Capacitar al equipo: phishing, smishing y quishing

Muchos incidentes comienzan con un mensaje engañoso que alguien abre, un enlace que alguien sigue o una llamada que alguien contesta. Capacitar al equipo con ejemplos cercanos es una de las medidas más rentables para reducir ese riesgo.

• Los ataques de ingeniería social buscan a la persona, no solo al sistema.
• La capacitación funciona mejor cuando es práctica y usa casos reales y locales.
• Debe complementarse con controles técnicos y un canal claro para reportar.

Cuatro modalidades que conviene reconocer

1. Phishing. Correos que imitan a un proveedor, una institución o un colega para obtener claves o hacer abrir archivos.
2. Smishing. Lo mismo, por mensaje de texto o mensajería, con enlaces acortados o supuestos avisos de envío o cobro.
3. Vishing. Llamadas en que alguien se hace pasar por soporte técnico, un ejecutivo u otra entidad para pedir datos o acciones urgentes.
4. Quishing. Códigos QR que dirigen a sitios falsos, colocados en correos, afiches o documentos.

Cómo hacer una capacitación que se recuerde

• Casos reales y locales. Los mensajes que circulan en Chile, con los formatos y marcas que las personas reconocen, se recuerdan más que ejemplos genéricos.
• Práctica. Mostrar y analizar mensajes, identificar las señales y decidir qué hacer.
• Mensajes simples. Desconfiar de la urgencia, verificar por otro canal, no ingresar claves desde un enlace.
• Sin culpar. Quien reporta un error a tiempo ayuda a la organización; castigarlo desincentiva el reporte.
• Registro. Dejar constancia de la sesión, fecha, relator y asistentes.

Medidas que acompañan a la capacitación

La formación no reemplaza a los controles técnicos: segundo factor de autenticación, protección del correo, actualizaciones y un gestor de contraseñas disminuyen el daño cuando alguien comete un error. Y un procedimiento claro de reporte, que se vincula con los playbooks de incidentes.

Qué hacer

• Programar una sesión práctica para todo el equipo, incluida la gerencia.
• Preparar ejemplos propios de la actividad de la organización.
• Definir a quién y cómo se reporta un mensaje sospechoso.
• Repetir la capacitación con regularidad e incorporar a quien ingresa.
• Revisar después de un incidente qué enseñanza dejó.

Preguntas frecuentes

¿Una charla anual es suficiente? Es un comienzo; los refuerzos breves y periódicos funcionan mejor.

¿Las simulaciones de phishing son recomendables? Pueden ser útiles si se comunican con transparencia y se usan para aprender, no para sancionar.

¿Quién debe asistir? Todas las personas con acceso a correo o sistemas, comenzando por quienes manejan pagos o datos sensibles.

Al acompañar a nuestros clientes, realizamos clases prácticas con casos reales locales de phishing, smishing, vishing, quishing y malware.

IT Lab acompaña a organizaciones chilenas en esto. Contáctenos.