El nuevo Eurobarómetro de la Comisión Europea revela que el phishing es la amenaza más frecuente en el trabajo. El 60% recibió formación en ciberseguridad durante el último año, pero las diferencias aumentan en las empresas pequeñas.
Tres de cada cuatro empleados de la Unión Europea se encontraron con correos electrónicos, mensajes o enlaces sospechosos en el trabajo durante los seis meses analizados por el Flash Eurobarometer 576. La encuesta, publicada por la Comisión Europea el 30 de septiembre de 2026, entrevistó a 25.747 ciudadanos de los 27 Estados miembros. El dato mide exposición a posibles amenazas y no significa que tres de cada cuatro trabajadores hayan sufrido un ciberataque exitoso.
El phishing llega al 39% de los trabajadores europeos
El phishing aparece como la amenaza más extendida. Un 39% de los empleados declaró haberse encontrado con mensajes fraudulentos o páginas diseñadas para robar información o conseguir accesos no autorizados. Los intentos de obtener datos personales alcanzaron el 18%, los ataques con malware el 17% y las tentativas de robo de contraseñas el 16%.
Las estafas generadas mediante inteligencia artificial ya representan otro 15%. El porcentaje adquiere especial relevancia porque solo el 48% de los encuestados considera que podría reconocer un vídeo falso producido con esta tecnología.
El 83% conoce el riesgo, pero la preparación no avanza al mismo ritmo
El Eurobarómetro muestra una diferencia entre reconocer el peligro y estar preparado para responder. El 83% considera graves las posibles consecuencias de un ciberataque para su organización. Sin embargo, solo el 18% afirma que su empresa no había experimentado ningún incidente cibernético, hasta donde tenía conocimiento.
La Comisión Europea también señala que el 60% de los empleados había recibido formación sobre ciberseguridad en los doce meses anteriores. La participación disminuye de manera apreciable en organizaciones pequeñas. Al mismo tiempo, un 85% manifiesta interés por mejorar sus conocimientos y un 26% identifica la falta de tiempo como el principal obstáculo para hacerlo.
La amenaza no siempre necesita vulnerar los sistemas de la empresa
Una parte importante de estos fraudes busca que sea el propio trabajador quien abra la puerta. Un correo que suplanta a un proveedor, una solicitud urgente para cambiar una cuenta bancaria o una llamada de un supuesto departamento técnico pueden tratar de conseguir credenciales o provocar una transferencia sin explotar inicialmente una vulnerabilidad informática.
Este tipo de engaños puede adoptar distintas formas, desde una petición falsa enviada por correo para modificar la cuenta bancaria asociada a una nómina hasta campañas de phishing que suplantan a organismos públicos para obtener usuarios y contraseñas. El elemento común es la ingeniería social y la apariencia de legitimidad.
La formación empieza a ser una competencia laboral más
ENISA relaciona los resultados con una exposición generalizada a riesgos digitales en el entorno profesional. Su último análisis de amenazas utiliza más de 8.000 eventos y sitúa a la Administración pública, los servicios empresariales, el transporte, la industria y el sector financiero entre los ámbitos atacados. La agencia europea insiste además en reforzar las capacidades de los propios empleados.
La Comisión presentó en julio un Plan de Acción sobre Ciberseguridad e Inteligencia Artificial que reconoce las dos caras de esta tecnología. Puede utilizarse para detectar vulnerabilidades y mejorar la protección, pero también permite automatizar ataques y ejecutarlos a mayor escala. Para las empresas, disponer de herramientas técnicas ya no elimina la necesidad de formar a quien abre correos, gestiona facturas, modifica nóminas o utiliza dispositivos corporativos.