Un empleado recibe un mensaje urgente de dirección. Hay que realizar una transferencia antes de que termine el día. El correo está perfectamente redactado, menciona datos reales de una operación en curso y utiliza el tono habitual de la persona que supuestamente lo envía. El empleado duda y recibe después una llamada. La voz parece ser la de su responsable. Conoce su nombre, el importe aproximado de la operación y detalles internos de la empresa.

Todo parece encajar, salvo por un detalle: ni el correo ni la llamada proceden realmente del directivo. La inteligencia artificial está aumentando la capacidad de los ciberdelincuentes para construir engaños creíbles. Al phishing, el robo de credenciales, el ransomware o las brechas de datos se suman ahora herramientas capaces de generar textos convincentes, imitar voces, manipular imágenes o construir vídeos falsos.

Y esto introduce un cambio especialmente importante para las empresas: el ciberdelincuente no siempre necesita hackear un ordenador. Puede intentar engañar a la persona que tiene permiso para utilizarlo.

Ese escenario obliga a revisar tanto las medidas internas de seguridad como la protección aseguradora. Porque una cosa es que un atacante acceda ilegalmente a los sistemas de una empresa y otra muy distinta que un trabajador, convencido de estar cumpliendo una orden legítima, realice voluntariamente una transferencia, cambie el IBAN de un proveedor o entregue información confidencial.

El resultado económico puede ser parecido. Sin embargo, desde el punto de vista técnico y asegurador, no necesariamente estamos ante el mismo tipo de incidente. Por eso, además de reforzar los procedimientos internos, conviene revisar si la póliza de ciberseguridad para empresas responde realmente ante los escenarios de fraude y suplantación a los que está expuesta cada organización.

Ante los nuevos ciberataques con inteligencia artificial, la pregunta ya no debería ser únicamente:

“¿Tenemos una póliza de ciberriesgos?”

Conviene añadir otra:

“¿Sabemos realmente cómo respondería nuestra póliza ante un fraude basado en suplantación o ingeniería social?”

La IA está cambiando los ciberataques: ahora también se ataca la confianza

Durante años, muchas recomendaciones para detectar fraudes digitales se han basado en reconocer señales relativamente sencillas: correos con errores ortográficos, mensajes mal redactados, dominios extraños, comunicaciones genéricas o peticiones que no encajaban con la forma habitual de trabajar de la empresa.

Esas señales siguen siendo útiles, el problema es que ya no siempre están presentes. La inteligencia artificial generativa permite producir mensajes naturales, adaptar el lenguaje a un contexto determinado y utilizar información disponible sobre una empresa para construir una historia mucho más convincente.

El atacante puede saber quién dirige la organización, quién se ocupa de administración, con qué proveedores trabaja, qué proyectos anuncia públicamente o qué personas ocupan determinadas responsabilidades.

A partir de esa información puede intentar crear una petición aparentemente coherente, el ataque deja de parecer un correo enviado al azar y puede parecer una conversación normal de trabajo.

Del phishing evidente al engaño personalizado

El phishing tradicional buscaba que el usuario pulsara un enlace, descargara un archivo o facilitara sus credenciales, ese riesgo sigue existiendo.

Pero la ingeniería social puede perseguir objetivos mucho más amplios: conseguir una transferencia, cambiar los datos bancarios de un proveedor, obtener documentación interna, modificar un procedimiento o hacer que un trabajador facilite determinada información.

La inteligencia artificial puede aumentar la eficacia de estos ataques porque reduce algunas de las señales que antes permitían detectarlos fácilmente. Ya no basta con preguntarse:

“¿Está bien escrito este correo?”

La pregunta correcta es:

“¿Puedo comprobar por otro medio que esta petición procede realmente de la persona que dice haberla enviado?”

Ahí está uno de los principales cambios de enfoque que deberían asumir las empresas.

Voz, vídeo y contexto: cuando ver o escuchar ya no es suficiente

Los deepfakes y las técnicas de clonación de voz añaden otra dificultad. Una persona puede recibir una llamada en la que aparentemente escucha a su responsable, a un cliente o a un proveedor habitual.

También puede recibir una grabación o participar en una videollamada en la que la imagen parece corresponder a alguien conocido. El problema no es únicamente determinar si la falsificación es perfecta. En situaciones de urgencia, basta con que resulte lo suficientemente convincente para reducir las dudas del empleado.

Por eso una empresa no debería utilizar la voz, la imagen o el estilo de escritura de una persona como única prueba de identidad para aprobar una operación sensible. En otras palabras:

Reconocer a alguien ya no equivale necesariamente a autenticarlo.

Cuando el ciberdelincuente no hackea el ordenador, sino a la persona que lo utiliza

Este es uno de los puntos más relevantes para comprender cómo evoluciona el ciberriesgo. En un ataque técnico clásico, el delincuente puede robar una contraseña, explotar una vulnerabilidad, instalar malware o acceder sin autorización a un sistema. En un ataque basado en ingeniería social puede buscar algo diferente:

Que sea un usuario autorizado quien realice la acción por él.

La empresa puede tener antivirus, puede utilizar autenticación multifactor, puede mantener sus sistemas actualizados y, aun así, sufrir una pérdida económica si alguien consigue convencer a la persona adecuada para ejecutar una operación legítima bajo una premisa falsa.

Esto no resta importancia a las medidas tecnológicas, significa que necesitan complementarse con procedimientos organizativos.

El fraude del CEO y la suplantación de directivos

Uno de los escenarios más conocidos consiste en hacerse pasar por una persona con autoridad dentro de la empresa. El supuesto directivo puede solicitar un pago urgente, pedir que se modifique una factura o exigir que una operación se mantenga confidencial. La presión psicológica forma parte del mecanismo:

• “Hay que hacerlo ahora.”
• “No llames porque estoy reunido.”
• “Es una operación confidencial.”
• “Necesito que esto se resuelva antes de las 14:00.”

Una petición de este tipo puede resultar todavía más persuasiva cuando viene acompañada de una voz o una imagen aparentemente auténticas. La respuesta no debería depender de si el empleado considera que la voz “parece real”. Debería existir un procedimiento independiente.

Cuanto más extraordinaria sea una operación, mayor debería ser la necesidad de verificarla.

El falso proveedor y el cambio de IBAN

Otra variante especialmente peligrosa no necesita suplantar al director general. Puede ser suficiente con hacerse pasar por un proveedor habitual:

• El mensaje informa de un cambio de cuenta bancaria.
• El logotipo es correcto.
• La factura parece auténtica.
• El nombre del interlocutor coincide.
• El tono es profesional.
• Y el nuevo IBAN pertenece al delincuente.

Este tipo de fraude muestra por qué los protocolos internos son tan importantes. Si el cambio de cuenta bancaria se verifica respondiendo al mismo correo que comunica el cambio, realmente no existe una segunda comprobación.

La verificación debería realizarse mediante un canal independiente y previamente conocido. Por ejemplo, utilizando el número de teléfono que la empresa ya tenía registrado para ese proveedor.

El escenario más delicado: el empleado ha realizado correctamente la operación

Aquí aparece la peculiaridad que convierte estos ataques en un problema especialmente interesante también desde el punto de vista asegurador. El empleado puede haber iniciado sesión correctamente: Puede haber utilizado sus credenciales reales, también haber superado la autenticación requerida, ademas de haber introducido voluntariamente los datos bancarios y puede haber autorizado personalmente la transferencia.

El sistema ha funcionado exactamente como estaba diseñado. Lo que ha fallado es la decisión previa. Por eso una empresa debería distinguir entre:

Un acceso no autorizado al sistema y una acción autorizada ejecutada como consecuencia de un engaño.

La distinción puede resultar fundamental al revisar una póliza de ciberriesgos.

Un ejemplo práctico: la llamada del director que nunca ocurrió

Imaginemos una pyme en la que el responsable de administración recibe un mensaje aparentemente enviado por uno de los socios: Hay una operación urgente.

Debe realizarse un pago excepcional de 18.500 euros a un nuevo proveedor antes del cierre bancario. El empleado responde que necesita confirmar los datos. Pocos minutos después recibe una llamada, la voz parece ser la del socio, además conoce su nombre, conoce el proyecto al que se refiere el pago, sabe incluso que otra persona de la empresa se encuentra de vacaciones y le explica que no puede hablar mucho porque está entrando en una reunión.

El empleado realiza la transferencia. Una hora después descubre que el socio nunca llamó.

Lo interesante de este ejemplo es que plantea tres problemas diferentes.

• El primero es de ciberseguridad: ¿cómo obtuvo el atacante suficiente información para construir una historia convincente?
• El segundo es de organización: ¿por qué una operación excepcional podía autorizarse basándose únicamente en una conversación?
• Y el tercero es asegurador: ¿qué garantía de la póliza respondería ante esa pérdida, si existe alguna aplicable?

Esta última cuestión no admite una respuesta universal. Dependerá de cómo esté redactada la póliza, de las coberturas contratadas, de la definición del riesgo, de los límites establecidos y de las circunstancias concretas del incidente.

Por eso, desde Seguros Raúl Morales recomendamos evitar una simplificación bastante habitual:

Tener un ciberseguro no significa automáticamente que cualquier fraude relacionado con Internet esté cubierto. Hay que leer qué situaciones contempla realmente el contrato.

Cómo reducir el riesgo de fraudes creados con inteligencia artificial

La póliza de ciberriesgos debe entenderse como una capa dentro de una estrategia más amplia. No sustituye a las medidas de seguridad y tampoco debería utilizarse para justificar procesos internos débiles.

Una empresa puede reducir considerablemente su exposición introduciendo controles relativamente sencillos.

Verificar cualquier cambio sensible mediante un segundo canal

Cambios de IBAN, nuevas cuentas bancarias, pagos excepcionales o solicitudes de información sensible deberían verificarse mediante un canal distinto al que originó la petición.

Si el cambio llega por correo electrónico, la comprobación puede realizarse mediante un teléfono previamente registrado. No debería utilizarse automáticamente un número incluido en el propio mensaje sospechoso. El objetivo es sencillo:

Que el atacante tenga que controlar dos canales independientes, no uno solo.

Establecer doble autorización para determinados pagos

Las operaciones de mayor importe pueden requerir la validación de dos personas. No importa quién haya solicitado el pago. Ni siquiera debería importar que la orden aparente proceder del propietario o del director general.

El procedimiento existe precisamente para esos casos. Una buena política interna debería proteger también al empleado frente a la presión jerárquica. Si una operación extraordinaria exige dos autorizaciones, nadie debería poder saltarse el proceso simplemente porque “lo pide el jefe”.

Crear un protocolo para situaciones urgentes

La urgencia es una herramienta habitual de la ingeniería social. Por eso puede ser útil establecer de antemano qué ocurre cuando alguien solicita una excepción:

• ¿Quién puede autorizarla?
• ¿Cómo se verifica?
• ¿Qué segundo canal debe utilizarse?
• ¿Quién debe ser informado?

Cuando esas decisiones están tomadas antes del incidente, el empleado no tiene que improvisar bajo presión.

Formar a los empleados sobre voz e imagen generadas con IA

La formación en ciberseguridad ya no debería limitarse a enseñar a detectar enlaces sospechosos. También conviene explicar que una voz puede clonarse, una imagen puede manipularse y un mensaje muy bien escrito puede seguir siendo fraudulento.

El objetivo no es generar paranoia, es cambiar el mecanismo de confianza. La seguridad no debería depender de: “Me pareció su voz.”

Debería depender de:

“Seguí el procedimiento establecido para verificar la petición.”

Mantener las medidas técnicas básicas

Que la ingeniería social ataque a las personas no significa que la tecnología deje de ser necesaria. Autenticación multifactor, actualizaciones, copias de seguridad, control de accesos, protección de dispositivos y gestión adecuada de privilegios continúan siendo elementos básicos. Además, algunos ataques combinan varias técnicas.

El delincuente puede intentar primero obtener información, después robar una cuenta y finalmente utilizar esa información para construir una suplantación mucho más convincente. Por eso la defensa también debe ser múltiple.

Los proveedores también forman parte del ciberriesgo

Muchas empresas concentran la seguridad exclusivamente en sus propios sistemas. Sin embargo, los terceros también forman parte de su exposición:

• Proveedores informáticos.
• Gestorías.
• Empresas de mantenimiento.
• Plataformas en la nube.
• Distribuidores.
• Clientes con accesos compartidos.
• Proveedores que intercambian documentación o datos bancarios.

Un atacante no siempre buscará la puerta técnicamente más sofisticada. Buscará la más fácil y, en ocasiones, esa puerta puede ser una relación comercial basada en años de confianza.

Un correo correcto no demuestra que el proveedor sea quien dice ser

Un mensaje fraudulento puede contener datos completamente auténticos:

• Nombre fiscal.
• Número de factura.
• Importe.
• Proyecto.
• Persona de contacto.

Eso no convierte en auténtico el nuevo IBAN incluido al final. Por eso conviene separar dos conceptos: información correcta e identidad verificada.

Un atacante puede conocer información correcta y seguir siendo un atacante.

Cómo verificar cambios de datos bancarios

Una práctica sencilla consiste en establecer que cualquier modificación de datos de pago debe confirmarse utilizando información de contacto previamente almacenada por la empresa. Además, puede ser conveniente dejar constancia de la comprobación realizada.

No porque exista una fórmula única válida para todas las organizaciones, sino porque ayuda a convertir una recomendación abstracta en un procedimiento repetible.

¿Y si el incidente comienza en un tercero?

Este es otro aspecto que debería revisarse en la gestión aseguradora del riesgo. Algunas pérdidas pueden estar relacionadas con proveedores tecnológicos, servicios externos o terceros que intervienen en los procesos de la empresa.

La póliza debe analizarse para conocer en qué circunstancias esos escenarios están contemplados y con qué condiciones. No conviene suponerlo.

¿Una póliza de ciberriesgos cubre un fraude cometido mediante IA?

La respuesta corta es: Depende de la póliza y de cómo se haya producido el incidente.

La inteligencia artificial es la herramienta utilizada por el atacante, pero no necesariamente la categoría aseguradora que determinará la cobertura.

Si antes de entrar en estos escenarios específicos se quiere entender qué es un seguro de ciberriesgos y cómo protege a una empresa, Seguros Raúl Morales cuenta con una guía específica sobre su funcionamiento, finalidad y principales coberturas.

En un ataque relacionado con IA pueden intervenir conceptos diferentes:

• ingeniería social;
• suplantación de identidad;
• fraude mediante transferencia;
• acceso no autorizado;
• robo de credenciales;
• compromiso de correo electrónico;
• pérdida de datos;
• interrupción del negocio;
• responsabilidad frente a terceros.

Por eso preguntar: “¿Mi seguro cubre la inteligencia artificial?” Puede resultar demasiado genérico. Es mucho más útil preguntar: “¿Qué ocurriría si alguien utiliza una suplantación creada con IA para conseguir que un empleado haga una transferencia?” o: “¿Qué sucedería si un atacante se hace pasar por un proveedor y consigue que cambiemos voluntariamente su IBAN?”

La póliza debe revisarse frente a escenarios concretos.

Ingeniería social: una expresión que conviene localizar en la póliza

Uno de los primeros conceptos que puede interesar revisar es la ingeniería social. De forma sencilla, consiste en manipular a una persona para conseguir información o provocar una acción.

La dificultad está en que distintas pólizas pueden estructurar este riesgo de forma diferente: Puede existir una garantía específica, puede formar parte de otra cobertura, puede estar sometida a un sublímite, puede exigir determinadas circunstancias o puede no responder de la manera que el asegurado había imaginado.

Por eso desde Seguros Raúl Morales recomendamos no interpretar una cobertura únicamente por su nombre comercial. El condicionado es el que permite saber qué contempla realmente el contrato.

¿Existe cobertura para transferencias fraudulentas?

Esta pregunta merece tratarse de forma independiente cuando una empresa realiza pagos relevantes mediante banca electrónica. Conviene revisar:

• si existe una garantía relacionada con fraude;
• qué situaciones contempla;
• qué requisitos establece;
• cuál es su límite;
• si dispone de un sublímite propio;
• qué franquicia puede aplicarse;
• qué obligaciones tiene el asegurado;
• y cómo define la póliza el origen de la pérdida.

La suma asegurada general no siempre permite saber cuánto respondería el contrato ante cada escenario particular. Por eso los sublímites importan.

¿La póliza exige un acceso no autorizado?

Esta es probablemente una de las preguntas más interesantes ante los ataques basados en IA. Supongamos dos casos.

• Caso A: un delincuente roba unas credenciales, entra en el sistema y realiza una acción sin permiso.
• Caso B: un delincuente suplanta mediante voz a un directivo y consigue que el empleado autorizado realice esa misma acción.

La pérdida final podría ser idéntica, pero el camino hasta ella es diferente. Si una determinada garantía exige la existencia de acceso no autorizado, esa diferencia puede adquirir mucha importancia. No significa que el segundo escenario quede necesariamente desprotegido. Significa que habrá que determinar si existe otra garantía aplicable, ese es precisamente el tipo de detalle que conviene conocer antes del siniestro y no después.

Intrusión informática y fraude por engaño no son necesariamente lo mismo

Podemos visualizarlo de una manera sencilla. En una intrusión:

atacante → vulnera el sistema → obtiene acceso → ejecuta la operación.

En un fraude de ingeniería social:

atacante → engaña a una persona → la persona autorizada ejecuta la operación.

Ese pequeño cambio modifica toda la lógica preventiva. Para el primer escenario son esenciales los controles tecnológicos y para el segundo adquieren especial importancia los procedimientos internos y muchos incidentes pueden combinar ambos.

El atacante puede entrar primero en una cuenta de correo, estudiar durante semanas cómo trabaja la empresa y después enviar una comunicación falsa desde un contexto completamente creíble.

Por eso no tiene sentido enfrentar tecnología y formación.

Se necesitan ambas.

Qué debería revisar una pyme en su póliza de ciberriesgos ante los ataques con IA

La revisión no debería empezar contando coberturas. Debería empezar imaginando situaciones reales. Como estas:

• ¿Qué ocurriría si alguien suplanta al gerente?
• ¿Qué pasa si administración paga una factura a una cuenta falsa?
• ¿Y si el atacante imita a un proveedor?
• ¿Y si antes de engañar al trabajador ha accedido también al correo electrónico?
• ¿Y si se roban datos personales?
• ¿Y si la empresa debe detener su actividad durante varios días?

Con esos escenarios sobre la mesa resulta mucho más fácil saber qué buscar en el contrato.

1. Ingeniería social

¿Aparece contemplada?

¿Cómo se define?

¿Existe alguna condición específica?

2. Transferencias fraudulentas

¿Existe una protección aplicable?

¿Qué límite económico tiene?

3. Suplantación de identidad

¿A quién debe suplantarse para que pueda activarse?

¿Exige además un acceso no autorizado?

4. Fraude relacionado con proveedores

¿Qué ocurre si el engaño procede aparentemente de un proveedor habitual?

¿Y si existe compromiso de un tercero?

5. Límites y sublímites

¿Cuál es la suma asegurada?

¿Todas las garantías comparten ese límite?

¿Existen cantidades máximas específicas para determinados eventos?

6. Franquicias

¿Qué parte de la pérdida tendría que asumir la empresa?

7. Exclusiones

¿Existen situaciones que el contrato deja expresamente fuera?

8. Medidas de seguridad requeridas

¿La aseguradora exige determinados controles?

¿La empresa los mantiene realmente activos?

9. Servicios de respuesta

¿Qué sucede inmediatamente después de comunicar el incidente?

¿Existe asistencia especializada?

¿Está claro a quién llamar?

10. Obligaciones tras el siniestro

¿Qué información debe conservarse?

¿Hay determinadas acciones que conviene no realizar antes de recibir instrucciones?

Estas preguntas ofrecen mucha más información que limitarse a comparar el precio anual de dos pólizas.

El nombre de la cobertura orienta; el condicionado determina

Esta idea merece quedar especialmente clara. Que una póliza incluya expresiones como:

• “ingeniería social”
• “fraude”
• “suplantación”
• “ciberataque”
• “protección frente a ciberdelitos”

No permite por sí solo saber cómo responderá ante un incidente concreto. Hay que revisar las definiciones, los requisitos, los límites, los sublímites, las exclusiones y el conjunto de garantías contratadas.

Dos pólizas aparentemente similares pueden reaccionar de manera distinta ante el mismo escenario. Ahí es donde el trabajo de asesoramiento cobra especial importancia.

Desde Seguros Raúl Morales no entendemos la revisión de una póliza como una simple comparación de precios. La cuestión es determinar qué riesgo tiene la empresa, qué escenarios preocupan realmente y cómo responde el contrato frente a ellos.

Tecnología, procedimientos y seguro: tres capas frente a los ataques con IA

Una estrategia razonable frente al ciberriesgo puede entenderse mediante tres capas.

Primera capa: tecnología

Su objetivo es dificultar el acceso no autorizado y reducir el impacto de un incidente.

Puede incluir autenticación multifactor, gestión de permisos, actualizaciones, backups y protección de dispositivos, entre otras medidas.

Segunda capa: procedimientos

Su función es evitar que una persona engañada pueda convertir fácilmente una mentira en una pérdida económica. Doble autorización, verificación de cambios bancarios.

Segundo canal: Protocolos ante urgencias, separación de funciones y formación.

Tercera capa: seguro

La póliza de ciberriesgos no impide que se produzca un ataque. Su función es ayudar a gestionar determinadas consecuencias económicas y servicios relacionados con los eventos contemplados en el contrato.

Las tres capas cumplen funciones diferentes y precisamente por eso funcionan mejor juntas:

• Una póliza no sustituye un buen procedimiento de pagos.
• Un buen procedimiento no sustituye un sistema correctamente protegido.
• Y unas buenas medidas técnicas no eliminan la necesidad de analizar qué impacto tendría un incidente grave en la empresa.

Este cambio forma parte, además, de una evolución más amplia de los riesgos empresariales. Al analizar las tendencias en seguros para empresas en 2026, ya se observa la necesidad de combinar prevención, capacidad de respuesta y adaptación de las coberturas a riesgos que evolucionan con rapidez.

Checklist: ¿está preparada la empresa para una suplantación mediante IA?

Antes de preocuparse por identificar cada nueva herramienta utilizada por los ciberdelincuentes, una pyme puede hacerse preguntas bastante más sencillas:

• ¿Una transferencia de importe elevado necesita dos autorizaciones?
• ¿Los cambios de IBAN se verifican mediante otro canal?
• ¿Se utiliza un teléfono previamente registrado para esa comprobación?
• ¿Los empleados saben que una voz puede ser clonada?
• ¿Saben que una videollamada tampoco garantiza por sí sola una identidad?
• ¿Existe un procedimiento para órdenes urgentes de dirección?
• ¿Los empleados pueden negarse a saltarse ese protocolo aunque lo solicite aparentemente un superior?
• ¿Está activada la autenticación multifactor en las cuentas importantes?
• ¿Cada usuario tiene únicamente los permisos que necesita?
• ¿Se controla quién puede realizar transferencias?
• ¿Existe un protocolo para comunicar rápidamente un posible incidente?
• ¿La empresa sabe a quién contactar después de un cibersiniestro?
• ¿Se ha revisado recientemente la póliza de ciberriesgos?
• ¿La empresa sabe si contempla ingeniería social?
• ¿Conoce los límites y sublímites relacionados con fraude?
• ¿Sabe cómo respondería ante una transferencia realizada por un empleado engañado?
• ¿Se han analizado los riesgos relacionados con proveedores?

No conocer la respuesta a alguna de estas preguntas no significa que la empresa esté necesariamente desprotegida.

Sí indica que existe un punto que merece revisión.

Preguntas frecuentes sobre IA y pólizas de ciberriesgos

¿Un ciberseguro cubre un deepfake?

No puede responderse de forma general. “Deepfake” describe la técnica utilizada para construir el engaño, pero la cobertura dependerá del evento que se produzca y de cómo esté definido en la póliza.

Puede ser necesario analizar conceptos como ingeniería social, suplantación, fraude, transferencia de fondos o acceso no autorizado.

¿Qué pasa si un empleado realiza una transferencia porque ha sido engañado por una voz falsa?

El hecho de que el empleado haya autorizado la operación convierte el escenario en algo diferente de una simple intrusión informática.

La posible cobertura dependerá del condicionado y de las garantías contratadas. Por eso conviene revisar expresamente este escenario con el mediador.

¿Todas las pólizas de ciberriesgos cubren la ingeniería social?

No debe darse por supuesto. Las condiciones pueden variar entre contratos y una garantía concreta puede tener requisitos, límites o sublímites propios.

¿Un falso proveedor puede provocar un cibersiniestro?

Puede provocar una pérdida relacionada con fraude o ingeniería social. Que esa pérdida quede cubierta dependerá de las condiciones de la póliza y de cómo se haya producido el incidente.

¿El MFA evita los ataques mediante deepfake?

No por sí solo. La autenticación multifactor protege principalmente frente a determinados accesos no autorizados.

No evita necesariamente que un empleado con permisos reales sea engañado para realizar una operación.

¿Un antivirus puede proteger frente al fraude del CEO?

Puede ayudar frente a amenazas técnicas relacionadas con malware u otros ataques, pero no evita por sí mismo que una persona crea una instrucción falsa.

En estos casos los procedimientos internos y la formación adquieren especial importancia.

¿La póliza de ciberriesgos sustituye las medidas de seguridad?

No.

Seguro, tecnología y procedimientos cumplen funciones diferentes. La mejor estrategia consiste en reducir la probabilidad del incidente y, al mismo tiempo, analizar cómo afrontar sus consecuencias si finalmente se produce.

¿Cada cuánto conviene revisar una póliza de ciberriesgos?

No existe una periodicidad universal aplicable a todas las empresas. Sí resulta razonable revisarla cuando cambian de forma relevante los sistemas, la facturación, el número de empleados, los proveedores tecnológicos, la forma de gestionar pagos o la exposición digital de la empresa. También cuando aparecen riesgos que no se habían valorado al contratarla.