasamos los fraudes más frecuentes, las señales que pueden ayudarte a identificarlos y qué hacer si el engaño ya se ha producido.
Descarga gratis el eBook y aprende a reconocer mejor una ciberestafa, protegerte frente a ella y saber cómo reaccionar si llegas a caer.
Fuentes consultadas:
Ministerio del Interior. Informe sobre la Cibercriminalidad en España 2025.
Cazares-Zabala, María (2023). Ciberpsicología, un análisis de los factores cognitivos que participan en el proceso de detección de amenazas informáticas: una revisión sistemática. Universidad Internacional de La Rioja (UNIR).
