Los ciberdelincuentes están desplazando su foco de los sistemas a las personas. Un informe de la firma Hacken indica que más del 63 % de las pérdidas por incidentes de seguridad en el ecosistema Web3 durante el primer trimestre de 2026 —unos 306 millones de dólares de un total de 482 millones— se originaron en campañas de phishing e ingeniería social. La tendencia se agrava con la sofisticación que aporta la inteligencia artificial generativa: Microsoft Threat Intelligence registró un aumento intertrimestral del 146 % en ataques de QR phishing, que pasaron de 7,6 millones de detecciones en enero a 18,7 millones en marzo, redirigiendo a las víctimas a portales de acceso falsos.

Desde Yakarta, la plataforma de intercambio Indodax advierte que los atacantes se hacen pasar por servicios de atención al cliente para obtener contraseñas, PIN y códigos de un solo uso, explotando la confianza y el pánico de los usuarios. La recomendación técnica es unívoca: activar la autenticación multifactor y verificar siempre los canales oficiales, ya que ninguna empresa legítima solicita credenciales por mensajería instantánea.

Esa vulnerabilidad en el eslabón humano coincide con un momento de redefinición regulatoria en Europa. La vicepresidenta ejecutiva de la Comisión Europea para la Soberanía Tecnológica, Henna Virkkunen, detalló en el World Tech Conference de Milán dos iniciativas legislativas en tramitación: una ley de desarrollo de inteligencia artificial y cloud, y una segunda versión del Chips Act. Bruselas propone que los gobiernos evalúen el riesgo de sus servicios de nube pública, especialmente en defensa y seguridad interior, y busca estimular la demanda de semiconductores fabricados en el continente para sectores como el automotriz y las telecomunicaciones. La Ley de IA, basada en niveles de riesgo, está en fase de consulta pública hasta el 23 de julio para definir los casos de uso de alto riesgo.

En paralelo, la Ley de Ciberresiliencia (CRA) ya impone desde septiembre de 2026 obligaciones de documentación y gestión de vulnerabilidades para más del 90 % de los productos con elementos digitales comercializados en la UE. Fabricantes como Kigen, que produce tecnología eSIM para más de 250 redes, argumentan que el cumplimiento normativo no es un lastre sino una ventaja estructural de acceso al mercado. La empresa respondió en 72 horas a vulnerabilidades críticas detectadas en marcos eSIM, compartiendo el parche sin restricciones y en coordinación con la GSMA y la agencia europea ENISA.

El siguiente hito concreto será el cierre de la consulta sobre las directrices de IA de alto riesgo el 23 de julio, mientras la industria IoT monitoriza la aplicación gradual de la CRA, cuyas sanciones pueden alcanzar los 15 millones de euros o el 2,5 % de la facturación global anual.