La última ponencia de AvilaJobs 2026, en el Palacio de Congresos Lienzo Norte de Ávila, no fue de currículums. Fue de estafas. RS Cloud la llevó a la feria de la mano de Sergio Vuelta, CTO de ReditelSA, distribuidor de Bitdefender. Este es el resumen para quien no pudo quedarse hasta el final.
No hay un ciberdelincuente: hay dos
El profesional. Trabaja en una organización que funciona como una empresa: alguien dirige y financia, alguien desarrolla la tecnología, alguien lanza los ataques, alguien vende el servicio a otros delincuentes y alguien cobra y blanquea. Busca dinero, opera desde cualquier país y no sabe quién eres. Le da igual.
El de proximidad. Es una expareja, un compañero de clase o de trabajo, un conocido. No siempre busca dinero: busca humillar, intimidar o hacer daño. Suele actuar por impulso y, por eso mismo, deja rastro.
Los dos usan las mismas herramientas. Ahí está el problema.
El engaño tiene tres pasos, y el tercero lo das tú
Los fraudes bancarios cambian de canal, pero no de guion. Llega por correo, por SMS, por una llamada de un falso empleado del banco o incluso con el número real del banco en la pantalla. Y siempre ocurre lo mismo:
- Suplantación. Alguien se hace pasar por tu banco.
- Urgencia. «Hay un cargo sospechoso, proteja su dinero.»
- Transferencia. Entregas un código o autorizas un pago.
La frase de la ponencia que conviene apuntar: el delincuente no siempre roba tus claves; a veces consigue que tú mismo autorices el pago.
La factura que parecía de tu proveedor
Para una empresa, el fraude más caro no llega por SMS. Llega dentro de una conversación de correo que es real.
Alguien consigue la contraseña de un buzón, el tuyo o el de tu proveedor. Lee los correos sin tocar nada. Espera a que haya una factura pendiente. Y entonces envía, desde esa conversación, un cambio de número de cuenta. El cliente paga. El dinero no llega nunca al proveedor.
La defensa cabe en una línea: cualquier cambio de cuenta bancaria se confirma por teléfono, llamando al número que ya tenías, no al que viene en el correo.
El caso que empezó en Ávila
No hace falta irse lejos. En la provincia de Ávila se registraron 1.970 ciberdelitos en 2025, un 11 % más que en 2024: 1.725 estafas informáticas y 245 de otros tipos (Ministerio del Interior, Balance de Criminalidad, cuarto trimestre de 2025).
Y uno de los casos más sonados salió de aquí. En diciembre de 2023, la Guardia Civil y la Ertzaintza desarticularon una red que estafaba con el método del «hijo en apuros»: un SMS de alguien que dice ser tu hijo, que ha perdido el móvil y necesita dinero para volver a casa.
La investigación arrancó con una denuncia de 11.000 euros en un pueblo de la provincia. Al tirar del hilo aparecieron hasta 8.000 SMS diarios, 800 tarjetas SIM, siete detenidos y hasta 190.000 euros estafados en toda España (operación Rosbunk-Pool; Ávilared, 21 de diciembre de 2023).
Ocho mil mensajes al día. No te eligen: te toca.
Lo que cambia con la inteligencia artificial
- Una noticia falsa inventa lo que ha pasado. Un deepfake inventa a quien te lo cuenta. Un vídeo o un audio ya no prueban que alguien haya dicho algo.
- Del SMS a la voz. El mensaje del «hijo en apuros» puede convertirse en una llamada con una voz que suena como la de tu hijo. Sergio Vuelta lo presentó como un escenario plausible, construido con técnicas que ya existen, no como un caso confirmado.
- Lo que publicas también informa. Las fotos de las vacaciones, de la reforma o de la casa cuentan cuándo no estás y qué hay dentro. Antes había que vigilar desde la calle.
Y un aviso para las empresas que empiezan a usar agentes de IA: un chatbot responde, pero un agente con permisos puede consultar datos, enviar correos o ejecutar acciones. Si alguien lo manipula, actúa con los permisos que tú le diste.
Cuando el ataque digital rompe algo físico
En octubre de 2026, un ataque a los sistemas de control remoto de la refrigeración afectó a unos 700 supermercados en Francia y echó a perder toneladas de alimentos. La pregunta que dejó la ponencia es incómoda para una provincia como Ávila: riego automatizado, ventilación de granjas, localizadores de ganado, cámaras frigoríficas de almacenes. Todo eso también está conectado. Es una hipótesis, no una noticia, pero es la pregunta correcta.
Cuatro cosas que puedes hacer hoy
- Si hay prisa, para. La urgencia es la herramienta del estafador. Cuelga y llama tú al número de siempre.
- Cambios de cuenta, por teléfono. Nunca por el mismo correo en el que llegan.
- Doble verificación en el correo. Es la puerta de casi todos los fraudes de facturas.
- Una palabra clave en la familia. Si «tu hijo» pide dinero y no la sabe, no es tu hijo.
Y si te ocurre: denuncia. Suplantar a tu banco para que pagues es estafa (artículo 249 del Código Penal, de seis meses a tres años de prisión) y entrar en un correo ajeno es descubrimiento de secretos (artículo 197.1, de uno a cuatro años). Las penas concretas dependen de cada caso.
Preguntas frecuentes
¿Qué es el timo del «hijo en apuros»?
Un mensaje de alguien que dice ser tu hijo, que ha perdido el móvil y necesita dinero urgente. Se envía de forma masiva y al azar. No respondas al mensaje: llama a tu hijo a su número de siempre.
¿Cómo sé si una llamada de mi banco es real?
No lo sabes por el número que aparece en pantalla, porque se puede falsificar. Cuelga y llama tú al teléfono que figura en tu tarjeta o en la web del banco. Tu banco no te pide códigos ni claves por teléfono.
Me han pedido por correo que cambie el número de cuenta de un proveedor. ¿Qué hago?
No pagues hasta confirmarlo por teléfono, llamando al número que ya tenías de ese proveedor y no al que aparece en el correo.
¿Mi empresa es demasiado pequeña para que la ataquen?
Los ataques masivos no eligen a la víctima: se envían a miles de destinatarios y le toca a quien responde. El tamaño no protege.
¿Sabes por dónde te podrían entrar?
Trabajamos con las empresas para poner claridad en los temas que asustan: sin prisas y en palabras que se entienden. Si este te preocupa, nos sentamos media hora a verlo con calma.
Ver ciberseguridad para pymes y autónomos en Ávila
RS Cloud es miembro de AETICAL, la federación de empresas tecnológicas de Castilla y León, y partner de Bitdefender.