Ciberseguridad en empresas: 42% no recibe capacitación
Un estudio de Kaspersky reveló que el 42% de los trabajadores en Colombia no recibe capacitación para identificar estafas en línea. La falta de formación deja a las empresas más expuestas a ataques que hoy se apoyan en inteligencia artificial y suplantaciones cada vez más creíbles.“No todos los hackers necesitan una supercomputadora; a veces les basta con engañar a una persona”, sintetiza una de las máximas históricas de la ciberseguridad moderna. En esa lógica, un estudio reciente de Kaspersky dejó en evidencia una brecha crítica en Colombia: el 42% de los trabajadores afirma que su empresa no le brinda capacitación para identificar estafas en línea.
Esa ausencia de formación expone a una parte importante de la fuerza laboral y la vuelve más vulnerable ante tácticas que suelen comenzar con un descuido humano, como hacer clic en un enlace fraudulento, descargar un archivo malicioso o entregar credenciales en un sitio falso. Según el relevamiento, en muchos casos la capacitación existe, pero queda limitada al personal de seguridad o se ofrece como un recurso no obligatorio.
Solo el 29% de los empleados asegura que su organización sí proporciona entrenamiento sobre este tema. El dato refleja una brecha significativa en la preparación frente a amenazas que, lejos de ser sofisticadas únicamente desde lo técnico, suelen apoyarse en la manipulación psicológica y en la urgencia para provocar errores.
Cómo son los ataques a empresas a través de empleados
La investigación advierte además que en uno de cada tres ataques el acceso se obtiene mediante cuentas de empleados robadas. Eso convierte a los colaboradores en el punto más sensible de la defensa corporativa, una condición que se agrava cuando no hay entrenamientos regulares ni campañas de concientización sostenidas.
El phishing sigue siendo una de las modalidades de fraude más extendidas en la región. Con el avance de la inteligencia artificial, los delincuentes han refinado sus métodos para personalizar mensajes y aprovechar mejor el desconocimiento de los empleados. Ya no se trata solo de correos obvios o mal redactados: hoy pueden parecer comunicaciones legítimas de plataformas internas, proveedores, entidades financieras o jefaturas.
Hoy es habitual encontrar mensajes que simulan actualizaciones de políticas internas o instrucciones enviadas por altos ejecutivos, acompañados de archivos maliciosos diseñados para obtener información confidencial, credenciales o incluso dinero de la empresa. Esa evolución del engaño confirma una tendencia conocida en los últimos años: el fraude digital se volvió más creíble, más segmentado y más difícil de detectar a simple vista.
Eduardo Chavarro, director para Américas del Equipo Global de Respuesta a Incidentes en Kaspersky, advirtió que las estafas en línea “ya no se presentan como mensajes evidentes o mal escritos; hoy pueden imitar correos corporativos, proveedores, plataformas de trabajo, entidades financieras o incluso comunicaciones internas”. Y agregó que limitar la capacitación al equipo de seguridad “deja expuesta a toda la organización, porque cualquier empleado puede convertirse en la puerta de entrada para un ataque”.
Cuál es el problema de la falta de capacitación en ciberseguridad
El daño de estos incidentes va mucho más allá de la pérdida de datos. Los impactos pueden traducirse en pérdidas financieras directas, interrupciones operativas y sanciones regulatorias que, en algunos casos, alcanzan millones de dólares. A eso se suma un efecto menos visible pero igual de grave: el deterioro de la confianza de clientes, socios y proveedores, con consecuencias sobre la reputación y la competitividad de la compañía.
Claudio Martinelli, director general para Américas en Kaspersky, subrayó ese punto al remarcar que “cada colaborador es un frente de defensa crítico ante las amenazas digitales”. Según explicó, invertir en capacitación no solo protege a las empresas, sino que fortalece la resiliencia de todo el ecosistema corporativo frente a fraudes y riesgos emergentes. En términos prácticos, la ciberseguridad dejó de depender solo de herramientas y firewalls: también requiere usuarios entrenados para reconocer señales de alerta.
En los últimos años, la postura de las compañías frente a estas amenazas ha ido cambiando, aunque de manera desigual. Antes predominaba una visión más centrada en los equipos técnicos; hoy, cada vez más organizaciones incorporan campañas de concientización, simulacros de phishing y protocolos de respuesta. Sin embargo, el estudio muestra que esa transición todavía no alcanza a toda la estructura laboral, especialmente en contextos donde la formación se mantiene opcional o restringida a áreas específicas.
Análisis y proyecciones
El escenario apunta a que la brecha entre ataque y defensa seguirá ampliándose si la capacitación no se vuelve transversal y periódica. A medida que los fraudes incorporan automatización, suplantación de identidad más convincente y mensajes personalizados, la detección manual por parte del usuario se vuelve más difícil. En ese contexto, las empresas que no refuercen hábitos básicos —verificación de remitentes, doble confirmación de pagos y reporte inmediato de incidentes— quedarán más expuestas a filtraciones, extorsiones y paralización de operaciones. La tendencia global indica que el eslabón humano seguirá siendo el objetivo preferido de los ciberdelincuentes, por lo que la prevención educativa pasa a ser una inversión estratégica y no un gasto accesorio.
Cuáles son las estrategias y recomendaciones para revertir la brecha
La respuesta a este desafío exige un cambio profundo en la cultura organizacional de ciberseguridad y en el uso de herramientas actuales. La capacitación debe alcanzar a todos los empleados, no solo al personal de seguridad. Las estafas pueden llegar a cualquier área, desde finanzas hasta atención al cliente, por lo que la formación debe ser transversal, práctica y periódica, con ejemplos concretos de phishing, suplantación de identidad y fraudes por mensajería.
También es clave enseñar a verificar antes de hacer clic o compartir información. Los trabajadores deben revisar remitentes, enlaces, dominios, archivos adjuntos y solicitudes urgentes de pago o acceso. Si un mensaje parece inusual, incluso si proviene de un supuesto jefe o proveedor, lo más prudente es confirmarlo por otro canal antes de responder.
Otra herramienta útil es la realización de simulacros de phishing y ejercicios interactivos. Estas prácticas permiten medir el nivel de concientización, detectar nuevas necesidades de capacitación y poner a prueba la respuesta de la organización frente a escenarios realistas. A la par, resulta fundamental fomentar el reporte de incidentes con respaldo visible de la conducción, para que cualquier correo, enlace o mensaje sospechoso se notifique de inmediato.
Por último, las empresas deben establecer políticas de seguridad orientadas a los empleados, con normas claras, protocolos de acción y controles de acceso por roles. El objetivo es que cada persona cuente solo con los permisos necesarios y pueda operar dentro de un marco seguro, reduciendo la superficie de ataque y fortaleciendo la defensa general de la organización.
