Mes de la Ciberseguridad (2/4): tu jefe te llamó por videollamada y no era tu jefe

Segunda entrega del Mes de la Ciberseguridad. La semana pasada hablamos de lo que olvidaste que tenías. Hoy toca lo contrario: lo que entregas tú mismo, voluntariamente, en menos de un minuto y con la mejor de las intenciones.

La serie

1. El inventario
2. El factor humano ← estás aquí
3. La cadena de suministro
4. El día después

Una máscara del carnaval de Venecia, en una góndola. Foto: Ronin3a, CC BY-SA 4.0; imagen recortada y disponible bajo la misma licencia.

Se acabó lo de las faltas de ortografía

Durante veinte años enseñamos a la gente a detectar el fraude por las señales tontas: el correo del banco con faltas de ortografía, el príncipe nigeriano, el «estimado cliente» sin nombre, la traducción automática de risa.

Ese consejo, como señal principal, hoy es peor que inútil: es peligroso, porque genera una falsa sensación de control. Un modelo de lenguaje redacta un correo comercial impecable en español, con el tono corporativo exacto, en segundos y por menos de un céntimo.

La buena ortografía ya no demuestra nada. Una falta sigue siendo motivo para desconfiar; lo peligroso es lo contrario. Porque el consejo de «desconfía si está mal escrito» acaba funcionando, en la práctica, como «confía si está bien escrito». Que es justo lo contrario de lo que queríamos.

Y ni siquiera hace falta redactar bien: basta con aburrir. En el simulacro que una empresa lanzó contra su propia plantilla, los tres señuelos que funcionaron —un cambio en tu puesto de trabajo, un sorteo de verano y un aviso de navegador desactualizado— no daban miedo, no metían prisa y no pedían dinero. Una de cada doce personas escribió allí su usuario y su contraseña corporativos, en un sitio donde la tecnología es el oficio.

El caso que hay que conocer: 25 millones en una videollamada

Enero de 2024. Oficina de Hong Kong de Arup, una multinacional de ingeniería británica de las grandes.

Un empleado del departamento financiero recibe un mensaje que parece venir del director financiero, en el Reino Unido, sobre una transacción confidencial. Sospecha. Le huele a phishing.

Entonces le invitan a una videollamada con el director financiero y varios compañeros a los que cree reconocer. Los ve. Los oye. Tienen su cara y su voz. Las dudas se disipan.

Autoriza quince transferencias. Unos 25 millones de dólares.

Todos los participantes de aquella videollamada, menos él, eran recreaciones digitales.

Lo que me interesa de este caso no es la tecnología. Es que la sospecha estaba ahí, y la apagó justo lo que durante décadas ha servido para confirmar: ver la cara y oír la voz de tu jefe. No se trata de decidir desde fuera si aquel empleado fue lo bastante desconfiado. Se trata de que reconocer una cara y una voz ya no debería bastar para autorizar nada.

El consejo de siempre es «si dudas, llama». Sigue valiendo a medias: reconocer la voz ya no verifica nada. Llamar tú, a un número que ya tenías guardado, sí es una comprobación independiente. Y para mover dinero, además, tienen que cumplirse las aprobaciones previstas.

El fraude que sí te va a tocar

Los 25 millones son titular. Lo que llega a las empresas normales es más barato y más eficaz. Cuatro variantes que veo una y otra vez:

El fraude del CEO. Un mensaje del jefe, fuera de horario, con urgencia y confidencialidad. «Estoy en una reunión, no puedo hablar, necesito que hagas esto ahora y no se lo comentes a nadie todavía». Las tres palancas habituales: autoridad, urgencia y secreto. Si te aparecen las tres juntas, para: no hagas nada hasta haberlo verificado por otro canal.

El cambio de número de cuenta. El más rentable y el menos vistoso. Un proveedor real, con el que trabajas de verdad, te escribe diciendo que ha cambiado de banco. La factura puede ser perfectamente correcta, porque a menudo es su factura: han entrado en su correo antes que en el tuyo. Pagas y todo parece normal hasta que el proveedor real reclama.

La fatiga de MFA. Tienen tu contraseña. Lanzan solicitudes de segundo factor a tu móvil, por ejemplo a las tres de la mañana, una detrás de otra, hasta que aceptas para que pare. Funciona. Con esa técnica entraron en Uber en 2022.

El soporte técnico inverso. Te llaman ellos. Del departamento de informática, muy amables, para «resolver la incidencia que has reportado». No has reportado ninguna, pero suena tan razonable que no lo dices.

Lo que funciona más allá del curso anual

Un curso de concienciación de una hora al año no sustituye a un procedimiento. La formación ayuda, pero no debería ser la última barrera antes de una transferencia. Lo que funciona son procedimientos que no dependen de que nadie esté espabilado ese día:

1. Verificación por un canal distinto para cualquier pago. No «si dudas, llama». Siempre, sin excepciones, por un canal diferente al que trajo la petición, y a un número de teléfono de la agenda de la empresa, no al que viene en el correo. Sin excepciones significa también cuando lo pide el jefe y sobre todo cuando hay prisa. Y no solo para pagos: en el caso de Revolut, las peticiones de datos llegaron desde el correo legítimo de una agencia pública y el proceso entregó los documentos de identidad de 680 clientes. El canal estaba comprobado; la autoridad, dada por supuesta.
2. Una palabra clave familiar y otra corporativa. Suena a película y funciona muy bien contra la voz clonada. Una palabra acordada de antemano que se pide por sorpresa. Un modelo puede imitar la voz de tu director financiero, pero imitar la voz no le revela la palabra que acordasteis en privado. En una empresa, eso sí, es una barrera más: complementa la aprobación de pagos, nunca la sustituye.
3. Los cambios de cuenta bancaria son un procedimiento, no un correo. Verificación telefónica al contacto de siempre, con el número de siempre, y aprobación por escrito de dos personas. Verificar la petición y que la apruebe una segunda persona son dos controles distintos, y aquí hacen falta los dos.
4. MFA resistente al phishing. Las notificaciones de «aceptar/rechazar» son vulnerables a la fatiga. Los códigos por SMS son interceptables. Lo que resiste el phishing son las passkeys y las llaves físicas FIDO2, porque están atadas criptográficamente al dominio real. Volveré sobre esto el próximo mayo, en el Día Mundial de la Contraseña.
5. Y la más importante y la más barata: cultura de no castigar el error. Si quien pica tiene miedo de decirlo, tardarás horas o días en enterarte. Esas horas son la diferencia entre bloquear una transferencia y no bloquearla. El que avisa rápido de que ha metido la pata te está haciendo un favor de miles de euros. Trátalo así.

La parte incómoda

Voy a decir algo que no gusta.

Cuando alguien de tu equipo cae en un fraude de estos, la reacción por defecto es preguntarse cómo pudo no darse cuenta. Y casi siempre la respuesta correcta es: porque el sistema estaba diseñado para que su atención fuera la última defensa.

Si una sola persona, con prisa, puede mover 25 millones de dólares porque ha visto una cara en una pantalla, el fallo no es de esa persona. Es de quien diseñó ese proceso.

La gente no es el eslabón débil. La gente es el eslabón que queda expuesto cuando el resto del sistema delega en ella lo que debería estar resuelto con un procedimiento.

Lo conté en casa a mi manera cuando mis hijos me pidieron instalar mods: ser desconfiado no te salva, te da margen. Y el margen se agota. Por eso hacen falta reglas y no solo cuidado.

La semana que viene

Ya sabes lo que tienes y ya sabes cómo te van a intentar engañar.

El lunes que viene, la vía de entrada que no controlas ni controlarás nunca del todo: la cadena de suministro. El proveedor, el plugin, la dependencia y el paquete que instalaste hace tres años.

Nos vemos el 19.