Los correos de phishing ya no siempre contienen faltas evidentes o diseños poco profesionales. Pueden imitar proveedores, plataformas conocidas, responsables de la empresa o conversaciones comerciales reales.
Por este motivo, una formación basada únicamente en “no pulses enlaces sospechosos” resulta insuficiente. El personal necesita criterios prácticos, ejemplos adaptados a su trabajo y un canal sencillo para pedir ayuda.
La formación debe partir de situaciones reales
El riesgo no es igual para todos los puestos. Administración puede recibir facturas y cambios de cuentas bancarias. Recursos humanos maneja currículums y documentos adjuntos. Dirección puede recibir suplantaciones relacionadas con pagos urgentes.
La formación debería incluir ejemplos próximos a cada función:
- Facturas y pedidos.
- Documentos compartidos.
- Restablecimientos de contraseña.
- Cambios de cuenta bancaria.
- Solicitudes urgentes de responsables.
- Mensajes de servicios de mensajería.
Enseña a revisar el contexto completo
Un correo puede utilizar una dirección parecida, un logotipo correcto y un lenguaje convincente. La decisión no debe depender de una única señal.
Conviene revisar:
- La dirección completa del remitente.
- El dominio al que conduce el enlace.
- La petición realizada.
- La urgencia o presión empleada.
- Los cambios respecto al procedimiento habitual.
- La coherencia con conversaciones anteriores.
Un mensaje puede ser peligroso incluso si no contiene enlaces. Una petición para cambiar una cuenta bancaria también debe verificarse.
Implanta procedimientos de verificación
La formación funciona mejor cuando está respaldada por procesos claros.
Las operaciones sensibles deberían requerir una comprobación mediante un canal diferente. Si un proveedor solicita cambiar su cuenta por correo, puede confirmarse utilizando un teléfono ya conocido, no el número incluido en el propio mensaje sospechoso.
Este procedimiento reduce la dependencia de que cada empleado detecte perfectamente todos los engaños.
Explica qué hacer ante una sospecha
El empleado debe saber cómo comunicar un mensaje sospechoso y qué información aportar. Si el proceso es complicado, puede limitarse a borrar el correo y el equipo técnico perderá la oportunidad de comprobar si otras personas lo han recibido.
El canal de aviso debería permitir:
- Enviar el mensaje para su análisis.
- Indicar si se pulsó algún enlace.
- Informar si se introdujeron credenciales.
- Recibir instrucciones inmediatas.
Comunicar rápidamente un error es más útil que ocultarlo por miedo a una reprimenda.
Practica la respuesta después del clic
La formación no debe terminar en la detección. También hay que explicar qué hacer si la persona ya ha interactuado con el mensaje.
Según el caso, puede ser necesario:
- Dejar de interactuar con la página.
- Informar al responsable.
- Cambiar la contraseña desde un dispositivo seguro.
- Revisar sesiones activas.
- Comprobar reglas de correo.
- Analizar el equipo.
No conviene improvisar ni borrar pruebas antes de recibir instrucciones.
Evita convertir la formación en un examen
El objetivo no es demostrar que el empleado ha fallado, sino mejorar la capacidad colectiva de detección y respuesta.
Las simulaciones pueden ser útiles si se utilizan con criterios responsables, objetivos definidos y una explicación posterior. Una campaña que únicamente avergüenza a quien pulsa puede reducir la comunicación de futuros incidentes.
Realiza sesiones breves y periódicas
Una sesión anual difícilmente cubre los cambios en técnicas, herramientas y procedimientos. Es preferible combinar una formación inicial con recordatorios cortos y ejemplos recientes.
Puede utilizarse una planificación como:
- Sesión inicial para toda la plantilla.
- Módulos específicos por departamento.
- Recordatorios mensuales breves.
- Simulaciones periódicas.
- Revisión tras cualquier incidente.
Mide mejoras útiles
No debería medirse únicamente cuántas personas pulsaron. También interesa conocer si aumentan los avisos, cuánto se tarda en comunicar una sospecha y qué tipos de engaño generan más dudas.
Estos datos permiten ajustar la formación y mejorar los procedimientos internos.
Cómo puede ayudar T3chWare
T3chWare puede preparar formación adaptada a autónomos y pymes, con ejemplos relacionados con sus procesos reales, pautas de verificación y procedimientos de comunicación.
La formación puede complementarse con revisión de MFA, accesos, correo corporativo y medidas técnicas para reducir la exposición.
Conclusión
Una plantilla formada no necesita convertirse en especialista en ciberseguridad. Necesita reconocer situaciones anómalas, verificar las peticiones importantes y saber a quién avisar.
Solicita información sobre formación y concienciación para empresas en T3chWare →
