El sesgo de normalidad nos lleva a subestimar la posibilidad de un desastre y a creer que la vida continuará con normalidad incluso cuando las amenazas son evidentes. En cibersguridad, esta trampa cognitiva provoca que las organizaciones confundan familiaridad con seguridad y silencio con protección, mientras los ciberdelincuentes aprovechan esa falsa calma para auditar empresas sin ser contratados. La realidad es que, en lugar de realizar evaluaciones proactivas de su postura de seguridad, muchas compañías están delegando esa auditoría en manos de criminales, con consecuencias devastadoras.
El sesgo de normalidad: la trampa cognitiva que paraliza la respuesta ante amenazas
La doctora Lauren Braithwaite, de la Universidad de Yale, define el sesgo de normalidad como “nuestra tendencia a subestimar la posibilidad de un desastre y creer que la vida continuará con normalidad, incluso frente a amenazas o crisis significativas”. Es el mismo mecanismo que explica por qué las personas dudan después de que suena una alarma de incendios o retrasan su reacción en situaciones que aún parecen manejables. En el ámbito de la ciberseguridad, este sesgo se manifiesta de formas sutiles pero peligrosas: las organizaciones interpretan la ausencia de problemas evidentes como prueba de que los riesgos están controlados, o tratan la falta de alertas claras de sus plataformas de protección como una señal de que todo marcha bien.
El problema se agrava porque el sesgo de normalidad opera a escala colectiva. Cuantas más noticias de brechas de seguridad aparecen en los titulares – y muchas nunca llegan a la portada –, menor es la urgencia que cada una genera. La familiaridad con el riesgo lo normaliza, y esa normalización lleva a la inacción. Mientras tanto, los ciberdelincuentes no descansan: procesan muestras, analizan URL y buscan vulnerabilidades a un ritmo que ninguna estrategia basada en la inercia puede igualar.
Datos que no mienten: 204 ataques «significativos» en Reino Unido y un aumento del 130%
El informe anual del NCSC (National Cyber Security Centre) publicado en 2025 ofrece una instantánea escalofriante de la situación. En los 12 meses hasta agosto de 2025, se reportaron 204 ataques cibernéticos clasificados como «significativos a nivel nacional», lo que representa un incremento del 130% respecto a los 89 registrados el año anterior. De un total de 429 incidentes, 18 fueron calificados como «altamente significativos», un aumento del 50% en los casos más graves. Empresas como M&S, JLR y Co-op han aparecido en los titulares por brechas de alto perfil, pero la mayoría de las filtraciones nunca llegan a las primeras planas.
Estos números desafían cualquier narrativa optimista. Si las lecciones realmente se estuvieran aprendiendo, la tendencia debería ser a la baja, no al alza. El aumento del 130% en incidentes significativos sugiere que, a nivel macro, algo no está funcionando. La brecha entre lo que las organizaciones creen sobre su seguridad y lo que realmente ocurre es cada vez más amplia, y los criminales la están explotando sistemáticamente.
¿Realmente se aprenden las lecciones? De la declaración a la evidencia
Cuando ocurre una catástrofe de cualquier tipo – incluida una brecha de ciberseguridad –, tanto gobiernos como empresas repiten una frase hecha: «Se han aprendido las lecciones». Pero, ¿es cierto? El incremento del 130% en incidentes significativos entre 2024 y 2025 contradice frontalmente esa afirmación. Parece más bien un rotundo «no».
El año pasado, un análisis publicado en WeLiveSecurity planteó una analogía que ayuda a entender el estado psicológico posterior a una brecha: muchas empresas se encuentran, en cierto sentido, simultáneamente vulneradas y no vulneradas, como el gato de Schrödinger. Hasta que no se abre la caja – es decir, hasta que no se interrogan los registros o se busca activamente un compromiso –, la comodidad de «no hemos sido atacados» simplemente refleja que nadie ha comprobado realmente si lo han sido. Esa reticencia a mirar también podría ser el sesgo de normalidad actuando en silencio.
«Se han aprendido las lecciones» es la declaración que se hace después de abrir la caja, encontrar al gato muerto y afirmar: «Ya sabemos lo que pasó, tenemos el control, no se preocupen». Pero eso es una narrativa, no evidencia de un cambio significativo en el enfoque. El verdadero aprendizaje es un proceso proactivo que transforma el comportamiento de las organizaciones: debe reflejarse en cambios en los presupuestos, las políticas, las reglas, los planes de recuperación, el escrutinio de proveedores, el registro de actividad, la monitorización, la formación y la tolerancia al error. Y todo eso debe hacerse antes de que ocurra la brecha inevitable, porque es mucho más difícil acertar a un objetivo en movimiento.
El «endgame» de la ciberseguridad: auditarse uno mismo o ser auditado por criminales
Los «auditores» criminales cuentan con el error humano. Después de todo, el phishing sigue siendo uno de los vectores de ataque más prevalentes. En ciberseguridad, el final de la partida se juega de dos maneras posibles. O bien las organizaciones se auditan a sí mismas de forma regular – realizan pruebas de penetración, ejercicios de equipo rojo/azul/púrpura, reevalúan el panorama de amenazas e invierten en su provisión de seguridad como parte de su estrategia de resiliencia cibernética –, o bien permiten que los ciberdelincuentes hagan la auditoría por ellas.
Los criminales se apoyan en una falsa sensación de seguridad (literalmente), y esa es la grieta en la armadura que explotan. Auditar a una organización desde fuera puede ser brutal, costoso, devastador y, en muchos casos, terminal. Por eso esta metáfora importa: los ciberdelincuentes descubren la distancia entre lo que una organización cree sobre su seguridad y lo que es la realidad. No se trata de una evaluación técnica imparcial; es una explotación agresiva de las debilidades.
El costo de la confianza: 46% de los consumidores tardan más de 5 meses en recuperar la confianza
Para poner las cosas en perspectiva, la inteligencia de amenazas de ESET procesa 750.000 muestras sospechosas y analiza 2.500 millones de URL cada día, bloqueando 500.000 de ellas. Los actores de amenazas son implacables, y a medida que sus ataques se vuelven más sofisticados, las organizaciones deben desechar cualquier pensamiento de ser invulnerables. Un estudio realizado por ESET con 2.000 consumidores en el Reino Unido, tras una serie de brechas de alto perfil en el sector minorista, reveló que el 46% de los compradores afirmó que necesitaría más de 5 meses para reconstruir la confianza después de una filtración de datos. Esa es una auditoría muy cara. Si la alta dirección solo se interesa por los números, basta con hacer el cálculo simple del daño financiero directo. Y eso suele ser solo la punta de un iceberg muy doloroso.
El panorama actual: amenazas que evolucionan más rápido que las estrategias
Uno de los aspectos más intrigantes del sesgo de normalidad es que, a pesar de la creciente sofisticación, velocidad, volumen y variedad de los vectores de ataque – que todos conocemos –, nuestro enfoque hacia las estrategias de resiliencia cibernética a menudo sigue anclado en el pasado, aunque sea un pasado relativamente reciente. Pero el tiempo pasa rápido en ciberseguridad. En los 4 o 5 minutos que se tarda en leer este artículo, ESET habrá procesado más de 2.000 muestras sospechosas y escaneado aproximadamente 7 millones de URL, bloqueando alrededor de 1.500 de ellas.
Cuando se pregunta por qué deberíamos revisar la provisión de servicios de ciberseguridad, ¿estamos teniendo en cuenta todos los parámetros que han cambiado – global y localmente – en los últimos años y cómo podrían afectar nuestra postura de seguridad actual? De memoria, cualquiera puede nombrar al menos algunos de estos factores:
- Auge del fraude impulsado por IA y otras amenazas.
- La guerra en Ucrania.
- Irán.
- Incremento del costo del cibercrimen a nivel mundial.
- Deepfakes.
- Aumento de los ataques de ingeniería social.
- Persistencia del phishing como principal vector de ataque.
- Mayor complejidad de las soluciones y servicios de ciberseguridad.
- Brecha de habilidades cibernéticas que sigue siendo alarmantemente amplia.
No es casualidad que el nivel de protección ofrecido por los proveedores hace apenas unos años esté siendo reemplazado, y que los servicios y soluciones MDR/XDR/MXDR se estén convirtiendo en la norma. Los «auditores» criminales ciertamente no se han quedado de brazos cruzados. Si bien el uso de nuevas herramientas, como la IA, no implica necesariamente un mejor código, sí les permite escalar los ataques de forma masiva y escanear vulnerabilidades a un ritmo sin precedentes.
Evitar la trampa: acciones concretas para salir del sesgo de normalidad
Reconocer que el sesgo de normalidad es una condición cognitiva humana común y generalizada es el primer paso para avanzar hacia la prevención de la complacencia antes de una brecha y minimizar su impacto. «Errar es humano», pero ahora que conocemos la falla, tenemos el imperativo de actuar sobre ese conocimiento y hacer las cosas de manera diferente. Estas son algunas acciones prácticas que cualquier organización debe considerar:
- Si no se invierte en auditorías, pruebas, concienciación cibernética y tecnologías de prevención, no se está ahorrando dinero: simplemente se está externalizando la garantía de seguridad a los criminales.
- El momento en que la alta dirección se involucra más con la ciberseguridad es inmediatamente después de una brecha costosa, cuando la normalidad se ha roto. Hay que lograr que se involucren antes.
- Los criminales trabajan 24 horas al día, los 7 días de la semana, con IA agéntica a su lado. ¿Son sus soluciones lo suficientemente resilientes para afrontarlo? Verifique.
- Independientemente del tamaño de su organización, es necesario revisar constantemente su perfil cibernético y su resiliencia.
- No confunda el silencio (de incidentes) con seguridad. Invierta en servicios MDR/MXDR las 24 horas del día, los 7 días de la semana.
- Ahora que conoce la trampa del «sesgo de normalidad», evítela.
El sesgo de normalidad nos lleva a pensar que el desastre no ocurrirá, pero los datos demuestran lo contrario. Mientras las organizaciones sigan confiando en la inercia y en la ausencia de alertas como prueba de seguridad, los ciberdelincuentes seguirán realizando sus propias auditorías, sin ser contratados y con consecuencias que pueden ser terminales. La única forma de romper ese ciclo es adoptar una postura proactiva, auditarse constantemente y aceptar que la seguridad no es un estado, sino un proceso continuo de adaptación y mejora.
