La situación del riesgo humano en 2026: ¿qué valor tienen sus datos?

El riesgo interno no es una amenaza vaga y lejana. Se trata de una fuerza muy real y cuantificable que está configurando el panorama de la seguridad de las organizaciones en la actualidad. Además, los datos de Mimecast revelan que no hace falta que haya mucha gente para que el riesgo interno tenga consecuencias catastróficas. De hecho, solo el 8% de los empleados es responsable del 80% de los incidentes de seguridad que se producen en una empresa. 

La elevada concentración de riesgo en un grupo tan reducido de personas pone de manifiesto un grave desequilibrio. Independientemente de que estos incidentes sean involuntarios o no, las organizaciones se enfrentan a costosas fugas y violaciones de datos. El informe «The State of Human Risk 2026», que acaba de publicar Mimecast, revela que, en los últimos dos años, la preocupación de los responsables de TI por los empleados malintencionados ha aumentado en casi un 10%. Pero, ¿qué entendemos por «malicioso»? 

Resulta útil plantearse esto en dos categorías distintas. En primer lugar, están los actores estatales, que son sofisticados, difíciles de detectar y de neutralizar antes de que se conviertan en una amenaza grave. El segundo factor son los empleados descontentos, algo más fácil de detectar y de gestionar, si se detecta a tiempo. El descontento en sí mismo se caracteriza por tres elementos fundamentales: la persona debe sentir ira, sentirse víctima y sentir que se le culpa, es decir, esencialmente la convicción de que «usted me ha hecho esto». Esa queja puede dirigirse a una organización o a una persona concreta. El punto de inflexión crítico es lo que denominamos una respuesta desadaptativa, una reacción desproporcionada ante una ofensa percibida, ya sea mediante una corrección excesiva o un retraimiento, por parte del individuo o de la organización que le rodea.

¿Qué motiva a los empleados a compartir información que no deberían compartir? Mimecast realizó una encuesta a 1.000 adultos estadounidenses en febrero de 2026 con el fin de profundizar en la respuesta a esa pregunta. Nuestros datos revelaron algunas diferencias generacionales interesantes, concretamente en cuanto a con quién estarían dispuestos a compartir información y qué datos consideran que les pertenecen realmente. 

El riesgo interno conlleva un elevado coste

Los resultados de nuestra encuesta a los consumidores revelan que el 15 % de los empleados ha compartido intencionadamente información confidencial fuera de su organización. A primera vista, puede que esa cifra no parezca muy elevada. 

Pero tenga en cuenta lo que está en juego desde el punto de vista financiero. El informe «El estado de Human Risk en 2026» reveló que un solo incidente provocado por una persona interna tiene un coste estimado de 13,1 millones de dólares. Incluso una sola persona, por no hablar del 15 % de los empleados, puede provocar un desastre que suponga pérdidas de varios millones de dólares. Eso no es un error de redondeo. Eso supone un riesgo existencial para muchas organizaciones.

¿Quién está solicitando a los empleados datos de la empresa? 

Aproximadamente uno de cada cinco encuestados (el 21 %) admitió que se le había acercado una persona o un grupo externo para pedirle que compartiera información no pública de la empresa. De este grupo de encuestados, a continuación se presenta un desglose de las personas de las que recibieron estas solicitudes:

• Competidor – 9 %
• Antiguo compañero de trabajo – 8 %
• Compañero de trabajo actual: 8 %
• Proveedor o socio externo: 8 %
• Responsable de selección de personal – 7 %
• Persona anónima – 6 %
• Alguien que afirma representar a un gobierno: 5 %
• Periodista – 4 %
• Representante de desarrollo empresarial – 3 % 

Lo que llama la atención en este caso es la diversidad de fuentes. Las amenazas no proceden únicamente de actores externos desconocidos, sino también de responsables de selección de personal, compañeros de trabajo y socios que ya forman parte de la red de confianza de una organización. A medida que los datos siguen creciendo y evolucionando, las organizaciones deben ir más allá de las defensas perimetrales y apostar por una supervisión continua del comportamiento.  

El riesgo de que se produzcan casos de uso indebido de información privilegiada es mayor entre los grupos de edad más jóvenes 

Entre los encuestados de la generación millennial y la generación Z se observa un mayor número de personas a las que se les pidió que compartieran datos de la empresa y que accedieron voluntariamente a facilitar la información solicitada.

No se trata simplemente de una tendencia de comportamiento, sino que refleja una realidad económica cada vez más presente. Los empleados de la Generación Z, en concreto, se han convertido en objetivos ideales en la creciente economía del «insider-as-a-service», en la que los malintencionados, en esencia, «contratan» a un empleado que, a su vez, puede sacar provecho económico de su acceso a la información o llevar a cabo salidas de «tierra quemada». Piense en ello como si se tratara de la ciberdelincuencia en el marco de la economía de los trabajos esporádicos: menores barreras de entrada y mayores beneficios potenciales para los atacantes.

Ante la amenaza de un aumento de los despidos y la inestabilidad económica actual, es posible que los empleados más jóvenes se sientan a menudo más motivados para buscar una estrategia de supervivencia. Las organizaciones deben tener esto en cuenta a la hora de abordar sus marcos de seguridad.

Aprovechar al máximo los [datos]: la información de la empresa que los empleados consideran más valiosa para llevarse consigo

En nuestra encuesta a los consumidores, preguntamos a los encuestados: «Si dejara su trabajo (ya sea de forma voluntaria o no), ¿qué valor le darían a los siguientes tipos de datos?». 

Las categorías principales revelan una tendencia reveladora: a los empleados les atraen sobre todo aquellos datos que les proporcionan una ventaja competitiva personal o que podrían utilizarse como baza. El hecho de que la «información que podría perjudicar a la empresa» figure entre las cinco primeras posiciones debería servir de llamada de atención para las organizaciones con empleados desmotivados o en situación de riesgo. 

Comprender la psicología que subyace al riesgo interno

La pregunta más importante que deberían plantearse las organizaciones no es «"», sino «¿cómo protegemos nuestros datos?»" ¿Qué es lo que motiva a los empleados a compartir o a interesarse por ello en primer lugar?"" 

Cada generación, cada persona, puede tener una idea diferente de lo que es o no es apropiado. Tenga en cuenta que generaciones enteras han crecido en plataformas de redes sociales que premian activamente el hecho de compartir información personal con «me gusta», seguidores y reconocimiento. Al igual que los cinturones de seguridad se consideraban en su día innecesarios, e incluso molestos, antes de convertirse en algo natural, solo ahora estamos empezando a crear una cultura basada en hábitos digitales más seguros. Si la gente hubiera comprendido antes los riesgos que conlleva compartir su vida en Internet, ¿habrían tomado decisiones diferentes en cuanto a su huella digital? Esa cuestión trasciende el ámbito personal, ya que los hábitos que los empleados adquieren en su vida pública no se limitan a ese ámbito. 

Ese mismo instinto de compartir libremente en Internet puede trasladarse directamente al ámbito laboral, lo que difumina los límites en torno a lo que se considera seguro compartir. Y, en una cruel ironía, la propia imagen pública que una persona se ha ido forjando a lo largo de los años en Internet puede ser precisamente lo que la haya convertido en un objetivo desde el principio. 

¿Qué motiva a las personas a compartir información de la empresa?

En lo que respecta a los incentivos, existen ofertas y recompensas muy claras que motivan a los empleados a compartir o sacar datos fuera de su empresa.

• El 39 % afirma que lo que más les motiva es recibir un pago en efectivo
• El 28 % afirma que lo haría para echar una mano a un antiguo compañero de trabajo
• El 25 % compartiría información si ello pudiera dar lugar a una nueva oportunidad laboral o a una recomendación

Desde el punto de vista generacional, el contraste es marcado: 

A los empleados más jóvenes les motiva principalmente el beneficio económico, mientras que los de la generación del «baby boom» suelen actuar más por lealtad hacia sus antiguos compañeros de trabajo.  Pero hay algo que los profesionales de los servicios de inteligencia saben desde hace tiempo: en realidad, nunca se trata del dinero. Se trata de lo que representa el dinero. Para algunos, eso significa libertad; para otros, seguridad, estabilidad o reconocimiento. Comprender lo que una persona realmente anhela es mucho más revelador que la motivación superficial.

Por eso, un único mensaje de sensibilización sobre la seguridad nunca tendrá el mismo impacto en todos los grupos de edad. Las organizaciones necesitan estrategias a medida que respondan a las necesidades humanas más profundas, y no solo a los estereotipos generacionales. Todo ello comienza por la cultura: atraer a personas que compartan sus valores, comunicar dichos valores de forma coherente y dejar claras las consecuencias de actuar en contra de ellos. La mayoría de las personas son, en general, buenas, pero el estrés y la incertidumbre modifican su comportamiento de formas predecibles. El problema es que a la mayoría de las personas nunca se les enseña cómo afrontar la incertidumbre. Como cualquier habilidad, se puede aprender, pero esa memoria muscular no se desarrolla de la noche a la mañana. 

Las situaciones que llevan a los empleados a compartir o a obtener información 

La autoprotección y la supervivencia parecen ser los factores clave que motivan a los empleados a compartir o a apropiarse de información de la empresa. Pero llamémoslo por su nombre: se trata de un comportamiento de supervivencia. Cuando las personas sienten que su sustento, su reputación o su futuro se ven amenazados, actúan menos como miembros leales de un equipo y más como civiles atrapados en una zona de conflicto, donde la confianza se va erosionando y, en última instancia, cada uno vela por sus propios intereses. Los datos reflejan precisamente eso:

• El 54 % tiene una probabilidad «alguna» o «muy alta» de compartir o sustraer información de la empresa para protegerse a sí mismos y sus carreras profesionales
• El 45 % afirma que, si no les gustara el equipo directivo o la orientación de la empresa, probablemente harían lo siguiente
• El 41 % probablemente obtendría o compartiría información si pensara que se avecina un despido, que su puesto de trabajo está en peligro o que se encuentra en una situación de dificultades económicas
• El 40 % tiene cierta o mucha probabilidad de hacerlo si no les gustara su jefe
• El 38 % afirma que, si su empresa fuera adquirida o si ya tuvieran previsto marcharse, probablemente compartirían o se llevarían información.

El hilo conductor de todas estas situaciones es la emoción: el miedo, la frustración y la ansiedad económica. Las empresas que no tienen en cuenta los aspectos psicológicos y emocionales que subyacen a este comportamiento de los empleados están pasando por alto un elemento fundamental que debería servir de base para sus estrategias de seguridad. 

El riesgo interno exige un nuevo plan de seguridad 

Los datos dejan una cosa muy clara: la exposición al riesgo interno no se distribuye de manera uniforme, y tampoco lo hacen las motivaciones que hay detrás de ella. Un enfoque de seguridad «único para todos» no dará en el blanco, y el objetivo al que hay que aspirar no es la eliminación. Al igual que el riesgo operativo, financiero o de reputación, el riesgo relacionado con el personal interno no puede eliminarse por completo. No obstante, es posible gestionarlo, y hacerlo bien, como parte de una estrategia empresarial sólida.

Las organizaciones deben adoptar estrategias adaptativas y centradas en las personas, que combinen el análisis del comportamiento, la formación específica y la supervisión en tiempo real para detectar los riesgos de forma precoz. Esto significa comprender quiénes son las personas más vulnerables dentro de su organización, qué les motivaría a actuar y cuándo es mayor el riesgo. Los despidos, las adquisiciones y los cambios en la dirección son puntos de inflexión que conviene seguir de cerca. 

El riesgo no desaparece cuando un empleado cierra la sesión o sale de la oficina. Cada cuenta de servicio que se deja en funcionamiento, cada clave API que nunca se renueva y cada agente de IA implementado con permisos excesivos constituyen una manifestación de riesgo humano que perdura más allá de la vida de la persona que lo creó. Las organizaciones que se toman en serio el riesgo interno deben tener en cuenta no solo lo que hacen sus empleados, sino también lo que estos dejan atrás.

Abordar el riesgo interno no es solo una estrategia empresarial inteligente, sino que es lo correcto para las personas que depositan su confianza en su organización cada día. Las organizaciones que lo aborden de esa manera, invirtiendo en cultura, comunicación y seguimiento continuo en igual medida, estarán en una posición mucho más favorable para reducir el impacto antes de que se produzcan daños.

¿Está listo para continuar la conversación? Descargue el informe «The State of Human Risk 2026» para acceder al conjunto completo de datos y a recomendaciones prácticas para su estrategia de seguridad.