Phishing y estafas: cómo capacitar a tu equipo para no caer

A fines del 2024, la administradora de una empresa de importación en Santiago recibió un correo que parecía venir del gerente general. El asunto decía “urgente: transferencia proveedores” y el mensaje explicaba que había una operación de compra que debía pagarse ese mismo día o se perdía la oportunidad. Adjuntaba los datos bancarios. La administradora realizó una transferencia de varios millones de pesos a una cuenta de terceros. Treinta minutos después, al hablar con el gerente real por teléfono, descubrieron el fraude. El dinero nunca se recuperó.

Este tipo de ataque tiene nombre: Business Email Compromise (BEC), y según el Centro de Estudios en Ciberseguridad de la Universidad de Chile, los fraudes digitales a empresas aumentaron un 43% entre 2022 y 2024 en el país. Las pymes son el objetivo preferido porque tienen recursos económicos reales pero generalmente menos controles y menos entrenamiento que las grandes empresas.

La buena noticia es que el entrenamiento funciona. Las empresas que realizan simulaciones regulares de phishing reducen su tasa de clicks en enlaces maliciosos en más del 70% en doce meses. No se necesita un equipo de seguridad propio para implementarlo.

Estadísticas de phishing en Chile que debes conocer

Las cifras son más cercanas de lo que parece. Según el informe de ciberseguridad del CSIRT de Gobierno de Chile (2024), el phishing fue el vector de ataque más reportado por organizaciones chilenas por tercer año consecutivo. El 68% de los incidentes reportados por empresas medianas comenzó con un correo electrónico fraudulento. Y el costo promedio de un incidente de seguridad para una pyme chilena, considerando recuperación, tiempo perdido y daño reputacional, es significativo.

Lo que hace especialmente peligroso al phishing moderno es su nivel de personalización. Ya no son correos con errores de ortografía masivos enviados a millones de personas. Los ataques dirigidos a empresas específicas (llamados “spear phishing”) usan el nombre real de la empresa, el nombre del gerente, referencias a proyectos actuales y un tono que imita perfectamente la comunicación interna habitual. Esta información se obtiene de LinkedIn, del sitio web de la empresa y de las redes sociales en minutos.

Las 5 formas de ataque más comunes hoy

El phishing ya no es solo correo electrónico. Los canales han proliferado junto con la digitalización de las comunicaciones empresariales. Estas son las cinco formas de ataque que más afectan a empresas en Chile hoy:

• →Correo electrónico (el clásico, aún el más efectivo): correos que imitan a proveedores, bancos, el SII, el BancoEstado o directivos de la propia empresa. Las señales más comunes son urgencia artificial (“actúe hoy o su cuenta será suspendida”), un remitente con el nombre correcto pero un dominio diferente (nombre@banco-chile.net en lugar de @bancochile.cl) y enlaces que al pasar el cursor muestran una URL diferente al texto visible.
• →WhatsApp (smishing vía mensajería): mensajes de supuestos ejecutivos de cuenta de bancos, de “soporte técnico” de plataformas conocidas o del jefe de la empresa desde un número desconocido. El pretexto más común es solicitar transferencias urgentes o pedir credenciales de acceso para “verificar una cuenta”.
• →Llamadas telefónicas (vishing): llamadas de personas que se identifican como del SII, de Aduana, de la empresa de factoring o del banco. El objetivo es obtener información confidencial (RUT, contraseñas, datos bancarios) o crear urgencia para que la víctima tome una acción antes de que pueda verificar. La IA está haciendo estos ataques más convincentes al poder clonar voces reales.
• →Códigos QR maliciosos: códigos QR impresos sobre los legítimos en restaurantes, estacionamientos o espacios de coworking, que dirigen a sitios de phishing en lugar del sitio real. También llegan por correo como “instrucciones de pago” o “documentos para firmar”. Al escanear, el usuario llega a una página de login falsa que captura sus credenciales.
• →Redes sociales (LinkedIn y Instagram): perfiles falsos de reclutadores que solicitan información de la empresa a empleados, o mensajes directos que invitan a “evaluar un software” con un enlace de descarga que instala malware. LinkedIn es especialmente efectivo porque los usuarios tienen guardia baja al percibir el contexto como profesional y confiable.

Cómo entrenar al equipo sin ser experto en seguridad

El entrenamiento efectivo en ciberseguridad no requiere contratar a un especialista externo ni hacer talleres de ocho horas. Los métodos más efectivos son simples, repetibles y pueden implementarse con recursos internos:

• →Simulaciones de phishing (la herramienta más efectiva): enviar correos falsos de phishing a tu propio equipo, sin previo aviso, para medir cuántos hacen clic. Si alguien cae, recibe inmediatamente una explicación de qué señales debió haber detectado. Herramientas como GoPhish (gratuita), KnowBe4 o Proofpoint permiten hacer esto. Los equipos que pasan por simulaciones periódicas muestran mejoras sustanciales en tres a seis meses.
• →Checklist visual en el escritorio: una tarjeta plastificada de tres preguntas que el equipo puede consultar antes de hacer clic en cualquier enlace o transferir dinero: (1) ¿Reconozco la dirección de correo del remitente exacta, no solo el nombre? (2) ¿Me están pidiendo actuar con urgencia o me generan presión? (3) ¿Puedo verificar esta solicitud por otro canal (llamada, reunión) antes de actuar? Si alguna respuesta activa una duda, la regla es verificar siempre antes de actuar.
• →Regla de doble verificación para transferencias: cualquier transferencia bancaria que no forme parte del proceso de pago habitual debe verificarse por un canal distinto al que llegó la solicitud. Si la instrucción llegó por correo, la verificación es por teléfono. Si llegó por teléfono, la verificación es por correo o en persona. Este procedimiento, implementado como política interna, habría evitado el caso de la importadora con que iniciamos este artículo.

Qué hacer si alguien cayó: protocolo de respuesta

El error más costoso cuando alguien en el equipo cae en un phishing no es haber caído, sino esperar antes de reportarlo. Cada minuto que pasa después de que se entrega una contraseña o se realiza una transferencia fraudulenta reduce las posibilidades de contener el daño. El objetivo del protocolo interno es que cualquier persona en el equipo sepa exactamente qué hacer en los primeros diez minutos, sin necesidad de buscar instrucciones ni esperar que alguien superior tome la decisión.

• →Paso 1 — Reportar inmediatamente (primeros 5 minutos): avisar al responsable de TI o al gerente directamente, por teléfono, que ocurrió un incidente. No esperar a tener todos los detalles ni a “ver qué pasa”. El equipo debe saber que reportar un error no tiene consecuencias negativas: la cultura del reporte inmediato es la diferencia entre un incidente menor y una crisis.
• →Paso 2 — Cambiar contraseñas comprometidas (primeros 10 minutos): si se entregó una contraseña en un formulario falso, cambiarla de inmediato en el sistema real y en todos los servicios donde se usara la misma contraseña. Si hay MFA activo, revisar si hay sesiones abiertas no reconocidas y cerrarlas.
• →Paso 3 — Contener el daño (primeros 30 minutos): si se realizó una transferencia bancaria, llamar al banco inmediatamente para solicitar la retención de la operación. En Chile, algunos bancos tienen protocolos de congelamiento de transferencias fraudulentas si se reportan dentro de las primeras horas. Si se instaló software malicioso, desconectar el equipo afectado de la red de inmediato.
• →Paso 4 — Documentar y reportar a las autoridades: registrar qué ocurrió, cuándo, qué información o dinero fue comprometido y guardar evidencia (capturas de pantalla del correo o mensaje recibido). En Chile, los incidentes pueden reportarse al CSIRT del Gobierno (csirt.gob.cl) y, si hubo fraude económico, a la PDI y al banco correspondiente para fines de investigación.

La capacitación en phishing no es un evento único. Es un proceso continuo que se fortalece con cada simulación y con cada incidente real que se convierte en aprendizaje compartido. Las empresas que crean una cultura donde reportar es fácil y donde el error humano se trata como información para mejorar procesos son las que mejor resisten los ataques digitales.