El 42% de los trabajadores en Colombia no recibe capacitación para identificar estafas en línea

Un reciente estudio de Kaspersky ha puesto en evidencia una situación crítica que atraviesan las empresas en Colombia: el 42% de los trabajadores afirma que su empresa no les ofrece capacitación para identificar estafas en línea.

Esta carencia deja expuesta a una parte significativa de la fuerza laboral, que se convierte así en un blanco fácil para los ciberdelincuentes. Los datos muestran que, en muchos casos, la formación que existe se limita solo a equipos de seguridad o se ofrece como un recurso no obligatorio.

Apenas el 29% de los empleados confirma que su organización sí proporciona capacitación sobre este tema. Todo esto deja una brecha considerable en la preparación de los trabajadores frente a un tipo de amenaza que suele comenzar con un error humano, como hacer clic en un enlace fraudulento, descargar un archivo malicioso o entregar credenciales en una página falsa.

Cómo son los ataques a empresas a través de empleados

La investigación también revela que, en uno de cada tres ataques, el acceso se obtiene mediante cuentas de empleados robadas. Esto convierte a los colaboradores en el eslabón más sensible de la defensa corporativa, una situación agravada por la falta de formación y concientización.

El phishing se mantiene como una de las tácticas de fraude más empleadas en la región. Los criminales han perfeccionado sus métodos, utilizando inteligencia artificial para personalizar ataques y explotar el desconocimiento de los empleados.

Hoy es habitual detectar correos electrónicos que simulan ser actualizaciones de políticas internas o mensajes de altos ejecutivos, con archivos maliciosos que buscan obtener información confidencial, credenciales y hasta dinero de la empresa.

La sofisticación de estos fraudes deja atrás la imagen de mensajes mal redactados y evidentes. Según Eduardo Chavarro, director para Américas del Equipo Global de Respuesta a Incidentes en Kaspersky, “las estafas en línea ya no se presentan como mensajes evidentes o mal escritos; hoy pueden imitar correos corporativos, proveedores, plataformas de trabajo, entidades financieras o incluso comunicaciones internas”.

Limitar la capacitación solo al equipo de seguridad, advierte Chavarro, “deja expuesta a toda la organización, porque cualquier empleado puede convertirse en la puerta de entrada para un ataque”.

Cuál es el problema de la falta de capacitación en ciberseguridad

El impacto de estos incidentes va mucho más allá de la seguridad de los datos. Las consecuencias pueden traducirse en pérdidas financieras directas, interrupciones de operaciones y sanciones regulatorias que llegan a millones de dólares. Además, la afectación a la confianza de clientes, socios y proveedores puede comprometer la reputación y la competitividad de cualquier compañía en el mercado.

Frente a este escenario, Claudio Martinelli, director general para Américas en Kaspersky, resalta el papel del colaborador: “Cada colaborador es un frente de defensa crítico ante las amenazas digitales. Invertir en su capacitación no solo protege a las empresas, sino que fortalece la resiliencia de todo el ecosistema corporativo frente a fraudes y riesgos emergentes”.

Un talento capacitado es indispensable para que las medidas y herramientas de protección realmente funcionen.

Cuáles son las estrategias y recomendaciones para revertir la brecha

La respuesta a este desafío requiere un cambio profundo en la cultura organizacional de ciberseguridad y el uso de herramientas actuales.

Capacitar a todos los empleados, no solo al equipo de seguridad. Las estafas pueden llegar a cualquier área, desde finanzas hasta atención al cliente. Por eso, la formación debe ser transversal, práctica y periódica, con ejemplos reales de phishing, suplantación de identidad y fraudes por mensajería.

Enseñar a verificar antes de hacer clic o compartir información. Es fundamental que los empleados revisen remitentes, enlaces, dominios, archivos adjuntos y solicitudes urgentes de pago o acceso. Si un mensaje parece inusual, incluso si proviene de un supuesto jefe o proveedor, lo más seguro es confirmarlo por otro canal antes de responder.

Realizar simulacros de phishing y ejercicios interactivos. Estas prácticas permiten evaluar el nivel de concientización de los empleados, detectar necesidades adicionales de capacitación y poner a prueba la capacidad de respuesta ante escenarios realistas.

Fomentar el reporte de incidentes con liderazgo activo. Es clave que los colaboradores notifiquen de inmediato cualquier correo, enlace o mensaje sospechoso. Este hábito debe impulsarse desde la dirección para que todos adopten buenas prácticas.

Establecer políticas de seguridad orientadas a los empleados. Esto implica definir normas, protocolos de acción y controles de acceso por roles, garantizando que cada persona tenga solo los permisos necesarios y actúe de forma segura.