Formación en sensibilización sobre el fraude para empleados: 6 tipos de fraude sobre los que hay que impartir formación

La formación en prevención del fraude enseña a los empleados a reconocer y detener las estafas dirigidas personalmente contra ellos: una solicitud falsa del director general, una factura con datos bancarios modificados, una llamada telefónica de un «proveedor» que necesita un pago hoy mismo. Una buena formación no explica el fraude de forma abstracta. Muestra al personal los mensajes exactos que recibirán, les permite practicar cómo detectarlos y les indica una acción sencilla que deben seguir cuando algo les parezca sospechoso: detenerse, verificar la información a través de un canal conocido y denunciarlo.

La mayor parte del fraude en los pagos que sufren las organizaciones no consiste en burlar ningún sistema. Consiste en convencer a una persona para que haga algo que está autorizada a hacer, como aprobar un pago o modificar el registro de un proveedor. Por eso el equipo financiero, el responsable de la oficina y el nuevo compañero del departamento de cuentas por pagar son los verdaderos objetivos, y por eso la tecnología por sí sola rara vez lo detecta. A continuación encontrarás los seis tipos de fraude que todo programa debería cubrir, por qué un módulo anual se queda corto y cómo organizar una formación que realmente cambie la forma de actuar de las personas.

Los seis tipos de fraude dirigidos a los empleados

1. El fraude del «CEO» y el suplantación de identidad en el correo electrónico empresarial. Un mensaje que parece proceder de un directivo solicita un pago urgente y confidencial. El tono es apresurado; el remitente está «en una reunión» y no se le puede llamar. En la suplantación de identidad en el correo electrónico empresarial, el atacante utiliza un buzón real que ha sido secuestrado, lo que hace que la solicitud resulte aún más convincente. Explicamos cómo funciona en nuestro artículo sobre qué es el fraude del «CEO» y qué puedes hacer para evitarlo.
2. Fraude en las facturas. Se recibe una factura falsa, o una auténtica con datos alterados, que parece proceder de un proveedor conocido. A menudo llega a finales de mes, cuando el equipo procesa un gran volumen de facturas y las revisa con menos atención.
3. Fraude de mandato. Alguien que se hace pasar por un proveedor te pide que actualices sus datos bancarios «porque hemos cambiado de banco». A partir de ese momento, todos los pagos futuros se destinan al estafador, a menudo durante meses, hasta que el proveedor real reclama una factura impagada.
4. Fraude por desvío de pagos. El delincuente se cuela en una conversación por correo electrónico en curso sobre un pago —por ejemplo, una operación inmobiliaria o un pedido de gran cuantía— e introduce nuevos datos bancarios en el momento justo.
5. Deepfakes y fraude telefónico. Una llamada o una nota de voz que suena como si fuera de un jefe o un director financiero confirma la solicitud falsa. La clonación de voz ha hecho que esto resulte barato y rápido, por lo que lo tratamos por separado en la formación sobre concienciación en materia de deepfakes.
6. Mensajes de texto fraudulentos y estafas a través de mensajeros. El fraude no se queda en la puerta de la oficina. Los mensajes de texto fraudulentos que se hacen pasar por un banco o un servicio de mensajería, y las estafas a través de mensajeros —en las que una persona que llama haciéndose pasar por la policía o el banco convence a alguien para que le entregue tarjetas o dinero en efectivo— afectan a los empleados en sus hogares. Esas mismas tácticas de persuasión se repiten luego en el trabajo. Más información sobre el «smishing».

Lo que estos fraudes tienen en común no es el canal, sino la presión: la urgencia, la autoridad y el secretismo. Una formación que enseñe a las personas a detectar esas tres señales las protege frente a variantes que aún no existen.

Por qué un módulo anual sobre fraude no funciona

Muchas organizaciones tratan el tema del fraude una vez al año, en un módulo de formación en línea de media hora. Se cumple con el trámite, pero el efecto se desvanece en cuestión de semanas. La concienciación sobre el fraude no es un conocimiento que se almacena, sino un reflejo que se desarrolla: esa vacilación de medio segundo antes de hacer clic en «aprobar». Los reflejos necesitan repetición.

El segundo problema es el momento oportuno. Los estafadores se guían por el calendario y la actualidad: los pagos de fin de año, las sustituciones por vacaciones en el departamento financiero, un nuevo sistema ERP, un proveedor conocido que aparece en los titulares. Un módulo de la pasada primavera no puede prever eso. Una formación breve y periódica puede presentar el escenario a los empleados justo cuando está ocurriendo.

Qué debe incluir una buena formación en materia de prevención del fraude

• Situaciones realistas según el tipo de fraude. El personal practica con los mensajes que realmente recibirá: el correo electrónico urgente del director general, la carta con los «nuevos datos bancarios», la llamada del proveedor. El puesto de trabajo es importante, por lo que el departamento de cuentas por pagar tiene más situaciones de pago que el de almacén.
• Simulaciones, no solo teoría. Las simulaciones de phishing que imitan el fraude de facturas y el fraude del director general permiten identificar quién respondería a una solicitud falsa, sin que se produzcan daños reales.
• Una norma de verificación clara. Cualquier cambio en los datos bancarios o solicitud de pago inusual se confirma a través de un canal que ya tenías registrado, como el número de teléfono que figura en el expediente de tu proveedor, y nunca a través del número que aparece en el correo electrónico.
• Una forma sencilla de denunciar. Las personas que denuncian un mensaje sospechoso son tu primera alerta. Haz que sea cuestión de un clic y agradéceles su colaboración, incluso cuando resulte ser inofensivo.
• Medición a lo largo del tiempo. Realiza un seguimiento del número de personas que informan, de cuántas caen en las simulaciones y de cómo varía esto por equipo. Esto permite identificar dónde se necesita formación adicional y proporciona a los auditores pruebas para cumplir con la NIS2 y la norma ISO 27001.

Cómo organizar una formación sobre prevención del fraude en cinco pasos

1. Evalúa tu situación actual. Empieza por realizar una evaluación inicial para saber qué equipos y qué tipos de fraude requieren atención prioritaria.
2. Analiza los procesos de pago. ¿Quién puede autorizar pagos, modificar los datos de los proveedores o autorizar transferencias urgentes? Esas personas son las que reciben una formación más exhaustiva.
3. Acuerda la norma de verificación. Plasmá por escrito la norma de respuesta y haz que la dirección la respalde públicamente, para que nadie se sienta incómodo a la hora de comprobar la solicitud de un director.
4. Entrena en sesiones cortas y frecuentes. Unos pocos minutos a la semana son mejores que una tarde al año. Ve alternando los tipos de fraude para que cada situación se repita con regularidad.
5. Prueba, informa y repite. Realiza simulaciones, comparte los resultados por equipos sin mencionar nombres concretos y adapta los escenarios a lo que observes.

Un consejo: aprende a detectar el fraude con Guardey

Guardey convierte este enfoque en un hábito semanal. Los empleados reciben un reto de unos tres minutos, en su ordenador portátil o en la aplicación móvil para iOS y Android, que abarca el fraude del director general, el fraude en las facturas, el phishing, el smishing y los deepfakes. La gamificación, con tablas de clasificación y rachas de actividad, hace que los usuarios sigan participando; las simulaciones de phishing ponen a prueba lo que han aprendido; y los informes listos para auditorías muestran tu progreso en relación con la NIS2 y la norma ISO 27001. Más de 500 organizaciones, entre ellas el Parlamento Europeo, ya utilizan Guardey. Descubre cómo funciona nuestra formación en concienciación sobre seguridad.

¿Tu socio de TI tiene en cuenta el aspecto humano?

Muchas pequeñas empresas externalizan sus servicios informáticos a un proveedor de servicios gestionados (MSP), una empresa de informática que se encarga de gestionar sus sistemas y su seguridad a cambio de una cuota mensual. El fraude es un punto ciego en ese modelo: el cortafuegos está gestionado, pero nadie forma a la persona que se encarga de pagar las facturas. Merece la pena preguntar a tu MSP si es posible añadir ese servicio.

Para los MSP, Guardey está disponible a través de socios de canal como el distribuidor de ciberseguridad e92plus, que ayuda a los socios a lanzar nuevos servicios de seguridad con campañas de marketing ya preparadas y facturación mensual por cliente.

Preguntas frecuentes sobre la formación en materia de prevención del fraude

¿En qué consiste la formación en prevención del fraude?

La formación en materia de prevención del fraude enseña a los empleados a reconocer los intentos de fraude dirigidos contra ellos, como el fraude del «CEO», el fraude en las facturas y las llamadas falsas, y a responder de forma adecuada. Se hace hincapié en las señales prácticas y en una regla de verificación fija, más que en la teoría. Los mejores programas combinan lecciones breves con simulaciones realistas.

¿Quién necesita formación en materia de prevención del fraude para los empleados?

Todo el mundo, pero no en la misma medida. El personal encargado de aprobar pagos, gestionar facturas o modificar los datos de los proveedores es el principal objetivo y es el que más situaciones hipotéticas necesita conocer. El resto de empleados se beneficia de los conocimientos básicos, ya que los estafadores también los utilizan para recabar información o llegar a la persona adecuada.

¿Con qué frecuencia debería impartirse la formación sobre prevención del fraude?

Es mejor que sea breve y frecuente que largo y esporádico. Dedicar unos minutos a la semana mantiene los reflejos a punto y te permite reaccionar ante nuevas estafas en cuanto aparecen. Un único módulo anual se olvida enseguida.

¿Cuál es la diferencia entre el fraude de mandato y el fraude de factura?

En el caso del fraude de facturas, pagas una vez una factura falsa o alterada. En el caso del fraude de mandato, el delincuente te convence para que cambies los datos bancarios de un proveedor, de modo que todos los pagos futuros se ingresen en una cuenta equivocada hasta que alguien se dé cuenta. Ambos se evitan con la misma norma: verifica los cambios a través de un canal en el que ya confíes.

El fraude contra las organizaciones cambia constantemente de forma, pero la presión que lo impulsa sigue siendo la misma. Los equipos que se han entrenado para reconocer la urgencia, la autoridad y el carácter confidencial, y que saben que siempre está bien volver a llamar para comprobar la información, detienen la mayoría de los intentos antes de que se transfiera dinero alguno.