Actores de amenazas y la seguridad de tu información: lo que todo particular debe conocer
Todos dejamos un rastro de información en internet: fotos en redes sociales, datos bancarios, historiales médicos, compras online… y, aunque pueda parecer exagerado, esta información es valiosa.
Los llamados actores de amenazas son los responsables de intentar aprovecharse de estos datos, ya sea para beneficio económico, espionaje, extorsión o incluso por diversión. Conocer quiénes son, cómo actúan y qué herramientas existen para protegernos es fundamental para mantener nuestra vida digital a salvo.
Antes de entrar en materia, merece la pena presentar Qondar, la solución de cibervigilancia de Enthec diseñada especialmente para particulares. No es un antivirus ni un simple bloqueador de anuncios: Qondar realiza una gestión continua de la exposición a amenazas (CTEM), monitorizando de forma proactiva posibles filtraciones o riesgos en tu huella digital, para que puedas actuar antes de que un incidente ocurra.
Qué es un actor de amenazas
Un actor de amenazas es cualquier persona, grupo u organización con la intención y la capacidad de dañar sistemas, redes o datos ajenos para obtener un beneficio económico, político o personal. Dicho de forma sencilla, es quien está detrás de un ciberataque. Y aunque solemos asociarlo a grandes empresas o gobiernos, buena parte de su actividad acaba afectando a personas corrientes.
Lo que convierte a alguien en actor de amenazas no es su nivel técnico, sino la suma de tres elementos: intención, capacidad y oportunidad. Si falta uno, el ataque no llega a producirse. Por eso, la protección más eficaz para un particular consiste en reducir la oportunidad, es decir, la cantidad de información tuya que está expuesta y al alcance de cualquiera.
Actor de amenazas, amenaza, vulnerabilidad y vector: no son lo mismo
Estos cuatro términos aparecen juntos a menudo, pero designan cosas distintas:
| Concepto | Qué es | Ejemplo |
| Actor de amenazas | Quién ataca | Una banda que roba credenciales bancarias |
| Amenaza | El daño que puede producirse | El robo de dinero de tu cuenta |
| Vulnerabilidad | La debilidad que se aprovecha | Usar la misma contraseña en varios servicios |
| Vector de ataque | El camino de entrada | Un SMS falso que suplanta a tu banco |
Entender la diferencia ayuda a protegerse mejor, no puedes hacer desaparecer a los actores de amenazas, pero sí reducir tus vulnerabilidades y cerrar vectores de entrada.
Tipos de actores de amenaza en ciberseguridad
Los especialistas clasifican a los actores de amenaza en ciberseguridad según su motivación, sus recursos y su forma de actuar. La frontera entre categorías es cada vez más difusa, el informe ENISA Threat Landscape 2026, publicado en septiembre por la Agencia de la Unión Europea para la Ciberseguridad, señala que ciberdelincuentes, hacktivistas y grupos vinculados a Estados comparten cada vez más herramientas y métodos, lo que dificulta saber quién está detrás de cada ataque.
| Tipo de actor | Motivación principal | Recursos | Cómo puede afectarte como particular |
| Ciberdelincuentes | Dinero | Medios o altos | Fraude, robo de credenciales, extorsión |
| Hacktivistas | Ideología o protesta | Bajos o medios | Filtración de datos de empresas de las que eres cliente |
| Actores estatales (APT) | Espionaje, sabotaje, influencia | Muy altos | Desinformación y ataques a servicios que usas a diario |
| Amenazas internas | Beneficio propio, venganza o descuido | Variables | Fuga de tus datos desde una organización que los custodia |
| Acosadores y doxers | Control, venganza, intimidación | Bajos | Exposición pública de tus datos personales |
| Script kiddies | Notoriedad o diversión | Bajos | Ataques oportunistas con herramientas ya hechas |
Los expertos en ciberseguridad suelen clasificar a los actores de amenaza en varias categorías según sus motivaciones, recursos y métodos. Veamos los más comunes:
1. Ciberdelincuentes
Buscan un beneficio económico directo y son el actor de amenazas con el que más probabilidades tienes de cruzarte. Hoy funcionan como una industria con roles repartidos. Unos roban credenciales con infostealers, otros venden ese acceso y otros lo explotan con fraudes o ransomware.
Sus herramientas habituales son el phishing, el robo de credenciales y la venta de datos en la dark web.
2. Hacktivistas
Motivados por causas políticas o sociales, utilizan ataques cibernéticos para llamar la atención sobre una causa. Pueden filtrar información confidencial de gobiernos o empresas como forma de protesta.
Su táctica más frecuente es saturar las webs de organismos y empresas con ataques de denegación de servicio (DDoS), aunque también filtran bases de datos como forma de protesta.
3. Insiders o amenazas internas
Son empleados, ex empleados o colaboradores que ya tienen acceso a la información y la utilizan para su propio beneficio o por venganza. Este tipo de amenaza es difícil de detectar porque parte desde dentro.
4. Estados o grupos patrocinados por gobiernos
Son grupos vinculados a Estados, conocidos como APT (Advanced Persistent Threat, amenaza persistente avanzada). Persiguen el espionaje, el sabotaje o la influencia, disponen de muchos recursos y pueden permanecer meses dentro de un sistema sin ser detectados. Rara vez apuntan a un ciudadano concreto, salvo perfiles con información sensible como cargos públicos, directivos o periodistas, pero todos sufrimos sus campañas de desinformación o sus ataques a servicios esenciales.
5. Script kiddies
Son usuarios con pocos conocimientos técnicos que lanzan ataques con herramientas creadas por otros. Hoy son más peligrosos que hace unos años, porque los servicios de ciberdelito por suscripción y la inteligencia artificial generativa les permiten ejecutar ataques que antes exigían un perfil experto.
6. Acosadores y boxers
Son el actor de amenazas más personal, puede ser alguien que te conoce, o que te ha elegido como objetivo, y reúne información sobre ti para intimidarte, controlarte o exponerte. Su técnica principal es el doxing, que consiste en recopilar y publicar datos personales sin consentimiento. No necesitan conocimientos avanzados, les basta con la información que ya es pública en redes sociales, buscadores y filtraciones antiguas.
Cómo actúan los actores de amenazas
La mayoría de ataques de actores de amenazas contra particulares siguen cuatro fases:
- Reconocimiento. El atacante reúne información sobre ti en redes sociales, buscadores, registros públicos y filtraciones anteriores. Cuanto mayor es tu huella digital, más fácil le resulta construir un engaño creíble.
- Acceso inicial. Usa esa información para entrar: un correo o un SMS fraudulento, una llamada que suplanta a tu banco, una contraseña filtrada que reutilizas o un fallo en un dispositivo sin actualizar.
- Explotación. Una vez dentro, roba datos, instala malware, toma el control de tus cuentas o se hace pasar por ti ante tus contactos.
- Monetización. Vende tus datos, vacía cuentas, pide un rescate o usa tu identidad para cometer nuevos fraudes.
Técnicas de los actores de amenazas más utilizadas
Los métodos cambian con el tiempo, pero hay patrones que se repiten:
- Phishing y smishing: correos o mensajes que suplantan la identidad de empresas para robar datos.
- Malware y ransomware: programas maliciosos que roban información o bloquean el acceso a cambio de un rescate.
- Ataques de fuerza bruta: intentos automatizados de adivinar contraseñas.
- Explotación de vulnerabilidades: aprovechar fallos de seguridad en software o dispositivos.
- Ingeniería social: a través de la ingeniería social, manipular a personas para que entreguen datos o realicen acciones inseguras.
La clave es que cada ataque tiene detrás un actor con una motivación concreta. Y esa motivación determina la técnica elegida y el tipo de amenaza.
La inteligencia artificial ha cambiado las reglas
La IA no ha inventado ataques nuevos, pero ha hecho los existentes más baratos, rápidos y convincentes. Mensajes sin faltas de ortografía, voces clonadas o vídeos falsos (deepfakes) permiten suplantar a un familiar o a un directivo con una credibilidad inédita.
Según el Data Breach Investigations Report 2026 de Verizon, los atacantes ya usan IA generativa en distintas fases de sus campañas, desde la selección de objetivos y la investigación de vulnerabilidades hasta el desarrollo de malware. ENISA, por su parte, prevé que este año más fases de los ataques estén directamente asistidas por IA.
Por qué los particulares también son objetivo
Existe la creencia errónea de que solo las grandes empresas o las figuras públicas interesan a los actores de amenaza en ciberseguridad. Los datos dicen lo contrario.
En 2025, el fraude online sumó 45.445 casos en España, un 19 % más que en 2024, y la Línea de Ayuda en Ciberseguridad 017 de INCIBE atendió 142.767 consultas. Entre los motivos más frecuentes estaban los intentos de phishing, vishing o smishing (28 %), las compras fraudulentas (16 %) y la suplantación de identidad digital (14 %).
Detrás de estas cifras hay dos razones:
- Eres un objetivo rentable a escala. Un ciberdelincuente no necesita elegirte a ti puesto que envía miles de mensajes y le basta con que un pequeño porcentaje caiga.
- Eres la puerta de entrada a otros. Tus credenciales personales pueden abrir el correo de tu empresa, la cuenta de un familiar o los servicios de los que eres cliente.
Según el Data Breach Investigations Report 2026 de Verizon, que analiza más de 22.000 brechas confirmadas en 145 países, el 62% de las filtraciones de datos incluyó un elemento humano, frente al 60% del año anterior.
Cómo proteger tu información frente a los actores de amenazas
La buena noticia es que protegerse es posible si se adoptan medidas preventivas y se utilizan las herramientas adecuadas.
1. Controla tu huella digital
Busca tu nombre en internet y revisa qué información es pública. Configura adecuadamente la privacidad de tus redes sociales.
Te puede interesar→ Cómo borrar o reducir tu huella digital y minimizar riesgos de ciberataques.
2. Usa contraseñas seguras y únicas
Evita usar la misma contraseña para todo. Aprende cómo gestionar contraseñas o utiliza un gestor de contraseñas y activa la autenticación en dos pasos.
3. Mantén tus dispositivos actualizados
Las actualizaciones no solo traen mejoras, sino también parches de seguridad contra vulnerabilidades.
4. Desconfía de enlaces y adjuntos
Antes de hacer clic en un enlace o abrir un archivo, verifica su procedencia. Ante la duda, mejor no interactuar.
5. Utiliza soluciones de gestión continua de la exposición a amenazas
Aquí es donde Qondar se convierte en un aliado. Esta herramienta de Enthec analiza continuamente tu huella digital, detecta si tu información aparece en bases de datos filtradas o si existen riesgos asociados a tus credenciales, y te avisa para que actúes de inmediato.
Qondar: tu defensa personal contra los actores de amenazas
Mientras que muchas soluciones de seguridad son reactivas (actúan solo cuando ya ha ocurrido el ataque), Qondar es proactiva. Gracias a la filosofía CTEM (Continuous Threat Exposure Management), la herramienta:
- Monitoriza de forma continua posibles filtraciones de tus datos.
- Identifica amenazas en foros, redes sociales, dark web y otras fuentes.
- Prioriza los riesgos para que sepas qué atender primero.
- Notifica de inmediato cuando se detecta una exposición.
Esto significa que no solo te protege de un ataque puntual, sino que te ayuda a reducir tu exposición antes de que los actores de amenaza puedan actuar.
La ciberseguridad no es un tema exclusivo de empresas o gobiernos. Cada persona es un posible objetivo para un actor de amenazas. Y aunque no podamos evitar que existan, sí podemos reducir nuestra exposición y reaccionar a tiempo.
Con herramientas como Qondar de Enthec, la prevención deja de ser una tarea compleja y se convierte en un hábito accesible para cualquiera. La gestión continua de la exposición a amenazas no es solo un concepto técnico, es la forma más eficaz de mantener tu información bajo control y fuera del alcance de quienes quieren aprovecharse de ella.
Kartos y Teron: cuando la amenaza va más allá de la persona
Muchos ataques contra particulares empiezan o terminan en una organización. Si el actor de amenazas usa tus credenciales para entrar en tu empresa, o si la filtración se produce en un proveedor, Kartos permite a la organización vigilar su superficie expuesta y la de sus terceros.
Cuando hace falta saber quién está detrás de una campaña, Teron, el motor de investigación de Enthec, permite a los equipos de inteligencia seguir a actores maliciosos, infraestructuras comprometidas y campañas activas desde una misma plataforma.
Empieza hoy mismo a conocer tu huella digital y protegerla antes de que sea tarde.
Preguntas frecuentes
¿Es lo mismo un actor de amenazas que un hacker?
No. Hacker describe a alguien con conocimientos técnicos avanzados, que puede usarlos para defender sistemas o para atacarlos. Un actor de amenazas es quien tiene la intención de causar daño, con o sin conocimientos técnicos: un estafador telefónico o un acosador también lo son.
¿Qué es un APT?
Un APT (Advanced Persistent Threat) es un actor de amenazas avanzado y persistente, normalmente vinculado a un Estado o al crimen organizado, que accede a un sistema y permanece en él durante meses para espiar o sabotear sin ser detectado.
¿Puede atacarme un actor de amenazas aunque no sea una persona conocida?
Sí. La mayoría de los ataques a particulares son masivos y automatizados: no buscan a alguien concreto, sino a cualquiera que caiga. Además, tus datos pueden quedar expuestos por la filtración de una empresa de la que eres cliente sin que hayas hecho nada.
¿Cómo sé si mis datos están en manos de un actor de amenazas?
Las señales más habituales son los inicios de sesión desconocidos, los cargos no reconocidos o los mensajes demasiado personalizados. Sin embargo, muchas filtraciones no dan ninguna señal hasta que se usan; por eso, la forma fiable de saberlo es monitorizar tu exposición de forma continua con una solución como Qondar.
¿Qué hago si descubro que mis datos se han filtrado?
Cambia de inmediato las contraseñas afectadas y las de cualquier servicio donde las reutilizaras, activa la verificación en dos pasos y avisa a tu banco si hay datos financieros implicados. Si sospechas de fraude o suplantación, llama al 017 de INCIBE y presenta una denuncia.
¿Cómo se identifica a un actor de amenazas?
Identificar al autor de un ataque, lo que se conoce como atribución, es una tarea de equipos de inteligencia especializados. Analizan la infraestructura utilizada, las herramientas, los patrones de comportamiento y la actividad en foros y mercados clandestinos, apoyándose en plataformas de investigación como Teron.
Doxing empresarial: La información sobre tu empresa que ya está en manos de quien no debería
El doxing empresarial consiste en reunir y publicar datos de una compañía, de sus directivos o de sus empleados sin su permiso. Se hace para presionar, extorsionar o preparar un ataque a medida. Dicho más claro, tus datos llegan a manos de terceros y tú no lo sabes.
Lo habitual es enterarse tarde. Cuando alguien avisa, los teléfonos, los correos y hasta las contraseñas llevan semanas circulando por foros que tu equipo de IT nunca visita. Aquí verás qué datos suelen estar expuestos, por qué un cortafuegos no los ve y cómo vigilarlos.
¿En qué se diferencia el doxing corporativo del doxing de siempre?
El doxing clásico va contra una persona. El corporativo apunta a toda una organización, es decir, hacia la directiva, el equipo de finanzas, el proveedor que tiene acceso a tus sistemas. INCIBE define el doxing como la revelación de información personal en internet sin consentimiento, normalmente para intimidar, acosar o extorsionar.
En febrero de 2026, INCIBE alertó de publicaciones en plataformas de doxing con datos de empleados actuales y antiguos. En mayo, la Policía Nacional detuvo a un sospechoso que difundía datos de trabajadores de la Guardia Civil y la Agencia Tributaria.
Mucha gente cree que esto solo afecta a organismos públicos o a grandes empresas, pero no siempre es así. Los atacantes eligen al que menos vigila, no al que más factura.
¿Qué datos de tu empresa pueden estar ya expuestos?
Más de los que imaginas, y casi siempre en sitios que no controlas. Esta tabla resume los más habituales.
| Dato expuesto | Dónde suele aparecer | Qué puede hacer un atacante |
| Credenciales corporativas | Logs de malware infostealer, foros y dark web | Entrar en el correo, la VPN o las aplicaciones en la nube |
| Datos de directivos y empleados | Filtraciones antiguas, redes sociales y plataformas de doxing | Suplantar identidades, presionar o amenazar |
| Documentos internos y código | Repositorios públicos y nubes mal configuradas | Extorsionar o vender información |
| Datos de clientes y proveedores | Brechas en empresas de terceros | Atacar a tu cadena de suministro |
| Dominios y servicios olvidados | Escaneos masivos de internet | Encontrar una puerta técnica sin vigilar |
¿Por qué un antivirus no frena el doxing empresarial?
Porque el problema ocurre fuera de tu red. Un antivirus protege tus equipos y un cortafuegos vigila tu tráfico. Ninguno ve lo que un tercero publica sobre ti en un foro clandestino.
Imagina que el teléfono personal y el correo de tu directora financiera aparecen en una filtración de hace tres años. Un atacante los cruza con su perfil profesional y le escribe haciéndose pasar por el consejero delegado. Le pide una transferencia urgente. Ningún sistema de tu empresa ha fallado porque el dato ya estaba fuera.
Por eso la seguridad que solo mira hacia dentro llega tarde. Hay que vigilar también lo que circula de ti por ahí fuera.
¿Cómo se frena el doxing empresarial? Con gestión continua de la exposición (CTEM)
Con un ciclo que no se detiene. Se llama Gestión Continua de la Exposición a Amenazas. En vez de una auditoría anual, revisa de forma permanente qué ve un atacante de tu empresa. Tiene cinco fases:
- Alcance: decidir qué marcas, dominios, personas y proveedores se vigilan.
- Descubrimiento: encontrar qué datos y activos están expuestos.
- Priorización: separar el ruido de lo que de verdad puede explotarse.
- Validación: comprobar que la amenaza es real y cuánto daño causaría.
- Movilización: actuar marcando responsables y plazos claros.
La palabra clave es continua. Una foto anual de tu exposición caduca en semanas.
Kartos y Qondar: cibervigilancia para la empresa y para las personas
Desde Enthec ofrecemos dos soluciones de cibervigilancia que siguen esta lógica CTEM.
Kartos es la solución para empresas. Rastrea en internet, la deep web y la dark web en busca de datos filtrados, vulnerabilidades y amenazas. Lo hace con robots no intrusivos que trabajan las 24 horas. Te enseña lo que vería un atacante antes de que lo use.
Qondar lleva esa vigilancia a las personas. Permite que directivos y empleados sepan qué datos personales suyos circulan, que es la materia prima del doxeo. Juntas cubren los dos frentes, la empresa y quienes la forman.
¿Quieres saber qué hay hoy fuera sobre tu organización? Contacta con nosotros.
Un primer paso que puedes dar hoy
Antes de contratar nada, haz un ejercicio de diez minutos. Busca el nombre de tu consejero delegado y el de tu empresa como lo haría un atacante. Si encuentras un teléfono personal o una dirección, ya sabes de qué se alimenta el doxing empresarial.
Preguntas frecuentes
¿Cómo sé si los datos de mi empresa están expuestos?
Sin vigilancia continua, casi nunca lo sabrás a tiempo. Puedes empezar buscando a tu empresa y a tu directiva en buscadores y repositorios públicos. Para revisar la deep web y la dark web de forma sistemática, necesitas una herramienta de cibervigilancia como Kartos.
¿Qué hago si aparecen datos de mis empleados publicados?
Avisa al afectado y cambia cuanto antes las contraseñas expuestas, activando la verificación en dos pasos. Guarda capturas como prueba y denuncia ante la Policía. Valora con tu delegado de protección de datos si hay que notificarlo a la AEPD.
¿En qué se diferencia la CTEM de un escaneo de vulnerabilidades?
El escaneo es una foto puntual de tus sistemas. La CTEM es un ciclo continuo que incluye datos filtrados, terceros y personas, y que además prioriza y valida lo que encuentra.
¿Es delito el doxing en España?
Depende del caso. Según cómo se obtengan y se usen los datos, puede encajar en delitos contra la intimidad o de revelación de secretos. También en amenazas o acoso. Consulta con un abogado penalista.
¿Qué diferencia hay entre Kartos y Qondar?
Kartos protege a la empresa y Qondar protege a las personas. Ambas vigilan de forma continua la exposición en internet, deep web y dark web.
Esquema Nacional de Seguridad: Qué es y qué obliga a cumplir a tu empresa
El Esquema Nacional de Seguridad es la norma española que fija la seguridad mínima de los sistemas que gestionan información o servicios del sector público. También se aplica a las empresas que trabajan para él. Si vendes servicios a una administración, es probable que te pidan cumplirlo. Desde Enthec te explicamos qué es, a quién afecta y qué te toca hacer.
¿Qué es el Esquema Nacional de Seguridad?
El ENS es el conjunto de principios y requisitos mínimos para proteger la información y los servicios electrónicos de las administraciones. Lo regula el Real Decreto 311/2022, publicado en el BOE el 4 de mayo de 2022, que sustituyó al Real Decreto 3/2010. El Centro Criptológico Nacional (CCN) lo desarrolla con sus guías CCN-STIC.
¿A quién obliga el cumplimiento del Esquema Nacional de Seguridad?
Obliga a todo el sector público, pero también a las empresas privadas que prestan servicios o proveen soluciones a una administración. Esta exigencia puede llegar hasta los propios proveedores de las empresas privadas si el análisis de riesgos lo justifica.
Te puede interesar-> NIS 2: ¿Cómo afecta a las empresas y qué medidas tomar para cumplir con la normativa?
¿Cuáles son los principios básicos del Esquema Nacional de Seguridad?
El artículo 5 fija siete principios básicos, que son la brújula de todo lo demás:
- Seguridad como proceso integral: personas, tecnología y organización a la vez, sin parches puntuales.
- Gestión basada en riesgos: se analiza qué puede fallar y se revisa de forma continua.
- Prevención, detección, respuesta y conservación: la prioridad es evitar los incidentes, detectarlos y recuperar el servicio.
- Líneas de defensa: varias capas, de modo que si una cae, las demás aguantan.
- Vigilancia continua: detectar comportamientos anómalos y responder a tiempo.
- Reevaluación periódica: actualizar las medidas conforme cambien los riesgos.
- Diferenciación de responsabilidades.
¿Qué niveles tiene el Esquema Nacional de Seguridad?
Tiene tres categorías de sistema: básica, media y alta. Para asignarla, se valora el impacto de un incidente en cinco dimensiones: confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad.
Cada dimensión recibe un nivel (bajo, medio o alto), y la categoría final del sistema vendrá determinada por la dimensión que haya obtenido la valoración más alta. Esta evaluación se revisa periódicamente o cuando el sistema sufre un cambio importante.
| Categoría | Cuándo se asigna | Cómo se demuestra la conformidad |
| Básica | Un incidente causaría un perjuicio limitado | Autoevaluación y declaración de conformidad |
| Media | El perjuicio sería grave | Auditoría de certificación |
| Alta | El perjuicio sería muy grave | Auditoría de certificación; ante fallos graves se puede suspender el servicio |
¿Qué exige el cumplimiento del Esquema Nacional de Seguridad en la práctica?
Exige una política de seguridad, un análisis de riesgos y las medidas del Anexo II acordes con cada categoría. Estos son los puntos críticos habituales en las auditorías:
- Política de seguridad aprobada por el máximo órgano ejecutivo de la empresa.
- Responsables diferenciados: el equipo de seguridad no puede depender jerárquicamente del de sistemas, salvo excepciones justificadas.
- Declaración de aplicabilidad: la lista de medidas que se aplican, firmada por el responsable de seguridad.
- Gestión de incidentes: los proveedores privados los notifican al INCIBE-CERT.
- Auditoría cada dos años: y otra extraordinaria si el sistema cambia de forma sustancial.
En junio de 2026, el CCN actualizó cuatro guías de la serie 800 y eliminó los distintivos del decreto antiguo.
¿Cómo se cumple la vigilancia continua que pide el ENS?
Demasiadas empresas tratan el ENS como un examen cada dos años, pero el propio decreto apunta a lo contrario. Su artículo 6 excluye las actuaciones puntuales y el artículo 10 incide en la vigilancia continua y evaluación permanente de los activos para detectar vulnerabilidades. El artículo 8 habla incluso de reducir la superficie de exposición.
Eso es, en esencia, la Gestión Continua de la Exposición a Amenazas. Funciona como un ciclo de cinco fases: delimitar, descubrir, priorizar, validar y movilizar.
Aquí encajan las soluciones de Enthec. Kartos vigila tu empresa desde fuera del perímetro. Rastrea la web, la deep web y la dark web en busca de información filtrada y vulnerabilidades expuestas, lo mismo que vería un atacante. Qondar aplica la misma lógica a las personas: qué datos suyos circulan y qué riesgo suponen.
¿Quieres saber qué ve un atacante de tu empresa antes de tu próxima auditoría?
Preguntas frecuentes sobre el Esquema Nacional de Seguridad
¿Es obligatorio el ENS para todas las empresas?
No. Es obligatorio para el sector público y para los proveedores que le prestan servicios cuando el contrato lo exige. Si no trabajas con administraciones, no te obliga, aunque puedes adoptarlo como buena práctica.
¿Qué diferencia hay entre declaración y certificación de conformidad?
La declaración es una autoevaluación y sirve para sistemas de categoría básica. La certificación exige una auditoría externa y es obligatoria en las categorías media y alta.
¿Cada cuánto hay que auditar un sistema?
Como mínimo cada dos años. Si el sistema cambia de forma sustancial, hace falta además una auditoría extraordinaria.
¿Cumplir el ENS equivale a cumplir el RGPD?
No. El ENS protege los sistemas y el RGPD protege los datos personales. Si tu sistema trata datos personales, se aplican los dos y prevalecen las medidas más exigentes que salgan del análisis de riesgos.
¿Qué pasa si no cumplo el ENS?
Lo más probable es que quedes fuera de la licitación o pierdas el contrato, porque el pliego exige la conformidad. Si además hay una brecha con datos personales, se aplica el RGPD. Consulta tu caso con un asesor.
Importancia de la privacidad personal en la era digital
La privacidad personal en la era digital es un aspecto crítico que requiere atención constante y medidas proactivas por parte de las personas que tienen algún tipo de actividad, de activo o de información online.
¿Qué es la privacidad personal?
La privacidad personal es la capacidad de una persona para controlar qué información propia se comparte, con quién y en qué condiciones. En 2026, con la vida cotidiana volcada en redes sociales, banca online y servicios en la nube, proteger la privacidad personal es una condición para evitar el fraude, la suplantación de identidad y el uso indebido de los datos.
En un mundo donde la tecnología y la conectividad están omnipresentes, mantener la privacidad personal se ha convertido en un desafío cada vez mayor. La privacidad no es solo una cuestión de mantener la información en un lugar protegido, sino de asegurar que cada persona tenga el derecho de decidir cómo se utiliza su información y quién tiene acceso a ella.
Las legislaciones nacionales e internacionales protegen el derecho a la privacidad personal de los individuos, poniendo el foco de forma especial en la privacidad personal online. Estas regulaciones son la base del derecho a la privacidad personal, pero también de la responsabilidad de cada uno de velar por la privacidad propia y de ejercer y exigir las acciones necesarias para protegerla hasta el nivel que cada uno considere.
¿Qué diferencia hay entre privacidad personal y privacidad digital?
La privacidad personal es el concepto amplio, el derecho a decidir qué se sabe de ti, dentro y fuera de internet. La privacidad digital es su aplicación al entorno online, es decir, qué rastro dejas en redes sociales, qué datos recogen las aplicaciones que usas y qué pueden inferir de ti los algoritmos que los procesan.
En la práctica, ambas van de la mano. Una filtración de datos, un perfil falso en redes sociales o un algoritmo de inteligencia artificial que cruza información sin tu consentimiento afectan primero a tu privacidad digital, pero terminan comprometiendo tu privacidad personal en el sentido más amplio, afectando a tu reputación, tu patrimonio y tu tranquilidad.
¿Cuáles son las características de la privacidad personal digital?
La privacidad personal digital se caracteriza por varios elementos clave que deben formalizarse de manera conjunta para garantizarla en los términos que marca la ley.
- Control de los datos. Las personas deben tener la capacidad de controlar qué información se recopila, cómo se utiliza y con quién se comparte. Esto incluye tener acceso a sus propios datos y la capacidad de corregir información inexacta o eliminar la que no se desea compartir.
- Transparencia. Las organizaciones que recopilan datos deben ser transparentes sobre sus prácticas. Esto implica informar claramente a los usuarios sobre qué datos se están recopilando, con qué propósito y cómo serán protegidos.
- Seguridad de la información. La protección de los datos personales es fundamental para evitar el acceso no autorizado, el robo de identidad y otras formas de abuso. Las medidas de seguridad adecuadas, como la encriptación y el uso de contraseñas seguras, son esenciales y han de estar garantizadas.
- Consentimiento informado. Antes de que se recopilen o compartan los datos personales, se debe obtener el consentimiento explícito del individuo. Este consentimiento debe ser informado, lo que significa que la persona debe comprender claramente para qué se utilizarán sus datos y qué implicaciones respecto a su privacidad personal tiene su consentimiento.
- Derecho al olvido. En algunos casos, las personas deben tener el derecho a que sus datos sean eliminados de las bases de datos y sistemas donde ya no son necesarios o donde se ha retirado el consentimiento.
Preocupaciones y delitos contra la privacidad de la información personal en la era digital
La era digital ha traído consigo una serie de preocupaciones y delitos que afectan la privacidad de la información personal. Algunos de los principales problemas a los que hay que hacer frente son:
Algoritmos de inteligencia artificial
Los algoritmos de inteligencia artificial (IA) analizan grandes volúmenes de datos para identificar amenazas y tomar decisiones. Si bien esta capacidad es beneficiosa en muchos aspectos, también plantea riesgos para la privacidad. Los algoritmos pueden recopilar y analizar datos personales sin el conocimiento o el consentimiento del usuario, lo que puede llevar a la discriminación, la pérdida de privacidad y el uso indebido de la información.
Puedes profundizar en esta amenaza en los riesgos de la IA para las personas.
Vigilancia masiva de la privacidad
La vigilancia masiva se refiere a la recopilación y monitoreo extensivo de datos sobre individuos o grupos por parte de gobiernos, corporaciones u otras entidades. Esta vigilancia puede incluir la recopilación de datos de telecomunicaciones, redes sociales, cámaras de seguridad y más.
La vigilancia masiva es susceptible de invadir la privacidad de las personas y socavar la confianza en las instituciones que recopilan y utilizan estos datos.
Suplantación de identidad
La suplantación ocurre cuando alguien utiliza datos robados como el nombre, DNI, correo, imágenes o incluso la voz, para hacerse pasar por otra persona. En 2026, esta amenaza se ha ampliado con los deepfakes, capaces de clonar voz e imagen con un solo audio o foto de origen, y con el SIM swapping, que secuestra la línea telefónica para saltarse la verificación en dos pasos.
Estafas y fraudes
Las estafas y fraudes online son una amenaza constante para la privacidad personal. Los ciberdelincuentes utilizan diversas tácticas para engañar a las personas y obtener acceso a sus datos personales y financieros. Estas tácticas incluyen el phishing, el vishing (estafas por teléfono) y el smishing (estafas por mensajes de texto).
Delitos de odio
Los delitos de odio en el entorno digital incluyen el acoso, amenazas y difamación dirigidos a individuos o grupos basados en características como raza, religión, género, orientación sexual o discapacidad. Estos delitos no solo violan la privacidad de las víctimas, sino que también tienen un impacto significativo en su bienestar emocional y psicológico.
Delitos contra la intimidad
Los delitos contra la intimidad incluyen la divulgación no autorizada de información personal, como datos, imágenes o videos íntimos, sin el consentimiento de la persona afectada. Puede ocurrir a través de hackeos, personas con ánimo vengativo o incluso empleados deshonestos con acceso a datos personales. Las consecuencias suelen ser devastadoras, afectando la reputación, las relaciones personales y la salud mental de la víctima.
Cómo proteger la privacidad personal
Proteger la privacidad personal online requiere la toma de conciencia de la necesidad y un enfoque proactivo. Algunas medidas efectivas para poner en marcha dicha protección son:
- Educación y concienciación. Mantenerse informado y actualizado sobre las amenazas a la privacidad y las mejores prácticas para proteger la información personal es el primer paso para saber qué herramientas y rutinas de protección hay que adoptar.
- Uso de herramientas de privacidad. Utilizar herramientas de privacidad, como navegadores seguros, VPNs (Redes Privadas Virtuales) y software de encriptación, diseñadas para proteger los datos online, ayuda a mantener privadas las comunicaciones y actividades en línea.
- Configuración de privacidad en redes sociales. Es recomendable ajustar las configuraciones de privacidad en todas las cuentas de redes sociales para limitar quién puede ver y acceder a la información personal, además de revisar y actualizar dichas configuraciones regularmente. Ser consciente del alcance real que buscamos o pretendemos y la naturaleza de la cuenta (cuenta profesional versus cuenta personal) y ajustar la información volcada y la privacidad a los mismos.
- Contraseñas seguras y autenticación multifactor. Resulta imprescindible utilizar contraseñas fuertes y únicas para cada una de las cuentas online, aunque a veces sea una práctica incómoda. Además, se debe habilitar la autenticación multifactor siempre que sea posible. Esto añade una capa adicional de seguridad al requerir una segunda forma de verificación, además de la contraseña.
- Revisión de permisos de aplicaciones. Antes de instalar una aplicación, se debe revisar con atención los permisos que solicita y asegurarse de que son necesarios para su funcionamiento. Con esta información, hay que limitar el acceso de las aplicaciones a la información personal tanto como sea posible.
- Monitorización de actividades sospechosas. Es recomendable tener configuradas alertas para las actividades, usuales o no, en las cuentas financieras y otros servicios importantes. Además, en el caso de personas de relevancia social o económica, con gran cantidad de datos muy sensibles volcados en la red es aconsejable utilizar soluciones de monitorización de la información personal online y los activos digitales para detectar posibles amenazas a la privacidad que impliquen el uso delictivo de los mismos.
- Estar alerta con los correos y mensajes y enlaces sospechosos. No se debe nunca abrir correos ni mensajes de remitentes desconocidos ni hacer clic en enlaces de los que no se esté seguro de su veracidad al 100%. Los ciberdelincuentes utilizan técnicas de phishing para engañar a las personas y robar su información personal.
- Derecho al olvido. Si en algún momento se considera que una empresa no ha de tener más los datos personales, se puede y debe solicitar que los eliminen. Una gran cantidad de legislaciones, como el GDPR en Europa, otorgan este derecho a las personas.
Qondar: la plataforma de Enthec que te ayuda a proteger tu privacidad personal
Qondar es la innovadora solución desarrollada por Enthec para dar respuesta a la creciente necesidad de protección online de la privacidad personal individual. Nuestra plataforma monitoriza de forma continua y automatizada la información sensible y los activos digitales de las personas para proteger la privacidad personal y prevenir el uso delictivo o dañino de estos.
Gracias a esta solución, la persona protegida recibe alertas en tiempo real de filtraciones y exposiciones públicas de sus datos sensibles, para que pueda remediarlas y evitar que sean utilizadas de forma delictiva en su contra.
Contacta con nosotros para saber más sobre cómo puede Qondar ayudarte a proteger tu privacidad personal o la de las personas relevantes de tu organización.
Preguntas frecuentes sobre la privacidad personal
¿Qué es la privacidad personal?
Es el derecho de una persona a controlar qué información sobre su vida se comparte, con quién y en qué condiciones, tanto dentro como fuera de internet.
¿Es lo mismo privacidad personal que protección de datos?
No exactamente. La protección de datos es el marco legal (en Europa, el RGPD) que regula cómo se recopilan y tratan los datos personales. La privacidad personal es el derecho más amplio que ese marco legal protege.
¿Qué diferencia hay entre privacidad personal y privacidad digital?
La privacidad personal es el concepto general; la privacidad digital es su versión aplicada al entorno online, es decir, redes sociales, apps y algoritmos que procesan tus datos.
¿Cómo puedo proteger mi privacidad personal en internet?
Ajustando la configuración de privacidad en redes sociales, usando contraseñas únicas con autenticación multifactor, revisando los permisos de las apps y, si tu exposición pública es alta, apoyándote en una herramienta de monitorización continua como Qondar.
¿Qué es el derecho al olvido?
Es el derecho, recogido por el RGPD, a solicitar que una organización elimine tus datos personales cuando ya no son necesarios para la finalidad con la que se recopilaron o cuando retiras tu consentimiento.
Deepfakes: qué es, significado y cómo detectarlos en la actualidad
Los deepfakes son uno de los fenómenos más disruptivos que ha generado la inteligencia artificial en los últimos años. Entender qué es un deepfake, cómo funciona y cómo detectarlo ya no es una cuestión técnica reservada a expertos: es una habilidad de supervivencia digital para cualquier persona o empresa que opere en entornos conectados.
En esta guía actualizada a 2026 encontrarás la definición completa del deepfake significado, los tipos que existen, deepfakes ejemplos reales y las herramientas más eficaces para detectarlos antes de que causen daño.
¿Qué es deepfakes?
El término “deepfake” surge de la combinación de dos palabras: “deep learning” (aprendizaje profundo) y “fake” (falso). Se trata de contenido multimedia manipulado utilizando algoritmos de inteligencia artificial, específicamente redes neuronales profundas, para crear una versión altamente realista de algo que no ocurrió en realidad.
En otras palabras, los deepfakes permiten cambiar rostros, voces o incluso movimientos en vídeos y audios, logrando que parezca que una persona dijo o hizo algo que jamás ocurrió. Por ejemplo, puedes ver a una celebridad cantando una canción que nunca interpretó o a un político pronunciando un discurso falso.
¿Cómo funcionan los deepfakes?
Los deep fake IA se generan mediante tecnologías avanzadas de aprendizaje profundo. Esto implica entrenar a la IA con grandes cantidades de datos: imágenes, vídeos y audios de una persona para que la máquina aprenda a replicar sus gestos, tono de voz y expresiones faciales.
Este proceso utiliza técnicas como las GANs (Generative Adversarial Networks), que enfrentan dos redes neuronales entre sí:una genera contenido falso y la otra evalúa su autenticidad, mejorando el resultado con cada iteración.
La facilidad con la que se pueden crear estas imágenes falsas ha aumentado gracias a herramientas accesibles en internet. Antes, crear un deepfake requería conocimientos avanzados de programación y equipos costosos, pero hoy cualquiera con acceso a ciertas aplicaciones puede generar un vídeo manipulado.
¿Cómo funciona la deep fake IA?
La deep fake IA se basa en dos tecnologías principales que trabajan en paralelo:
GANs: Generative Adversarial Networks
El mecanismo más extendido para crear deepfakes son las redes generativas antagónicas (GANs). Funcionan enfrentando dos redes neuronales entre sí, una genera el contenido falso y la otra lo evalúa hasta que el resultado supera la detección. Cada iteración mejora la calidad del engaño.
Diffusion Models: la nueva generación
Desde 2023, los modelos de difusión (como los que alimentan Stable Diffusion o Midjourney) han desplazado parcialmente a las GANs en la generación de imágenes estáticas. Son más estables en el entrenamiento y producen resultados de mayor resolución. En 2025-2026, modelos multimodales como Sora (OpenAI) o VideoPoet (Google) han llevado esta tecnología a la síntesis de vídeo completo.
¿Cuántos datos necesita un deepfake para funcionar?
En 2020, crear un deepfake convincente requería entre 50.000 y 100.000 imágenes de la persona objetivo. En 2026, con los modelos más recientes, basta con una sola fotografía de alta resolución para generar un vídeo animado creíble. Esto ha democratizado y multiplicado exponencialmente el riesgo.
¿Por qué son peligrosos los deepfakes?
Ahora que conoces qué son los deepfakes y su funcionamiento, debemos destacar que aunque esta tecnología tiene aplicaciones positivas, como en la industria del entretenimiento, la educación o el marketing, su lado oscuro es innegable. Los deepfakes se han utilizado para difundir noticias falsas, suplantar identidades y hasta para extorsionar a personas.
Impacto en la sociedad
- Difusión de desinformación. Los deepfakes se han convertido en herramientas perfectas para campañas de desinformación. Manipular un vídeo para hacer creer a alguien que algo falso es verdadero puede tener consecuencias graves, especialmente en tiempos electorales o durante crisis sociales.
- Daño a la reputación. Una imagen o vídeo falso puede arruinar la reputación de una persona pública o de cualquier individuo, afectando su vida personal y profesional.
- Ciberacoso y fraude. Los deepfakes se han utilizado para crear contenidos no consensuados o para engañar a personas en actividades fraudulentas.
Amenazas críticas de los deepfakes
El riesgo de los deepfakes no es solo tecnológico, es económico, reputacional y social. Estas son las amenazas más críticas identificadas en 2026:
Fraude financiero y Business Email Compromise (BEC)
Los deepfakes de audio y vídeo se han convertido en el vector más sofisticado de los ataques BEC de nueva generación. Un atacante puede clonar la voz del CEO o simular una videollamada corporativa para autorizar transferencias fraudulentas. El FBI y Europol reportan que este tipo de fraude ha crecido un 200% entre 2023 y 2025, aunque las cifras exactas varían según la fuente consultada.
Desinformación y daño reputacional
Un deepfake puede destruir en minutos la reputación de una persona o empresa. El contenido se viraliza antes de que pueda ser desmentido. Para las empresas, el daño reputacional derivado de un deepfake puede equivaler a meses de trabajo de relaciones públicas.
Suplantación de identidad en autenticación
Los sistemas de verificación facial utilizados en banca, seguros o acceso a plataformas corporativas son vulnerables a deepfakes de alta calidad.
Impacto en la seguridad de las personas
A nivel individual, los deepfakes se utilizan para el ciberacoso, la extorsión sexual (sextortion) y la suplantación de identidad. Plataformas como Qondar permiten a los ciudadanos monitorizar si su imagen o identidad digital está siendo utilizada sin consentimiento.
Los 6 pasos para detectar un deepfake
Aunque cada vez son más realistas, los deepfakes no son infalibles. Existen algunos trucos para identificar estas imágenes falsas y protegerte del engaño.
- Observa los detalles del rostro: los deepfakes suelen fallar en aspectos sutiles, como el parpadeo de los ojos, la sincronización de labios o el movimiento natural de las cejas. Si un vídeo parece extraño, presta atención a estos detalles.
- Analiza el audio: en los audios manipulados, la entonación y el ritmo del habla pueden sonar mecánicos o poco naturales. Escucha cuidadosamente si algo no encaja.
- Busca inconsistencias en la iluminación: los errores en las sombras o reflejos suelen ser comunes en los deepfakes. Si la iluminación del rostro no coincide con el entorno, es probable que sea falso.
- Usa herramientas especializadas: actualmente, existen plataformas diseñadas para analizar si un vídeo o una imagen han sido manipulados. Herramientas de ciberseguridad como Deepware Scanner o InVID pueden ayudarte a verificar la autenticidad del contenido.
- Confía en fuentes oficiales: antes de creer en un contenido dudoso, verifica la información con fuentes confiables. En muchos casos, los deepfakes se diseñan para manipular emocionalmente y provocar reacciones inmediatas.
- Utiliza herramientas especializadas de detección: Existen detectores de deepfake basados en IA que analizan las huellas digitales dejadas por los modelos generativos. Estas herramientas se enmarcan dentro de lo que las empresas de ciberseguridad denominan herramientas de ciberseguridad de nueva generación orientadas a la detección de contenido sintético.
¿Qué hacer si encuentras un deepfake?
Si sospechas que has encontrado un deepfake o que eres víctima de uno, actúa siguiendo estos pasos:
- No lo compartas: difundir contenido falso, incluso con intención de denunciarlo, amplifica su alcance.
- Documenta la evidencia: descarga el contenido, guarda la URL y anota la fecha y el contexto antes de que sea eliminado.
- Denuncia en la plataforma: todas las redes sociales principales tienen mecanismos de reporte para contenido sintético manipulado. Úsalos.
- Notifica al afectado: si el deepfake suplanta a una persona conocida, informa directamente a esa persona para que pueda tomar medidas legales.
- Contacta con INCIBE: el Instituto Nacional de Ciberseguridad de España ofrece asistencia a ciudadanos y empresas afectadas por incidentes de seguridad digital, incluyendo deepfakes.
En el contexto empresarial, los deepfakes son un vector de ataque que debe contemplarse dentro de la estrategia de seguridad del correo electrónico y las políticas de verificación de identidad.
Deep fake IA y regulación en 2026: qué cambia
El AI Act de la Unión Europea, en vigor desde agosto de 2026, establece obligaciones específicas para los proveedores de sistemas de IA generativa. Entre ellas, la obligación de etiquetar los contenidos sintéticos con marcas de agua digitales detectables (watermarking). Esta medida, aunque relevante, no soluciona el problema de los deepfakes creados con herramientas fuera del control regulatorio europeo.
En España, el RGPD y la Ley Orgánica de Protección de Datos ya permiten reclamar ante la AEPD por el uso no consensuado de la imagen de una persona mediante deepfake. Sin embargo, la atribución del deepfake a un autor concreto sigue siendo el principal reto jurídico en 2026.
La convergencia entre deepfakes y otras amenazas como el SIM swapping, el ransomware o la inteligencia artificial en ciberseguridad está creando escenarios de ataque cada vez más complejos que requieren respuestas coordinadas.
¿Cómo podemos ayudarte en Enthec?
En Enthec, somos conscientes de los desafíos que los deepfakes representan para los individuos. Por eso, ponemos a tu disposición soluciones de cibervigilancia para personas que detectan y previenen manipulaciones digitales.
El impacto de los deepfakes es real, pero con las soluciones adecuadas, puedes estar un paso adelante. Contacta con nosotros y protege lo que más importa: tu credibilidad y seguridad.
En un mundo donde hacer creer a alguien que algo falso es verdadero se ha vuelto tan sencillo, la prevención y el conocimiento son tus mejores aliados. No permitas que los deepfakes te engañen: identifica, protege y actúa. Confía en Enthec para mantenerte a salvo en el entorno digital.
Preguntas frecuentes sobre deepfakes
¿Cuál es el significado de deepfakes exacto?
El significado de deepfake proviene de la combinación de "deep learning" (aprendizaje profundo) y "fake" (falso). Se refiere a cualquier contenido multimedia generado o manipulado mediante inteligencia artificial para suplantar la apariencia o la voz de una persona real sin su consentimiento.
¿Se puede hacer un deepfake de cualquier persona?
Técnicamente, sí. En 2026, con tan solo una fotografía de calidad es posible generar un vídeo animado convincente. Por eso es importante limitar la exposición pública de imágenes en alta resolución y activar protocolos de monitorización de identidad digital.
¿Son ilegales los deepfakes en España?
El uso de deepfakes sin consentimiento puede ser sancionable bajo el RGPD, la Ley Orgánica de Protección de Datos y, en casos de acoso o extorsión, el Código Penal español. El AI Act europeo, vigente desde 2026, añade obligaciones adicionales para los creadores de contenido sintético en el ámbito de la IA generativa.
¿Qué diferencia hay entre un deepfake y un shallowfake?
Un deepfake utiliza inteligencia artificial y redes neuronales para generar contenido sintético de alta complejidad. Un shallowfake, en cambio, es una manipulación más sencilla, como ralentizar un vídeo, recortar contexto o editar subtítulos, que no requiere IA pero puede ser igualmente engañosa.
¿Cómo sé si un vídeo de una videollamada es un deepfake?
En una videollamada en tiempo real, observa aspectos importantes como la calidad del vídeo (los deepfakes en vivo suelen tener más latencia o resolución irregular), los movimientos de la cabeza en ángulos extremos (que los modelos actuales distorsionan), y la naturalidad de las expresiones faciales. En entornos corporativos críticos, establece siempre una palabra de verificación acordada previamente con tu interlocutor.
¿Los deepfakes pueden afectar a empresas además de a personas?
Sí, y con consecuencias económicas graves. Los deepfakes de directivos, empleados o representantes de marca son un vector creciente de fraude corporativo. La cibervigilancia corporativa es la primera línea de defensa para detectar este tipo de amenazas antes de que se materialicen.
Vishing: qué es, cómo funciona y cómo protegerte de las llamadas fraudulentas
El teléfono suena, ves un número que parece el de tu banco y descuelgas sin pensarlo dos veces. Eso es exactamente lo que busca el vishing, una estafa telefónica que combina ingeniería social y suplantación de identidad para obtener tus credenciales de acceso, códigos de verificación o dinero directamente.
El término viene de unir “voice” y “phishing”, y en los últimos años se ha convertido en uno de los fraudes que más rápido crece en España.
¿Qué es exactamente el vishing?
El vishing es una estafa telefónica en la que el atacante se hace pasar por una entidad de confianza (un banco, Hacienda, una operadora, el soporte técnico de una empresa) para conseguir que la víctima entregue información sensible o autorice una transferencia. No hay malware de por medio ni un enlace que pinchar, todo el ataque ocurre en la conversación.
Según datos de INCIBE, el organismo público de ciberseguridad gestionó más de 120.000 incidentes de ciberseguridad en 2025, un 26% más que el año anterior, y el propio sector señala que el vishing fue una de las modalidades con mayor crecimiento en ese periodo.
El Ministerio del Interior, por su parte, registró 489.248 ciberdelitos en 2025, de los cuales 430.493 fueron estafas informáticas. El teléfono, lejos de ser un canal anticuado para el fraude, se ha convertido en una de las vías preferidas por los estafadores.
¿Cómo funciona el vishing? Anatomía de una llamada fraudulenta
Un ataque vishing suele seguir un guion bastante reconocible una vez que lo conoces, aunque en el momento resulte convincente:
- Suplantación del identificador de llamada (caller ID spoofing). El número que ves en pantalla parece real, incluso coincide con el de tu banco, porque el atacante lo ha falsificado.
- Sensación de urgencia. Te avisan de un cargo sospechoso, un bloqueo de cuenta o un paquete retenido. El objetivo es que actúes con miedo y no con calma.
- Petición de datos o códigos. Te piden que “confirmes” tu identidad dando un código SMS, tu PIN o que digas “sí” en voz alta, información que después puede usarse para acceder a tus cuentas igual que lo haría un infostealer que hubiese comprometido tu dispositivo.
- Cierre rápido. Antes de que puedas verificar nada por otra vía, la llamada termina y el daño ya está hecho.
Lo que ha cambiado en los últimos años es la sofisticación técnica. La clonación de voz mediante inteligencia artificial ya permite imitar la voz de un familiar o de un directivo con apenas unos segundos de audio, algo que hace unos años sonaba a ciencia ficción y hoy es una amenaza real para empresas y particulares por igual.
Te puede interesar-> SIM Swapping: qué es, cómo funciona y cómo evitar esta estafa en 2026
Ejemplos de vishing que circulan ahora mismo
Estos son algunos de los ejemplos de vishing más habituales que se reportan en España:
| Tipo de llamada | Lo que dicen | Lo que buscan |
| Falso departamento de seguridad bancaria | “Detectamos un movimiento sospechoso en tu cuenta” | Código SMS o clave de banca online |
| Falso soporte técnico | “Tu ordenador tiene un virus, necesitamos acceso remoto” | Instalar software de control remoto |
| Falsa Agencia Tributaria | “Tienes una devolución pendiente, confirma tus datos” | Datos bancarios y personales |
| Fraude del CEO por voz | “Soy el director, necesito una transferencia urgente” | Autorización de pago desde un empleado |
| Falsa operadora de telefonía | “Vamos a mejorar tu tarifa, confírmame el código que te llega” | Portabilidad fraudulenta de la línea |
Este último caso es especialmente peligroso porque, si el estafador consigue portar tu número, puede interceptar los códigos de verificación de tus apps bancarias.
Cómo detectar un ataque de vishing antes de que sea tarde
Hay señales que casi siempre están presentes, aunque a veces cuesta verlas en caliente:
- Te contactan por sorpresa y con prisa, nunca dan tiempo para pensar.
- Piden datos que la entidad real jamás pediría por teléfono, como el PIN completo o un código SMS.
- Insisten en que no cuelgues y llames tú mismo a ese teléfono para “comprobar” que es oficial: es justo lo contrario de lo que deberías hacer.
- El identificador coincide con el número real de tu banco, algo que ya no es garantía de nada porque la suplantación de identificador está a la orden del día.
Un matiz importante: el consejo clásico de “cuelga y llama al número que tienes guardado” sigue siendo válido, pero solo si marcas tú el número de forma manual desde tu propio teléfono, nunca devolviendo la llamada ni pulsando ningún botón que te sugiera el propio estafador.
Cómo evitar el vishing
Prevenir el vishing no depende de tener más tecnología, sino de cambiar algunos hábitos:
- No des nunca códigos de verificación por teléfono. Ninguna entidad legítima los pide así.
- Cuelga y verifica por otro canal. Contacta con tu banco a través de la app oficial o del teléfono que aparece en tus documentos, no en el que te ha llamado.
- Desconfía de la urgencia. Casi cualquier problema real puede esperar diez minutos mientras tú verificas los datos.
- Instala un bloqueador de llamadas con base de datos de números reportados como fraudulentos.
- Forma a tu equipo si tienes una empresa. El fraude del CEO por voz ha crecido precisamente porque muchos empleados no saben que existe.
Si ya has dado algún dato sensible, actúa rápido, bloquea tarjetas o accesos desde la app de tu banco, cambia contraseñas y denuncia ante la Policía o la Guardia Civil. Cuanto antes actúes, menos margen tiene el estafador para usar esa información.
El vishing en el ámbito empresarial: vigilancia continua frente a exposición
Para una empresa, un solo empleado engañado por vishing puede abrir la puerta a una filtración de credenciales, un fraude del CEO o el acceso a sistemas internos. Aquí ya no basta con la formación puntual, hace falta saber en todo momento qué datos, credenciales o menciones de la organización están circulando fuera, porque muchas campañas de vishing se preparan con información previa obtenida de filtraciones o de perfiles corporativos expuestos.
Esto es precisamente lo que resuelve la Gestión Continua de la Exposición a Amenazas (CTEM), un enfoque de cibervigilancia que monitoriza de forma permanente qué información sobre tu empresa, tus empleados o tus proveedores está accesible para un posible atacante, antes de que la use.
Kartos, la solución de cibervigilancia de Enthec, aplica este modelo CTEM para empresas, detectando credenciales filtradas, exposición de datos y superficies de ataque que después se explotan en campañas de vishing dirigidas.
Preguntas frecuentes sobre el vishing
¿El vishing es lo mismo que el phishing?
No. El phishing llega por correo electrónico o enlace, mientras que el vishing ocurre por llamada de voz. Ambos buscan el mismo objetivo, robar datos o dinero, pero usan canales distintos y técnicas de manipulación diferentes.
¿Puede el banco devolverme el dinero si caigo en un vishing?
Depende de cada caso. Si alguien accedió a tu cuenta sin tu consentimiento, la normativa PSD2 obliga al banco a devolverte el importe. Si tú autorizaste la operación engañado, el proceso es más complicado, aunque los tribunales españoles están siendo cada vez más favorables a las víctimas.
¿Cómo sé si una llamada de mi banco es real?
Cuelga y llama tú mismo al número oficial que aparece en tu tarjeta o en la app. Nunca uses el número que te ha llamado ni el que te sugiera el interlocutor.
¿Las empresas pequeñas también son objetivo de vishing?
Sí, de hecho, son un objetivo habitual precisamente porque suelen tener menos protocolos de verificación que las grandes corporaciones, y una sola transferencia autorizada por error puede suponer una pérdida importante.
Riesgo de la cadena de suministro digital: por qué la brecha de tu proveedor puede ser tu problema
Tu empresa puede tener el mejor firewall del mercado y aun así sufrir una filtración de datos sin que nadie haya tocado tu red. Basta con que uno de tus proveedores tenga una credencial expuesta o un servidor mal configurado.
Esto es, en esencia, el riesgo de la cadena de suministro digital, es decir, la exposición que heredas de cada aplicación, servicio cloud o integración que conectas a tu negocio, aunque tú no la gestiones directamente.
¿Qué es exactamente el riesgo de la cadena de suministro digital?
Cuando hablamos de riesgo de cadena de suministro digital, nos referimos a las vulnerabilidades que entran en tu organización a través de terceros como el software de facturación que usa tu departamento financiero, el CRM al que subes datos de clientes, el proveedor logístico que tiene acceso a tu ERP. Cada uno de esos puntos es una puerta que tú no controlas, pero de la que sí respondes.
No es un problema nuevo, pero antes una empresa tenía cinco o seis proveedores críticos. Hoy, entre software as a service, APIs y subcontrataciones, la lista fácilmente supera el centenar, y buena parte de ella ni siquiera está inventariada.
Por qué la brecha de un proveedor se convierte en tu problema
Aquí está el matiz que muchas empresas pasan por alto, legalmente, y de cara a tus clientes, casi nunca importa quién cometió el fallo, sino quién es el responsable último de los datos. Y no hablamos únicamente de una sanción económica, sino de un daño reputacional que acompañará a la compañía.
Según un análisis de Cipher (Supply Chain Attacks: 2025 analysis and 2026 trends) en 2025, el 22,5 % de todas las brechas de seguridad registradas involucraron a un proveedor o tercero. El doble que el año anterior. Y sin embargo, la mayoría de las organizaciones siguen midiendo su ciberseguridad solo desde adentro.
Los puntos ciegos más habituales en tu cadena de suministro
La mayoría de las brechas de terceros se producen por descuidos que se van acumulando y que nadie se para a revisar:
- Subdominios y activos olvidados: entornos de prueba o webs antiguas que siguen activas y sin parchear.
- Credenciales filtradas: contraseñas de empleados o proveedores que circulan en la deep web tras una brecha ajena.
- Accesos de terceros sin revisar: integraciones y permisos que se conceden una vez y nunca se auditan.
- Shadow IT: aplicaciones que un equipo contrata sin pasar por el departamento de sistemas.
- Menciones en foros clandestinos: información sobre tu empresa que circula en la dark web sin que lo sepas.
Cualquiera de estos puntos puede convertirse en el origen de un incidente si nadie lo vigila de forma constante.
De la auditoría anual al enfoque CTEM
Durante años, la respuesta habitual a este riesgo fue el pentesting puntual o la auditoría de proveedores una vez al año. El problema es que entre una revisión y la siguiente pueden pasar meses en los que la superficie de exposición cambia por completo.
| Enfoque | Frecuencia | Qué detecta | Limitación principal |
| Auditoría anual | Puntual, una vez al año | Foto fija del estado de seguridad | Desactualizada en semanas |
| Pentesting periódico | Cada 6-12 meses | Vulnerabilidades técnicas conocidas | No cubre terceros ni activos nuevos |
| CTEM (Gestión Continua de la Exposición a Amenazas) | Continuo | Exposición real, credenciales filtradas, activos olvidados, riesgo de proveedores | Requiere una herramienta especializada |
El CTEM, Gestión Continua de la Exposición a Amenazas, parte de una idea distinta, la ciberseguridad no es un examen que se aprueba una vez al año, es un proceso que hay que vigilar todos los días. En vez de esperar a la siguiente auditoría, el objetivo es tener visibilidad constante sobre qué está expuesto, dónde y con qué urgencia hay que actuar.
Aquí es donde entra Enthec, con sus soluciones de cibervigilancia orientadas precisamente a este enfoque. Kartos, su plataforma para empresas, monitoriza de forma continua la superficie digital expuesta de una organización y la de sus proveedores críticos. Detecta credenciales filtradas, dominios olvidados y menciones en foros clandestinos antes de que se conviertan en un incidente.
Para quienes gestionan su propia exposición como profesionales o autónomos, Enthec ofrece también Qondar, pensada para vigilar la identidad digital a nivel individual.
Qué puede hacer tu empresa a partir de hoy
No hace falta un cambio radical de la noche a la mañana, pero sí conviene empezar a moverse en esta dirección:
- Haz un inventario real de tus proveedores críticos y de qué datos o accesos tiene cada uno.
- Pregunta a esos proveedores qué controles de seguridad aplican y si están dispuestos a compartir esa información.
- Sustituye la revisión puntual por una vigilancia continua de la exposición de tu empresa y de tu cadena de valor.
- Prioriza según impacto, porque no todos los proveedores requieren el mismo nivel de escrutinio.
Preguntas frecuentes
¿Qué diferencia hay entre riesgo de terceros y riesgo de cadena de suministro digital?
El riesgo de terceros se centra en cada proveedor individual, en sus controles, certificaciones, historial... El riesgo de cadena de suministro digital es más amplio, abarca toda la red de dependencias tecnológicas por la que puede propagarse un incidente.
¿Cómo se mide el riesgo de un proveedor digital?
Se combina información pública, como dominios expuestos, credenciales filtradas o reputación, con cuestionarios de seguridad y, cuando es posible, monitorización continua de su superficie de exposición mediante herramientas de cibervigilancia.
¿El CTEM sustituye al pentesting?
No, lo complementa. El pentesting sigue siendo útil para probar controles concretos en un momento dado. El CTEM aporta la vigilancia continua entre esas pruebas puntuales.
¿Qué tamaño de empresa necesita vigilar su cadena de suministro digital?
Cualquiera que dependa de proveedores externos para operar, que hoy en día es prácticamente cualquier empresa con presencia online, con independencia de su tamaño.
Si quieres saber cuánta exposición tiene hoy tu empresa y la de tus proveedores críticos, puedes solicitar una demo de Kartos y ver de primera mano qué encuentra en tu superficie digital.
¿Cómo pueden robar los datos de tu tarjeta de crédito?
España es el tercer país de Europa con más tarjetas de crédito robadas y vendidas en la dark web. Según la investigación de NordVPN de 2025, los datos bancarios de usuarios españoles se venden a un precio medio de 11,68 dólares la unidad, y habitualmente en paquetes, lo que da una idea del volumen de tarjetas comprometidas que circulan en mercados ilegales. En paralelo, en febrero de 2026, los bancos españoles y la OCU emitieron alertas tras detectar una ola de cargos fraudulentos de céntimos diseñados para testear si una tarjeta funciona antes del golpe definitivo.
Saber cómo roban los datos de tu tarjeta y qué hacen con ellos después, es el primer paso para no convertirte en víctima.
Robo de datos de tarjetas de crédito en transacciones no presenciales
En los últimos años, se han implementado los sistemas EMV para evitar la clonación física de las tarjetas de crédito. EMV es un método de pago basado en un estándar técnico para tarjetas de pago inteligentes y para terminales de pago y cajeros automáticos que pueden aceptarlas. EMV significa "Europay, Mastercard y Visa", las tres compañías que crearon el estándar.
Es por eso por lo que las vulnerabilidades de tarjetas de crédito son más comunes durante las transacciones de tarjetas no presentes (CNP).
¿Cómo pueden robar los datos de tu tarjeta de crédito? Formas más comunes
Los ciberdelincuentes disponen hoy de una variedad de técnicas para obtener los datos de tu tarjeta, tanto en entornos físicos como digitales. Estas son las más extendidas en la actualidad:
Phishing, smishing y vishing
El phishing es el método más común. El atacante se hace pasar por tu banco, por una empresa de mensajería o por una plataforma de pago (Amazon, PayPal, BBVA, CaixaBank...) y te envía un correo o SMS con un enlace a una página falsa donde introduces tus datos de tarjeta sin saberlo.
- Smishing: la misma técnica por SMS. Muy frecuente con mensajes del tipo "Tu paquete está retenido, introduce tus datos para liberarlo".
- Vishing: llamada telefónica. El fraude del "falso técnico bancario" que detecta una compra sospechosa y te pide confirmar datos para anularla.
En todos los casos, el objetivo es el mismo, que introduzcas voluntariamente el número de tarjeta, la fecha de caducidad y el CVV.
Web Skimming (formjacking)
El web skimming o formjacking consiste en inyectar código JavaScript malicioso en la página de pago de una tienda online legítima. El código es completamente invisible para el usuario y para el comercio. Captura los datos de la tarjeta en el momento exacto en que los introduces y los envía al servidor del atacante.
Skimming y shimming en cajeros y datáfonos
Aunque los sistemas EMV (chip) redujeron drásticamente el skimming clásico, los delincuentes han evolucionado:
- Skimming: instalación de un dispositivo físico sobre el lector de tarjetas de un cajero o datáfono que copia la banda magnética. Los modelos modernos incorporan transmisión Bluetooth para extraer los datos a distancia.
- Shimming: variante más reciente y difícil de detectar. Los criminales introducen una lámina electrónica ultrafina (shim) dentro de la ranura del lector que intercepta la comunicación entre el chip EMV de la tarjeta y el terminal. Puede leer datos suficientes para crear tarjetas magnéticas fraudulentas.
Filtración de datos de empresas
Cuando una empresa que almacena datos de pago sufre un ataque, los delincuentes obtienen miles o millones de registros de tarjetas de un solo golpe. Estas filtraciones son especialmente rentables para los atacantes y son la principal fuente de tarjetas de crédito filtradas que se venden en la dark web.
Los datos robados en brechas de seguridad corporativas pueden tardar meses en aparecer en mercados ilegales, lo que hace que el usuario no asocie la filtración con un incidente concreto.
Redes WiFi públicas y ataques man-in-the-middle
Al conectarte a una red WiFi pública no cifrada (aeropuerto, cafetería, hotel) y realizar una compra, un atacante en la misma red puede interceptar la comunicación y capturar los datos de tu tarjeta. Esta técnica, conocida como ataque man in the middle, es menos frecuente hoy gracias a HTTPS, pero sigue siendo un vector activo en redes mal configuradas.
Malware y spyware en dispositivos
Aplicaciones maliciosas o descargas infectadas pueden instalar en tu dispositivo un keylogger o un spyware que registra todo lo que escribes, incluyendo los datos de tu tarjeta al hacer compras online.
| Técnica | Entorno | Cómo funciona | Señal de alerta |
| Phishing / smishing | Online / móvil | Email o SMS con enlace a web falsa del banco | URL sospechosa, urgencia en el mensaje |
| Vishing | Telefónico | Llamada de "tu banco" pidiendo datos | Ningún banco pide el CVV por teléfono |
| Web skimming | Tiendas online | Código malicioso en el formulario de pago | Difícil de detectar como usuario |
| Skimming físico | Cajeros y TPV | Dispositivo superpuesto al lector | Lector con partes sueltas o extrañas |
| Shimming | Cajeros y TPV | Lámina en la ranura del chip EMV | Casi imposible de detectar a simple vista |
| Filtración de datos | Empresas | Brecha en la base de datos de un comercio | Cargos desconocidos semanas después |
| WiFi pública | Redes abiertas | Intercepción de la conexión no cifrada | Redes sin contraseña en lugares públicos |
| Malware / keylogger | Dispositivo propio | App o descarga maliciosa registra pulsaciones | Comportamiento extraño del dispositivo |
¿Cómo clonan las tarjetas de crédito?
La clonación de tarjetas es el proceso por el que los delincuentes crean una copia física o virtual de tu tarjeta con los datos robados para usarla en compras fraudulentas.
Existen dos modalidades principales:
- Clonación física: a partir de los datos de la banda magnética obtenidos mediante skimming, se graba una tarjeta en blanco con esa información. Permite usarla en comercios que aún aceptan banda magnética (cada vez menos en Europa, pero habitual en algunos países de LATAM o en compras presenciales con terminales obsoletos).
- Clonación virtual (carding): con los datos completos de la tarjeta (número, fecha de caducidad y CVV) los delincuentes realizan compras online directamente, sin necesidad de fabricar ningún objeto físico. Este es el método dominante en España desde la generalización del chip EMV.
El proceso completo de carding opera como una cadena industrial: unos delincuentes roban los datos, otros los validan haciendo micropagos de céntimos para comprobar que la tarjeta está activa, y un tercer grupo la explota hasta agotar el crédito disponible.
¿Qué pueden hacer con los datos de tu tarjeta?
Una vez que los datos de tu tarjeta están en manos de los atacantes, los usos más habituales son:
| Uso fraudulento | Descripción |
| Compras online directas | Realizan pedidos en tiendas online a nombre de terceros o con dirección de envío anónima |
| Venta en la dark web | Venden los datos en paquetes a otros delincuentes a un precio medio de 10 € por tarjeta en España |
| Carding (micropagos de prueba) | Realizan cargos mínimos (0,50 €–1 €) para verificar que la tarjeta funciona antes de operar |
| Creación de tarjetas físicas clonadas | Con datos de banda magnética, fabrican tarjetas para usar en TPV sin chip |
| Fraude de identidad | Combinan los datos de la tarjeta con otros datos personales para hacerse pasar por ti |
| Transferencias o bizum fraudulentos | En algunos casos acceden a la banca online si tienen también las credenciales de acceso |
Hackearon mi tarjeta de crédito: señales para detectarlo y qué hacer
Si sospechas que hackearon tu tarjeta de crédito, o que tus datos forman parte de una filtración de tarjetas de crédito, las señales suelen aparecer antes de lo que imaginas, aunque casi nadie las asocia al fraude hasta que el daño ya es visible.
Estas son las señales más frecuentes que indican que los datos de tu tarjeta pueden estar comprometidos:
- Cargos desconocidos en el extracto, especialmente micropagos de céntimos (señal clásica de carding).
- Notificaciones de tu banco por compras que no has realizado, aunque hayas tenido la tarjeta en todo momento.
- Intentos fallidos de acceso a tu banca online desde dispositivos o ubicaciones desconocidas.
- Recibes confirmaciones de compra de pedidos que no has hecho, a veces en plataformas que ni conoces.
- Tu tarjeta es rechazada en una compra habitual sin razón aparente (puede indicar que el banco la ha bloqueado por actividad sospechosa detectada antes que tú).
- Tus datos bancarios aparecen en una alerta de filtración, como las que emite Qondar cuando detecta tus credenciales en la dark web.
Regla práctica: Revisa los movimientos de tu tarjeta al menos una vez a la semana. Cuanto antes identifiques un cargo fraudulento, más fácil es recuperar el dinero y más limitado es el daño.
¿Qué hacer si han robado los datos de tu tarjeta?
Si detectas cargos no autorizados o sospechas que tus datos están comprometidos, actúa en este orden:
- Llama inmediatamente a tu banco para bloquear o cancelar la tarjeta. La mayoría dispone de línea de atención 24 h. Hazlo aunque no estés seguro, es gratis y reversible.
- Documenta los cargos fraudulentos con capturas del extracto antes de que el banco los retire del historial visible.
- Presenta una denuncia ante la Policía Nacional o la Guardia Civil. Es necesaria para que el banco tramite la devolución de los importes y para que la investigación policial pueda avanzar.
- Solicita la devolución de los cargos (chargeback) a tu banco. En fraudes con tarjeta, la normativa europea (PSD2) obliga a los bancos a devolver el importe con carácter inmediato en la mayoría de casos, salvo negligencia grave del titular.
- Comprueba si tus datos están circulando en otras plataformas utilizando herramientas de monitorización como Qondar. La filtración de datos de tarjeta suele venir acompañada de otros datos personales que también pueden estar expuestos.
- Cambia las contraseñas de las plataformas donde tenías guardada esa tarjeta (Amazon, PayPal, plataformas de streaming...).
Cómo proteger los datos de tu tarjeta de crédito: guía práctica 2026
En compras online
- Compra únicamente en webs con HTTPS y sellos de confianza reconocidos.
- Usa tarjetas virtuales de un solo uso para compras en tiendas que no conoces.
- Activa las notificaciones en tiempo real de tu banco para cada cargo.
- Evita guardar los datos de la tarjeta en las plataformas si no las usas habitualmente.
- Nunca hagas compras conectado a una WiFi pública sin VPN.
En cajeros y datáfonos
- Inspecciona visualmente el lector antes de insertar la tarjeta. Si tiene partes sueltas, holgura o algo pegado encima, no lo uses.
- Prefiere el pago contactless (NFC) al de inserción cuando sea posible: elimina el riesgo de shimming.
- Cubre el teclado con la mano al introducir el PIN, aunque no veas cámaras.
- Usa preferentemente cajeros ubicados en oficinas bancarias o grandes establecimientos.
En tu dispositivo y correo
- No hagas clic en enlaces de SMS o correos que te pidan confirmar datos bancarios, aunque el remitente parezca tu banco. Accede siempre por la app oficial o escribiendo la URL directamente.
- Mantén el sistema operativo y las aplicaciones actualizadas para cerrar vulnerabilidades de malware.
- Activa la autenticación en dos factores (2FA) en tu banca online.
Monitorización continua
La protección reactiva tiene un límite, solo actúas cuando ya sabes que ha pasado algo. La monitorización continua de tus datos en la dark web, como la que ofrece Qondar, te permite detectar una filtración antes de que sea explotada.
Descubre más sobre privacidad personal y cómo protegerla.
Qondar: Monitorización continua de tus datos bancarios en la web y la dark web
La mayor parte de los fraudes con tarjeta no se detectan hasta que el daño ya está hecho. El problema es que entre el momento en que tus datos se filtran y el momento en que el delincuente los usa pueden pasar semanas o meses.
Qondar, la plataforma de cibervigilancia personal de Enthec, resuelve exactamente esto. Monitoriza de forma automatizada y continua si los datos de tu tarjeta, como el número, fecha de caducidad, combinaciones con tu email o teléfono, aparecen en bases de datos filtradas, foros de carding, mercados de la dark web o cualquier otra fuente de exposición.
Cuando detecta que tus datos están circulando, te alerta en tiempo real para que puedas cancelar la tarjeta, notificar al banco y bloquear cualquier uso antes de que el impacto sea mayor.
No necesitas conocimientos técnicos. Qondar trabaja en segundo plano, como un sistema de alarma permanente para tu identidad y activos digitales.
Preguntas frecuentes
¿Cómo roban los datos de mi tarjeta sin que me la quiten?
A través de técnicas digitales como el phishing (páginas falsas que imitan a tu banco), el web skimming (código malicioso en tiendas online) o el malware en tu dispositivo. También mediante dispositivos físicos instalados en cajeros (skimming y shimming) que capturan los datos cuando introduces la tarjeta.
¿Qué es una tarjeta de crédito filtrada?
Una tarjeta filtrada es aquella cuyos datos han sido obtenidos ilegalmente por delincuentes y se venden o distribuyen en mercados de la dark web o foros de carding. España fue en 2025 el tercer país europeo con más tarjetas filtradas circulando en estos mercados.
¿Cómo clonan las tarjetas de crédito?
Mediante skimming (dispositivos en cajeros que leen la banda magnética) o shimming (láminas que interceptan el chip EMV), los delincuentes obtienen datos para fabricar tarjetas físicas falsas. En entornos online, la clonación virtual utiliza directamente el número, la fecha y el CVV para hacer compras sin necesidad de fabricar ningún objeto físico.
¿Cómo saber si han hackeado mi tarjeta de débito o crédito?
Las señales más claras son cargos desconocidos en el extracto, confirmaciones de compras que no has realizado o que tu tarjeta sea rechazada sin motivo aparente. También puedes recibir alertas de tu banco o de herramientas como Qondar si tus datos aparecen en una filtración.
¿Qué pueden hacer con los datos de mi tarjeta?
Principalmente, realizar compras online fraudulentas, venderlos en la dark web a otros delincuentes o usarlos para crear tarjetas físicas clonadas. En algunos casos también los combinan con otros datos personales para suplantar tu identidad ante tu banco.
¿Me devuelve el banco el dinero si me han hackeado la tarjeta?
En la mayoría de los casos sí, siempre que lo notifiques con rapidez y no haya habido negligencia grave por tu parte. La normativa europea PSD2 obliga a los bancos a devolver el importe de forma inmediata en fraudes con tarjeta.
¿Es lo mismo que me roben la tarjeta física a que roben los datos?
No. Si te roban la tarjeta física, el banco la bloquea y emite otra. Si roban los datos (número, fecha, CVV) sin que pierdas la tarjeta, puedes seguir usándola sin saber que está comprometida mientras los delincuentes también la usan en paralelo online. Por eso la detección temprana es fundamental.
¿Cómo evitar que filtren los datos de mi tarjeta?
Usa tarjetas virtuales de un solo uso para compras online, activa las notificaciones en tiempo real, no introduzcas datos en webs sin HTTPS, inspecciona físicamente los cajeros antes de usarlos y utiliza herramientas de monitorización continua como Qondar para saber si tus datos han aparecido en alguna filtración.
Qué es doxear: Definición, riesgos y cómo protegerte
Internet es un espacio donde compartimos información a diario. Redes sociales, formularios, compras online… Cada acción deja un pequeño rastro digital. La mayoría de las veces no somos plenamente conscientes de cuánto estamos revelando sobre nosotros mismos. Es aquí donde entra en juego un concepto cada vez más conocido y temido en ciberseguridad: doxear.
¿Qué es doxear y por qué debería preocuparte?
Doxear (del inglés doxing, abreviatura de dropping dox o "soltar documentos") es la práctica de recopilar y publicar información personal de una persona sin su consentimiento, con el objetivo de exponerla, intimidarla o dañarla. Puede incluir nombre completo, dirección, teléfono, correo electrónico, lugar de trabajo, fotos privadas, información familiar e incluso datos financieros.
Lo que distingue al doxing de una simple búsqueda en Google es la intención: quien doxea reúne información dispersa de múltiples fuentes como redes sociales, bases de datos filtradas, registros públicos, la dark web… para construir un perfil detallado de una persona y usarlo en su contra.
Este tipo de ataques, que inicialmente surgieron en comunidades online muy concretas, se han extendido en los últimos años y pueden tener graves consecuencias: desde acoso, amenazas y suplantaciones de identidad, hasta la pérdida del empleo o la aparición de problemas legales.
Doxear en internet no es un simple juego de hackers, es una forma de violencia digital tipificada en España en varios artículos del Código Penal (arts. 197, 172 ter y 169 CP), con penas que pueden llegar a los cuatro años de prisión.
| 💡 ¿Qué es doxing? Los términos doxear y doxing hacen referencia exactamente al mismo fenómeno. Doxing es la voz inglesa; doxear es su adaptación al español. En este artículo usamos ambos indistintamente. |
Qondar: Cibervigilancia personal para saber cuándo te doxean antes de que sea tarde
Antes de continuar, vale la pena detenerse en nuestra herramienta destacada: Qondar, una solución de cibervigilancia personal.
Qondar está desarrollada para cualquier persona que quiera mantener el control sobre su información en la red, sin necesidad de tener conocimientos técnicos avanzados. Funciona como una plataforma de Gestión Continua de la Exposición a Amenazas (CTEM, por sus siglas en inglés) y permite detectar si tus datos están siendo compartidos sin tu permiso, en foros, bases de datos filtradas, redes sociales o incluso la dark web.
Aunque no sepas qué es doxear en internet, tú también puedes estar sufriendo un ataque. En caso de ser así, Qondar te lo dirá antes de que sea demasiado tarde.
¿Por qué alguien decide doxear a otra persona?
No existe un único perfil de atacante, ni una sola motivación. El doxing, que es como también se conoce este fenómeno, puede tener muchas caras:
- Venganza personal: ex-parejas, ex-amigos o conflictos laborales pueden desembocar en filtraciones malintencionadas.
- Ideología o activismo extremo: en debates políticos o sociales, algunos usuarios publican datos de oponentes para intimidarles o silenciarles.
- Bromas pesadas o retos virales: especialmente entre adolescentes o en comunidades tóxicas online.
- Extorsión y chantaje: una vez que tienen tus datos, algunos atacantes intentan obtener dinero o favores a cambio de no divulgarlos.
- Acoso coordinado. Grupos organizados (a veces llamados brigadas de odio) atacan simultáneamente a una misma persona, especialmente periodistas, activistas o figuras públicas.
- Ciberdelincuencia profesional. Información personal como DOB, dirección y teléfono se vende en foros especializados para facilitar fraudes de identidad.
Sea cual sea el motivo, el resultado es el mismo: tu privacidad personal y seguridad se ven comprometidas.
¿Qué tipo de datos suelen exponerse al doxear?
Aunque el grado de exposición varía, los datos más comunes que se publican o venden en casos de doxing son:
- Nombre completo y dirección física
- Número de teléfono
- Correo electrónico
- Perfiles en redes sociales (incluyendo cuentas anónimas vinculadas a la persona)
- Fotos personales o íntimas
- Información del entorno familiar
- Datos laborales o académicos
- Historial de compras, búsquedas, donaciones o afiliaciones
Un simple cruce de bases de datos filtradas, como las que circulan en la dark web, puede bastar para construir un perfil completo en minutos. Por eso la prevención es más eficaz que la reacción.
Bonus: ¿Dónde se publican los datos doxeados? Principalmente en plataformas como Doxbin (accesible desde la web abierta, con cerca de 200.000 registros), foros de la dark web, canales de Telegram y, en casos de acoso coordinado, directamente en redes sociales como X o Reddit.
Cómo evitar que te doxeen: buenas prácticas para proteger tu privacidad
Saber cómo protegerse del doxing implica cambiar ciertos hábitos digitales. Aquí tienes algunos consejos prácticos que puedes empezar a aplicar hoy mismo ahora que ya sabes qué es doxear:
1. Audita tu huella digital regularmente
Escribe tu nombre y apellidos en buscadores y observa qué aparece. Busca también combinaciones con tu correo electrónico, número de teléfono y nombre de usuario más utilizado. Si encuentras datos que no deberían estar públicos, solicita su eliminación mediante el derecho al olvido ante la AEPD.
Herramientas como Qondar automatizan este proceso pues que monitorizan en tiempo real cualquier aparición nueva de tus datos y te avisan de inmediato.
2. Revisa la configuración de privacidad de tus redes sociales
- Activa el perfil privado en Instagram, TikTok y Facebook.
- Revisa qué información es pública en LinkedIn (fecha de nacimiento, teléfono, ubicación).
- Elimina o limita el historial de publicaciones en Facebook.
- No publiques documentos, billetes de avión ni fotos que muestren tu dirección o matrícula del coche.
Te puede interesar→ 5 estrategias de seguridad en las redes sociales.
3. Utiliza contraseñas fuertes y únicas y activa el 2FA
- No repitas contraseñas en varios servicios.
- Activa la autenticación en dos pasos (2FA) siempre que sea posible.
Aprende cómo gestionar contraseñas correctamente.
4. Cuidado con los formularios y concursos online
- ¿De verdad necesitas dar tu número de teléfono para entrar en ese sorteo?
- Utiliza correos electrónicos secundarios o temporales cuando sea posible.
5. Cuida tu anonimato en debates y foros públicos
Muchas víctimas de doxing son atacadas precisamente por sus opiniones expresadas de forma online. Si participas en debates polarizados, evita usar el mismo nombre de usuario en varias plataformas y no publiques detalles personales innecesarios.
6. Protege a tu entorno cercano
El doxing frecuentemente incluye información sobre familiares. Habla con las personas de tu entorno sobre qué información publican que podría localizarte a ti (menciones de tu lugar de trabajo, fotos en tu domicilio, geolocalización de publicaciones conjuntas).
7. Monitoriza de forma continua con herramientas especializadas
La protección manual tiene límites. Las soluciones de vigilancia continua como Qondar permiten detectar exposiciones en tiempo real, incluyendo la aparición de tus datos en la dark web o en bases de datos filtradas, antes de que el daño sea irreversible.
¿Qué hacer si te han doxeado?
Si ya eres víctima de doxing, actúa con rapidez. Cada hora cuenta:
-
- Documenta todo antes de pedir retiradas. Haz capturas de pantalla de todo el contenido publicado, incluyendo URLs.
- Contacta con las plataformas donde se ha publicado la información. Usa los formularios de eliminación de contenido de Google, Meta, X y cualquier otra plataforma implicada.
- Denuncia a la Policía Nacional o Guardia Civil, especialmente si hay amenazas, chantaje o contenido sexual. El doxing puede tipificarse como descubrimiento y revelación de secretos (art. 197 CP, hasta 4 años), acoso (art. 172 ter CP) o amenazas (art. 169 CP).
- Acude a la AEPD (Agencia Española de Protección de Datos) si se han vulnerado tus derechos de protección de datos. En 2025, la AEPD impuso un récord de 40 millones de euros en sanciones, lo que refleja su actividad creciente en defensa de los ciudadanos.
- Informa a tu entorno para que estén alerta ante posibles intentos de ingeniería social utilizando tu información.
- Busca apoyo psicológico si el impacto emocional es intenso. El acoso digital puede generar ansiedad, estrés postraumático y aislamiento social.
¿Existe una protección definitiva contra el doxing?
No existe una barrera 100% infalible. Pero sí puedes minimizar drásticamente tu exposición y estar preparado para actuar antes de que el daño sea grave.
La clave está en la detección temprana. En Internet, los datos que se publican se indexan, se copian y se distribuyen en cuestión de minutos. Lo que tarda horas en publicarse puede tardar años en desaparecer. Por eso, la monitorización continua y proactiva de tu identidad digital es la medida más eficaz disponible hoy.
Esto es precisamente lo que hace Qondar, vigilar de forma continua y automatizada si tu información aparece donde no debería, y alertarte en tiempo real para que puedas actuar. Sin necesidad de conocimientos técnicos. Sin interrupciones en tu día a día.
Ahora que ya sabes qué es doxear, está claro que no se trata de un problema exclusivo de famosos o figuras públicas. En un mundo en el que la suplantación de identidad en redes sociales crece año tras año, blindar tu información personal es muy relevante.
Tu privacidad forma parte de tu seguridad. Empieza a cuidarla hoy.
Preguntas frecuentes
¿Qué significa doxear a alguien?
Doxear a alguien significa recopilar y publicar información personal de esa persona (nombre, dirección, teléfono, lugar de trabajo, etc.) sin su consentimiento, con el objetivo de exponerla, intimidarla o perjudicarla.
¿Qué diferencia hay entre doxear y doxing?
Ninguna. Doxing es el término original en inglés y doxear es su adaptación al español. Ambos hacen referencia exactamente a la misma práctica.
¿Es delito doxear a alguien en España?
Sí. Aunque el Código Penal no usa el término doxing, la práctica puede tipificarse como revelación de secretos (art. 197 CP), acoso (art. 172 ter CP) o amenazas (arts. 169 y ss. CP), con penas de hasta 4 años de prisión. También puede conllevar sanciones por vulneración de la LOPD/GDD y el GDPR.
¿Cómo sé si me están doxeando?
Las señales más comunes son recibir mensajes amenazantes de desconocidos, notar que personas que no conoces saben detalles de tu vida privada, o encontrar publicaciones con tu información personal en foros o redes sociales.
Herramientas como Qondar permiten detectarlo de forma proactiva, antes de que los efectos sean visibles.
¿Cómo evitar que te doxeen?
Las medidas más eficaces son auditar tu huella digital regularmente, configurar correctamente la privacidad en redes sociales, usar contraseñas únicas con 2FA, ser cauteloso con los datos que facilitas en formularios y utilizar soluciones de monitorización continua como Qondar.
¿Qué hago si alguien ha publicado mis datos personales sin mi permiso?
Documenta todo con capturas, solicita la retirada del contenido a la plataforma y a Google mediante el derecho al olvido, denuncia a la Policía Nacional o Guardia Civil y acude a la AEPD si se han vulnerado tus derechos de protección de datos.