2026: El fraude aprendió a sonar normal

Escrito por Andrés Kattan

El fraude digital entró en una nueva etapa. Ya no depende solo de correos mal escritos, enlaces sospechosos o remitentes desconocidos. Hoy puede aparecer como un WhatsApp del jefe, una llamada aparentemente legítima, un correo de un proveedor habitual, un código QR, una instrucción urgente o una solicitud que imita perfectamente la rutina interna de una empresa.

Ese es el cambio que vuelve este tema urgente en 2026: el fraude aprendió a sonar normal. La inteligencia artificial generativa, el phishing móvil, las suplantaciones de identidad y los fraudes de pago están haciendo que muchas amenazas parezcan parte de la operación diaria. El riesgo ya no está únicamente en que una persona “haga clic donde no debía”, sino en que actúe rápido frente a una instrucción que parece venir de alguien confiable.

Por eso, la prevención del fraude digital ya no puede entenderse solo como una tarea del área de TI. También es una responsabilidad de liderazgo. Las jefaturas son quienes enseñan, con sus hábitos y decisiones cotidianas, cuándo se puede pausar, cuándo se debe verificar y cuándo corresponde escalar una duda antes de ejecutar una acción sensible.

Durante años, la prevención del fraude digital se explicó con una regla simple: no hacer clic en enlaces sospechosos. Esa recomendación sigue siendo válida, pero ya no alcanza. En las empresas, los fraudes más peligrosos no siempre llegan como amenazas evidentes. A veces llegan como un correo del gerente general, un WhatsApp del jefe directo, una solicitud de pago urgente, un cambio de cuenta bancaria de un proveedor o una instrucción que parece venir desde dentro de la organización.

El nuevo riesgo no está solo en la tecnología. Está en la confianza. Los atacantes entendieron algo básico de la vida corporativa: las personas tienden a responder rápido cuando la solicitud viene de alguien con autoridad, cuando parece urgente o cuando interrumpe una jornada cargada de pendientes. Por eso, el fraude digital ya no debe tratarse únicamente como un tema de sistemas. También es un tema de liderazgo, cultura y hábitos de trabajo.

La pregunta para las empresas no es solo si tienen antivirus, filtros de correo o autenticación multifactor. La pregunta también es si sus equipos tienen permiso cultural para detenerse. ¿Puede una persona junior decir “voy a validar esto antes de hacerlo” aunque el mensaje parezca venir de su jefe? ¿Puede alguien frenar un pago urgente sin quedar como poco colaborativo? ¿Está normalizado escalar una duda o todavía se premia más la rapidez que la verificación?

La evidencia internacional muestra que el riesgo está cambiando de escala y de forma. El Global Cybersecurity Outlook 2026, publicado por el World Economic Forum en enero de 2026, señala que la inteligencia artificial está transformando las operaciones de ciberseguridad, pero también instala nuevos desafíos de conocimiento, supervisión humana y gestión del riesgo. El mismo informe plantea que, frente a amenazas más sofisticadas, las organizaciones deben invertir en alfabetización en IA, habilidades de uso seguro, gobernanza y validación continua.

Ese punto es clave para las jefaturas. El phishing ya no siempre parece phishing. Un mensaje puede estar bien redactado, tener buen tono, usar nombres reales, replicar rutinas internas e incluso parecer coherente con una conversación previa. El error ya no está solo en “no mirar el link”. El error puede estar en obedecer una solicitud sensible sin confirmar por otro canal.

El Phishing Activity Trends Report, 1st Quarter 2026, publicado por APWG el 21 de mayo de 2026, muestra justamente esa evolución. En el primer trimestre de 2026, los ataques de phishing aumentaron 13,8%, pasando de 853.244 ataques en el cuarto trimestre de 2025 a 971.181 en el primer trimestre de 2026. El mismo informe registró que las amenazas en redes sociales crecieron en todas las plataformas monitoreadas y que los formatos predominantes fueron estafas y suplantaciones.

Microsoft también ha documentado la aceleración de estas tácticas. En Email threat landscape: Q1 2026 trends and insights, publicado el 30 de abril de 2026, Microsoft Threat Intelligence informó que detectó aproximadamente 8,3 mil millones de amenazas de phishing por correo electrónico durante el primer trimestre de 2026. El mismo análisis identificó al phishing con códigos QR como uno de los vectores de mayor crecimiento del período, con un aumento de 146% entre enero y marzo de 2026.

La consecuencia para las empresas es directa: los equipos no solo deben aprender a detectar señales técnicas, sino señales conductuales. Urgencia injustificada. Autoridad aparente. Solicitudes fuera de proceso. Cambios de cuenta bancaria. Peticiones de confidencialidad excesiva. Mensajes que piden “hacerlo ahora” y “no comentarlo con nadie”. En muchos fraudes, la señal más importante no es un error ortográfico, sino una instrucción que reduce la capacidad de pensar.

El 2026 Data Breach Investigations Report, de Verizon, refuerza esta mirada desde otro ángulo. El informe advierte que las causas frecuentes de filtraciones siguen involucrando fuertemente el factor humano —incluyendo ingeniería social, phishing y credenciales robadas— junto con la explotación de vulnerabilidades y ransomware. También señala que distintas técnicas de ataque están siendo reforzadas por inteligencia artificial generativa, desde la identificación de brechas hasta la producción de herramientas maliciosas.

Por eso, el entrenamiento antifraude no puede ser una cápsula anual que las personas completan mientras hacen otra cosa. Debe transformarse en una práctica de liderazgo. Las jefaturas son quienes convierten una política en comportamiento. Si una jefatura responde molesta cuando alguien pide validar una instrucción, el equipo aprende a no preguntar. Si, en cambio, felicita a quien detectó una señal extraña, aunque finalmente no haya sido fraude, instala una norma cultural: verificar es parte del trabajo.

¿Y en Chile?

En Chile, esta conversación también se vuelve más relevante. La Comisión para el Mercado Financiero inició el 7 de abril de 2026 una campaña de educación financiera sobre mecanismos de seguridad y autenticación para prevenir fraudes. La CMF señaló que la iniciativa busca entregar herramientas prácticas para prevenir fraudes y fortalecer las capacidades de las personas para desenvolverse de manera segura en entornos digitales.

El mensaje es trasladable al mundo corporativo. Si el fraude se vuelve más sofisticado, la prevención también debe sofisticarse. No basta con decir “tengan cuidado”. Una jefatura debe enseñar protocolos simples, repetibles y fáciles de aplicar bajo presión. Por ejemplo: toda solicitud de pago urgente se valida por un segundo canal; todo cambio de datos bancarios de proveedor requiere doble confirmación; toda solicitud de información sensible debe tener trazabilidad; toda instrucción fuera de proceso se escala antes de ejecutarse.

La institucionalidad chilena también está empujando una cultura más robusta. En junio de 2026, la Alianza Chilena de Ciberseguridad informó que la Mesa de Ciberseguridad del Sector Público —impulsada junto a la ANCI y la Contraloría General de la República— había desarrollado iniciativas de formación para fortalecer capacidades reales dentro del Estado. Entre ellas, el curso gratuito “Phishing y Fraude Digital”, que ya contaba con 3.075 profesionales del Estado aprobados. La señal es clara: la educación ya no es un complemento; es infraestructura preventiva.

El desafío para las empresas chilenas es llevar esa lógica a la gestión diaria. Las áreas de administración, finanzas, recursos humanos, compras, tecnología, asuntos corporativos, atención a clientes y comunicaciones suelen estar especialmente expuestas. Manejan pagos, datos personales, información contractual, accesos, bases de datos, proveedores, vocerías y decisiones sensibles. En esos equipos, una instrucción falsa puede transformarse en pérdida financiera, filtración de información, daño reputacional o crisis interna.

Aquí las jefaturas cumplen un rol que no puede delegarse completamente al área de TI. Seguridad puede diseñar protocolos, bloquear amenazas y monitorear incidentes. Pero las jefaturas administran el clima en que las personas deciden. Son ellas quienes pueden decir explícitamente: “si algo parece raro, no lo ejecutes; avísame”; “si te piden saltarte un proceso, valida”; “si el mensaje viene de mí, pero por un canal extraño, confirma”; “prefiero que nos demoremos cinco minutos a que resolvamos mal en treinta segundos”.

El punto no es crear paranoia. Es crear criterio. Una organización madura no transforma a sus colaboradores en sospechosos permanentes, sino en observadores activos. Les enseña a distinguir entre urgencia real y urgencia manipulada; entre confianza y verificación; entre colaboración y obediencia automática. En fraude digital, la pausa no es burocracia: es control de riesgo.

El 2025 Internet Crime Report, publicado por el FBI/IC3 en 2026, ayuda a dimensionar el impacto. El informe registró 24.768 denuncias por Business Email Compromise en 2025, con pérdidas superiores a US$3.046 millones. Además, incluyó 22.364 denuncias asociadas a IA, con pérdidas reportadas por más de US$893 millones. Entre los usos identificados, el FBI advierte que los generadores de texto pueden crear correos con tono oficial que imitan a ejecutivos o autoridades internas, mientras que la clonación de voz puede usarse para solicitar pagos o dar instrucciones fraudulentas.

Esa evidencia muestra que el fraude digital ya no es un riesgo periférico. Es una amenaza de gestión. Afecta dinero, datos, continuidad operacional, confianza interna y reputación. Y precisamente por eso no puede depender solo del “ojo” individual de cada persona. Debe estar sostenido por procesos claros, liderazgo activo y una cultura que permita preguntar antes de actuar.

La mejor defensa empieza antes del incidente. Empieza cuando una jefatura revisa con su equipo un caso real. Cuando se ensaya qué hacer ante una solicitud urgente. Cuando se define por escrito quién valida pagos, cambios de cuenta, accesos o información sensible. Cuando se explica que ningún alto ejecutivo debería pedir por WhatsApp saltarse un protocolo. Cuando se normaliza que reportar una duda no es exagerar, sino cuidar a la organización.

El fraude digital se aprovecha de la velocidad. Las empresas, en cambio, tienen que defenderse con claridad. La rapidez sigue siendo importante, pero no puede estar por sobre la verificación. En tiempos de IA, deepfakes, phishing móvil y suplantaciones cada vez más realistas, la jefatura que enseña a desconfiar bien no frena al negocio. Lo protege.

Takeaways claves

  • La jefatura es una primera línea antifraude — No porque deba reemplazar al área de TI, sino porque modela hábitos. Si la jefatura normaliza la pausa, la validación y el reporte temprano, el equipo aprende a actuar con criterio bajo presión.

  • La señal ya no siempre es técnica — Los fraudes actuales pueden estar bien escritos, usar nombres reales y llegar por canales habituales. Por eso, los equipos deben aprender a detectar señales conductuales: urgencia, autoridad aparente, confidencialidad forzada y solicitudes fuera de proceso.

  • Verificar no es desconfiar de las personas; es proteger la operación — Toda solicitud sensible vinculada a pagos, datos, accesos, proveedores o información confidencial debe tener una segunda validación. En fraude digital, cinco minutos de pausa pueden evitar una crisis.

  • Nota opcional de autoríaArtículo elaborado con apoyo de Preludio, la IA de Extend, y curaduría humana.

Referencias compactas con links directos

Andrés Kattan
Anterior

Vender más, valer menos: el riesgo invisible de descuidar la marca
Siguiente

Nuevo miedo desbloqueado: “¿eso lo escribió una IA?”