El lunes a las 16:47, Marta recibió un mensaje que parecía escrito por su directora. No pedía una transferencia extravagante ni contenía una amenaza torpe. Solo solicitaba adelantar una revisión de proveedor porque «el comité necesita cerrar hoy». Marta conocía esa expresión, sabía que el comité se reunía los martes y tenía delante una bandeja con doce asuntos legítimos. Lo que detuvo la operación no fue una campaña reciente ni su talento para detectar faltas de ortografía. Fue un detalle del trabajo cotidiano: cualquier cambio de cuenta de un proveedor exigía abrir una solicitud en la herramienta de compras, y la solicitud avisaba automáticamente a dos personas que no dependían de la directora.
Esa pequeña fricción parece burocracia cuando todo va bien. En realidad es una forma de repartir la duda. El fraude que habla como nosotros gana cuando consigue que una persona resuelva a solas una urgencia aparentemente normal. Después del entusiasmo inicial por la ciberseguridad, el problema ya no es recordar un eslogan. Es decidir qué reglas siguen protegiendo a alguien cuando tiene prisa, quiere ayudar y confía de buena fe en la voz que lee.
La imitación aprovecha el diseño del trabajo#
Durante años se enseñó a buscar señales visibles: un remitente extraño, un logotipo borroso, una frase mal traducida. Esas señales siguen importando, pero ya no bastan. Quien suplanta a una compañera puede haber observado publicaciones, organigramas, facturas filtradas o conversaciones reenviadas. Puede escribir con la cortesía del equipo, mencionar un proyecto real y elegir la hora en la que todos intentan terminar una tarea. El mensaje no necesita ser perfecto; necesita encajar suficientemente bien en una rutina saturada.
Durante años se enseñó a buscar señales visibles: un remitente extraño, un logotipo borroso, una frase mal traducida.
Por eso conviene dejar de formular la pregunta como «¿será esta persona capaz de detectar un engaño?». La pregunta útil es otra: «¿qué puede hacer esta persona sin que nadie más vea la decisión?». Si un correo basta para cambiar datos bancarios, compartir una base de clientes o conceder acceso temporal, el sistema está dando demasiado poder a una coincidencia. La formación puede mejorar el juicio, pero no debería ser la última barrera entre una identidad imitada y una acción irreversible.
Marta no tuvo que demostrar que era más lista que el atacante. Pudo decir: «Lo gestiono por el circuito de compras» sin desafiar a su directora ni acusar a nadie. Ese matiz es importante. Una defensa que obliga a discutir la autenticidad de cada mensaje convierte la verificación en una confrontación social. Una defensa integrada en el proceso permite comprobar sin humillar, porque la regla es la misma incluso cuando el mensaje es completamente legítimo.
Diseñar rutas que no dependan del canal recibido#
Una organización necesita distinguir entre recibir una instrucción y autorizar una acción. La primera puede llegar por correo, chat, llamada o reunión. La segunda debería ocurrir por una ruta conocida, con un registro y una segunda comprobación proporcional al daño posible. No hace falta convertir cada compra menor en un expediente interminable. Hace falta identificar las decisiones que cambian dinero, acceso, datos o reputación y darles una ruta independiente del mensaje que las desencadenó.
Un ejemplo sencillo es el cambio de una cuenta de cobro. La petición puede iniciar una revisión, pero nunca cerrar el cambio por sí sola. El equipo contrasta el dato con un teléfono ya guardado en el contrato, no con el número incluido en el correo; comprueba que la solicitud está asociada a un pedido existente; y deja anotado quién confirmó y cuándo. Si el proveedor es pequeño, el procedimiento puede ser una llamada y una ficha breve. Si mueve importes altos, puede incluir doble aprobación y una espera antes del primer pago. La escala debe responder al riesgo, no a la ansiedad de aparentar control.
También conviene separar los canales para restablecer contraseñas, crear usuarios o compartir documentos sensibles. Un mensaje de una responsable puede explicar la urgencia, pero no sustituir la confirmación dentro del sistema de identidad. Un archivo enviado por chat puede iniciar una consulta, pero no ser el único lugar desde el que se comparte información personal. Estas distinciones no son una desconfianza hacia las personas. Protegen a las personas de tener que acertar siempre bajo presión.
Convertir la pausa en una práctica, no en una heroicidad#
Decir «tómate tu tiempo» sirve de poco a quien tiene cinco minutos para responder a un cliente. La pausa útil necesita una forma concreta. Algunas áreas crean tres preguntas fijas para cualquier petición inesperada: ¿qué acción cambiaría después de responder?, ¿por qué debe hacerse hoy?, ¿qué canal independiente puede confirmar la instrucción? Las preguntas caben en una nota junto al monitor o en el formulario de aprobación. Su valor está en que no obligan a recordar una lista inmensa de amenazas.
La organización puede acordar además frases que reduzcan la presión social. «Para proteger a ambas partes, lo confirmo por el canal habitual» es mejor que «no confío en este correo». «Necesito abrir el ticket antes de darte acceso» evita que quien solicita ayuda sienta que se cuestiona su autoridad. El lenguaje importa porque los engaños explotan el deseo de parecer ágil, obediente y resolutivo. Si el equipo ofrece una respuesta respetuosa y repetible, la pausa deja de ser una rareza individual.
No todas las urgencias son falsas. Precisamente por eso un buen procedimiento debe permitir que las urgencias reales avancen. Puede haber un contacto de guardia, un mecanismo de aprobación rápida y un modo de documentar después una intervención de emergencia. La diferencia es que la excepción se declara y se revisa; no queda escondida dentro de un mensaje persuasivo. Cuando toda prisa puede saltarse controles, el atacante solo tiene que aprender a sonar apremiante.
Ensayar los bordes del proceso#
Los simulacros más útiles no consisten en sorprender a la plantilla para contar quién cayó. Esa práctica puede enseñar a ocultar errores. Es más valioso ensayar escenas que revelen dónde el proceso es ambiguo: una directora que escribe desde otro país, un proveedor que cambia de dominio tras una fusión, una becaria a la que piden descargar una lista, un técnico que solicita acceso mientras un servicio está caído. El objetivo es observar qué ruta seguiría el equipo y dónde necesita una regla más clara.
Después del ejercicio, conviene preguntar qué hizo difícil verificar. Tal vez los teléfonos contractuales están desactualizados. Tal vez nadie sabe quién puede aprobar una excepción. Tal vez la herramienta de compras resulta tan lenta que la gente la evita. Estos hallazgos no son fallos morales de quien participó; son trabajo de diseño. Un control que solo funciona en una presentación, pero que bloquea la jornada real, terminará rodeado de atajos.
Registrar las decisiones ayuda a aprender sin convertir el registro en vigilancia. Basta anotar la clase de solicitud, el punto de verificación usado, el tiempo que tomó y la mejora propuesta. No hace falta conservar conversaciones privadas ni atribuir una duda a una persona concreta. Con unas pocas revisiones mensuales se pueden detectar patrones: cambios de cuenta que siempre llegan los viernes, permisos que se conceden sin caducidad, o equipos que no tienen una segunda vía de contacto.
Cuidar a quien levanta la mano#
La confianza se deteriora si informar de una sospecha trae vergüenza, reproches o una evaluación injusta. Quien recibió el mensaje de Marta podría haber sido una persona que ya hizo clic, ya compartió un dato o ya inició un pago. En ese momento, la respuesta más útil es reducir el daño y conservar la información: avisar al equipo indicado, detener lo reversible, anotar los hechos y decidir qué comunicación necesita el proveedor o la entidad financiera. Buscar culpables antes de entender el alcance suele retrasar la contención.
El cuidado no significa ignorar responsabilidades. Significa separar una conducta deliberada de un error facilitado por un sistema confuso. Si un procedimiento se salta continuamente, puede requerir formación, cambios de herramientas o límites más claros. Pero una cultura que castiga toda admisión recibe los incidentes tarde, cuando ya son más caros y difíciles de investigar. La confianza se construye cuando una persona puede decir «esto no me cuadra» o «me equivoqué» y sabe que tendrá apoyo para actuar.
También importa comunicar lo aprendido sin dramatizar. Un breve aviso puede explicar que hubo una suplantación, qué ruta permitió detectarla y qué se modifica desde ahora. No necesita reproducir el mensaje fraudulento ni exhibir a nadie. Así el episodio deja una mejora concreta en lugar de alimentar la idea de que el fraude es una fuerza misteriosa contra la que solo queda desconfiar de todo.
Medir si la protección vive fuera de la campaña#
Al terminar una iniciativa de sensibilización, muchas organizaciones cuentan cuántas personas completaron un curso. Es un dato útil, pero no responde a la pregunta decisiva: ¿cuántas acciones sensibles tienen una comprobación independiente que funciona en condiciones normales? Se puede revisar una muestra de cambios de proveedor, altas de usuario, comparticiones de archivos y pagos excepcionales. Se puede medir cuánto tardan las confirmaciones legítimas y cuántas excepciones quedan sin documentar. La finalidad no es producir un marcador de obediencia, sino detectar dónde una persona vuelve a quedar sola frente a una imitación plausible.
El siguiente paso para un equipo no es lanzar otro póster. Es elegir una decisión habitual y trazarla de principio a fin. ¿Quién puede iniciarla? ¿Qué dato cambia? ¿Qué evidencia se guarda? ¿Quién la confirma por un canal distinto? ¿Cómo se atiende una urgencia real? Si alguna respuesta depende de «que la persona se dé cuenta», hay una oportunidad de rediseño.
Cuando el entusiasmo pasa, queda la arquitectura de los gestos pequeños: abrir el ticket, devolver la llamada al número conocido, pedir una segunda mirada, admitir una duda. Ahí se juega la resiliencia. La seguridad madura no exige héroes que nunca se equivoquen; crea condiciones para que una identidad copiada no pueda gobernar por sí sola una decisión importante.
