--- title: "Phishing y deepfakes: regla y formación para proteger al equipo" description: "El email falso llega sin errores y la llamada tiene la voz del director. Prepare al equipo: una regla, sesiones cortas y simulacros. Propuesta sin compromiso." language: es url: https://www.dataroad-it.com/es/phishing-voz-clonada-deepfakes-concienciacion/ source: https://www.dataroad-it.com/es/phishing-voz-clonada-deepfakes-concienciacion/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > El email falso llega sin errores y la llamada tiene la voz del director. Prepare al equipo: una regla, sesiones cortas y simulacros. Propuesta sin compromiso. # Phishing y deepfakes: regla y formación para proteger al equipo En resumen Para directivos con poco tiempo. - 01 Los pagos y los IBAN nuevos se confirman siempre por un segundo canal, con un contacto conocido. - 02 Sesiones de 15 a 20 minutos cada 2 o 3 meses y una simulación por trimestre. - 03 Se mide la tasa de aviso, no solo la de clic, y quien avisa recibe respuesta el mismo día. - 04 El filtrado de correo, SPF, DKIM, DMARC y MFA van antes de la formación. ### En este artículo **Una sola transferencia autorizada por error puede costar más que un año entero de ciberseguridad gestionada.** En 2026, el fraude llega por email sin errores, por teléfono con la voz del director general y por videollamada con la cara correcta. La defensa eficaz contra el phishing y los deepfakes ya no es enseñar a fijarse en las erratas. Es una regla de confirmación por un segundo canal, formación breve y frecuente con casos reales, simulaciones sin castigo y un botón de aviso con respuesta el mismo día. Es el modelo que DataRoad - IT Services and Consulting aplica en la ciberseguridad gestionada de sus clientes. ## ¿Cómo ha cambiado el fraude contra empresas? - **Escritura** Mensajes bien redactados, con el tono y la firma de quien dicen ser. - **Voz clonada** Basta un breve fragmento de audio público (una entrevista, un vídeo en LinkedIn) para que un directivo «llame» pidiendo un pago. - **Vídeo** Ya se han usado rostros sintetizados en directo en videollamadas para aprobar transferencias en empresas europeas. La técnica varía; el patrón no. Siempre hay **prisa** y siempre hay **jerarquía**: una persona con poder exige algo inmediato, al margen del proceso habitual. ## ¿Qué regla neutraliza cualquier suplantación? Confirmar por otro canal. Entrenar solo para reconocer fraudes falla, porque algunos son imposibles de reconocer. La protección tiene que funcionar incluso cuando nadie sospecha: **cualquier pago, cambio de datos bancarios o envío de información sensible se valida por un segundo canal, con un contacto que ya figuraba en los registros**. ¿El proveedor ha enviado un IBAN nuevo? Se llama al número que figura en el contrato. ¿El CEO ha pedido una transferencia en una videollamada? Se le llama al móvil. Cuando la regla no tiene excepciones, ni siquiera para la gerencia, la perfección de la suplantación deja de importar. Más detalle en el artículo sobre el [fraude de la factura con el IBAN cambiado](https://www.dataroad-it.com/es/fraude-correo-iban-factura-ceo/). ## ¿Qué formación cumple realmente el equipo? ### Poco tiempo, muchas veces Dos horas al año se olvidan en un mes. Funcionan las sesiones de 15 a 20 minutos, cada dos o tres meses, cada una sobre un tema: email, teléfono, videollamada, redes sociales, memorias USB y archivos. Con ejemplos reales, idealmente intentos que haya recibido la propia empresa, sin identificar a nadie. Nadie recuerda una diapositiva; todo el mundo recuerda el falso email de la compañía eléctrica que le llegó al compañero de al lado. ### Simular para enseñar, no para avergonzar Quien cae en la simulación recibe al momento una explicación breve, nunca una crítica en público, porque el miedo lleva a la gente a ocultar errores. El indicador principal es la tasa de **aviso**, y no solo la de clic. Un equipo en el que el 5% hace clic y el 60% avisa está más seguro que otro en el que solo el 2% hace clic pero nadie dice nada. Empiece con una simulación trimestral y aumente la exigencia de forma progresiva. ### Avisar tiene que ser instantáneo Un botón en Outlook, o una dirección interna que todos conozcan. Y una respuesta el mismo día diciendo si era o no un fraude. Sin respuesta, el hábito muere en semanas; con respuesta, los empleados se convierten en la alarma más rápida de la organización. ### Protocolo para voz y vídeo falsos - **Partir de la premisa correcta** Reconocer la voz o la cara ya no demuestra la identidad. - **Reconocer las señales** Petición fuera del proceso, urgencia, secreto, rechazo del canal habitual. Ayudan, pero no bastan. - **Frase de salida** «Te lo confirmo por el contacto habitual», y se cuelga. Si la gerencia la pronuncia en la formación, nadie tendrá miedo de usarla. - **Código verbal** Una palabra acordada entre la gerencia y el área financiera para cualquier petición de dinero. No cuesta nada y funciona. ## ¿Quién es el objetivo favorito dentro de la empresa? - **Finanzas y contabilidad** Por las transferencias. - **RR. HH.** Datos personales y peticiones para cambiar la cuenta de la nómina. - **Recepción y secretaría de dirección** Agendas y peticiones en nombre de otros. En las embajadas, hoteles y clínicas que gestionamos, la recepción suele ser la primera puerta que intentan abrir. - **Dirección** Recibe los ataques más elaborados y es la que menos aparece en las sesiones. ## ¿Qué protección técnica debe haber antes de la formación? Las personas son la última barrera, no la primera. Antes que ellas: un filtro de correo que identifique remitentes externos y bloquee archivos ejecutables; SPF, DKIM y DMARC, para que sea difícil enviar correo en nombre de su dominio; y [MFA en todas las cuentas](https://www.dataroad-it.com/es/mfa-autenticacion-multifactor-plan-14-dias/), para que una contraseña robada no baste. A ello se suman [firewalls gestionados](https://www.dataroad-it.com/es/firewall-gestionado-seguridad-red-portugal/) y la protección de [Microsoft 365 empresarial](https://www.dataroad-it.com/es/microsoft-365-empresas-gestion/). ## Preguntas frecuentes ### ¿Cada cuánto debe haber formación? Cada dos o tres meses, en sesiones breves, con una simulación por trimestre. Este ritmo da mejores resultados que una sesión larga anual. ### ¿Simular ataques no crea mal ambiente? No, siempre que no sirva para castigar. Una explicación de dos minutos para quien hace clic y un reconocimiento público para quien avisa convierten el tema en una conversación normal. ### ¿Cómo sé si la voz de mi jefe al teléfono es falsa? No lo sabe, y no necesita saberlo. Cuelgue y llame al número habitual, o pida el código verbal acordado. ### ¿La ley obliga a formar a los empleados? En las entidades sujetas a la NIS2, sí: la formación en ciberseguridad es obligatoria, también para los órganos de dirección; el RGPD pide medidas organizativas apropiadas. En las demás, es sencillamente la medida con mejor retorno por su coste. ## ¿Quiere poner a prueba a su equipo? Con la [ciberseguridad gestionada de DataRoad](https://www.dataroad-it.com/es/ciberseguridad-empresas/) preparamos la primera sesión, lanzamos la primera simulación, activamos el aviso con un clic y ajustamos filtros y MFA, reduciendo el volumen de fraude que llega a los empleados. DataRoad nunca ha sufrido un incidente de seguridad en 11 años. Pida una propuesta sin compromiso. **Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico.** Llame al +351 211 459 950 * o escriba a sales@dataroad.pt. **Llamada a la red fija portuguesa.* Elegida por empresas reconocidas e internacionales ★★★★★ 5,0 · 52 reseñas en Google ★★★★★ 5,0 · 52 reseñas en Google DataRoad ## Artículos relacionados [IT gestionado y ciberseguridadEquipos de viaje: portátiles, móviles y Wi-Fi público segurosEl riesgo real de un viaje es el portátil perdido sin cifrar, no el Wi-Fi del hotel. Con disco cifrado, gestión central, MFA y conexión cont…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/ciberseguridad-equipos-viaje-portatiles-wifi-publico/)[IT gestionado y ciberseguridadSuperficie de ataque externa: lo que internet ve de su empresaLos ataques automáticos buscan versiones vulnerables y el tamaño de la empresa no importa. En 2025, el CERT.PT registró 3.864 incidentes, un…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/superficie-ataque-externa-ciberseguridad/)[IT gestionado y ciberseguridadNOC y ciberseguridad gestionada: quién vigila su pyme, y cuándoLa cuestión no es tener un SOC: es saber quién recibe la alerta a las 22 h de un sábado y qué hace después. En DataRoad, noches, fines de se…12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/noc-ciberseguridad-gestionada-pymes/)[IT gestionado y ciberseguridadSeguridad de Microsoft 365: los 10 controles de la empresaEn Microsoft 365, la plataforma es de Microsoft y las llaves son suyas. Según Microsoft, el MFA y el bloqueo de la autenticación antigua fre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/microsoft-365-responsabilidad-compartida-seguridad/)[IT gestionado y ciberseguridadRGPD y ciberseguridad gestionada: 10 controles técnicos claveSin medidas técnicas documentadas, una brecha de datos pasa de incidente de IT a problema con la autoridad de control. Diez controles en tre…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/rgpd-medidas-tecnicas-infraestructura-it/)[IT gestionado y ciberseguridadContraseñas expuestas: auditar el dominio y actuar en 5 díasEl riesgo no es que el email aparezca en una filtración: es que la misma contraseña abra una cuenta de trabajo. Cambiar lo expuesto, MFA en …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/credenciales-filtradas-verificar-dominio-empresa/)[IT gestionado y ciberseguridadInventario de activos: la base de la gestión del parque y de NIS2Sin inventario de activos no hay renovación planificada, seguridad demostrable ni respuesta al CNCS. Las entidades NIS2 deben enviar la list…12 de octubre de 2026 · 7 min de lectura](https://www.dataroad-it.com/es/inventario-activos-parque-informatico-nis2/)[IT gestionado y ciberseguridadCuentas break-glass en Microsoft 365: el seguro de la empresaUn administrador bloqueado puede dejar correo, Teams y archivos sin gestión durante días. Las cuentas break-glass son el administrador de re…12 de octubre de 2026 · 5 min de lectura](https://www.dataroad-it.com/es/cuentas-break-glass-microsoft-365/)[IT gestionado y ciberseguridadWindows 365 en la empresa: cuándo el PC en la nube reduce costesEl PC en la nube compensa en consultores, temporeros, equipos sin oficina y parques mixtos Mac y Windows. Para vídeo, CAD o internet débil, …12 de octubre de 2026 · 6 min de lectura](https://www.dataroad-it.com/es/windows-365-empresas-pc-nube-costes/) Cifras que puede verificar **11** años en el mercado **232** clientes **< 10 min** tiempo medio de respuesta **15+** Certificaciones IT de fabricantes **10+** Países con clientes atendidos **5,0 ★** 52 reseñas en Google Transparencia ## Lo que muchos proveedores no muestran, nosotros lo publicamos. [Ver planes y precios →](https://www.dataroad-it.com/it-unlimited/) - **Precios a la vista** Essential desde 395 €/mes + IVA, Premium desde 750 € y Premium 365 desde 1.200 €. - **Sin permanencia** Contrato anual, sin permanencia y sin costes de alta. - **Todo por escrito** Qué incluye, el alcance y el precio, antes de firmar. - **Soporte sin horas contadas** Remoto y telefónico en todos los planes; presencial desde Premium. Partners y certificaciones DataRoad · Ciberseguridad gestionada ## One StepAhead of IT. La seguridad se demuestra con años, no con promesas. Firewalls gestionados, MFA, protección de equipos y copias probadas, igual en todos los clientes. - **232** empresas protegidas - **0** incidentes de seguridad en DataRoad en 11 años - **11** años en el mercado, desde 2015 We do **IT** right. DataRoad IT Unlimited ## ¿Cuánto costaría a su empresa un día sin sistemas? Solicite una evaluación de riesgo sin compromiso. [Solicitar propuesta sin compromiso →](https://www.dataroad-it.com/es/#contact)+351 211 459 950 **Llamada a la red fija nacional portuguesa · Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico[¿No sabe qué necesita? Hable con el asistente →](https://www.dataroad-it.com/es/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/es/phishing-voz-clonada-deepfakes-concienciacion/