Octubre vuelve a ser el mes en el que toda Europa pone el foco en la ciberseguridad. Como cada año, la campaña del Mes Europeo de la Ciberseguridad (ECSM), impulsada por ENISA y la Comisión Europea, nos invita a reflexionar sobre nuestros hábitos digitales y a reforzar nuestra protección contra las amenazas que circulan por la red.

En 2025, el lema elegido es claro y directo: «Sé más inteligente que un ciberdelincuente». Se trata de una llamada a la acción que nos recuerda que, en muchas ocasiones, la primera línea de defensa no es un antivirus ni un cortafuegos, sino nuestra propia capacidad de detectar el engaño.

¿Por qué es tan importante este mensaje?

Porque los ciberdelincuentes ya no solo atacan sistemas: atacan personas. Utilizan técnicas de ingeniería social para manipularnos, ganarse nuestra confianza y conseguir que seamos nosotros mismos quienes les abramos la puerta. Un clic en un enlace, una contraseña compartida sin querer, una llamada que parece legítima… y el daño ya está hecho.

¿Qué formas adopta la ingeniería social? 

La ingeniería social no siempre se presenta como un ataque evidente. De hecho, su eficacia radica precisamente en lo contrario: en parecer inofensiva, cotidiana, incluso urgente. Los ciberdelincuentes estudian nuestros hábitos, rutinas y puntos débiles para diseñar ataques que pasen desapercibidos. Estas son algunas de las formas más comunes:

• Correos electrónicos falsos que simulan provenir de nuestro banco, de plataformas conocidas o incluso de compañeros de trabajo. Suelen incluir enlaces o archivos adjuntos que, al abrirse, comprometen nuestros dispositivos o credenciales.
• Mensajes de texto (SMS o WhatsApp) que alertan de un supuesto problema con una cuenta, un paquete pendiente o una factura impagada. El objetivo es que hagamos clic en un enlace malicioso sin pensar demasiado.
• Llamadas telefónicas en las que alguien se hace pasar por personal técnico, soporte informático o incluso un superior jerárquico. Nos piden datos personales, contraseñas o acceso remoto por seguridad.
• Dispositivos físicos manipulados, como memorias USB olvidadas en zonas comunes. Al conectarlas por curiosidad o buena fe, se activa un software malicioso (malware), que puede propagarse por toda la red.

En todos estos casos, el denominador común es el intento de generar confianza, urgencia o miedo para que actuemos sin reflexionar. Por eso, la mejor defensa no es la desconfianza total, sino una desconfianza razonable: detenernos, pensar y verificar antes de actuar.

¿Qué podemos hacer?

•  Dudar es sano: si algo parece sospechoso, probablemente lo sea.
• Verificar siempre: ante la duda, contacte por otro canal con quien supuestamente le ha escrito.
• No comparta información sensible: ni por correo, ni por teléfono, ni por mensajería.
• Mantenga los dispositivos actualizados y utilize contraseñas robustas.
• Active el factor doble de autenticación siempre que sea posible.

¿Y en el entorno sanitario?

En hospitales y centros de salud, la ciberseguridad no es solo una cuestión técnica: es una cuestión de seguridad del paciente. Un ataque puede comprometer datos clínicos, interrumpir servicios esenciales o incluso poner en riesgo vidas. Por eso, cada profesional tiene un papel clave en la protección de la información.

Para reforzar esta responsabilidad compartida, la Oficina de Seguridad publicó el Código de buenas prácticas en tecnologías de la información y de la comunicación en el Boletín nº 132, donde se recogen recomendaciones claras y aplicables para el día a día de los profesionales sanitarios. Adoptar estas pautas no solo protege los sistemas, sino que también garantiza la confianza de los pacientes y la continuidad asistencial.

Mirando atrás: lo que ya hemos aprendido sobre ingeniería social

La Oficina de Seguridad ha abordado en varias ocasiones la importancia del factor humano en la ciberseguridad. En el Boletín nº 128, se destaca cómo las personas siguen siendo el eslabón más vulnerable frente a las amenazas digitales, y se ofrecen pautas para fomentar una cultura de seguridad más sólida. Por su parte, el Boletín nº 97 profundiza en los vectores de ataque más comunes en el entorno sanitario, como el phishing y otras técnicas de ingeniería social. En esta línea, el Boletín nº 118 ofrece una guía práctica para identificar y evitar ataques de phishing, mientras que el Boletín nº 94 presenta herramientas como el botón «Phish Reporter», que permite a los profesionales colaborar activamente en la detección de correos maliciosos.

¿Quieres saber más?

Durante este mes se llevarán a cabo actividades, charlas y recursos formativos en toda Europa. Puede seguir la campaña en redes sociales con las etiquetas #CyberSecMonth y #ThinkB4UClick, o consultar más información en la web de ENISA.