El fraude digital en España alcanza 45.445 casos en un año, un 19% más que en 2024. El INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26% más que el ejercicio anterior. Septiembre no perdona. Los empleados regresan de vacaciones y los ciberdelincuentes lo saben.
El Instituto Nacional de Ciberseguridad recoge en su balance que el fraude online representó cuatro de cada diez incidentes. El phishing sumó 25.133 casos y se registraron 3.849 incidentes de acceso o sustracción no autorizada de información confidencial. Son cifras que no solo afectan al ciudadano: golpean de lleno a despachos profesionales y pymes.
En el ámbito empresarial, los datos de la Línea de Ayuda en Ciberseguridad 017 reflejan el peso de la ingeniería social. La suplantación de identidad por imitación concentró el 18% de las consultas de empresas, seguida del phishing (12%) y del fraude del CEO (9%). Ignasi Nogués, Chief Growth Officer de Qualiteasy Internet Solutions, advierte de que la vuelta de vacaciones es el momento más propicio para estos ataques.
Según Nogués, los ciberdelincuentes no siempre necesitan superar grandes barreras tecnológicas: buscan el momento adecuado para que una persona haga clic, introduzca una contraseña o autorice una transferencia. La vuelta de vacaciones, añade, reúne varios factores que favorecen ese tipo de errores.
La vuelta de vacaciones agrava la exposición de los empleados
Entre los riesgos más habituales figura el phishing escondido entre los correos acumulados. Una falsa notificación de Microsoft 365, un supuesto aviso bancario, un documento compartido o un mensaje de empresa de mensajería pueden pasar más fácilmente desapercibidos cuando el empleado intenta vaciar rápido la bandeja de entrada.
Otro engaño habitual es el aviso de que ‘la contraseña ha caducado durante las vacaciones’. El mensaje dirige a una página que imita el servicio original para capturar credenciales. También despiertan sospechas los mensajes de WhatsApp del supuesto jefe que asegura haber cambiado de número y termina pidiendo una transferencia urgente, así como las facturas que aparentemente quedaron pendientes antes del verano.
Los ciberdelincuentes no necesitan romper barreras: solo esperan el momento en que alguien haga clic sin mirar.
Diez comprobaciones para blindar la oficina en septiembre
Nogués recomienda una puesta a punto de la ciberseguridad al regreso al trabajo. Lo primero es actualizar ordenadores, smartphones, tablets, servidores, navegadores y aplicaciones corporativas, incluidas las herramientas de seguridad. Revisar los accesos recientes ayuda a detectar ubicaciones desconocidas, nuevos dispositivos, intentos fallidos repetidos, o inicios de sesión en horarios poco habituales.
La autenticación multifactor debe continuar activa, sobre todo en correo corporativo, Microsoft 365, Google Workspace, CRM, VPN, aplicaciones financieras y herramientas de administración. Conviene revisar contraseñas y credenciales, evitar reutilizarlas entre servicios y no compartirlas entre empleados. Un gestor de contraseñas es una opción recomendable.
En copias de seguridad no basta con comprobar que se ejecutan. Hay que verificar que contienen la información necesaria, están protegidas frente a modificaciones, conservan versiones anteriores y se restauran correctamente. Los portátiles y smartphones corporativos que hayan viajado durante las vacaciones requieren atención especial tras conectarse a redes WiFi de hoteles, aeropuertos o coworkings.
Septiembre también sirve para eliminar cuentas y aplicaciones innecesarias, revisar si permanecen activos usuarios de antiguos trabajadores y limitar los permisos de administrador. Además, conviene comprobar si existen credenciales corporativas expuestas en filtraciones de datos. Pueden circular por Internet durante meses antes de ser utilizadas en un ataque.
Junto a las medidas tecnológicas, la empresa considera fundamental recuperar la concienciación de los equipos. Un recordatorio breve sobre phishing, contraseñas, solicitudes de autenticación multifactor, transferencias y suplantaciones ayuda a prevenir incidentes justo cuando los empleados afrontan un elevado volumen de comunicaciones.
La estrategia de Qualiteasy combina cuatro capas: prevención, con empleados formados y sistemas actualizados; protección, con MFA y seguridad de dispositivos; detección, mediante monitorización de credenciales y amenazas; y recuperación, con copias de seguridad verificadas.
La cultura de la pausa es más rentable que la tecnología
La conclusión que se desprende de estos datos no es únicamente tecnológica. El salto del 26% en incidentes totales coincide con un aumento de la sofisticación de los ataques, pero también con un fallo estructural: la confianza en clics impulsivos. La ingeniería social se ha convertido en la puerta de entrada más rentable para los atacantes. No siempre se necesita una vulnerabilidad de día cero; basta una factura verosímil y un empleado con prisa. Aunque el INCIBE no desglosa el coste económico del fraude, el reparto de consultas (18% suplantación, 12% phishing, 9% fraude del CEO) revela que el eslabón débil sigue siendo humano.
Existe una contradicción en muchas organizaciones: se invierte en perímetros defensivos sofisticados mientras los equipos no reciben ni un recordatorio de diez minutos al mes. La verificación mediante un segundo canal, recomendada por Qualiteasy, es una barrera de coste casi cero frente a transferencias fraudulentas. La mayoría de los incidentes de fraude del CEO se habría evitado con una simple comprobación telefónica. Aun así, pocas pymes mantienen protocolos escritos de doble verificación para pagos.
El reto no es implantar más herramientas, sino consolidar una cultura en la que detenerse, comprobar y preguntar ante algo extraño sea normal. La tecnología es imprescindible, pero un empleado que reconoce cuándo algo no encaja evita muchos incidentes. La organización blindada no es la que más invierte en software, sino la que convierte la pausa en protocolo.
El próximo balance anual del INCIBE dirá si los despachos han aprendido la lección. La consolidación de los datos de 2026 será un hito a vigilar. Hasta entonces, la pregunta no es si habrá ciberestafas en septiembre, sino si el empleado que revise su bandeja a las nueve de la mañana sabrá identificar la factura que no lo es.
