Phishing y deepfakes: regla y formación para proteger al equipo

• Escritura Mensajes bien redactados, con el tono y la firma de quien dicen ser.
• Voz clonada Basta un breve fragmento de audio público (una entrevista, un vídeo en LinkedIn) para que un directivo «llame» pidiendo un pago.
• Vídeo Ya se han usado rostros sintetizados en directo en videollamadas para aprobar transferencias en empresas europeas.

La técnica varía; el patrón no. Siempre hay prisa y siempre hay jerarquía: una persona con poder exige algo inmediato, al margen del proceso habitual.

Confirmar por otro canal. Entrenar solo para reconocer fraudes falla, porque algunos son imposibles de reconocer. La protección tiene que funcionar incluso cuando nadie sospecha: cualquier pago, cambio de datos bancarios o envío de información sensible se valida por un segundo canal, con un contacto que ya figuraba en los registros.

¿El proveedor ha enviado un IBAN nuevo? Se llama al número que figura en el contrato. ¿El CEO ha pedido una transferencia en una videollamada? Se le llama al móvil. Cuando la regla no tiene excepciones, ni siquiera para la gerencia, la perfección de la suplantación deja de importar. Más detalle en el artículo sobre el fraude de la factura con el IBAN cambiado.

Poco tiempo, muchas veces

Dos horas al año se olvidan en un mes. Funcionan las sesiones de 15 a 20 minutos, cada dos o tres meses, cada una sobre un tema: email, teléfono, videollamada, redes sociales, memorias USB y archivos. Con ejemplos reales, idealmente intentos que haya recibido la propia empresa, sin identificar a nadie. Nadie recuerda una diapositiva; todo el mundo recuerda el falso email de la compañía eléctrica que le llegó al compañero de al lado.

Simular para enseñar, no para avergonzar

Quien cae en la simulación recibe al momento una explicación breve, nunca una crítica en público, porque el miedo lleva a la gente a ocultar errores. El indicador principal es la tasa de aviso, y no solo la de clic. Un equipo en el que el 5% hace clic y el 60% avisa está más seguro que otro en el que solo el 2% hace clic pero nadie dice nada. Empiece con una simulación trimestral y aumente la exigencia de forma progresiva.

Avisar tiene que ser instantáneo

Un botón en Outlook, o una dirección interna que todos conozcan. Y una respuesta el mismo día diciendo si era o no un fraude. Sin respuesta, el hábito muere en semanas; con respuesta, los empleados se convierten en la alarma más rápida de la organización.

Protocolo para voz y vídeo falsos

• Partir de la premisa correcta Reconocer la voz o la cara ya no demuestra la identidad.
• Reconocer las señales Petición fuera del proceso, urgencia, secreto, rechazo del canal habitual. Ayudan, pero no bastan.
• Frase de salida «Te lo confirmo por el contacto habitual», y se cuelga. Si la gerencia la pronuncia en la formación, nadie tendrá miedo de usarla.
• Código verbal Una palabra acordada entre la gerencia y el área financiera para cualquier petición de dinero. No cuesta nada y funciona.

• Finanzas y contabilidad Por las transferencias.
• RR. HH. Datos personales y peticiones para cambiar la cuenta de la nómina.
• Recepción y secretaría de dirección Agendas y peticiones en nombre de otros. En las embajadas, hoteles y clínicas que gestionamos, la recepción suele ser la primera puerta que intentan abrir.
• Dirección Recibe los ataques más elaborados y es la que menos aparece en las sesiones.

Las personas son la última barrera, no la primera. Antes que ellas: un filtro de correo que identifique remitentes externos y bloquee archivos ejecutables; SPF, DKIM y DMARC, para que sea difícil enviar correo en nombre de su dominio; y MFA en todas las cuentas, para que una contraseña robada no baste. A ello se suman firewalls gestionados y la protección de Microsoft 365 empresarial.

Con la ciberseguridad gestionada de DataRoad preparamos la primera sesión, lanzamos la primera simulación, activamos el aviso con un clic y ajustamos filtros y MFA, reduciendo el volumen de fraude que llega a los empleados. DataRoad nunca ha sufrido un incidente de seguridad en 11 años. Pida una propuesta sin compromiso.

Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico. Llame al +351 211 459 950 * o escriba a sales@dataroad.pt.

*Llamada a la red fija portuguesa.