La ciberseguridad ya no se libra únicamente en servidores, redes o infraestructuras corporativas. El verdadero campo de batalla se ha desplazado hacia el usuario. Y los ciberdelincuentes lo saben.

Durante años, empresas y organizaciones han reforzado sus sistemas tecnológicos mediante arquitecturas zero trust, autenticación reforzada, cifrado avanzado, segmentación de redes o herramientas de detección de amenazas. Sin embargo, el endurecimiento técnico de las infraestructuras ha provocado un cambio estratégico en los modelos de ataque: ahora el objetivo principal es manipular a las personas.

En lugar de vulnerar directamente los sistemas, los atacantes buscan que sea el propio usuario quien valide una operación fraudulenta, comparta credenciales o autorice acciones con consecuencias económicas o reputacionales.

Según explica Juan Galdón, Associate Partner de Ciberseguridad & Ciberfraude de KPMG en España, el fraude actual obliga a replantear completamente cómo se entienden los modelos de protección digital.

“El atacante ya no necesita comprometer el sistema si consigue manipular al usuario legítimo”, advierte el experto.

La ingeniería social redefine el fraude digital

El cambio es profundo. Tradicionalmente, los controles de seguridad se centraban en verificar si realmente era el usuario quien accedía a una plataforma o realizaba una operación. Hoy esa validación ya no es suficiente.

El nuevo desafío consiste en determinar si el usuario está actuando libremente o bajo manipulación psicológica.

Ese es precisamente el punto de partida de muchas ciberestafas actuales: fraudes basados en urgencia, miedo, confianza o falsas identidades que consiguen que la propia víctima autorice la acción fraudulenta.

Este tipo de ataques, conocidos en el sector financiero como fraudes de autorización manipulada o APP Fraud (Authorised Push Payment), representan una de las principales preocupaciones para las organizaciones.

Aunque técnicamente la operación puede estar correctamente autenticada, la realidad es que el usuario ha sido inducido al engaño.

El problema ya mueve miles de millones

La dimensión económica del fenómeno refleja la gravedad del escenario.

Según datos publicados conjuntamente por la Autoridad Bancaria Europea (EBA) y el Banco Central Europeo (BCE), el fraude en pagos alcanzó los 4.200 millones de euros en el Espacio Económico Europeo durante 2024, un 17% más que el año anterior.

Además, los usuarios asumieron cerca del 85% de las pérdidas derivadas de transferencias fraudulentas, principalmente por operaciones autorizadas bajo engaño.

Para los expertos, esto demuestra que autenticar ya no basta. Las organizaciones necesitan interpretar contexto, comportamiento, intención y señales de riesgo antes de permitir determinadas acciones.

Tres capacidades clave para combatir el ciberfraude

La respuesta frente a este nuevo escenario no depende de una única tecnología, sino de la combinación de diferentes capacidades.

1. Concienciación continua del usuario

La formación sigue siendo esencial frente a ataques de phishing, smishing, vishing, falsas inversiones o suplantaciones de identidad. Sin embargo, los expertos reconocen que los atacantes evolucionan más rápido que la capacidad de educar a los usuarios.

2. Visión contextual y análisis 360º

Los sistemas antifraude modernos ya no analizan únicamente una transacción aislada. Integran información relacionada con comportamiento histórico, dispositivos, geolocalización, velocidad de operación, contraparte o inteligencia externa para detectar anomalías y posibles manipulaciones.

3. Autenticación adaptativa y contextual

El modelo tradicional de autenticación evoluciona hacia mecanismos dinámicos capaces de ajustar el nivel de fricción según el riesgo real de la operación.

No todas las acciones requieren el mismo nivel de verificación. Factores como el canal utilizado, el importe, la criticidad de la operación o señales sospechosas del dispositivo influyen cada vez más en la decisión de control.

La autenticación silenciosa gana protagonismo

Uno de los modelos que más interés está despertando es la denominada autenticación silenciosa.

A diferencia de los sistemas tradicionales basados en códigos OTP o validaciones visibles, este enfoque permite verificar señales directamente desde la red móvil o el entorno digital sin requerir interacción explícita del usuario.

El objetivo es reducir precisamente uno de los principales puntos débiles actuales: que el atacante consiga convencer a la víctima para compartir códigos o validar operaciones.

“La autenticación deja de ser solo una barrera técnica y pasa a formar parte del contexto psicológico del ataque”, señalan desde el sector.

Combinada con señales adicionales —como cambios recientes de SIM, patrones de comportamiento o riesgos asociados al dispositivo—, esta tecnología puede reforzar significativamente los procesos de onboarding, recuperación de credenciales o autorización de operaciones sensibles.

Del control transaccional al análisis contextual

El nuevo paradigma antifraude abandona el enfoque puramente transaccional y evoluciona hacia modelos mucho más contextuales.

Una operación elevada no tiene por qué ser sospechosa por sí misma. Tampoco lo es necesariamente una nueva ubicación o un dispositivo diferente. El verdadero riesgo aparece cuando múltiples señales aparentemente pequeñas convergen al mismo tiempo.

Ahí es donde cobra valor la denominada visión 360º del usuario: la capacidad de interpretar el contexto completo antes de decidir si una operación debe permitirse, bloquearse o escalarse.

El desafío para las organizaciones es enorme: proteger sin generar una experiencia excesivamente frustrante para el usuario legítimo.

La protección del usuario se convierte en prioridad estratégica

Para los expertos, el ciberfraude marca una nueva etapa en la evolución de la seguridad digital.

La protección de sistemas internos sigue siendo imprescindible, pero el riesgo ya se concentra en otro lugar: las decisiones del usuario, su comportamiento digital y su exposición constante a técnicas de manipulación cada vez más sofisticadas.

En este contexto, el sector financiero se ha convertido en uno de los principales laboratorios de referencia, no solo por la presión regulatoria que soporta, sino también por la evolución de sus modelos de control y autenticación contextual.

La conclusión es clara: las organizaciones que sean capaces de integrar inteligencia contextual, autenticación adaptativa y análisis avanzado del comportamiento estarán mejor preparadas para reducir pérdidas económicas, minimizar impactos reputacionales y reforzar la confianza digital de clientes, empleados y ciudadanos.