Las claves para comprar seguro en Navidad | entrevista a Javier Castro en La Razón

• Para alguien que no tiene conocimientos técnicos de ciberseguridad, ¿qué señales claras debe buscar en una web, correo o SMS para saber si puede ser una estafa? ¿Qué es lo que más engaña hoy en día?

Detectar fraude implica reconocer desviaciones frente a patrones de comunicación habituales y legítimos. Para un usuario no técnico, las claves son:

• Miedo o urgencia:La técnica principal utilizada por estafadores es la manipulación emocional. Los atacantes crean un falso sentido de urgencia o miedo (ej. «cuentas bancarias bloqueadas», «actividad sospechosa en tu cuenta») para inhibir el juicio crítico de la víctima y forzar una acción inmediata, sin detenerse a pensar.
• Incoherencias en el remitente y los dominios:Es importante verificar la dirección real de correo del remitente (no el nombre que lleva asociado) y la URL real del hipervínculo. Pasando el ratón sobre los enlaces se puede previsualizar la URL de destino. Un dominio que no coincide con la entidad legítima, o que utiliza subdominios engañosos (ej. “bbva-online.es” en lugar de “online.bbva.es”) es una bandera roja inequívoca.
• Calidad del contenido:Aunque los ataques son cada vez más sofisticados, muchos todavía presentan errores gramaticales, sintácticos o de formato. El uso de plantillas genéricas, logotipos pixelados o un diseño poco profesional son indicadores de fraude.
• Solicitudes inusuales:Ninguna entidad legítima solicitará credenciales completas, contraseñas o un PIN por correo, SMS o teléfono. Cualquier comunicación que pida este tipo de información debe ser tratada como un ataque de phishing.

Actualmente, la técnica más efectiva y con mayor crecimiento es el smishing, o phishing a través de SMS, a través del cual piden a las víctimas contactar con un número de teléfono de asistencia técnica para resolver un problema o incidente. Su alta tasa de éxito se debe a varios factores: la percepción del SMS como un canal más personal y fiable, utilizado habitualmente para notificaciones bancarias, logísticas, o como doble factor, y el hecho de que en estos casos, es la víctima quien inicia la comunicación por teléfono debido a la necesidad de resolver un supuesto problema.

• Muchas personas creen que “a mí no me va a pasar”. ¿Qué errores de comportamiento son los que más hacen caer a la gente en estafas digitales sin darse cuenta?

Este sesgo cognitivo de «invulnerabilidad percibida», es una de las razones del éxito de muchos ataques de ingeniería social. Los errores de comportamiento más explotados por los ciberdelincuentes son:

• Exceso de confianza y «fatiga” de notificaciones:En un entorno digital saturado de notificaciones, el usuario tiende a automatizar acciones como aceptar cookies, permisos de aplicaciones o hacer clic en enlaces. Los atacantes explotan esta «fatiga» insertando sus cargas maliciosas (payloads) en procesos que el usuario ya considera rutinarios e inofensivos, como una notificación de entrega de paquetería.
• Reutilización de credenciales:A pesar de las advertencias, la práctica de usar la misma contraseña en múltiples servicios sigue siendo generalizada. Esto convierte una brecha de seguridad en un servicio de bajo riesgo (ej. un foro online) en una amenaza crítica, ya que los atacantes utilizan esas credenciales filtradas para realizar ataques de contraseñas (credential stuffing) e intentar acceder a plataformas de alto valor como la banca online o el correo electrónico personal o corporativo.
• Sobreexposición digital en Redes Sociales:La sobreexposición de información personal (fechas de nacimiento, nombres de familiares o mascotas, lugares de trabajo, aficiones, modelo de coche…) en perfiles públicos proporciona a los atacantes un arsenal de datos para ataques de phishing altamente personalizados. Esta información permite construir escenarios de mayor credibilidad, haciendo casi imposible su detección para la víctima.
• Ignorar actualizaciones de software:No hacer caso de las actualizaciones de sistemas operativos, navegadores y aplicaciones deja los dispositivos vulnerables a exploits que atacan vulnerabilidades ya conocidas y parcheadas por los fabricantes, pero sin aplicar por parte de los usuarios. Los atacantes escanean activamente sistemas desactualizados para ejecutar código malicioso de forma remota y sin interacción del usuario.

Estos comportamientos crean una superficie de ataque que los adversarios explotan sistemáticamente, convirtiendo la percepción de seguridad del usuario en su mayor vulnerabilidad.

• ¿Comprar desde el móvil es menos seguro que hacerlo desde ordenador, o se trata de un mito que perdura?

La seguridad de una transacción no depende tanto del dispositivo como del ecosistema de seguridad que lo rodea y del comportamiento del usuario. Sin embargo, existen diferencias técnicas entre ambos entornos:

• Ventajas de seguridad en el móvil:
  • Arquitectura de sandboxing:Los sistemas operativos móviles modernos (iOS y Android) aíslan las aplicaciones en entornos sandbox, lo que limita significativamente la capacidad de una app maliciosa para acceder a los datos de otra app o del teléfono. Por ejemplo, la app de un marketplace no puede, por defecto, leer los datos de la app bancaria.
  • Revisión de los marketplaces:Aunque no infalibles, los procesos de revisión de la App Store y Google Play actúan como una primera línea de defensa contra el malware, algo que no existe de forma tan centralizada en el software para ordenadores.
  • Autenticación biométrica:La integración nativa de factores biométricos (huella dactilar, reconocimiento facial) facilita y fomenta el uso de la autenticación multifactor (MFA) en dispositivos móviles, robusteciendo y facilitando la seguridad en los pagos.
• Desventajas y riesgos en el móvil:
  • Interfaces de usuario reducidas:En una pantalla pequeña es más difícil para el usuario realizar verificaciones de seguridad, como inspeccionar la URL completa de un enlace o analizar en detalle un certificado SSL. Los atacantes explotan esto para hacer que los sitios de phishing parezcan legítimos.
  • Conectividad a redes inseguras:Los móviles se conectan frecuentemente a redes WiFi públicas, que son un vector de ataque clásico para ataques “Man in the Middle” (MitM), donde un atacante puede interceptar o manipular el tráfico si no está correctamente cifrado.
  • Vectores de ataque específicos:El smishing (phishing por SMS) y el vishing (phishing por voz) son mucho más efectivos en dispositivos móviles, ya que se integran con las funciones nativas de llamada y mensajería del terminal.

Conclusión: Un móvil actualizado, utilizando aplicaciones oficiales y conectado a una red segura, puede ofrecer un entorno transaccional más robusto que un ordenador desactualizado y/o sin software de seguridad. Sin embargo, el factor humano y la mayor exposición a ciertos vectores de ataque específicos del móvil nivelan la balanza. No es que uno sea inherentemente menos seguro, sino que los perfiles de riesgo y los vectores de ataque son diferentes.

• Si alguien cae en una estafa, ¿qué pasos concretos debe tomar en los primeros minutos y horas para minimizar daños? ¿Incluso, existe margen real para recuperar dinero o información?

Actuar con rapidez es fundamental para mitigar los daños y aumentar las posibilidades de recuperar el dinero. Los pasos a seguir son los siguientes:

• Notificar el robo o perdida de la tarjeta bancaria y contactar inmediatamente con su entidad bancaria: Este es el primer paso y el más urgente. Se debe solicitar la cancelación de la tarjeta de crédito utilizada para evitar cargos adicionales. Si el pago se hizo con tarjeta de crédito, el banco tiene la obligación de iniciar un proceso de disputa (chargeback) para intentar recuperar los fondos.
• Recopilar todas las evidencias: Guardar todos los registros relacionados con la estafa: correos electrónicos, capturas de pantalla del sitio web o anuncio, conversaciones de chat, y cualquier justificante de pago.
• Denunciar ante las autoridades competentes: Es fundamental denunciar el fraude para que quede constancia y se inicie una investigación.
• Cambiar contraseñas de acceso: Si se han introducido credenciales en un sitio falso, cambiar inmediatamente la contraseña de ese servicio y de cualquier otra web donde se utilizara la misma.

La recuperación del dinero depende en gran medida del método de pago utilizado. Las tarjetas de crédito o aplicaciones de pago como Paypal, ofrecen la mayor protección. Si se utilizaron otros métodos como transferencias o criptomonedas, la recuperación es extremadamente difícil, por no decir imposible. Sin duda, la prevención sigue siendo la mejor estrategia.

• Se habla cada vez más de ataques impulsados por inteligencia artificial. ¿Cómo está utilizando la IA un ciberdelincuente para hacer sus fraudes más creíbles o difíciles de  detectar?, ¿qué significa que puede automatizarlos?

La aparición de la IA y los modelos de IA generativa han reducido la barrera de entrada al mundo del cibrecrimen. Hoy en día no es necesario ser un experto en desarrollo, sistemas, redes o comunicaciones para poder lanzar un ciberataque a gran escala haciendo uso de sistemas de IA maliciosos, diseñados para generar y distribuir malware. El uso de la IA se centra en tres áreas principales:

• Perfeccionamiento de la Ingeniería Social:
  • Phishing dirigido a gran escala:Los modelos de lenguaje (LLMs) permiten generar correos de spear phishing masivos y altamente personalizados. La IA puede analizar la información pública de un objetivo (perfiles de LinkedIn, publicaciones, etc.) e incluso la información filtrada en brechas recientes, para redactar señuelos con un contexto, tono y contenido difíciles de distinguir de una comunicación legítima.
  • Deepfake de audio y vídeo:Las técnicas de clonación de voz (voice cloning) y deepfakes se utilizan para ataques de fraude del CEO (CEO fraud) o vishing (phishing por llamada telefónica). Un atacante puede simular la voz de un directivo en una llamada con el fin de autorizar una transferencia fraudulenta, o de un familiar cercano, superando las verificaciones humanas basadas en el reconocimiento de voz.
• Evasión de defensas tradicionales:
  • Malware polimórfico:La IA puede generar malware que modifica su propio código en cada nueva infección. Esto dificulta enormemente la detección basada en firmas de los antivirus tradicionales (EPP, Endpoint Protection Platforms). Además, el malware puede aprender y adaptarse para evadir entornos de “sandbox” y herramientas de análisis.
  • Optimización de ataques:Los atacantes utilizan algoritmos de “reinforcement learning” para descubrir nuevas vulnerabilidades (zero-days) o para optimizar ataques de fuerza bruta, aprendiendo de los intentos fallidos para adivinar contraseñas de forma más eficiente.
• Automatización de la cadena de ataque:
  • «Automatizarlos» significa que diversos agentes de IA pueden gestionar de forma autónoma diferentes fases del ciberataque y relacionarse entre sí para completar un ataque, desde el reconocimiento inicial hasta el compromiso y la exfiltración de datos. De hecho, ya se ha publicado la primera campaña de ataque orquestada completamente por agentes de IA. Un sistema de IA puede:
    • Escanearla red en busca de objetivos vulnerables.
    • Seleccionarel exploit más adecuado para la vulnerabilidad encontrada o incluso generarlo ad-hoc.
    • Interactuarcon el sistema comprometido para evadir las medidas de protección y escalar privilegios.
    • Localizar y exfiltrarlos datos de valor. Todo ello con una velocidad y escala inalcanzables para un operador humano.

Esta automatización reduce drásticamente el coste y la habilidad técnica requerida para lanzar campañas sofisticadas, democratizando el acceso a ciberataques masivos y de alto impacto.

• ¿Cómo pueden los padres proteger a menores que cada vez realizan más compras digitales o juegan en plataformas online con pagos integrados?

La protección de menores en entornos online requiere un enfoque por parte de los padres que combine restricciones técnicas en los dispositivos, supervisión y educación.

• Configuración segura del entorno “digital” familiar:
  • Cuentas de usuario sin privilegios:Crear cuentas de usuario estándar (no administradoras) para los menores en todos los dispositivos (PC, consolas, tabletas). Esto impide la instalación de software no autorizado o la realización de compras, ya que siempre requerirán la verificación de un perfil “parental”.
  • Controles parentales a nivel de red:Configurar el router doméstico para utilizar servicios gratuitos de DNS que filtren contenido malicioso y para adultos (ej. Quad9, OpenDNS FamilyShield). Esto protege a todos los dispositivos conectados a la red del hogar.
• Gestión de tarjetas, pagos y plataformas:
  • Uso de tarjetas de prepago o virtuales:Nunca asociar la tarjeta de crédito principal de los padres a las cuentas online o de videjuegos utilizadas por los menores. Igualmente, no guardar los datos de la tarjeta en dispositivos que estén a su alcance o en plataformas que permiten compras como Steam, PlayStation Network o la App Store. Activar siempre la opción que requiere introducir la contraseña o un PIN para autorizar cada compra, desactivando las compras «con un clic». Y si es posible, utilizar tarjetas de prepago con saldo limitado o tarjetas virtuales de un solo uso para cada transacción, de esta forma reducimos el impacto en caso de robo de los datos de la tarjeta.
• Supervisión y educación continua:
  • Activar autenticación multifactor (MFA) en la cuenta del menor:Enseñar a nuestros menores a proteger sus cuentas con MFA para evitar el robo de las mismas (account takeover), que a menudo conduce a compras fraudulentas de activos digitales asociados a los juegos (skins, etc.).
  • Enseñar a identificar las tácticas de manipulación e ingeniería social:En los juegos “freemium”, donde se puede acceder de forma gratuita a un contenido básico, pero para acceder a contenido extra es necesario pagar, y donde se venden lotes de productos o “loot boxes”, se utilizan técnicas de monetización y ofertas muy agresivas. Es crucial enseñar a los menores a reconocer estos patrones de diseño persuasivo y a entender el valor del dinero en el mundo digital.

Por último, los padres deben revisar periódicamente los extractos de las tarjetas y las transacciones dentro de las plataformas para detectar cualquier actividad anómala lo antes posible.

La estrategia no debe ser prohibir, sino acompañar y construir un entorno digital donde el menor pueda operar con un riesgo controlado.

• ¿Las plataformas de compra y los marketplaces hacen lo suficiente para proteger al usuario, o siguen  siendo terreno fácil para estafadores?

Las grandes plataformas o marketplaces (Amazon, eBay, etc.) realizan grandes inversiones en seguridad para prevenir los fraudes, pero se enfrentan a un dilema fundamental: la usabilidad frente a la seguridad. Un exceso de controles de seguridad puede perjudicar la experiencia de usuario o el registro de vendedores, y por tanto el negocio.

A menudo, se pueden ver como los estafadores consiguen saltarse los controles de seguridad y realizar transacciones fraudulentas:

• Abuso de la confianza en la plataforma:Los estafadores se aprovechan de la confianza que los usuarios depositan en la marca del marketplace. Crean perfiles de vendedor falsos, a menudo con reseñas fraudulentas generadas por bots, para dar una apariencia de legitimidad.
• Desvío de la comunicación fuera de la plataforma:La táctica más peligrosa es persuadir al comprador para que continúe la transacción fuera de los canales oficiales del marketplace (ej. «hablemos por WhatsApp», «te hago un descuento si me pagas por transferencia»). Al hacerlo, el comprador pierde todas las garantías y protecciones que ofrece la plataforma (seguros, protección del pago, reembolsos, mediación, etc.), quedando totalmente expuesto.

Conclusión: Si bien las plataformas implementan sistemas de detección de fraude basados en IA y políticas de protección al comprador, la escala de sus operaciones y la sofisticación de los atacantes hacen que sea una batalla constante.

• Al margen de cómo afectan las estafas de compras en Black Friday y Navidad, ¿también se ven afectadas las empresas? De ser así, ¿cuáles serían sus principales problemas?

Absolutamente. Para las empresas, especialmente los retailers y e-commerce, la temporada alta de compras es un periodo de máxima exposición al riesgo. Los problemas van mucho más allá de las pérdidas financieras directas:

• Ataques de denegación de servicio (DDoS):Los atacantes pueden lanzar ataques DDoS durante los picos de venta (como el Black Friday) para hacer caer la web de la empresa y producir un impacto operativo en la Compañía. El objetivo puede ser la extorsión (Ransom DDoS) o simplemente causar el máximo daño económico y reputacional, ya que cada minuto de inactividad se traduce en miles o millones de euros en ventas perdidas.
• Ransomware:Este es el riesgo más crítico. Un ataque de ransomware exitoso antes o durante la campaña navideña es un escenario de pesadilla. Cifraría los sistemas críticos (gestión de stock, logística, TPVs, la tienda online o e-commerce) paralizando por completo las operaciones en el momento más lucrativo del año. La presión para pagar el rescate sería inmensa.
• Ataques a la cadena de suministro (supply chain attacks):Las empresas dependen de múltiples proveedores de software y servicios (pasarelas de pago, plugins de e-commerce, empresas de logística). Un ataque a uno de estos proveedores puede comprometer a la empresa. Por ejemplo, un malware inyectado en un plugin de carrito de la compra, puede robar los datos de las tarjetas de crédito de todos los clientes de la tienda online sin que la empresa se dé cuenta durante semanas (este tipo de malware existe y se llama “Magecart”).
• Daño reputacional y pérdida de confianza:Una brecha de seguridad durante esta época, con la consiguiente filtración de datos de clientes, puede tener un impacto mediático devastador. La pérdida de confianza del consumidor puede tener consecuencias a largo plazo mucho más graves que las pérdidas económicas inmediatas.

En resumen, para las empresas, la temporada alta es un «estado de excepción» en ciberseguridad, donde la superficie de ataque se expande y el impacto de cualquier incidente se magnifica exponencialmente.

• Pensando en 2026, ¿qué tendencias veremos en ciberseguridad? ¿Vamos hacia ataques más automatizados, deepfakes más realistas o nuevas formas de suplantación?

De cara a 2026, prevemos una intensificación y convergencia de las tendencias actuales, impulsadas fundamentalmente por la madurez de la IA y la expansión de la superficie de ataque por su uso. Las claves serán:

1. Hiper-automatización del cibercrimen (Cybercrime-as-a-Service 2.0): Veremos plataformas de CaaS totalmente autónomas. Un actor con pocos conocimientos técnicos podrá «contratar» un ataque de ransomware de principio a fin, donde la IA se encargue de la selección de objetivos, la intrusión, el despliegue y la negociación del rescate. La barrera de entrada para ciberataques sofisticados prácticamente desaparecerá.
2. Deepfakes multimodales y en tiempo real: Los deepfakes dejarán de ser principalmente asíncronos (vídeos pregrabados), dejando paso a deepfakes de vídeo y voz generados en tiempo real, capaces de mantener una conversación coherente en una videollamada. Esto supondrá el fin de la verificación de identidad basada en videoconferencia y tendrá un impacto brutal en el fraude y la desinformación.
3. Ataques a la integridad de los datos de IA: En lugar de robar datos, los atacantes se centrarán en corromperlos sutilmente. Imaginemos un ataque de «envenenamiento de datos» (data poisoning) contra el sistema de IA de un coche autónomo para que no reconozca las señales de stop, o contra un sistema de diagnóstico médico para que genere falsos negativos. Son ataques sigilosos y con un potencial de daño físico y sistémico enorme.
4. Explotación masiva del IoT y entornos OT: Con la proliferación de dispositivos conectados en hogares, ciudades (Smart Cities) y entornos industriales (Tecnología Operacional, “OT”), veremos ataques a gran escala que busquen el caos físico. Por ejemplo, botnets de dispositivos IoT domésticos que no solo lancen ataques DDoS, sino que ataquen la red eléctrica, o ransomware que paralice infraestructuras críticas como plantas de tratamiento de agua o sistemas de gestión de tráfico.
5. Ataques a la cadena de suministro con gran impacto en las compañías: La creciente dependencia de terceros o proveedores tecnológicos, como los principales hyperscalers o algunos fabricantes de ciberseguridad, es cada vez más relevante ya que una caída de estos proveedores puede suponer un gran impacto operativo en miles de compañías de diversos sectores y geografías. No es un tema nuevo, pero las recientes caídas de AWS, F5, Cloudfare, o el apagón eléctrico, han elevado el debate a la opinión pública.
6. Aumento de la superficie de riesgo por “abuso” o uso no controlado de la IA. Por ejemplo, el incremento de vulnerabilidades en el software por el “vibe coding” (uso de IA para desarrollar). O el uso de la IA en las empresas de forma inconsciente (integrada en productos de terceros) o incontrolada por empleados.
7. Nuevos progresos en computación cuántica: A medida que nos acerquemos a la computación cuántica viable (“Y2Q”), los algoritmos de cifrado actuales quedarán obsoletos, lo que obligará a una migración masiva a la criptografía post-cuántica. Además, algunos grupos atacantes relacionados con naciones-estado, están llevando a cabo ataques de espionaje industrial o estatal denominados “harvest now, decrypt later”, donde recopilan mensajes protegidos con algoritmos de cifrado que hoy se consideran “irrompibles”, pero que con los avances en computación cuántica podrán ser descifrados en el futuro, desvelando estrategias industriales, de defensa o políticas y proporcionando ventaja competitiva para quien lo posea.

La ciberseguridad en 2026 continuará siendo una carrera armamentística aún más acelerada, donde la defensa deberá ser más proactiva, más predictiva y más automatizada para tener alguna posibilidad de hacer frente a las amenazas que cada vez serán más masivas, autónomas y peligrosas.

Esta noticia se ha publicado en:

• larazon.es