Uno de cada doce entregó su contraseña, y era una empresa de tecnología

Esta semana me ha llegado un correo con el asunto en mayúsculas: ALERTA PHISHING.

No era phishing. Era el correo que se manda después: los resultados de una simulación que una empresa con la que trabajo lanzó hace unas semanas contra su propia plantilla. Correo falso, enlace falso, formulario falso, y luego el recuento de quién picó.

Lo leí dos veces y me quedé un rato mirando los números. Los traigo aquí porque merecen contarse, y porque el correo terminaba pidiendo tres cosas a la gente. Dos de esas tres cosas hoy sirven de poco.

Lo que no voy a contar

Antes de los datos, lo que me callo y por qué.

No digo qué empresa es ni a qué se dedica, más allá de lo imprescindible para que el artículo tenga sentido. No reproduzco el correo señuelo. Y no doy el número absoluto de personas que entregaron su contraseña, que es el dato que venía en el mensaje.

Este último merece explicación, porque parece inofensivo y no lo es. El correo daba las dos cosas a la vez: cuánta gente cayó y en qué proporción. Con las dos, una división te da la plantilla aproximada. Con la plantilla, el sector y la fecha, cualquiera con un rato libre se planta en un nombre.

Así que aquí solo hay proporciones. La proporción es la noticia. El tamaño de la empresa no lo es.

Los números

• Una de cada cinco personas pulsó el enlace.
• Una de cada doce escribió su usuario y su contraseña corporativos en el formulario que había al otro lado.
• Nueve de cada cien dieron la voz de alarma.

Hay un cuarto número que no venía en el correo y que sale de dividir los dos primeros: de toda la gente que pinchó, cuatro de cada diez llegaron hasta el final. No se quedaron en la curiosidad del clic. Aterrizaron en una pantalla, la miraron, decidieron que era la suya y teclearon la contraseña entera.

Ese es el dato que a mí me deja peor cuerpo. El clic tiene mil excusas razonables: ibas con prisa, el móvil, el dedo, la vista previa. Escribir la contraseña ya es otra cosa: es un acto deliberado, con varios pasos por delante y varias oportunidades de parar en el camino.

Y lo que había al otro lado, según el propio correo, no era poca cosa: con esas credenciales alguien de fuera habría entrado en el correo corporativo, en información de clientes y en sistemas internos. En cuestión de minutos.

Aquí la gente sabe lo que es el phishing

Y ahora el detalle que convierte esto en un artículo y no en una anécdota.

No ha pasado en un sitio donde la informática sea un accesorio. Ha pasado en una empresa donde la tecnología es el oficio: gente que se gana la vida con esto, que tiene el vocabulario, que ha visto un incidente de cerca y que ha hecho la formación de turno. No todo el mundo allí escribe código, claro, pero es un entorno donde la palabra «phishing» no hay que explicarla.

Una de cada doce entregó la contraseña igual.

Llevo un rato dándole vueltas a lo que significa eso trasladado a una asesoría de cuatro personas, a un taller, a una clínica dental, a un ayuntamiento pequeño. Sitios sin botón de reportar, sin simulacros, sin nadie a quien avisar y con el correo de toda la vida. No tengo datos de eso, así que lo digo como lo que es —una opinión con una base razonable, no una estadística—: si en la casa del herrero cae uno de cada doce, fuera del sector esto puede ser una escabechina.

Lo bueno de este correo es que la empresa lo midió y luego lo contó a toda la plantilla, con los números feos incluidos. Casi nadie hace ni la primera parte, y quien la hace suele guardarse la segunda. Que conste, porque el resto del artículo es crítico y esta parte no lo es.

Los señuelos que funcionaron

Tres, y el propio correo los describía bien: un supuesto cambio en tu puesto de trabajo, un sorteo de verano y una alerta de «navegador desactualizado».

Fíjate en lo que tienen en común: ninguno da miedo. Ninguno mete prisa de verdad. Ninguno pide dinero. Son tres correos que en una bandeja de entrada de martes por la mañana no llaman la atención, y ahí está exactamente su gracia.

• El del puesto de trabajo funciona porque nadie ignora un correo sobre su propio empleo. No hace falta que asuste: basta con que te importe.
• El del sorteo funciona por lo contrario, porque da igual. Es tan poca cosa que no merece la pena pensarlo dos veces, y pensarlo dos veces era justo lo único que había que hacer.
• El del navegador desactualizado funciona porque suena a que estás haciendo lo correcto. Es un señuelo que te disfraza de buen empleado.

Esto tira abajo el retrato robot que todos llevamos en la cabeza, el del correo con faltas de ortografía, amenazas y prisas. El señuelo bueno no te asusta: te aburre. De uno de esos ya escribí a cuenta de una falsa citación judicial cuyo remitente era técnicamente impecable.

El simulacro también se puede hacer mal

De los tres señuelos, el del cambio de puesto de trabajo es el que a mí me haría levantar la mano en la reunión. No porque sea poco realista —es el más realista de los tres; un atacante lo usaría sin dudar—, sino porque toca la relación laboral, y eso se paga.

Hay dos precedentes conocidos y conviene tenerlos a mano antes de diseñar el siguiente simulacro:

En diciembre de 2020, GoDaddy mandó a su plantilla un correo anunciando una paga extra de Navidad de 650 dólares. Unas quinientas personas picaron. Dos días después les llegó otro correo que empezaba, literalmente, diciéndoles que habían fallado la prueba de phishing, más una formación obligatoria. Aquel año la empresa había hecho despidos, y paga extra no hubo.

En abril de 2021, West Midlands Trains hizo lo mismo con más de 2.500 empleados: un correo del director general agradeciéndoles el esfuerzo durante la pandemia y anunciando un pago único. Era un simulacro. El sindicato TSSA lo calificó de crass and reprehensible —zafio y reprobable—, y la historia acabó en medio mundo.

Los dos simulacros funcionaron, en el sentido de que la gente picó. Y los dos costaron más de lo que valían, porque la moneda con la que se paga la seguridad interna es la confianza, y ahí se quemaron unos cuantos años de ella.

La diferencia está menos en el señuelo que en lo que mandas después. El correo que he recibido esta semana no señala a nadie, no publica una lista de caídos y dice de forma explícita que equivocarse no pasa nada. Eso es exactamente lo contrario de «has fallado nuestra prueba», y es la parte que hay que copiar.

Tres consejos: uno flojo, uno caducado y uno buenísimo

El correo cerraba pidiendo tres cosas.

1. «Desconfía de la urgencia». Bien, pero se queda corto, y lo demuestran los datos del propio correo: de los tres señuelos que funcionaron, ninguno metía prisa. Un sorteo de verano no apremia a nadie. Enseñar a desconfiar de la urgencia deja intacto casi todo lo que llega, y encima le da una coartada: si no me mete prisa, será bueno.

2. «Verifica el remitente». Este ya no vale solo, y es el que más me chirría. Verificar el remitente mirándolo no verifica nada: el nombre que se ve es texto libre, el dominio se puede parecer muchísimo, y el correo puede venir de una cuenta real —comprometida— o de un proveedor legítimo al que han entrado antes. La citación falsa que conté en agosto pasó SPF, DKIM y DMARC, viajó cifrada y el antispam le puso un cero de sospecha. Todo correcto menos el contenido.

3. «Reporta, y si te equivocas no pasa nada». Este es el bueno. Es el único de los tres que escala, el único que convierte a una persona espabilada en una defensa para las otras dos mil, y el único que sigue funcionando aunque el atacante lo haga todo bien. Yo lo habría puesto el primero, en negrita y solo.

La cifra que yo pondría en el titular

No es la de uno de cada doce. Es la otra: nueve de cada cien avisaron.

Dicho al revés: noventa y uno de cada cien no dijeron nada. Y ahí dentro no solo están los que picaron. También está todo el que no cayó y tampoco avisó: quien sospechó y lo borró, quien lo ignoró porque no le interesaba, quien no llegó ni a abrirlo. El simulacro no permite distinguirlos, y precisamente por eso el nueve por ciento me parece el número interesante: de todo lo que pasó aquella mañana en las bandejas de entrada de la empresa, lo único que la empresa llegó a ver fue ese nueve por ciento.

Porque quien lo detectó y se guardó el aviso hizo bien la mitad del trabajo, y la mitad que faltaba era la que valía dinero.

Porque en un ataque real la partida se juega en minutos. Da igual que el ochenta por ciento de la plantilla no pique: al atacante le sobra con uno. Lo único que puede frenarle es que la primera persona que lo huela lo cuente enseguida, para que alguien bloquee el dominio, corte las sesiones y cambie contraseñas antes de que el resto de la empresa termine de desayunar. Por cada persona que dio la alarma, dos habían pinchado ya.

Detectar el fraude es una virtud individual. Avisar es una función de la empresa. Y si esa función está al nueve por ciento, no es un problema de atención: es que reportar cuesta más que borrar. Cuánto tarda el primer aviso —no cuántos pican— es la métrica que yo pondría a medir en el siguiente simulacro.

La mitad del problema no es de la gente

Hay una frase en el correo con la que estoy medio de acuerdo: que cada uno de nosotros es la primera línea de defensa.

Primera línea, sí. Única, no. Y hay un dato en esos resultados que no habla de las personas, sino del sistema: que entregar un usuario y una contraseña baste para que un desconocido entre en el correo, en los datos de clientes y en los sistemas internos.

Eso no es un fallo del que picó. Eso es un diseño en el que una contraseña —algo que se puede copiar, adivinar, reutilizar y regalar rellenando un formulario— sigue siendo la llave entera. Con un segundo factor resistente al phishing (passkeys o llave física; no un código por SMS ni un «aceptar» en el móvil), el mismo formulario falso se lleva la contraseña y no consigue entrar en esa cuenta, porque la credencial está atada criptográficamente al dominio de verdad y el dominio de verdad no era ese.

Que quede claro lo que eso arregla y lo que no: la contraseña entregada sigue teniendo valor en cuanto esté reutilizada en otro sitio, o en cuanto quede un sistema antiguo, una VPN o un buzón por IMAP que no pase por ese segundo factor. Lo que deja de tener es la capacidad de abrir por sí sola la puerta principal. Sigue habiendo que cambiarla, y corriendo.

Sobre por qué unos segundos factores protegen y otros hacen bulto escribí largo cuando hablé de contraseñas fáciles, gestores y correo. Y sobre la calma que dan las medidas que no miden nada, en agosto.

Mientras la atención de una persona con prisa un viernes por la tarde sea lo último que separa a un atacante del correo de toda la empresa, los simulacros van a seguir saliendo así de mal. Y con razón.

Qué haría yo el lunes

Cuatro cosas, por orden de cuánto rebajan el riesgo por euro gastado:

1. Passkeys o llaves físicas en el correo corporativo, empezando por dirección, finanzas, informática y cualquiera que toque datos de clientes. Es la única de la lista que hace que entregar la contraseña no baste para entrar en esa cuenta.
2. Botón de reportar a un clic, y respuesta a todo el que lo use, aunque sea automática. Reportar tiene que costar menos que borrar, y quien avisa tiene que enterarse de que sirvió para algo.
3. Medir el tiempo hasta el primer aviso, no solo el porcentaje de clics. Es el número que habla del margen que tendrías para cortar: bloquear el dominio, tirar las sesiones y cambiar contraseñas.
4. Repetir el simulacro, sin lista de caídos, sin correo de «has fallado» y sin señuelos que jueguen con el sueldo o con el puesto. Se puede engañar a la gente para enseñarle algo sin cobrarle el peaje en confianza.

Y una quinta que no cuesta nada: cuando mandes los resultados y digas que no son buenos, cuenta también qué vas a cambiar tú. Si la lista de deberes es solo para la plantilla, el mensaje que llega es que el problema son ellos. Y uno de cada doce entregando la contraseña no es un problema de doscientas personas distraídas. Es un problema de diseño con doscientos testigos.

Con mis hijos ya me tocó explicar por qué digo que no a las APK raras y a dar la clave del wifi. La conclusión de casa vale igual aquí: ser desconfiado no te salva, te da margen. El margen se agota, y por eso hace falta que debajo haya algo que no dependa de que ese día estuvieras espabilado.