Un estudio global revela una desconexión entre la concienciación en materia de seguridad y los controles técnicos, a medida que se aceleran los ataques basados en la inteligencia artificial y las herramientas de colaboración amplían la superficie de ataque
LEXINGTON, Massachusetts – Mimecast, líder mundial en la gestión del riesgo humano, ha publicado hoy su noveno informe anual «State of Human Risk Report», en el que se revela que el 42 % de las organizaciones ha registrado un aumento de los incidentes maliciosos cometidos por empleados durante el último año, cifra que coincide por primera vez con el 42 % que ha notificado un incremento de los incidentes por negligencia. Esta paridad marca un cambio fundamental en la seguridad empresarial, en la que la traición intencionada por parte de los empleados rivaliza con los errores accidentales como principal motivo de preocupación en materia de seguridad.
El porcentaje de organizaciones que han notificado un aumento de los incidentes maliciosos cometidos por empleados internos se ha disparado casi 10 puntos porcentuales en dos años, pasando del 33 % en 2024 al 42 % en 2026. El estudio, realizado entre 2.500 responsables de seguridad informática y de la toma de decisiones en materia de TI de nueve países, también cuantifica el impacto financiero: las organizaciones sufren una media de seis incidentes provocados por empleados al mes, con un coste estimado de 13,1 millones de dólares por incidente, mientras que el 66 % prevé que la pérdida de datos relacionada con empleados aumente en los próximos 12 meses.
El estudio analizó docenas de aspectos relacionados con la gestión del riesgo humano y algunas de las otras conclusiones clave incluyen:
«El riesgo interno se ha convertido en una de las amenazas más graves y subestimadas a las que se enfrentan las organizaciones hoy en día, no solo por la pérdida de datos que provoca, sino porque los atacantes aprovechan cada vez más a los empleados como punto de entrada deliberado para eludir por completo las defensas perimetrales», afirmó Leslie Nielsen, CISO de Mimecast. «Los datos muestran que tanto los errores por descuido como las acciones deliberadas provocan incidentes en igual medida. En lugar de intentar gestionar el comportamiento humano, las organizaciones necesitan controles adaptativos que identifiquen las acciones de alto riesgo y ajusten las protecciones en tiempo real, creando una barrera cuando alguien acceda a datos a los que no debería, independientemente de si dispone de credenciales válidas. Dado que la IA facilita a los empleados la sustracción de datos a gran escala, la seguridad debe actuar sobre los usuarios en el punto de riesgo».
IA: el acelerador en una superficie de ataque en expansión
La superficie de ataque se está expandiendo rápidamente a medida que los empleados trabajan con el correo electrónico, las plataformas de IA generativa y las herramientas de colaboración; sin embargo, las estrategias de seguridad no han logrado seguir el ritmo. Los controles de seguridad nativos se están quedando cortos: el 38 % de las organizaciones confía exclusivamente en ellos para las herramientas de colaboración, aunque el 64 % admite que son insuficientes frente a las amenazas modernas.
Al mismo tiempo, la IA se está convirtiendo en un multiplicador de fuerza tanto para los atacantes externos como para los empleados malintencionados. El 69 % de los responsables de seguridad afirma que los ataques basados en IA son inevitables en los próximos 12 meses, pero el 60 % no está totalmente preparado. Los atacantes utilizan la IA para reclutar a empleados, diseñar ataques de ingeniería social convincentes y automatizar el reconocimiento.
Gobernanza, visibilidad y la bomba de relojería del cumplimiento normativo
El 91 % de las organizaciones se enfrenta a dificultades para mantener la gobernanza y el cumplimiento normativo en relación con los datos de comunicaciones, lo que limita su capacidad para detectar, investigar y responder a los incidentes de forma eficaz. El 59 % no confía en su capacidad para localizar rápidamente los datos necesarios para cumplir los requisitos normativos o legales, lo que supone una bomba de relojería normativa a medida que se intensifican los requisitos de cumplimiento.
Defensas fragmentadas, amenazas coordinadas
Una peligrosa ironía socava los esfuerzos de defensa: al 65 % de las organizaciones les resulta demasiado complicada la integración de herramientas de seguridad, mientras que los atacantes no se enfrentan a tales limitaciones. Las cadenas de ataque modernas combinan a la perfección el phishing protegido por CAPTCHA, el JavaScript incrustado y las herramientas legítimas de gestión remota, aprovechando las brechas entre controles de seguridad desconectados entre sí.
Solo el 28 % de las organizaciones combina la formación periódica en concienciación sobre seguridad con la supervisión continua. Esto significa que, cuando se identifica a un usuario de alto riesgo mediante el análisis de comportamiento, esa información no desencadena automáticamente respuestas coordinadas entre los controles de acceso, la prevención de pérdida de datos y los sistemas de supervisión.
Sin embargo, aquellas que logran integrar estas medidas con éxito están obteniendo beneficios espectaculares: el 40 % consigue una resolución más rápida de las amenazas, una visibilidad completa y una mejor preparación para el cumplimiento normativo. El reto no es si la integración aporta valor, sino que la mayoría de las organizaciones siguen viéndose limitadas por la proliferación de herramientas, lo que les impide correlacionar las amenazas entre el correo electrónico, las plataformas de colaboración y los repositorios de datos.
El camino a seguir: coordinación frente al riesgo humano
Las organizaciones ya no pueden tratar sus canales de comunicación, plataformas de colaboración y comportamientos de los empleados como problemas de seguridad aislados, ni confiar en controles nativos que nunca se diseñaron para detener ataques dirigidos a personas a gran escala. Abordar el riesgo humano significa llegar a las personas allí donde se encuentran —en sus bandejas de entrada, sus flujos de trabajo y sus decisiones diarias— con una estrategia holística que abarque todo el panorama de amenazas.
La solución requiere una acción coordinada en cuatro dimensiones:
Las organizaciones que aborden estos requisitos detectarán y prevendrán las amenazas internas antes de que se produzcan costosas violaciones de seguridad. Aquellas que mantengan enfoques fragmentados verán cómo aumentan los gastos en seguridad, al tiempo que disminuye la eficacia de la protección.
Descarga el informe «Estado del riesgo humano en 2026».
METODOLOGÍA DE LA INVESTIGACIÓN
Mimecast encargó a Vanson Bourne la realización de una encuesta a 2.500 responsables de seguridad informática y de la toma de decisiones en materia de TI en nueve países, entre noviembre y diciembre de 2025. Todas las organizaciones encuestadas contaban con más de 250 empleados y más de 250 usuarios de correo electrónico. El tamaño de las organizaciones oscilaba entre los 250 y los más de 10.000 empleados.
Cobertura geográfica: Estados Unidos (500), Reino Unido (300), Alemania (300), Francia (300), España (200), Italia (200), Sudáfrica (200), Singapur (250), Australia (250)
Sectores incluidos: una amplia gama de sectores públicos y privados, entre los que se incluyen los servicios financieros, la sanidad (pública y privada), las tecnologías de la información, la tecnología y las telecomunicaciones, la industria manufacturera, el comercio minorista, el sector público, la energía y los servicios públicos, los servicios empresariales, la construcción, los servicios al consumidor y los medios de comunicación y el entretenimiento
Acerca de Mimecast
Mimecast es una empresa líder mundial en ciberseguridad y Data Governance que está redefiniendo la forma en que las organizaciones gestionan el riesgo humano. Su plataforma de gestión del riesgo humano, conectada, basada en inteligencia artificial y habilitada mediante API, está diseñada específicamente para proteger a las organizaciones frente a todo el espectro de ciberamenazas. Al integrar tecnología de vanguardia con enfoques centrados en las personas, nuestra plataforma ofrece una mayor visibilidad y una perspectiva estratégica.
Al permitir una actuación decisiva y capacitar a las empresas para proteger sus entornos colaborativos, nuestra tecnología salvaguarda los datos críticos e involucra activamente a los empleados en la reducción de riesgos y la mejora de la productividad. Más de 42 000 empresas de todo el mundo confían en Mimecast para mantenerse un paso por delante del panorama de amenazas en constante evolución.
Desde los riesgos internos hasta las amenazas externas, los clientes obtienen más con Mimecast. Más visibilidad. Más agilidad. Más control. Más seguridad.
Mimecast y el logotipo de Mimecast son marcas registradas o marcas comerciales de Mimecast Services Limited en Estados Unidos y/o en otros países. Todas las demás marcas comerciales y logotipos de terceros que aparecen en este comunicado de prensa son propiedad de sus respectivos titulares.
Agradecemos la oportunidad de colaborar con la prensa y hablar sobre nuestro trabajo y nuestro sector.
Timothy Hamilton
, director global
de Gestión
de Relaciones Públicas +1 (603) 918 6757
thamilton@mimecast.com
África, Oriente Medio, India y Asia-Pacífico
Highwire
press@mimecast.com
Descubre cómo Mimecast protege a tu personal, tu inteligencia artificial y tus datos en una única plataforma.
Recibe noticias sobre Mimecast, ofertas de empleo, asistencia técnica y mucho más.
