Solo el 31 % de los trabajadores españoles encuestados por WatchGuard Technologies confirma siempre, a través de un canal independiente, las solicitudes sensibles que recibe, como un cambio de cuenta bancaria, una transferencia o una petición de datos confidenciales. El dato procede del Índice de confianza cibernética que la compañía ha elaborado con más de 500 empleados de ocho países, y coloca a España en la parte baja de la tabla, solo por delante de Alemania (22 %) y Portugal (28 %).

Las claves del Índice de confianza cibernética de WatchGuard en 30 segundos

• WatchGuard ha encuestado a más de 500 empleados a tiempo completo en ocho países, 62 de ellos en España.
• En España, el 69 % no verifica siempre las peticiones sensibles y el 76 % ha pulsado un enlace o adjunto porque parecía de alguien conocido.
• El 48 % confiaría sin comprobarlo en un mensaje de texto urgente del CEO pidiendo un pago o datos.
• Solo el 23 % contrastaría por otra vía una videollamada sospechosa.

El estudio parte de una idea sencilla: la confianza en lo digital no es el problema, sino la costumbre de dar por buena una comunicación porque tiene buen aspecto. El 42 % de los encuestados en España dice confiar hoy más que hace cinco años en las comunicaciones y el contenido que recibe por canales digitales, frente a un 39 % que confía menos y un 19 % que no ha cambiado de opinión. A escala global la balanza se inclina algo más hacia la confianza: 46 % frente a 31 %.

Lo relevante es qué señales usan los empleados para decidir que algo es legítimo. En España, el 42 % se fía de una imagen corporativa correcta, el 32 % de que el mensaje mencione un detalle laboral o personal familiar y el 26 % de que el remitente sea conocido. Solo un 16 % sitúa la verificación independiente entre los motivos para confiar en una solicitud. Son justo las señales que un atacante puede copiar con un logotipo, un correo comprometido o información sacada de redes sociales.

El mensaje urgente del CEO sigue funcionando

La suplantación de directivos, el clásico fraude del CEO, aparece como uno de los puntos más débiles. El 48 % de los empleados españoles reconoce que probablemente confiaría en un mensaje de texto urgente del director ejecutivo o del propietario de la empresa que pidiera un pago o datos confidenciales, sin verificarlo. Si el mensaje es de voz, el porcentaje baja al 44 %. En el conjunto de la muestra las cifras son del 42 % y el 40 %, y Estados Unidos encabeza la lista con un 59 % para el mensaje de texto.

El propio informe matiza estas respuestas: miden confianza implícita, no la disposición a completar una operación que el empleado sabe fraudulenta. Aun así, WatchGuard concluye que la identidad de quien pide algo y la urgencia de la petición nunca deberían justificar saltarse los procedimientos de verificación, y que los trabajadores necesitan tanto un protocolo de confirmación como el respaldo explícito de la dirección para aplicarlo, incluso cuando la orden viene de arriba.

Las videollamadas, cada vez más usadas en fraudes con deepfakes, tampoco salen bien paradas. Ante una petición inusual o confidencial por vídeo, el 63 % de los encuestados en España juzgaría la identidad de su interlocutor por la cara, la voz o el nombre que aparece en pantalla, diez puntos más que la media global (53 %). Solo el 23 % priorizaría comprobarlo por otro canal o mediante un procedimiento interno, frente al 28 % global. En el conjunto del estudio, el 54 % afirma haberse encontrado con una estafa generada por IA, un deepfake, un intento de suplantación o una comunicación fraudulenta, aunque WatchGuard advierte de que la pregunta agrupaba todas esas situaciones y no permite saber cuántas implicaron realmente IA.

Corey Nachreiner, director de seguridad de la información (CISO) de WatchGuard, resume el enfoque de la compañía en una frase: «La verificación se está convirtiendo en una de las competencias de ciberseguridad más importantes para los empleados».

España, en la parte baja de la verificación

La comparación por países muestra que confiar menos no equivale a verificar más. Australia registra la tasa más alta de empleados que siempre verifican (69 %) pese a confiar bastante en el contenido digital (59 %). En el otro extremo, Alemania se queda en el 22 %. España, con un 31 %, comparte con Portugal la franja baja, y también es de los países donde menos empleados consideran que su organización está bien preparada frente a un ciberataque: un 40 %, frente al 73 % de Estados Unidos o el 67 % de Australia. A escala global, solo el 21 % cree que su empresa está completamente preparada para prevenir o resistir un ataque importante.

Cuando se pregunta por el principal obstáculo para mejorar, los españoles señalan sobre todo la formación insuficiente (32 %) y, a distancia, la falta de concienciación (15 %). En el conjunto de la muestra, el 38 % apunta a una de esas dos causas. El informe sitúa a España, Portugal y Francia entre los países donde preocupa especialmente la capacitación, mientras que en Italia pesa más la escasez de personal y competencias en ciberseguridad.

Por sectores, sanidad es el que más verifica (63 % lo hace siempre), los servicios financieros muestran la mayor confianza en el contenido digital (72 %) pero menos de la mitad verifica siempre (43 %), y la Administración pública es la más escéptica, aunque tampoco llega a la mitad en verificación constante (47 %). Seguros registra la tasa más baja, con un 22 %.

La IA generativa añade otra capa. Menos de la mitad de los encuestados (47 %) confía en estas herramientas, pero solo el 32 % verifica siempre lo que generan antes de actuar, y únicamente el 56 % cree que su empleador usa la IA de forma responsable y segura.

Lo que el informe no aclara

Conviene leer las cifras con cautela. La muestra española es de 62 personas, y en otros países ronda las 50 o 60, así que los porcentajes nacionales describen actitudes de grupos pequeños. El propio documento lo reconoce al señalar que estas muestras no permiten establecer clasificaciones nacionales de desempeño en ciberseguridad y que los datos sectoriales proceden de subgrupos reducidos. Ni la nota de prensa ni el informe detallan las fechas del trabajo de campo, la empresa que realizó la encuesta ni el margen de error. Además, el estudio lo ha encargado una compañía que vende soluciones de seguridad, en su mayoría a través de proveedores de servicios gestionados (MSP).

Las recomendaciones de WatchGuard, más allá de sus productos, son las habituales en concienciación: exigir confirmación por un contacto previamente establecido para cambios de pago, transferencias de datos y solicitudes de acceso inusuales, aplicando esa regla también a los directivos; hacer simulacros realistas con mensajes, voces y videollamadas falsas; publicar normas claras sobre qué herramientas de IA están aprobadas y qué datos no pueden introducirse; combinar autenticación multifactor resistente al phishing con filtrado de correo, protección de endpoints, privilegio mínimo y copias de seguridad probadas, y facilitar canales sencillos para informar de incidentes sin miedo a represalias. La empresa cierra su comunicado destacando su enfoque de confianza cero y su servicio de detección y respuesta gestionada (MDR) 24/7, una oferta comercial que no forma parte de los resultados de la encuesta. WatchGuard afirma trabajar con más de 25.000 MSP y dar protección a más de 1,5 millones de clientes.

Para quienes gestionan la seguridad en empresas con infraestructura propia o en la nube, la lectura práctica es que la tecnología solo cubre parte del riesgo: una transferencia aprobada por una llamada convincente no la detiene ningún firewall. En Revista Cloud se han analizado recientemente otros trabajos de la compañía, como su informe de amenazas del primer semestre de 2026, que describe el paso de campañas masivas a ataques más dirigidos apoyados en IA.

El informe global completo en castellano, Índice de confianza cibernética de WatchGuard (PDF), recoge todas las tablas por país y sector.

Preguntas frecuentes

¿Qué es el Índice de confianza cibernética de WatchGuard?

Es una encuesta de WatchGuard Technologies a más de 500 empleados a tiempo completo de Estados Unidos, Reino Unido, Francia, Alemania, Italia, Portugal, España y Australia sobre cómo confían en las comunicaciones digitales y cómo las verifican.

¿Cuántos empleados en España verifican siempre las peticiones sensibles?

El 31 % de los encuestados en España afirma verificar siempre por un canal independiente. Solo Alemania (22 %) y Portugal (28 %) registran tasas más bajas.

¿Son representativos los datos de España?

La muestra española es de 62 personas. El propio informe advierte de que las muestras por país son pequeñas y no permiten establecer clasificaciones nacionales, y no publica el margen de error.

¿Qué recomienda WatchGuard para reducir el riesgo?

Hacer obligatoria la verificación de pagos, datos confidenciales y accesos inusuales por un contacto ya conocido, formar con simulacros realistas, fijar normas de uso de IA y combinar protecciones técnicas por capas con canales sencillos para informar de incidentes.

Fuentes:

• WatchGuard Technologies, nota de prensa sobre el Índice de confianza digital en España
• WatchGuard Technologies, Índice de confianza cibernética de WatchGuard (informe global, PDF)