Veintisiete segundos. Ese es el tiempo récord de propagación de un ciberataque registrado en 2025, según el Informe Global sobre Amenazas de CrowdStrike. No significa que todos los ataques avancen a esa velocidad (la media se situó en 29 minutos, frente a los 48 del año anterior), pero la cifra da una idea del escaso margen que puede quedar cuando una empresa descubre que algo va mal.

A esa carrera contra el reloj se suma ahora la inteligencia artificial. CrowdStrike detectó en 2025 un aumento del 89 por ciento en los ataques que utilizaban IA y señala que estas herramientas están acelerando tareas como el phishing. La tecnología no ha inventado necesariamente nuevas formas de atacar: sobre todo está permitiendo hacer más rápido, a mayor escala y con mayor eficacia lo que los ciberdelincuentes ya hacían. De paso, han servido para camuflar algunas de las señales que durante mucho tiempo ayudaban a detectar una estafa, como textos mal redactados o traducciones a todas luces imperfectas.

Kaspersky ha estudiado qué ocurre una vez que una estafa llega al móvil o al correo de la víctima. El 52 por ciento de las que terminan teniendo éxito se completa en menos de media hora. En uno de cada siete casos, en menos de cinco minutos. Uno de los objetivos de los ciberdelincuentes es, precisamente, reforzar esa sensación de urgencia. Meten prisa para que la víctima confirme una cuenta, o para que pague una factura. Es comprensible:cuanto menos tiempo queda para pensar, menos se comprueba.

Cuando el mensaje parece demasiado real

En el informe Family business cybersecurity 2026, Deloitte cuenta, a modo de ejemplo, el caso de una empresa familiar estadounidense que suele organizar ‘webcasts’ para sus empleados. En uno de ellos, su responsable de ciberseguridad mostró un vídeo de un alto directivo financiero de la compañía. Parecía auténtico, pero era un deepfake -una imagen falsa, pero de sorprendente realismo, creada con inteligencia artificial. Solo después reveló el engaño. La sorpresa de los trabajadores sirvió para mostrar hasta qué punto la IA puede hacer más difícil distinguir una comunicación real de una mera imitación. El informe de la consultora resalta otro mensaje importante: cualquier sospecha debe comunicarse inmediatamente y quien haya caído en un engaño no debe temer una reprimenda, porque ocultarlo puede regalar al atacante unos minutos decisivos.

Los datos de Kaspersky apuntan en la misma dirección. Dos tercios de las víctimas consultadas, el 66 por ciento, creen que se utilizó inteligencia artificial en la estafa que sufrieron. El 42 por ciento menciona mensajes escritos con IA; el 31 por ciento, voces sintéticas, y una cuarta parte, imágenes o vídeos deepfake. Basta un breve video extraído de internet o redes sociales para producir una réplica digital de la voz y rostro con inteligencia artificial. Con él, alguien se puede hacer pasar por un directivo o un proveedor y solicitar una transferencia, unos datos o un cambio de cuenta. 

Gonzalo Temes, responsable de Soluciones Tech en MásOrange, incluye precisamente los deepfakes, la automatización de ataques y la explotación de vulnerabilidades entre los riesgos asociados al uso malicioso de la inteligencia artificial. Desde MasOrange plantean que la respuesta tampoco puede limitarse a instalar herramientas: necesita combinar tecnología, especialistas y procedimientos capaces de mantener la actividad cuando ocurre un incidente.

Entrar sin forzar la puerta

A veces ni siquiera hace falta romper una barrera informática. Basta con conseguir unas credenciales válidas. De ahí el título elegido por Yaiza Rubio, hacker y experta en ciberseguridad de MasOrange, para su intervención en el próximo encuentro Hablemos de Ciberseguridad para Pymes, que se celebrará en Vitoria el próximo 24 de septiembre: “Los ciberdelincuentes ya no hackean; simplemente inician sesión”. La sesión abordará el robo de credenciales, el phishing, la ingeniería social y el uso de IA para fabricar mensajes, llamadas, imágenes y vídeos cada vez más difíciles de identificar.

Los datos del Instituto Nacional de Ciberseguridad (INCIBE) muestran hasta qué punto ha crecido el problema. En 2025 gestionó 122.223 incidentes de ciberseguridad, un 26 por ciento más que el año anterior. Cuatro de cada diez fueron fraudes online, con 45.445 casos, y se contabilizaron además 25.133 incidentes de phishing, 55.411 relacionados con malware y 3.849 robos de información. La propia Línea de Ayuda de INCIBE refleja también cuáles son algunas de las amenazas que preocupan a las empresas. Entre las consultas empresariales atendidas en 2025, el 18 por ciento estuvieron relacionadas con phishing, el 12 por ciento con suplantaciones de identidad mediante imitación y el 9 por ciento con el llamado fraude del CEO. Tres formas de engaño que tienen algo en común: el atacante intenta hacerse pasar por alguien conocido o de confianza para conseguir información, credenciales o dinero.

Para una pyme, además, las consecuencias pueden ser especialmente difíciles de asumir. Más del 70 por ciento de los ciberataques que afectan a empresas se dirigen a pequeñas y medianas compañías y, según estimaciones de organismos internacionales, entre el 15 y el 20 por ciento de las que sufren un incidente grave terminan cerrando en los meses siguientes. Una interrupción de la actividad, la pérdida de información, un fraude económico o el daño a la reputación pueden tener un impacto mucho mayor cuando no existen los recursos ni los protocolos necesarios para responder con rapidez.

Ese tipo de casos también cuestiona una idea muy extendida: que el empleado es simplemente “el eslabón débil”. Cuando un correo llega desde la dirección correcta, está bien escrito, utiliza nombres reales y coincide con una operación habitual, desconfiar exige algo más que intuición. La buena noticia es que la misma tecnología que ayuda a perfeccionar los ataques puede utilizarse también para detectarlos.

El reto de proteger una pyme

No es habitual que una pequeña empresa disponga de un departamento dedicado exclusivamente a ciberseguridad. Al mismo tiempo, el trabajo se reparte entre cada vez más dispositivos y lugares: el ordenador de la oficina, el móvil, una conexión desde casa, aplicaciones en la nube o herramientas de terceros. Orange Empresas incluye protección de dispositivos y servicios cloud con asistencia informática, protección de las líneas móviles y de los dispositivos cuando navegan por internet y seguridad integrada en la red fija.

En mayo, se anunció además el lanzamiento de Orange Cyberdefense España, destinado a mantener una vigilancia continua y responder a los incidentes. Orange Cyberdefense cuenta con 3.300 profesionales y 36 centros de detección de amenazas en 23 países. Ahora aterriza en España con servicios como Dynamic SOC, una solución orientada a pymes y empresas de tamaño medio que plantea una vigilancia continua, las 24 horas del día y los siete días de la semana, apoyada en tecnología y en los analistas de Orange Cyberdefense. La propuesta es modular: puede proteger distintos puntos de entrada, desde los puestos de trabajo al correo electrónico, la nube o los dispositivos móviles, e incorporar nuevas capacidades según las necesidades de cada empresa.

Una de sus particularidades es que esos módulos trabajan de forma coordinada. Cuando uno detecta una amenaza, se activa automáticamente una investigación en los demás, con la idea de comprobar si el mismo ataque ha dejado señales en otros puntos de la organización. Orange Cyberdefense habla además de un “efecto de red”: las alertas detectadas y gestionadas en un cliente contribuyen a reforzar las reglas de protección utilizadas para el resto. 

Ese planteamiento responde a una dificultad bastante concreta para una pequeña empresa: quién vigila las veinticuatro horas cuando no existe un equipo propio que pueda hacerlo. Benjamin Serre, director de desarrollo de Orange Cyberdefense, explica que la solución nació precisamente de la constatación de que las pymes estaban menos preparadas frente a unas amenazas cada vez más complejas y necesitaban acceder a niveles de protección similares a los de organizaciones mayores, pero adaptados a sus recursos y sistemas.

Cómo anticiparse a esos engaños y cómo responder cuando consiguen atravesar las defensas será uno de los asuntos que Orange Empresas pondrá sobre la mesa el próximo 24 de septiembre en Vitoria.