Guerra híbrida y desinformación: la amenaza cibernética infravalorada para las empresas
2 min de lectura
Contenido falso, desinformación generada por IA y ataques reputacionales dirigidos: las amenazas híbridas difuminan en 2026 los límites entre ciberataque, guerra de la información y delincuencia económica. Por qué todas las empresas están afectadas y qué pueden hacer los CISO al respecto.
En resumen
- Las campañas de desinformación dirigidas contra empresas aumentan claramente en 2025/2026, ya sea como vector de ataque independiente o como medida complementaria a ciberataques clásicos
- Los deepfakes en tiempo real en videollamadas permiten fraudes al CEO de nueva calidad: una entidad financiera perdió en 2024 el equivalente a 25 millones de dólares
- La seguridad informática clásica protege sistemas y datos, no la reputación ni la confianza: la brecha de seguridad reputacional permanece sin protección en la mayoría de las empresas
- Las contramedidas requieren colaboración transversal entre seguridad informática, comunicación, departamento legal y dirección
La desinformación como vector de ataque
La idea de que la desinformación solo es un problema para gobiernos y elecciones es peligrosamente errónea. En 2025 y 2026 se observa una tendencia clara: aumentan las campañas de desinformación dirigidas contra empresas, ya sea como vector de ataque independiente o como medida complementaria a ciberataques tradicionales.
Los escenarios son reales: un video deepfake del CEO anuncia una advertencia de beneficios. Informes de denunciantes generados por IA sobre supuestas filtraciones de datos se difunden en redes sociales. Reseñas y experiencias falsas destruyen la confianza en un producto.
«Las amenazas híbridas difuminan los límites entre guerra y paz. Las empresas deben entender que ya forman parte del campo de batalla.»ENISA Threat Landscape, 2024
La anatomía de los ataques híbridos
La guerra híbrida combina distintos métodos de ataque en una campaña coordinada:
- Fase 1 – Reconocimiento: Se analizan los perfiles de redes sociales de la dirección, se recopilan muestras de voz y material de vídeo, y se identifican debilidades en la comunicación corporativa
- Fase 2 – Preparación: Se crean deepfakes, se construyen cuentas falsas en foros relevantes y en LinkedIn, y se obtienen o fabrican información confidencial comprometida
- Fase 3 – Ataque: Ejecución simultánea de un ciberataque técnico (por ejemplo, ransomware) y una campaña de desinformación. Mientras el equipo de TI está ocupado con el incidente técnico, la crisis reputacional se intensifica en los medios
- Fase 4 – Refuerzo: Redes de bots impulsadas por IA difunden la desinformación, y la amplificación algorítmica en redes sociales garantiza su alcance
Dato: Según Europol, el número de vídeos deepfake generados por IA aumentó un 550 por ciento en 2025 respecto al año anterior.
Por qué las medidas de seguridad tradicionales no son suficientes
La seguridad informática tradicional protege sistemas y datos, no la reputación ni la confianza. Cortafuegos, EDR y SIEM no sirven contra un tuit viral con deepfake. Esta brecha de seguridad reputacional permanece sin protección en la mayoría de las empresas.
El reto: la defensa contra la desinformación requiere colaboración entre seguridad informática, comunicación corporativa, departamento legal y dirección. En muy pocas empresas existen procesos establecidos para ello.
Deepfakes: la calidad se convierte en un problema
La calidad técnica de los deepfakes alcanzó en 2025/2026 un punto en el que son prácticamente indistinguibles al ojo humano. Los deepfakes en tiempo real en videollamadas – el fraude al CEO 2.0 – ya están documentados:
- Una entidad financiera en Hong Kong perdió en 2024 el equivalente a 25 millones de dólares mediante una videollamada deepfake en la que estafadores fingieron ser el director financiero
- En Alemania se conocieron en 2025 varios casos en los que se utilizaron voces deepfake del director general para realizar órdenes de transferencia fraudulentas
- La tasa de detección de herramientas de identificación de deepfakes se sitúa actualmente entre el 70 y el 85 por ciento, demasiado baja para una protección automatizada fiable
Dato: Según el FBI, el daño medio por fraude al CEO con apoyo de deepfakes fue en 2025 de 4,7 millones de dólares por incidente.
Contramedidas para las empresas
Seis pasos concretos que toda empresa debería implementar:
- Formación en concienciación sobre deepfakes: Sensibilizar al personal en puestos clave (departamento financiero, asistencia a la dirección) sobre los riesgos de los deepfakes
- Protocolos de verificación: Implementar verificación multicanal para decisiones críticas (transferencias, decisiones de personal, comunicados de prensa); nunca actuar únicamente basándose en una videollamada o mensaje de voz
- Monitorización de medios: Supervisión automatizada de redes sociales, portales de noticias y foros de la dark web en busca de menciones de la marca y posibles campañas de desinformación
- Autenticidad del contenido: Implementar estándares C2PA (Coalición para el Origen y la Autenticidad del Contenido) en la comunicación oficial de la empresa
- Plan de comunicación de crisis: Declaraciones y procesos preparados para el caso de un ataque de desinformación; el tiempo de reacción es crucial
- Respuesta a incidentes transversal: Ampliar el equipo de IR con comunicación y legal, e incluir guiones específicos para ataques híbridos
Conclusión
Las amenazas híbridas difuminan los límites entre ciberataque, guerra de la información y delincuencia económica. Para los CISO, esto implica una ampliación del ámbito de responsabilidad: además de sistemas y datos, también deben proteger la reputación y la confianza. Quien considere la desinformación como «no es mi problema» se convertirá en un objetivo fácil.
Datos clave
Volumen de phishing: Más de 3.400 millones de correos de phishing se envían diariamente en todo el mundo.
Tasa de detección: Solo el 3 por ciento de los empleados informan de correos sospechosos al departamento de TI.
Preguntas frecuentes
¿Cómo identifico un deepfake en una videollamada?
Observe artefactos sutiles: sincronización labial antinatural, cambios extraños en la iluminación, ausencia de microexpresiones y retrasos en movimientos rápidos de cabeza. Más importante que la detección es la prevención: establezca protocolos de verificación para decisiones críticas, como una llamada de confirmación a un número conocido o una verificación por un canal separado.
¿Son los ataques híbridos solo un riesgo para grandes empresas?
No. Las empresas de tamaño medio son incluso especialmente vulnerables, ya que a menudo carecen de departamentos de comunicación dedicados que puedan reaccionar rápidamente a la desinformación. Además, son atacadas intencionadamente como proveedores o socios para dañar indirectamente a empresas más grandes.
¿Qué papel juega la IA en la defensa contra la desinformación?
Las herramientas basadas en IA pueden automatizar el monitoreo de redes sociales, detectar redes de bots e identificar deepfakes con una precisión del 70 al 85 por ciento. Sin embargo, la tecnología aún no es lo suficientemente fiable para una defensa completamente automatizada. Actualmente, la combinación de monitoreo con IA y evaluación humana es el enfoque más efectivo.
Más del MBF Media Netzwerk
Recomendaciones de lectura de la redacción
Fuente de imagen: Hartono Creative Studio / Pexels
