En este artículo
Entrenar a un equipo contra el phishing y los deepfakes en 2026 no consiste en enseñar a detectar faltas de ortografía: consiste en una regla de confirmación por un segundo canal, sesiones cortas y frecuentes con casos reales, simulaciones sin castigo y un botón de reporte con respuesta el mismo día. Es el enfoque que DataRoad - IT Services and Consulting integra en la ciberseguridad gestionada de sus clientes, porque el fraude ha evolucionado mucho más deprisa que la formación de la mayoría de las empresas.
Tres saltos tecnológicos en el fraude
- Texto Correos fraudulentos bien escritos, con el tono y la firma de quien imitan.
- Voz Unos segundos de audio público, de una entrevista o de un vídeo en LinkedIn, bastan para generar una llamada con la voz de un directivo.
- Imagen Videollamadas con rostros generados en tiempo real ya han servido para autorizar transferencias en empresas europeas.
Lo que une a los tres no es la técnica: es la urgencia combinada con la autoridad. Alguien importante quiere algo ya, fuera del procedimiento habitual.
La regla que hace irrelevante la imitación
Una formación que solo enseña a detectar va a fallar, porque hay fraudes indetectables. Lo que funciona no depende de detectar: los pagos, los cambios de datos bancarios y el envío de datos sensibles se confirman siempre por un segundo canal, con un contacto ya conocido.
¿Nuevo IBAN en un correo del proveedor? Se llama al número del contrato. ¿Transferencia pedida por el CEO en una videollamada? Se confirma por teléfono a su número. Si la regla es absoluta —y la dirección también la cumple—, la calidad de la imitación deja de importar. Desarrollamos este punto en el análisis del fraude de la factura con IBAN modificado.
Plan de concienciación en cuatro piezas
1. Sesiones cortas y temáticas
Una sesión anual de dos horas está olvidada al cabo de un mes. Funcionan las sesiones de 15 a 20 minutos cada dos o tres meses, una por tema: correo, llamadas, videollamadas, redes sociales, memorias USB y archivos. Siempre con ejemplos reales, preferiblemente intentos que han llegado a la propia empresa, anonimizados: la gente recuerda el correo falso de la eléctrica EDP que recibió una compañera, no una diapositiva genérica.
2. Simulaciones que enseñan en lugar de exponer
Quien hace clic recibe una explicación breve e inmediata, nunca una reprimenda pública: el miedo lleva a ocultar. Y se mide la tasa de reporte, no solo la de clics: una empresa donde el 5% hace clic y el 60% reporta está más protegida que otra donde el 2% hace clic y nadie avisa. Empiece con una simulación por trimestre y suba la dificultad poco a poco.
3. Reportar en dos segundos
Un botón en Outlook o una dirección interna que todos conozcan. Quien reporta debe saber el mismo día si era fraude. Sin respuesta, la gente se rinde al cabo de un mes; con respuesta, el equipo se convierte en el sensor más rápido de la empresa.
4. Guion para deepfakes
- Aceptar la realidad Una voz y una cara correctas no garantizan nada; es el estado actual de la tecnología.
- Señales de alerta Solicitud fuera del procedimiento, prisa, petición de secreto, rechazo del canal habitual. Útiles, pero no suficientes.
- Respuesta estándar «te lo confirmo ahora por el canal habitual», y se cuelga. Si la dirección lo dice en voz alta en la formación, el equipo lo hará sin miedo.
- Contraseña verbal Acordada entre la dirección y el departamento financiero para las peticiones de dinero: sencilla, sin coste y eficaz.
Quién necesita formación reforzada
- Finanzas y contabilidad Transferencias.
- Recursos humanos Datos personales y cambios en la cuenta de nómina.
- Recepción y asistentes de dirección Agendas y peticiones en nombre de terceros. En las embajadas, clínicas y hoteles que gestionamos, la recepción suele ser el primer objetivo.
- Dirección Recibe los ataques más personalizados y es la que menos acude a las formaciones.
Las capas técnicas antes que las personas
La formación es la última línea de defensa. Antes deben estar: un filtrado de correo que señale los mensajes externos y bloquee los adjuntos ejecutables; SPF, DKIM y DMARC para dificultar el envío de correos en nombre de la empresa; y autenticación multifactor para que una contraseña robada no baste. A ellas se suman los firewalls gestionados y la protección de Microsoft 365.
Preguntas frecuentes
¿Con qué frecuencia debemos formar al equipo?
Sesiones cortas cada dos o tres meses y una simulación por trimestre funcionan mejor que una sesión larga al año.
¿Las simulaciones no generan desconfianza?
Solo si sirven para castigar. Con una explicación de dos minutos tras cada clic y reconocimiento para quien reporta, el tema pasa a hablarse abiertamente.
¿Cómo distinguir una llamada falsa con la voz de mi jefe?
No hay una forma segura. Por eso no se intenta detectar: se cuelga y se devuelve la llamada al número conocido, o se usa la contraseña verbal acordada.
¿La formación es obligatoria?
El RGPD exige medidas organizativas adecuadas y la NIS2 exige formación en ciberseguridad en las entidades afectadas, incluidos los órganos de dirección. Fuera de eso, sigue siendo la medida con mejor relación coste-beneficio.
Empiece por su equipo
En la ciberseguridad gestionada de DataRoad preparamos la sesión inicial, la primera simulación y el botón de reporte, y configuramos el filtrado y el MFA para que lleguen menos fraudes a las personas. En 11 años, DataRoad nunca ha sufrido un incidente de seguridad.
Más de 10 puestos · contrato de asistencia · soporte remoto, presencial y telefónico
+351 211 459 950* · sales@dataroad.pt
*Llamada a la red fija nacional portuguesa.
