Hace dos años bastaba con enseñar a las personas a fijarse en el portugués extraño y en la dirección de correo electrónico mal escrita. Hoy el correo electrónico de phishing está bien escrito, la llamada telefónica tiene la voz del director financiero y la videollamada de urgencia muestra el rostro del director ejecutivo pidiendo una transferencia. La tecnología del fraude ha mejorado; la formación de la mayoría de las empresas se quedó en 2019. Este artículo explica lo que ha cambiado y cómo entrenar a un equipo de forma realista —sin sesiones de dos horas que nadie retiene ni reglas que nadie cumple—.
Lo que cambió: del mensaje mal escrito a la imitación perfecta
Tres cosas. Primero, el texto: los correos electrónicos fraudulentos ahora están escritos en portugués correcto, con el tono y la firma de la persona a la que imitan. Segundo, la voz: con unos segundos de audio público (una entrevista, un vídeo en LinkedIn) es posible generar una llamada con la voz de un administrador pidiendo “una cosa urgente”. Tercero, la imagen: las videollamadas con rostros generados en tiempo real ya se han utilizado para autorizar transferencias en empresas europeas. El denominador común no es la tecnología, es la urgencia y la autoridadalguien importante necesita algo ya, fuera del procedimiento normal.
Regla cero: el procedimiento vence a la persona
Si la formación solo enseña a detectar fraudes, va a fracasar, porque algunos son indetectables. Lo que funciona es una regla que no depende de detectar nada: solicitudes de pago, modificación de datos bancarios o envío de datos sensibles se confirman siempre por un segundo canal, a un contacto ya conocido. ¿Recibió un correo electrónico del proveedor con un nuevo IBAN? Se llama al número que está en el contrato, no al que viene en el correo electrónico. ¿El CEO pidió una transferencia por videollamada? Se confirma por teléfono a su número. Si la regla es absoluta y la gerencia también la cumple, la calidad de la imitación deja de importar. Esta regla es el centro de nuestra análisis del fraude de la factura alterada.
Formación que funciona: corta, frecuente y con ejemplos reales
Una sesión anual de dos horas tiene una retención casi nula al cabo de un mes. Lo que resulta es lo contrario: sesiones de 15 a 20 minutos, cada dos o tres meses, cada una sobre un tema (correo electrónico, llamadas, videollamadas, redes sociales, memorias USB y archivos). Siempre con ejemplos reales, idealmente intentos que llegaron a la propia empresa, anonimizados. Las personas se acuerdan de “aquel correo electrónico que Ana recibió fingiendo ser de EDP”, no de una diapositiva genérica.
Simulaciones de phishing: sí, pero sin humillar
Enviar correos electrónicos de phishing simulados al equipo es la forma más eficaz de medir y mejorar. Dos reglas. Primera: quien hace clic recibe una explicación breve e inmediata, nunca una reprimenda pública; el objetivo es que las personas informen sin miedo, y el miedo hace que se esconda. Segunda: se mide la tasa de informe, no solo la tasa de clics. Una empresa en la que 5% hace clic pero 60% informa de ello es más segura que una en la que 2% hace clic y nadie avisa. Empieza con una simulación por trimestre y aumenta la dificultad poco a poco.
El botón de reportar
El equipo necesita una forma de reportar en dos segundos: un botón en Outlook o una dirección interna conocida por todos. Y necesita comentarios: quien reporta debe saber, el mismo día, si era fraude o no. Sin comentarios, la gente deja de reportar al cabo de un mes. Con comentarios, el equipo se transforma en el mejor sensor de seguridad de la empresa, más rápido que cualquier filtro.
Capacitación para deepfakes: qué decir a las personas
- Una llamada o videollamada puede ser falsa incluso si la voz y la cara son las correctas. Esto no es paranoia; es el estado actual de la tecnología.
- Señales útiles pero no suficientes: pedido fuera de procedimiento, prisa, solicitud de secreto (“no se lo digas a nadie”), negativa a usar el canal habitual.
- La respuesta es siempre la misma: “Confirmo ya contigo por el canal habitual” — y se cuelga. Nadie legítimo se ofende con esto. Si la gerencia dice esto en voz alta en la sesión de formación, el equipo pasa a hacerlo sin miedo.
- Contraseña verbal para solicitudes financieras entre la gerencia y finanzas: simple, gratuito y eficaz.
Los blancos que merecen entrenamiento extra
Finanzas y contabilidad (transferencias), recursos humanos (datos personales, modificaciones de cuenta de nómina), recepción y asistentes de dirección (acceso a agendas y a solicitudes “en nombre de”), y la propia gerencia —que recibe los ataques más personalizados y es quien menos asiste a formaciones—. En las embajadas, clínicas y hoteles con los que trabajamos, la recepción es frecuentemente el primer objetivo, porque atiende a cualquiera que llame.
La parte técnica que reduce lo que llega a las personas
La formación es la última línea, no la primera. Antes de ella: filtración de correo electrónico que marca mensajes externos y bloquea archivos adjuntos ejecutables, autenticación del dominio (SPF, DKIM y DMARC) para dificultar que alguien envíe correos electrónicos en nombre de la empresa, y autenticación multifactor para que una contraseña robada no llegue. En nuestros contratos de ciberseguridad gestionada Estas camadas están configuradas y la sensibilización de los equipos forma parte del servicio.
Preguntas frecuentes
¿Con qué frecuencia se debe hacer formación?
Las sesiones cortas cada dos o tres meses funcionan mejor que una sesión larga al año. Una simulación de phishing por trimestre mantiene el tema presente.
¿Las simulaciones no crean desconfianza en el equipo?
Crian, si se usan para castigar. Si cada clic va seguido de una explicación de dos minutos y el foco es celebrar a quien reporta, el efecto es el contrario: la gente pasa a hablar del asunto.
¿Cómo sé si una llamada con la voz de mi jefe es falsa?
No lo sabe con certeza. Por eso la respuesta no es detectar, es confirmar: colgar y volver a llamar al número conocido. Una contraseña verbal acordada previamente resuelve la mayoría de los casos.
¿Es la formación obligatoria por ley?
El RGPD exige medidas organizativas adecuadas y la NIS2 exige explícitamente formación en ciberseguridad para las entidades cubiertas, incluidos los órganos de gestión. Incluso fuera de esas obligaciones, es la medida con mejor relación coste-beneficio.
¿Quieres empezar por tu equipo?
Preparamos la sesión inicial, la primera simulación y el botón de reporte, y configuramos el filtrado de correo electrónico y el MFA para que menos fraudes lleguen a las personas. Vea nuestra ciberseguridad gestionada para empresas o llame al 211 459 950.
