El sesgo de normalidad nos lleva a subestimar la posibilidad de un desastre y a creer que la vida continuar\u00e1 con normalidad incluso cuando las amenazas son evidentes. En cibersguridad, esta trampa cognitiva provoca que las organizaciones confundan familiaridad con seguridad y silencio con protecci\u00f3n, mientras los ciberdelincuentes aprovechan esa falsa calma para auditar empresas sin ser contratados. La realidad es que, en lugar de realizar evaluaciones proactivas de su postura de seguridad, muchas compa\u00f1\u00edas est\u00e1n delegando esa auditor\u00eda en manos de criminales, con consecuencias devastadoras.<\/p>\n
La doctora Lauren Braithwaite, de la Universidad de Yale, define el sesgo de normalidad como \u201cnuestra tendencia a subestimar la posibilidad de un desastre y creer que la vida continuar\u00e1 con normalidad, incluso frente a amenazas o crisis significativas\u201d<\/em>. Es el mismo mecanismo que explica por qu\u00e9 las personas dudan despu\u00e9s de que suena una alarma de incendios o retrasan su reacci\u00f3n en situaciones que a\u00fan parecen manejables. En el \u00e1mbito de la ciberseguridad, este sesgo se manifiesta de formas sutiles pero peligrosas: las organizaciones interpretan la ausencia de problemas evidentes como prueba de que los riesgos est\u00e1n controlados, o tratan la falta de alertas claras de sus plataformas de protecci\u00f3n como una se\u00f1al de que todo marcha bien.<\/p>\n El problema se agrava porque el sesgo de normalidad opera a escala colectiva. Cuantas m\u00e1s noticias de brechas de seguridad aparecen en los titulares \u2013 y muchas nunca llegan a la portada \u2013, menor es la urgencia que cada una genera. La familiaridad con el riesgo lo normaliza, y esa normalizaci\u00f3n lleva a la inacci\u00f3n. Mientras tanto, los ciberdelincuentes no descansan: procesan muestras, analizan URL y buscan vulnerabilidades a un ritmo que ninguna estrategia basada en la inercia puede igualar.<\/p>\n El informe anual del NCSC (National Cyber Security Centre) publicado en 2025 ofrece una instant\u00e1nea escalofriante de la situaci\u00f3n. En los 12 meses hasta agosto de 2025, se reportaron 204 ataques cibern\u00e9ticos clasificados como \u00absignificativos a nivel nacional\u00bb, lo que representa un incremento del 130% respecto a los 89 registrados el a\u00f1o anterior. De un total de 429 incidentes, 18 fueron calificados como \u00abaltamente significativos\u00bb, un aumento del 50% en los casos m\u00e1s graves. Empresas como M&S, JLR y Co-op han aparecido en los titulares por brechas de alto perfil, pero la mayor\u00eda de las filtraciones nunca llegan a las primeras planas.<\/p>\n Estos n\u00fameros desaf\u00edan cualquier narrativa optimista. Si las lecciones realmente se estuvieran aprendiendo, la tendencia deber\u00eda ser a la baja, no al alza. El aumento del 130% en incidentes significativos sugiere que, a nivel macro, algo no est\u00e1 funcionando. La brecha entre lo que las organizaciones creen sobre su seguridad y lo que realmente ocurre es cada vez m\u00e1s amplia, y los criminales la est\u00e1n explotando sistem\u00e1ticamente.<\/p>\n Cuando ocurre una cat\u00e1strofe de cualquier tipo \u2013 incluida una brecha de ciberseguridad \u2013, tanto gobiernos como empresas repiten una frase hecha: \u00abSe han aprendido las lecciones\u00bb. Pero, \u00bfes cierto? El incremento del 130% en incidentes significativos entre 2024 y 2025 contradice frontalmente esa afirmaci\u00f3n. Parece m\u00e1s bien un rotundo \u00abno\u00bb.<\/p>\n El a\u00f1o pasado, un an\u00e1lisis publicado en WeLiveSecurity plante\u00f3 una analog\u00eda que ayuda a entender el estado psicol\u00f3gico posterior a una brecha: muchas empresas se encuentran, en cierto sentido, simult\u00e1neamente vulneradas y no vulneradas, como el gato de Schr\u00f6dinger. Hasta que no se abre la caja<\/em> \u2013 es decir, hasta que no se interrogan los registros o se busca activamente un compromiso \u2013, la comodidad de \u00abno hemos sido atacados\u00bb simplemente refleja que nadie ha comprobado realmente si lo han sido. Esa reticencia a mirar tambi\u00e9n podr\u00eda ser el sesgo de normalidad actuando en silencio.<\/p>\n \u00abSe han aprendido las lecciones\u00bb es la declaraci\u00f3n que se hace despu\u00e9s de abrir la caja, encontrar al gato muerto y afirmar: \u00abYa sabemos lo que pas\u00f3, tenemos el control, no se preocupen\u00bb<\/em>. Pero eso es una narrativa, no evidencia de un cambio significativo en el enfoque. El verdadero aprendizaje es un proceso proactivo que transforma el comportamiento de las organizaciones: debe reflejarse en cambios en los presupuestos, las pol\u00edticas, las reglas, los planes de recuperaci\u00f3n, el escrutinio de proveedores, el registro de actividad, la monitorizaci\u00f3n, la formaci\u00f3n y la tolerancia al error. Y todo eso debe hacerse antes de que ocurra la brecha inevitable, porque es mucho m\u00e1s dif\u00edcil acertar a un objetivo en movimiento.<\/p>\n Los \u00abauditores\u00bb criminales cuentan con el error humano. Despu\u00e9s de todo, el phishing sigue siendo uno de los vectores de ataque m\u00e1s prevalentes. En ciberseguridad, el final de la partida se juega de dos maneras posibles. O bien las organizaciones se auditan a s\u00ed mismas de forma regular \u2013 realizan pruebas de penetraci\u00f3n, ejercicios de equipo rojo\/azul\/p\u00farpura, reeval\u00faan el panorama de amenazas e invierten en su provisi\u00f3n de seguridad como parte de su estrategia de resiliencia cibern\u00e9tica \u2013, o bien permiten que los ciberdelincuentes hagan la auditor\u00eda por ellas.<\/p>\n Los criminales se apoyan en una falsa sensaci\u00f3n de seguridad (literalmente), y esa es la grieta en la armadura que explotan. Auditar a una organizaci\u00f3n desde fuera puede ser brutal, costoso, devastador y, en muchos casos, terminal. Por eso esta met\u00e1fora importa: los ciberdelincuentes descubren la distancia entre lo que una organizaci\u00f3n cree<\/strong> sobre su seguridad y lo que es la realidad<\/strong>. No se trata de una evaluaci\u00f3n t\u00e9cnica imparcial; es una explotaci\u00f3n agresiva de las debilidades.<\/p>\nDatos que no mienten: 204 ataques \u00absignificativos\u00bb en Reino Unido y un aumento del 130%<\/h2>\n
\u00bfRealmente se aprenden las lecciones? De la declaraci\u00f3n a la evidencia<\/h2>\n
El \u00abendgame\u00bb de la ciberseguridad: auditarse uno mismo o ser auditado por criminales<\/h2>\n
El costo de la confianza: 46% de los consumidores tardan m\u00e1s de 5 meses en recuperar la confianza<\/h3>\n