Pulsas «Enviar» y, un segundo después, te das cuenta de que has adjuntado el archivo equivocado o de que el nombre en el campo «Para» es incorrecto. Casi por reflejo, haces clic en «Recuperar» y esperas que funcione. Ese momento es una de las manifestaciones más habituales del riesgo interno, y rara vez tiene nada que ver con los piratas informáticos.
Entonces, ¿se puede recuperar un correo electrónico después de enviarlo a la persona equivocada? En la mayoría de los casos, no. La función de recuperación de Microsoft solo funciona cuando el remitente y el destinatario pertenecen a la misma organización de Microsoft 365 o Exchange, e incluso así, solo para mensajes que no se hayan abierto. Una vez que un correo electrónico llega a una bandeja de entrada externa, ya no está en tus manos.
Por eso, la pregunta más útil no es cómo recuperar un correo electrónico, sino hasta qué punto tu organización comprende la forma en que las personas gestionan los datos confidenciales a diario.
La recuperación de correos electrónicos suena como un botón de «deshacer», pero las dos condiciones mencionadas anteriormente —una organización compartida y un mensaje sin abrir— dejan muy poco margen para que funcione. Las cuentas personales, como las direcciones de Outlook.com o Hotmail, no pueden utilizar la recuperación en absoluto.
Esas limitaciones descartan los casos que más importan. Los clientes, socios y proveedores se encuentran fuera de tu organización, y sus bandejas de entrada no reciben instrucciones de tu servidor de correo.
Así que la respuesta sincera a «¿se puede recuperar un correo electrónico?» es esta: solo dentro de tu propia organización, y solo si nadie lo ha abierto todavía. En cualquier otro caso, el primer envío es definitivo.
En septiembre de 2026, Reuters informó de que un alto directivo de Morgan Stanley en Asia envió un informe semanal a un cliente con un archivo adjunto equivocado. Ese archivo contenía la cartera de operaciones del equipo, en la que figuraban unas 60 operaciones en curso de salida a bolsa, fusiones y adquisiciones y operaciones en bloque, además de docenas más marcadas como en fase de presentación o en espera.
El banquero intentó retirar el correo electrónico, se disculpó y pidió a los destinatarios que borraran el archivo adjunto. Fueron medidas sensatas, pero para entonces el archivo ya había llegado a las bandejas de entrada de los clientes.
El intento de retirada no pudo deshacer lo ocurrido. Una vez que el archivo adjunto salió de la empresa, recuperarlo dependía de la buena voluntad de cada destinatario, por lo que la solución tuvo que venir de las personas, no de pulsar un botón.
No hubo ningún atacante involucrado ni se robó ninguna contraseña. Una persona de confianza con acceso legítimo realizó una tarea rutinaria y cometió un pequeño error. Esa es la esencia del riesgo interno, y puede ocurrir en cualquier organización, de cualquier tamaño, en cualquier jornada laboral normal.
La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) define la amenaza interna de forma amplia, abarcando a cualquier persona que utilice su acceso autorizado, «a sabiendas o sin saberlo», de formas que causen daño. En cuanto a los casos no intencionados, la CISA describe dos tipos: negligencia y accidentes.
El término técnico para el ejemplo del correo electrónico es «amenaza interna involuntaria», y también es el tipo más común. Se encuentra en las herramientas que la gente utiliza a diario, como el correo electrónico, las unidades compartidas, el chat y las aplicaciones en la nube.
Según el estudio «El coste de los riesgos internos en 2026: estudio global» del Ponemon Institute, los empleados negligentes son la causa principal de la mayoría de los incidentes. Las organizaciones registraron una media de 13,8 incidentes por negligencia en 2025, con un coste aproximado de 747 000 dólares cada uno.
El volumen también sigue aumentando. En el estudio de Ponemon de 2024, el 57 % de las empresas sufrieron más de 20 incidentes internos al año, y en el estudio de 2026 ese porcentaje ascendió al 68 %.
Nada de esto significa que la gente sea descuidada. Los usuarios, ocupados y con buenas intenciones, cometen errores previsibles y, con el tiempo, esos errores se acumulan.
Relacionado: El riesgo interno se está convirtiendo en un riesgo laboral cotidiano
La formación en concienciación sobre seguridad es importante porque enseña a los usuarios cómo son los datos sensibles y por qué hay que tratarlos con cuidado. Lo que no puede hacer es eliminar las condiciones que provocan los errores en primer lugar.
Piensa en cómo suele producirse el error. La función de autocompletar sugiere un contacto equivocado, dos archivos comparten un nombre similar o se envía una actualización periódica entre reuniones consecutivas. Ninguno de estos casos se debe a un desconocimiento, ya que el usuario ya conoce la norma y simplemente está actuando con prisas.
Ahí radica el límite de un enfoque basado únicamente en la formación. Se parte de la base de que las personas cometen errores porque no saben cómo actuar correctamente, cuando en la mayoría de los casos lo hacen porque están trabajando bajo presión en tiempo real.
Lo que funciona mejor es diseñar los procesos en función de cómo trabaja realmente la gente, con reglas claras sobre qué datos merecen una segunda revisión y con líderes que traten los errores involuntarios como señales en lugar de como fracasos. También requiere algo que la formación por sí sola no puede proporcionar: una visión clara de cómo las personas acceden, mueven y comparten datos confidenciales en el día a día.
Las empresas pueden reducir el riesgo interno derivado de los errores cotidianos de dos maneras: creando un programa formal de gestión del riesgo interno y aprendiendo cómo se comportan realmente los usuarios. El enfoque pasa de mantener a raya a los atacantes a saber cómo es la normalidad dentro de la organización. Estas dos ideas suelen confundirse, pero son cosas diferentes.
La gestión de riesgos internos (IRM) es un programa que abarca toda la organización. Define qué datos son confidenciales, quién debe acceder a ellos y cómo responde la empresa cuando algo sale mal. La responsabilidad suele compartirse entre los departamentos de seguridad, TI, RR. HH., jurídico y de cumplimiento normativo, y el objetivo es gestionar el riesgo derivado de personas con acceso legítimo, tanto si actúan a propósito como por accidente.
El análisis del comportamiento de los usuarios (UBA) es una forma de observar. Establece cuál es la actividad normal de los usuarios y las funciones, y luego destaca los cambios significativos, como cuando un usuario abre de repente archivos que nunca había abierto o comparte datos de una forma que su equipo nunca hace.
En resumen, la IRM decide qué es importante y cómo responder, mientras que la UBA te ayuda a detectar cuándo el comportamiento cotidiano empieza a desviarse de la norma.
Aplique ambas perspectivas al ejemplo del proceso de ventas. El IRM se pregunta si un proceso de ventas debería incluirse en una actualización rutinaria al cliente y, en caso afirmativo, quién es el responsable de la respuesta. El UBA se pregunta si adjuntar ese tipo de archivo a ese tipo de correo electrónico es normal para ese usuario. Uno establece las reglas y el otro muestra dónde difiere la realidad cotidiana.
Incluso con buenos hábitos, tarde o temprano se enviará un correo electrónico a un destinatario equivocado. Cuando esto ocurra, una respuesta serena y bien preparada limita el impacto, ya que cuanto más rápido actúe el equipo, menos personas verán datos que nunca debieron ver.
Utiliza esta lista para comprobar en qué medida tu organización comprende los riesgos internos cotidianos.
No. En Microsoft Outlook, la función de recuperación solo funciona cuando el remitente y los destinatarios pertenecen a la misma organización de Microsoft 365 o Exchange, y solo para mensajes sin abrir. Un correo electrónico enviado a un cliente, socio o dirección personal no se puede recuperar, por lo que el siguiente paso práctico es ponerse en contacto directamente con el destinatario y pedirle que lo borre.
La formación enseña a los usuarios las normas, pero la mayoría de los correos electrónicos enviados por error provienen de personas que ya las conocen. El autocompletado, los nombres de archivo similares y la presión del tiempo provocan el error, no la falta de conocimientos. Por eso, la formación funciona mejor si va acompañada de normas claras sobre el tratamiento de datos, un sistema de notificación sin culpas y visibilidad sobre cómo se mueven realmente los datos confidenciales.
No. La gestión del riesgo interno es un programa que abarca toda la organización y que define los datos sensibles, el acceso y la respuesta en los ámbitos de seguridad, TI, RR. HH., asuntos jurídicos y cumplimiento normativo. El análisis del comportamiento de los usuarios es una forma de comprender cómo es la actividad normal y detectar cambios significativos. Uno establece las normas y el otro muestra en qué momentos el comportamiento diario se desvía de ellas.
El botón de «Retirar» siempre resultará tentador, pero para cuando alguien se disponga a pulsarlo, los datos ya se habrán enviado. El riesgo interno rara vez comienza con un hacker. Comienza con una persona ocupada, una herramienta familiar y una tarea rutinaria.
Las organizaciones que lo gestionan bien no esperan la perfección. Saben dónde se encuentran sus datos confidenciales, quién los maneja y cómo es el comportamiento normal, y cuando se produce un error, responden rápidamente y aprenden de él. Ese es el cambio que fomentamos en Safetica: tratar el riesgo interno como parte del trabajo diario, no como un hecho excepcional.
Un buen punto de partida es la lista de comprobación anterior. Elige un punto y llévalo a tu próxima reunión de seguridad o cumplimiento normativo; y para ver cómo funciona esto en la práctica, , explora aquí nuestro enfoque de gestión del riesgo interno.