Encontramos esta tensión central en Oh, Behave! The Annual Cybersecurity Attitudes and Behaviors Report 2026–2027, de la National Cybersecurity Alliance (NCA) y CybSafe. El sexto informe anual encuestó a 5,000 adultos en Estados Unidos, Reino Unido, India, Brasil y Singapur entre el 28 de abril y el 19 de mayo de 2026.

¡En muchos sentidos, los resultados son alentadores! La mayoría de los encuestados (83%) afirmó que la seguridad digital es una prioridad absoluta, y el 70% cree que mantenerse seguro en línea es alcanzable.

Sin embargo, esas actitudes no siempre se reflejan en los hábitos de las personas. La mitad de los encuestados ya ha sido víctima de una estafa. ¡Las personas que saben cómo crear contraseñas seguras siguen utilizando contraseñas predecibles! Más de la mitad no utiliza habitualmente la autenticación multifactor (MFA). Y a medida que la IA se convierte en parte de la vida cotidiana, las personas están compartiendo información confidencial.

En otras palabras, el problema de la ciberseguridad no radica simplemente en que las personas no sepan lo suficiente. Radica en que saber no siempre es suficiente.

La brecha entre el saber y el hacer sigue más viva que nunca 

En lo que respecta a las contraseñas, el 73% de los encuestados afirma saber cómo crear una contraseña segura. Sin embargo, el 46% todavía utiliza palabras del diccionario, mientras que el 38% incluye datos personales en sus contraseñas. Cuando se trata de gestionar esas contraseñas, la comodidad sigue reinando. Las personas tienen más del doble de probabilidades de anotar contraseñas en un cuaderno de papel (28%) o confiar en la memoria (23%) que de utilizar un administrador de contraseñas (11%). 

Con la MFA ocurre algo similar. La mayoría de los encuestados (53%) no utiliza la MFA con regularidad. De ellos, ¡el 21% sabe cómo usar la MFA y simplemente decide no hacerlo! 

¡La conclusión es que muchas personas conocen las mejores prácticas! Pero la brecha existe entre saber qué hacer y tomar constantemente la decisión segura. 

Esto es importante porque significa que las iniciativas de concienciación solo pueden llegar hasta cierto punto. Decirle a la gente que la MFA es importante no hace necesariamente que sea la opción más sencilla. Explicar la seguridad de las contraseñas no supera automáticamente la comodidad de reutilizar una contraseña conocida. 

Cómo la IA está cambiando la ecuación

El auge de la IA de consumo y de los modelos de lenguaje de gran tamaño (LLM) está haciendo que la brecha entre el saber y el hacer sea más compleja. Cuatro de cada cinco personas encuestadas ahora utilizan herramientas de IA, y el 44% las utiliza tanto en su vida laboral como personal. La IA ya no es algo con lo que las personas se topan ocasionalmente o de forma exclusiva en el trabajo. Para muchos, es parte de la rutina diaria.

Sin embargo, la orientación y la capacitación no han avanzado al mismo ritmo que la adopción. El cincuenta y seis por ciento de los usuarios de IA no ha recibido ninguna capacitación sobre seguridad o privacidad relacionada con las herramientas que utiliza.

Casi un tercio (32%) de los empleados que utilizan IA en el trabajo afirma haber compartido información confidencial de la empresa con una herramienta de IA sin que su empleador lo sepa. La información compartida con mayor frecuencia incluye documentos internos, datos de clientes y datos financieros.

También descubrimos que las personas tratan cada vez más a las herramientas de IA como confidentes: el 18% de los encuestados dice haberle contado a un chatbot de IA un secreto que nunca le ha contado a otra persona. Otro 40% ha compartido información médica, mientras que el 32% ha compartido sentimientos personales.

Pero a la gente también le preocupan los riesgos: más de 2 de cada 3 afirman temer a las estafas impulsadas por IA. Esta contradicción es importante: las personas reconocen que la IA genera riesgos y, al mismo tiempo, confían información altamente confidencial a las herramientas de IA.

La solución no radica simplemente en decirle a la gente que deje de usar la IA, sino en orientarla sobre qué es adecuado compartir, qué no lo es y cómo utilizar estas herramientas de forma segura.

El cibercrimen ya no es hipotético para muchos de nosotros 

Para la mitad de los encuestados, las consecuencias de un mal comportamiento en ciberseguridad no son teóricas; afirmaron que ya han sido víctimas de una estafa. 

El phishing fue el tipo de incidente más común, representando el 16% de los incidentes reportados. Las ofertas de empleo falsas, el robo de identidad y las estafas en mercados en línea también ocuparon lugares destacados.  

Sin embargo, la preocupación por el cibercrimen no siempre se traduce en un sentimiento de vulnerabilidad personal. En EE. UU., el 66% de los adultos está preocupado por ser víctima del cibercrimen, pero solo el 37% cree que le sucederá. 

Parece ser otra versión de la brecha entre el saber y el hacer. Es más fácil asumir un riesgo cuando las consecuencias se sienten abstractas, incluso cuando sabemos que son reales. 

Cada vez más, muchos de estos riesgos involucran estafas asistidas por IA. Más de 1 de cada 3 encuestados afirma haber recibido una llamada telefónica o videollamada con deepfake. De ellos, el 40% asegura haber perdido dinero o datos como consecuencia. 

La educación debe evolucionar junto con las amenazas. Ya no solo se pide a las personas que reconozcan correos electrónicos sospechosos; también necesitan cuestionar si una voz o un video familiar es auténtico. 

La capacitación es una buena defensa… cuando las personas la reciben

Descubrimos que la capacitación en ciberseguridad parece marcar la diferencia. Una gran mayoría (88%) de los encuestados que recibió capacitación en ciberseguridad afirmó que le resultó útil. Entre quienes recibieron capacitación, el 54% mejoró su capacidad para detectar el phishing, el 49% configuró la MFA y el 46% adoptó un administrador de contraseñas.

Pero el acceso sigue siendo un desafío, especialmente porque muchos programas de capacitación en seguridad están vinculados al lugar de trabajo. Menos de la mitad de las personas empleadas a nivel mundial (47%) recibe capacitación obligatoria en ciberseguridad. En EE. UU., el 55% de los adultos empleados informa que su lugar de trabajo no exige dicha capacitación.

Incluso cuando la capacitación está disponible, las personas no siempre participan. Como era de esperar, el motivo más común para omitir la capacitación es la falta de tiempo (21%), seguido por la creencia de que ya saben lo suficiente (19%). Esto sugiere que los equipos de seguridad deben superar dos grandes obstáculos: lograr que la capacitación sea eficaz y eficiente, y hacer que la gente quiera tomarla.

Las capacitaciones anuales largas y genéricas tendrán dificultades para competir por la atención. Los enfoques más breves, relevantes e interactivos pueden tener una mejor oportunidad de conectar con las personas dondequiera que se encuentren.

Los empleadores desempeñan un papel fundamental en este ecosistema. Las políticas claras son primordiales. La capacitación práctica que explique no solo lo que los empleados no deben hacer, sino lo que pueden hacer de manera segura, es crucial. ¿Cómo logramos que el comportamiento seguro sea más fácil para todos?

Convertir la concienciación en hábitos sencillos

Los hallazgos de Oh, Behave! no describen a personas a las que no les importe la ciberseguridad. En realidad, es todo lo contrario. Pero el desafío radica en convertir esa concienciación en hábitos.

Creemos que esto significa diseñar la seguridad en torno al comportamiento humano real en lugar de esperar que las personas actúen como libros de texto. Piense en cómo podemos hacer que los productos y las plataformas sean seguros por diseño. ¿Cómo podemos reducir la dependencia de la MFA y de los administradores de contraseñas? ¿Y cómo ofrecemos una capacitación eficaz que las personas tengan tiempo de tomar y de la que tengan interés en aprender?

Lo más importante es que creemos que este informe nos dice que las personas no son el eslabón más débil de la ciberseguridad, ¡porque son quienes en última instancia tienen que hacer que la seguridad funcione!

¡Lea el informe Oh, Behave! de 2026 y, si desea más recursos de seguridad, suscríbase a nuestro boletín informativo gratuito por correo electrónico!