Eusebio Nieva: “Con la IA, una decisión informada siempre es menos peligrosa que una decisión a ciegas”

Estamos todo el día con alertas sobre phishing, ramsonware y todo tipo de amenazas y riesgos. Por cierto, si te llega algún SMS de la AEAT sobre tu declaración de la renta, ponte en guardia, porque es un fraude. Y, por si todo esto fuera poco, llega la inteligencia artificial (IA) para complicarlo más.

España registró una media de 1.841 ciberataques semanales por organización en mayo

Por eso, he hablado con Eusebio Nieva, director técnico de Check Point Software para España y Portugal. Según los datos que maneja la empresa, nuestro país registró una media de 1.841 ciberataques semanales por organización en el mes de mayo. La cifra representa un descenso del 9% respecto al mismo mes de 2025, pero el experto pide no interpretar esta bajada puntual como una señal de que el riesgo esté desapareciendo.

Las amenazas no se han reducido

“El número de ataques tiene meses con tendencias negativas y otros en los que se recupera”, explica. “Las amenazas no se han reducido en ningún momento. Tenemos que ser conscientes de que esto no tiene tendencia a parar ni a reducir su peligrosidad”, subraya Nieva.

Los datos de Check Point Research reflejan que las organizaciones de todo el mundo recibieron en mayo una media de 2.055 ataques semanales, un 2% más que el año pasado. En España, los sectores más afectados fueron la Administración pública, los Bienes y Servicios de Consumo y las Telecomunicaciones.

Evolución preocupante del ransomware

El descenso mensual coincide, además, con una evolución preocupante del ransomware y con la consolidación de un nuevo factor de riesgo: el uso masivo de herramientas de IA generativa dentro y fuera de las empresas.

Para Nieva, la IA debe entenderse en una doble dirección: “Es un nuevo vector de ataque y de defensa”, señala. Las compañías de ciberseguridad llevan años empleándola para detectar y prevenir amenazas, pero su rápida adopción también está abriendo oportunidades para los atacantes y generando riesgos dentro de las propias organizaciones.

El peligro también puede estar dentro de la empresa

Cuando se habla de IA y ciberseguridad, lo que solemos pensar es que los delincuentes la utilizan para crear código malicioso, encontrar vulnerabilidades o preparar engaños más convincentes. Sin embargo, Nieva señala otro riesgo menos evidente, pero igual de peligroso. “El uso de la IA por parte de los empleados, de forma en algunos casos descontrolada, puede resultar un problema de ciberseguridad y también directamente de operaciones”, advierte.

“Imagínate que un usuario instala algún tipo de bot”, me pide. “En el ecosistema que hay alrededor de estos de estos bots, suele haber skills que son maliciosos”, explica. “Por accidente o por ataque, este bot puede borrar su correo, enviarlo a otra cuenta, borrar ficheros propios o de la compañía o filtrar todos esos datos”, explica.

El empleado no tiene por qué actuar de manera maliciosa. Puede estar intentando ser más productivo o facilitar una tarea cotidiana. Pero, si la empresa desconoce qué aplicaciones se están utilizando, qué permisos tienen y a qué información acceden, pierde visibilidad sobre sus propios datos.

Sin mala fe

“El problema puede ser que el ataque no consista simplemente en infectar al usuario, sino que sea el propio usuario quien, buscando métodos para hacer más fácil su trabajo y ser más eficiente, utilice una tecnología que suponga un problema”, indica Nieva.

La solución, a su juicio, no pasa por intentar frenar la adopción de la IA. “Es algo que está aquí, que es imparable. Ponerle puertas al campo no va a funcionar”, afirma. “Ya que viene, tenemos que controlarla y tener visibilidad”.

Una de cada 25 consultas supone un riesgo elevado

Los datos de Check Point Research indican que, durante el mes de mayo, una de cada 25 solicitudes realizadas a herramientas de IA generativa supuso un riesgo elevado de filtración de datos sensibles. Además, el 91% de las organizaciones que utilizaban estas aplicaciones registraron consultas consideradas de alto riesgo y un 22% de los prompts contenían información potencialmente sensible.

Cada empresa empleó, de media, 9 herramientas distintas de IA generativa. Con ellas, cada usuario produjo aproximadamente 70 prompts durante el mes.

“Los usuarios utilizan la IA para su trabajo. Y para ello utilizan datos del trabajo”, recuerda Nieva. Parte de esa información puede ser pública y no presentar ningún problema. Pero también pueden introducirse currículums, correos electrónicos, informes internos, datos de clientes o documentos confidenciales. Incluso una herramienta aparentemente inocente para ordenar mensajes necesita acceder al contenido del correo.

“Dependiendo de cómo se utilice, los usuarios pueden estar produciendo un problema de fuga de datos”, señala. Quizá la información no quede expuesta de forma inmediata, pero “si está utilizando su cuenta personal y alguien le roba la cuenta, todos esos datos están ahí”.

Qué debería hacer una pyme

Las grandes empresas suelen contar con responsables y equipos especializados en seguridad. La situación es distinta en muchas pymes, en las que el uso de la IA puede avanzar más rápido que el conocimiento sobre sus riesgos. Nieva propone empezar por una medida sencilla: “Lo primero es establecer qué IAs se pueden usar y con qué propósito”, explica. “También hay que determinar cuáles pueden funcionar de manera desatendida”.

El segundo elemento es la formación. No basta con advertir a los trabajadores de que tengan cuidado. Deben entender cómo funciona la IA generativa, qué limitaciones tiene y por qué sus respuestas no siempre son fiables. “Una IA no es una base de datos y, como tal, no podemos exigirle la misma precisión que a ellas”, puntualiza Nieva. “Está programada para responder, independientemente de que sepa o no sepa”.

Por eso, el contenido generado debe revisarse. La persona que utiliza la herramienta necesita ser capaz de valorar si la respuesta es correcta, si la información existe y si puede aplicarse a una decisión real. “Lo más importante es que los empleados y las compañías, independientemente de su tamaño, sean conscientes de cómo funciona la IA generativa, cuáles son sus limitaciones y cómo pueden utilizarla de manera segura”, sostiene.

“Lo primero es concienciación, visibilidad y una política de uso”, aclara. Después llega la visibilidad: “Saber exactamente qué están haciendo nuestros usuarios con la IA, qué herramientas se están utilizando y cómo, qué tipo de cuestiones y de datos se están subiendo”. A partir de ahí, la organización puede establecer restricciones y aplicar herramientas de seguridad. “Una decisión informada siempre va a ser mucho menos peligrosa que una decisión a ciegas”, resume.

La IA también acelera los ataques tradicionales

El foco sobre la IA no debe hacer olvidar que las amenazas anteriores continúan existiendo. “La IA es un vector más. El resto de los vectores siguen estando ahí y no podemos dejar de contemplarlos”, subraya Nieva.

La diferencia es que los atacantes también están empleando esta tecnología para acelerar técnicas conocidas. Una de ellas es la búsqueda y explotación de vulnerabilidades. “Hay que tener conciencia de que es un vector más de peligro y unas nociones sobre cómo funciona para poder utilizarla de manera segura”, concluye.