Las redes sociales superan al correo electrónico como principal vector de estafas en España
Introducción
El panorama de la ciberseguridad en España experimenta un cambio significativo: por primera vez, las redes sociales han superado al correo electrónico como principal canal de estafas para los usuarios españoles. Así lo revela el reciente Informe sobre Ciberseguridad del Consumidor 2025 publicado por Bitdefender, basado en una encuesta a más de 7.000 personas a escala global. Este giro en los vectores de ataque exige una revisión urgente de las estrategias de defensa y concienciación, especialmente para equipos de ciberseguridad corporativos, analistas SOC y responsables de seguridad de la información.
Contexto del Incidente o Vulnerabilidad
Tradicionalmente, el correo electrónico ha sido el vector más frecuente para ataques de phishing, suplantación de identidad y campañas de malware. Sin embargo, la proliferación del uso de redes sociales y aplicaciones de mensajería instantánea ha propiciado un cambio en las tácticas de los ciberdelincuentes. Según los datos recabados por Bitdefender, el 41% de los usuarios españoles encuestados identificó las redes sociales como la vía más común de intentos de estafa, frente al 36% que señala el correo electrónico. Este patrón también se detecta, aunque en menor medida, en otros países europeos, lo que apunta a una tendencia global.
Detalles Técnicos (CVE, vectores de ataque, TTP MITRE ATT&CK, IoC…)
El informe detalla que los atacantes explotan técnicas de ingeniería social altamente sofisticadas en redes sociales, suplantando perfiles legítimos y utilizando mensajes directos (DM) para distribuir enlaces maliciosos o solicitudes de información personal. Los TTP (Tactics, Techniques and Procedures) identificados corresponden principalmente a los siguientes subgrupos del framework MITRE ATT&CK:
– **T1566.002 (Phishing vía redes sociales):** Uso de mensajes personalizados para inducir a la víctima a hacer clic en enlaces fraudulentos.
– **T1589.002 (Recopilación de credenciales en redes sociales):** Obtención de información personal pública para personalizar ataques.
– **T1190 (Explotación de vulnerabilidades en aplicaciones web):** Aprovechamiento de vulnerabilidades conocidas en plataformas como Facebook, Instagram o WhatsApp para propagar exploits.
No se han publicado CVEs específicos en el informe, pero se observa un aumento de campañas que reutilizan exploits conocidos y kits de phishing adaptados a entornos de redes sociales. Los indicadores de compromiso (IoC) identificados incluyen dominios de phishing, URLs acortadas, patrones de mensajes y perfiles falsos. Herramientas como Metasploit y Cobalt Strike han sido adaptadas para automatizar la distribución de enlaces maliciosos mediante bots en plataformas sociales.
Impacto y Riesgos
El desplazamiento de los vectores de ataque hacia las redes sociales incrementa el riesgo para usuarios y organizaciones. El 29% de los encuestados españoles reconoció haber sido víctima de al menos un intento de estafa en redes sociales durante el último año, frente al 21% del año anterior. El impacto económico potencial es notable: según estimaciones de la Agencia Española de Protección de Datos (AEPD), el coste medio de una suplantación de identidad en redes sociales puede superar los 1.500€ por incidente, sin contar daños reputacionales o sanciones derivadas de incumplimientos del GDPR.
Las campañas de fraudes incluyen desde sorteos falsos, inversiones fraudulentas y suplantación de perfiles de empresas, hasta sofisticados ataques de spear phishing dirigidos a empleados de organizaciones. El principal riesgo reside en la facilidad con la que los atacantes pueden segmentar a sus víctimas y evadir los filtros tradicionales de seguridad perimetral.
Medidas de Mitigación y Recomendaciones
Las estrategias de mitigación deben adaptarse al nuevo entorno de amenazas. Bitdefender recomienda:
– **Formación en concienciación:** Programas continuos de formación en ciberseguridad para empleados y usuarios, con simulaciones de phishing en redes sociales.
– **Implementación de soluciones de EDR/XDR:** Herramientas avanzadas de detección y respuesta para identificar patrones anómalos de comportamiento en endpoints y redes.
– **Revisión de políticas de uso de redes sociales corporativas:** Establecimiento de guías claras y restricciones en el uso de plataformas sociales desde dispositivos corporativos.
– **Monitorización de amenazas externas:** Uso de servicios de threat intelligence para identificar campañas de phishing emergentes y perfiles falsos.
– **Autenticación multifactor (MFA):** Obligatoriedad de MFA en el acceso a cuentas de redes sociales y servicios asociados.
– **Revisión y respuesta ante incidentes:** Actualización de los procedimientos de respuesta para contemplar escenarios de fraude en redes sociales.
Opinión de Expertos
Según Marta Beltrán, profesora titular de la Universidad Rey Juan Carlos y experta en ciberseguridad, «el auge de las redes sociales como vector de ataque demuestra que la seguridad debe ir más allá del perímetro corporativo. No basta con proteger el correo electrónico; las organizaciones deben educar a sus empleados y monitorizar el uso de redes sociales para evitar filtraciones y fraudes».
Por su parte, Ángel Pablo Avilés, responsable de ciberinteligencia en Blueliv, apunta: «Los atacantes están invirtiendo en ingeniería social y automatización para escalar sus campañas. La defensa debe ser dinámica y adaptativa, con una fuerte colaboración público-privada y el uso de tecnologías de inteligencia artificial para detectar patrones anómalos».
Implicaciones para Empresas y Usuarios
El cambio de paradigma afecta tanto a empresas como a usuarios particulares. Para las organizaciones, supone la necesidad de ampliar el alcance de sus políticas de seguridad, incluyendo la monitorización de la presencia digital y la revisión de los procedimientos de onboarding y offboarding en redes sociales. Para los usuarios, implica una mayor responsabilidad en la gestión de su identidad digital y en la verificación de la legitimidad de las interacciones.
El cumplimiento normativo adquiere especial relevancia: tanto el GDPR como la inminente directiva NIS2 obligan a las empresas a proteger los datos personales y a notificar incidentes de seguridad relacionados con el fraude digital.
Conclusiones
El informe de Bitdefender constata un cambio relevante en los vectores de ataque más habituales en España, con las redes sociales situándose como principal canal de estafas. Este fenómeno requiere una actualización de las políticas y tecnologías de ciberseguridad, una mayor concienciación y el refuerzo de las capacidades de detección y respuesta ante incidentes. Las organizaciones que no adapten sus controles a este nuevo contexto estarán expuestas a un riesgo creciente de fraude, sanciones y daños reputacionales.
(Fuente: www.cybersecuritynews.es)