«Tres de cada cuatro empleados europeos han recibido comunicaciones sospechosas en su trabajo».
Es uno de los datos que destaca la Agencia de la Unión Europea para la Ciberseguridad (ENISA) con motivo del Mes Europeo de la Ciberseguridad 2026, una campaña que este año dirige la atención hacia las amenazas digitales en el entorno laboral y la preparación de los profesionales para afrontarlas.
Bajo el enfoque Cybersecurity Month @ Work, ENISA plantea una cuestión cada vez más relevante: ¿están las organizaciones preparando adecuadamente a sus empleados para reconocer y responder a los riesgos digitales?
Cybersecurity Month @ Work: ¿qué nos dicen los datos?
En su publicación Cybersecurity Month @ Work: Employees’ skills under the looking glass, del 30 de septiembre de 2026, ENISA recoge los resultados de un Eurobarómetro de la Comisión Europea sobre la concienciación y preparación de los trabajadores en materia de ciberseguridad.
Las cifras muestran una realidad que merece atención:
- El 74 % de los empleados encuestados afirma haber recibido correos, mensajes, llamadas o enlaces sospechosos.
- El 39 % declara haber recibido correos de phishing o fraudulentos.
- El 83 % considera que un ciberataque tendría consecuencias graves para su organización.
- Solo el 45 % señala que su empresa comparte periódicamente información o recomendaciones de concienciación.
- El 85 % muestra interés en mejorar sus competencias en ciberseguridad.
Estos resultados revelan una diferencia importante entre el reconocimiento de los riesgos y las oportunidades de formación disponibles. Aunque los profesionales son conscientes de las amenazas, la preparación no siempre recibe la atención necesaria. De hecho, el 26 % de los encuestados identifica la falta de tiempo durante la jornada laboral como una barrera para mejorar sus competencias.
El desafío no consiste únicamente en ofrecer más formación, sino en conseguir que la seguridad forme parte de la actividad cotidiana.
Phishing, ransomware e inteligencia artificial: las amenazas en el trabajo
La campaña también se apoya en el informe ENISA Threat Landscape 2026, elaborado a partir del análisis de más de 8.000 eventos relacionados con amenazas de ciberseguridad. Entre los riesgos identificados destacan la ingeniería social, el ransomware, el fraude mediante credenciales comprometidas y el uso de inteligencia artificial por parte de actores maliciosos.
El phishing continúa siendo una amenaza especialmente relevante. Los atacantes aprovechan la confianza de los usuarios mediante mensajes fraudulentos y técnicas como ClickFix, que buscan inducir a las víctimas a ejecutar acciones perjudiciales. Por su parte, el ransomware sigue afectando a organizaciones de distintos sectores mediante el cifrado de sistemas, el robo de información y la extorsión.
ENISA también observa un uso creciente de inteligencia artificial para facilitar o mejorar determinadas actividades maliciosas, lo que añade complejidad a la identificación de amenazas.
Estos riesgos tienen un elemento en común: pueden aprovechar tanto las decisiones de los usuarios como las debilidades de los sistemas y procesos corporativos. Por ello, reforzar la seguridad en el entorno laboral exige actuar sobre varios factores de manera coordinada.
Cultura y formación en ciberseguridad: el papel de los empleados
Uno de los principales hallazgos del Eurobarómetro es el interés de los trabajadores por mejorar sus competencias digitales. Sin embargo, ese interés no siempre se traduce en oportunidades de aprendizaje.
Para reducir esta distancia, las organizaciones necesitan incorporar la concienciación en su actividad habitual, con contenidos adaptados a los distintos perfiles y ejercicios que permitan evaluar la respuesta ante amenazas reales.
Los simulacros de phishing, smishing o vishing, por ejemplo, permiten identificar comportamientos de riesgo y detectar necesidades de formación. Su utilidad aumenta cuando forman parte de un plan continuo de mejora, en lugar de utilizarse como acciones aisladas.
Este enfoque está presente en los programas de cultura y formación que desarrollamos desde Inprosec, combinando contenidos didácticos, gamificación y simulaciones de ingeniería social para fortalecer la capacidad de detección y respuesta de los profesionales.
ENISA también impulsa iniciativas como Awareness Raising in a Box, un conjunto de recursos que facilita a las organizaciones el diseño de programas de concienciación. El objetivo es compartido: conseguir que los empleados no sean únicamente destinatarios de las políticas de seguridad, sino participantes activos en la protección de la información.
Arquitectura de seguridad: proteger los accesos y la información corporativa
La concienciación es esencial, pero no elimina por completo la posibilidad de que un usuario interactúe con un enlace fraudulento o que sus credenciales resulten comprometidas. Por eso, la protección de los sistemas debe complementar la preparación de las personas.
Ante amenazas como el phishing o el robo de credenciales, cobran especial importancia la autenticación, la gestión de identidades, el principio de mínimo privilegio y las revisiones periódicas de accesos. También resulta fundamental proteger el correo electrónico, uno de los principales canales utilizados en los intentos de fraude y suplantación.
En este ámbito, las medidas de arquitectura de seguridad permiten abordar riesgos relacionados con los accesos no autorizados, la exposición de datos sensibles y las configuraciones inseguras. En Inprosec trabajamos estas necesidades mediante modelos de protección de identidades y accesos, controles sobre el uso y compartición de información y mecanismos de seguridad del correo electrónico, incluyendo la revisión de protocolos como SPF, DKIM y DMARC. La finalidad es reducir la exposición a las amenazas sin comprometer la operativa habitual de las organizaciones.
Gobierno y estrategia: cuando la ciberseguridad forma parte del negocio
El Eurobarómetro también refleja que el 83 % de los empleados considera graves las posibles consecuencias de un ciberataque para su organización. Esta percepción pone de manifiesto la importancia de abordar la seguridad de la información desde una perspectiva empresarial.
La protección no depende únicamente de los conocimientos de los empleados o de las herramientas disponibles. También requiere identificar los riesgos más relevantes, establecer responsabilidades y definir cómo actuar cuando se produce un incidente.
Una estrategia de ciberseguridad debe contemplar la evaluación de riesgos, la continuidad del negocio y la preparación ante situaciones de crisis. En este contexto, los planes estratégicos de seguridad, los servicios de CISO as a Service y los ejercicios de simulación de crisis permiten estructurar la gestión de la seguridad y mejorar la capacidad de respuesta.
Son ámbitos que forman parte de la actividad de consultoría de Inprosec, orientada a integrar la seguridad en la toma de decisiones y alinearse con las necesidades de cada organización. De esta forma, la ciberseguridad deja de abordarse únicamente como una cuestión técnica y pasa a formar parte de la gestión del riesgo empresarial.
De la concienciación a la resiliencia empresarial
El mensaje de Cybersecurity Month @ Work 2026 es especialmente relevante porque sitúa a los trabajadores en el centro de la conversación sobre ciberseguridad.
Los datos de ENISA muestran que existe una exposición significativa a amenazas digitales y, al mismo tiempo, un interés generalizado por mejorar las competencias para afrontarlas. Pero la preparación de una organización no puede depender de una única medida.
Formar a los empleados, proteger los sistemas y gestionar los riesgos son actuaciones complementarias que contribuyen a fortalecer la seguridad de la información.
Octubre ofrece una oportunidad para revisar estas capacidades, identificar oportunidades de mejora y promover iniciativas que se mantengan durante todo el año. En Inprosec, abordamos estos desafíos desde una perspectiva integral, ayudando a las organizaciones a desarrollar una cultura de seguridad, proteger sus activos críticos y alinear la ciberseguridad con sus objetivos de negocio.
¿Quieres saber cómo de preparada está tu organización? Escríbenos a info@inprosec.com o llámanos al 886 113 106 y analizamos juntos tu punto de partida.