La ciberseguridad exige un nuevo contrato social digital

Cualquier persona con un teléfono móvil, desde un ciudadano de a pie hasta un ministro, pasando por altos directivos de empresas, afronta un problema común: el fraude y los problemas de ciberseguridad, especialmente en el ámbito bancario. El reto es horizontal y sus consecuencias se están percibiendo, incluso, en la salud mental de las personas, pero va más allá. El asunto escala hasta la competitividad de las empresas, la confianza de los ciudadanos, la protección de los servicios esenciales y la posición de Europa en un contexto geopolítico marcado por la pugna tecnológica entre EE. UU. y China. Ese fue el punto de partida del encuentro impulsado por ING el pasado 24 de abril sobre bienestar digital, en el que representantes institucionales, expertos en regulación, responsables del sector financiero y perfiles especializados en ciberseguridad abordaron el fraude digital como un reto social, económico y geopolítico.

En la apertura, Carlos López Blanco, abogado y experto en regulación digital, planteó que el concepto de ciberseguridad resulta insuficiente para describir la magnitud del desafío. El eje central fue que quizá conviene dejar atrás la idea clásica de ciberseguridad y hablar directamente de seguridad: una seguridad atravesada por la tecnología, la economía, los servicios públicos y la vida cotidiana.

Corresponsabilidad frente al fraude digital

La idea de seguridad compartida atravesó buena parte del diálogo. Desde el sector bancario, Alexandros Triantafyllou, director de Lucha contra el Fraude en ING, defendió que el fraude digital y la ciberseguridad deben entenderse como un problema social, no como una responsabilidad exclusiva del cliente, de una empresa concreta o de un sector determinado. En este ámbito, los usuarios están especialmente expuestos porque la relación con su entidad se produce cada vez más a través de canales digitales y porque los ataques aprovechan precisamente esa confianza cotidiana.

En el encuentro participaron también representantes del ámbito político e institucional, como Javier Ruiz, portavoz de Seguridad Nacional del Grupo Socialista en el Congreso; Tatiana Jiménez, portavoz adjunta de Economía y Empleo del PSOE en la Asamblea de Madrid; Carlos González, diputado del PP en la Asamblea de Madrid, y Alberto García, jefe de servicio en la Secretaría de Estado de Digitalización e Inteligencia Artificial. A partir de sus intervenciones, la conversación incorporó una mirada pública sobre la protección de los pequeños ayuntamientos, la alfabetización digital y la necesidad de adaptar la respuesta institucional a riesgos que evolucionan con rapidez.

"La vulnerabilidad no afecta solo a clientes bancarios o grandes empresas, sino también a administraciones pequeñas que gestionan servicios próximos y datos sensibles"

Una lógica similar se observa en el plano institucional. Desde la política se puso el foco en las administraciones más pequeñas, que muchas veces pueden contar con recursos, pero no siempre con el conocimiento técnico suficiente para proteger adecuadamente a sus ciudadanos. Con este ejemplo, se entendió que la vulnerabilidad no afecta solo a clientes bancarios o grandes empresas, sino también a administraciones pequeñas que gestionan servicios próximos y datos sensibles.

En este sentido, si el fraude opera de manera transversal, la protección también debe hacerlo. Javier Montes, director general de Banca para particulares de ING, puso sobre la mesa un avance regulatorio ya implementado por la banca: las transferencias instantáneas, que han facilitado que las personas puedan mover y disponer de su dinero de forma inmediata. Sin embargo, también advirtió de sus implicaciones en materia de fraude: cuando una operación puede ejecutarse en segundos, la capacidad de detectar y frenar una transacción fraudulenta se reduce, especialmente en importes elevados, como los 50.000 euros que pueden moverse en cuestión de segundos. No se planteó cambiar la regulación, sino reflexionar sobre sus efectos cuando se impulsan avances regulatorios de gran calado. Frente a este ejemplo, se trazó una comparación: que un vehículo pueda alcanzar los 200 kilómetros por hora no significa que deba circular siempre a esa velocidad.

La corresponsabilidad, por tanto, implica asumir que el usuario debe estar formado y alerta, pero también que las empresas tienen que construir entornos más seguros. Perfiles especializados en ciberseguridad reclamaron que las organizaciones protejan al ciudadano incluso de sus propios errores. La razón es que el desafío no consiste solo en advertir de los riesgos, sino también en reducir las posibilidades de que un fallo humano acabe convirtiéndose en una pérdida económica o una brecha de seguridad.

Una ciudadanía conectada, pero todavía desprotegida

La ciudadanía usa internet con naturalidad, pero no siempre comprende sus riesgos. Desde el plano institucional se recordó un dato del policy brief Bienestar digital: hacia un uso consciente de la tecnología para luchar contra el fraude y preservar nuestra seguridad, elaborado por ING: "más del 95% de las vulnerabilidades tienen origen humano". Esto sitúa la alfabetización digital y mediática en el centro de cualquier estrategia de prevención. No obstante, el problema es que esa formación llega tarde, de forma desigual o directamente no llega. Por ello, también se incidió en que la tarea de la ciberseguridad es compartida entre varios sectores.

Representantes políticos apuntaron también a una generación con capacidad para acceder a internet en prácticamente todos los ámbitos de su vida, pero que al mismo tiempo se siente desprotegida y temerosa. Esa sensación afecta especialmente a quienes han tenido que adaptarse al entorno digital sin una educación previa suficiente, aunque el problema alcanza también a los más jóvenes.

"La seguridad digital también puede empezar por estos gestos sencillos: detenerse, comprobar y desconfiar de lo sospechoso"

En ese terreno, los creadores de contenido pueden desempeñar un papel relevante. Desde el sector se explicó que muchas prácticas básicas de "higiene digital" siguen sin estar interiorizadas por parte de la ciudadanía. Cuando un creador relevante adopta buenas rutinas y las muestra a su comunidad, puede generar un efecto cascada útil para normalizar hábitos de protección. Porque la ciberseguridad también puede empezar por estos gestos sencillos: detenerse, comprobar, desconfiar de lo sospechoso y entender que cada cuenta personal puede ser una puerta de entrada a riesgos mayores.
 

El riesgo económico: pymes, proveedores y cadena de suministro

El riesgo para las empresas apareció en el debate de forma natural. Varios expertos pusieron el foco en la cadena de suministro, uno de los puntos más sensibles del nuevo escenario. En la conversación se describió una "tormenta perfecta" en la que más conectividad y mayor dependencia tecnológica conviven con una ciberdelincuencia con "niveles de sofisticación" cada vez más altos y, en este sentido, la capacidad de respuesta resulta tan importante como la prevención. La palabra clave es "resiliencia": asumir que el riesgo existe y preparar a las organizaciones para resistir, reaccionar y recuperarse.

"La ciberseguridad debe formar parte de la dirección estratégica de las compañías"

El ataque sufrido por Jaguar Land Rover en 2025 sirve como paradigma de esta problemática: se estimó un impacto económico para Reino Unido de entre 1.600 y 2.100 millones de libras, con efectos sobre miles de organizaciones vinculadas a la cadena de suministro. El daño, por tanto, no se limita a la compañía atacada, porque puede extenderse a proveedores de componentes, baterías o servicios auxiliares. En muchos casos, esas empresas son pymes con menos recursos para protegerse y menos capacidad para absorber el impacto. Otra mirada desde los asuntos públicos amplió esa valoración al recordar que toda la vida digital se sostiene sobre infraestructuras de conectividad cuyo diseño, gestión y uso también forman parte de la seguridad.

En paralelo, se insistió en que la ciberseguridad debe formar parte de la dirección estratégica de las compañías, puesto que ya no puede tratarse como un asunto técnico situado en un departamento concreto. Como se analizó, la ciberseguridad afecta al negocio, a la reputación, a la continuidad operativa y a la confianza de clientes y proveedores.

Una respuesta pública para un riesgo común

Aunque en la conversación se advirtió de que la regulación va con frecuencia por detrás de los riesgos, la respuesta institucional resulta imprescindible. A través de esta mirada se defendió el papel de la administración y la coordinación con los cuerpos de seguridad, pero también se reconoció que los tiempos tecnológicos obligan a revisar continuamente las respuestas. En ese sentido, se valoraron los espacios de diálogo entre sectores.

Gustavo Lozano, CISO de ING, puso como ejemplo el Reglamento de Resiliencia Operativa Digital (DORA), una regulación sólida y bien orientada cuya implementación práctica todavía presenta carencias. El punto crítico, señaló, está en la compartición de información sobre amenazas entre sectores y en tiempo real. Actualmente, el enfoque sigue siendo más reactivo que preventivo: las alertas y prácticas que aparecen primero en un país o sector no siempre llegan con la rapidez suficiente a otros actores que podrían anticiparse y reaccionar mejor.

Por ello, se subrayó la necesidad de desarrollar mecanismos que permitan compartir de forma estructurada información sobre amenazas que, en muchos casos, aparecen primero en un país y se replican rápidamente en otros. Contar con esa información con antelación permitiría aprovechar la experiencia de quienes ya han pasado por esa situación y mejorar la capacidad de prevención del conjunto del ecosistema.

"La ciberseguridad ya no puede descansar solo en la prudencia del usuario ni en la capacidad de reacción de una empresa concreta"

Las conclusiones del encuentro apuntaron precisamente a la necesidad de combinar protección, educación, regulación y diseño seguro. La ciberseguridad ya no puede descansar solo en la prudencia del usuario ni en la capacidad de reacción de una empresa concreta. Si el fraude digital afecta al ciudadano, a los bancos, a las pymes, a los proveedores, a los ayuntamientos y a las infraestructuras críticas, la respuesta también debe construirse desde todos esos niveles. Por lo tanto, en un mundo en el que la tecnología organiza cada vez más la vida cotidiana, la actividad económica y la prestación de servicios públicos, el bienestar digital pasa por asumir que la seguridad es un reto común que necesita recursos, acuerdos y colaboración.