La situación del riesgo humano en 2026: cuando los empleados de confianza se convierten en una amenaza

Son las 17:47 de un viernes. Un analista financiero —de confianza, con una larga trayectoria y acceso privilegiado a sus sistemas más sensibles— descarga 10 gigabytes de datos confidenciales sobre fusiones y adquisiciones a una unidad de almacenamiento en la nube personal. Para el lunes por la mañana, ya habrá presentado su dimisión. Para el miércoles, esos datos ya están en manos de un competidor. No se ha producido ninguna brecha en el cortafuegos. No se aprovechó ninguna vulnerabilidad. La amenaza entraba por la puerta principal cada mañana desde hacía seis años.

Esto no es una hipótesis. Es la nueva normalidad.

Los empleados malintencionados han alcanzado la paridad

Por primera vez en la historia de la ciberseguridad, las amenazas internas intencionadas han alcanzado el mismo nivel que las accidentales. Según los datos que Mimecast ha revelado al realizar nuestra investigación para el informe «The State of Human Risk 2026», los incidentes maliciosos cometidos por personal interno representan actualmente el 42% de todos los incidentes de este tipo, lo que equivale a los causados por negligencia. Eso no es un error de redondeo. Se trata de un cambio fundamental en el panorama de las amenazas.

El porcentaje de organizaciones que han informado de un aumento de las actividades maliciosas por parte de personal interno ha pasado del 35 % en 2024 al 44 % en 2026, lo que supone un incremento del 26 % en tan solo dos años. No se trata de un repunte temporal. Se trata de un cambio estructural en la forma en que los empleados interactúan con los datos que se les ha encomendado proteger.

Y el coste es astronómico. Las organizaciones informan actualmente de una media de seis incidentes relacionados con personal interno al mes, con un coste mensual acumulado de 13,1 millones de dólares.

La economía de la traición

¿A qué se debe este aumento? Las presiones económicas —despidos, estancamiento salarial, dificultades derivadas del coste de la vida— han hecho que los empleados sean más propensos a aceptar ofertas de empleo externas. Sin embargo, el cambio más trascendental es de carácter estructural: los ciberdelincuentes han industrializado el reclutamiento de personas con acceso interno.

Bienvenidos a la era del «informador como servicio».

En los mercados de la dark web, los autores de amenazas reclutan activamente a empleados de las organizaciones objetivo, ofreciéndoles pagos en efectivo a cambio de credenciales, acceso a datos o la instalación de malware. En lugar de dedicar semanas a buscar vulnerabilidades en una red, los atacantes simplemente contratan a una persona que ya dispone de las claves.

Los anuncios se dirigen a empleados de empresas concretas y ofrecen miles de dólares a cambio de acciones que solo llevan unos minutos: exportar una base de datos de clientes, compartir credenciales de VPN o desactivar un control de seguridad. Este modelo invierte la cadena de ataque tradicional. En lugar de traspasar el perímetro y desplazarse lateralmente, los atacantes parten de una persona de confianza dentro de la organización que ya sabe dónde se guardan los activos más valiosos. Es más rápido, más barato y mucho más difícil de detectar.

La brecha en la detección

A pesar de que el 66 % de las organizaciones prevé un aumento de las amenazas internas, solo el 59 % ha implantado el análisis de comportamiento, la tecnología más adecuada para identificar actividades maliciosas por parte de personal interno antes de que los datos salgan de la empresa.

La seguridad perimetral tradicional se diseñó para impedir el acceso a los atacantes externos. Nunca se diseñó para vigilar a las personas que ya se encuentran en el interior. Las políticas estáticas de prevención de la pérdida de datos pueden detectar errores por descuido, pero resultan en gran medida ineficaces frente a un empleado que conoce las normas y sabe cómo eludirlas.

Los empleados malintencionados se adaptan fácilmente. Ponen a prueba los límites. Utilizan herramientas homologadas de forma no autorizada. Transfieren los datos en pequeños incrementos para evitar que se alcancen los umbrales. Para detectar esto, es necesario comprender los patrones de comportamiento a lo largo del tiempo, y no limitarse a aplicar normas en un único punto de contacto.

De la detección a la prevención

Los programas de gestión de riesgos internos más eficaces están pasando de la investigación reactiva a la detección proactiva, utilizando señales de comportamiento para identificar el riesgo antes de que se materialice.

En la práctica, esto se traduce en una puntuación de riesgo basada en el contexto que tiene en cuenta docenas de variables simultáneamente: a qué archivo se ha accedido, cuándo, desde dónde, quién lo ha hecho y adónde se ha enviado. El hecho de que un empleado descargue un archivo confidencial a las 2 de la madrugada desde un dispositivo desconocido genera una señal de riesgo muy diferente a la que se produciría si ese mismo empleado accediera a dicho archivo en horario laboral desde un ordenador portátil de la empresa.

Este análisis contextual permite a los equipos de seguridad responder de forma proporcionada, desde un suave aviso educativo hasta la contención en tiempo real o la escalación inmediata.

Creación de un programa sólido de gestión de riesgos internos

La tecnología por sí sola no basta. Los programas más sólidos integran los ámbitos de Recursos Humanos, el departamento jurídico, las tecnologías de la información y la seguridad, ya que el riesgo interno no se limita a un único departamento.

La protección de la privacidad debe integrarse en el diseño desde el principio. Una supervisión eficaz se basa en metadatos sencillos —patrones de movimiento de archivos, anomalías en el inicio de sesión, frecuencia de acceso— y no en una vigilancia invasiva de cada pulsación de tecla. Las organizaciones que logran este equilibrio crean programas en los que los empleados pueden confiar, al tiempo que dichos programas protegen a la organización de aquellos empleados en los que no se puede confiar.

El plazo está a punto de vencer

Dos tercios de las organizaciones prevén que las amenazas internas sigan aumentando. La economía del «informador como servicio» no hace más que volverse cada vez más sofisticada.

Las organizaciones que lograrán capear este cambio serán aquellas que actúen ahora: implementando análisis de comportamiento que detecten patrones sutiles de intención, unificando las señales procedentes del correo electrónico, los dispositivos finales, la gestión de identidades y las plataformas de colaboración, y creando marcos de respuesta lo suficientemente rápidos como para actuar antes de que los datos se pierdan.

La amenaza interna no es un problema del futuro. Se trata de una crisis actual en la que la brecha entre quienes están preparados y quienes no lo están es cada vez mayor.

Descubra cómo Mimecast Incydr detecta, prioriza y responde automáticamente ante los riesgos internos, sin necesidad de configurar políticas ni afectar al rendimiento de los terminales. Solicite su prueba de valor de Incydr de 30 días.