Gestión del riesgo humano
Alguien va a picar.
Encuéntralo antes que un atacante.
DarkPhish envía a tu equipo los mismos trucos que usan los delincuentes: por email, SMS, código QR y llamada. Quien pica recibe la formación al instante, con el error todavía reciente. Ves exactamente dónde está tu riesgo y lo ves bajar.
Tu primera simulación puede salir esta semana · Nada que instalar · Lo montamos contigo
- SMS
- QR
- Voz
Marta Okafor · Nóminas
09:14m.okafor@nominas-segura.com · enviado desde fuera de tu empresa
Un cambio de dos minutos, tu nómina no se ve afectada.
Hola: Finanzas ha movido el cierre de nóminas al día 15. Confirma los datos de tu cuenta antes de esa fecha para que tu nómina no se retrase.
Marta Okafor · Nóminas
m.okafor@nominas-segura.com · enviado desde fuera de tu empresa
El cierre de nóminas pasa al día 15: confirma tus datos bancarios
Hola: Finanzas ha movido el cierre de nóminas al día 15. Confirma los datos de tu cuenta antes de esa fecha para que tu nómina no se retrase.
- La dirección casi correcta
- Una fecha límite que no existe
- La respuesta va a otro sitio
Confirma tu cuenta
Datos entregados
La simulación se detiene aquí. Nada de lo que se escribe se guarda.
Fraude en pagos: cómo funciona de verdad
6 min · empieza ya
Marta Okafor · Nóminas
m.okafor@nominas-segura.com · enviado desde fuera de tu empresa
El cierre de nóminas pasa al día 15: confirma tus datos bancarios
48 personas lo detectaron y avisaron
Cuando alguien reporta un mensaje, llega directo a tu equipo de seguridad, listo para revisar.
01 / 05 · Entregado
Riesgo humano
/100El problema
Basta con uno.
Puedes comprar todas las herramientas del mercado y perderlo todo por una persona en un martes cualquiera. Los atacantes lo saben. Por eso casi todos los incidentes graves empiezan hoy con un mensaje, no con una máquina.
Ya nadie entra por la fuerza. Entra con una contraseña.
Tus defensas están hechas para parar software. El ataque llega como un mensaje de un compañero, de un mensajero, del banco. Y simplemente pide. Una persona contesta y la puerta se abre educadamente desde dentro.
La formación una vez al año no cambia nada.
Un curso en enero se ha olvidado en febrero. Nadie aprende de un vídeo que pasó de largo un viernes por la tarde. Se aprende en el momento del error, y solo si hay alguien ahí para explicarlo.
«Ya hicimos la formación» no es una respuesta.
Cuando el comité de dirección pregunta cuánto estáis expuestos, o un cliente pregunta antes de firmar, o un auditor pide pruebas, la buena intención no sobrevive a la pregunta. Necesitas un número y algo sólido detrás.
El filtro de correo no lo es todo.
El mensaje que sí pasa es un SMS al móvil personal. Un código QR en un cartel. Una llamada de alguien que dice ser de IT. Defiendes un canal y el ataque se va por otro.
Esto no es un problema de personas. Es un problema de entrenamiento, y el entrenamiento sí tiene solución.
Cómo entran
Diez trucos. Uno funciona con tu gente.
Toda estafa tira de una palanca humana: el miedo, la urgencia, la curiosidad, las ganas de ayudar. Cuál funciona depende de tu equipo. Los probamos todos y te decimos con cuál pica tu gente.
Elige un truco
01 / 10
Miedo
Amenaza con algo malo para forzar una reacción inmediata.
«Actividad sospechosa en tu cuenta: verifica antes de las 18:00»
02 / 10
Urgencia
Pone un plazo tan corto que no da tiempo a pensar.
«Tu contraseña caduca hoy: renuévala ahora»
03 / 10
Curiosidad
Omite lo justo para que no puedas evitar mirar.
«Tienes un documento compartido pendiente de revisión»
04 / 10
Autoridad
Se hace pasar por alguien a quien no le llevarías la contraria.
«Mensaje de Dirección General: requiere tu acción»
05 / 10
Suplantación
Se pone la cara de una marca o una persona de confianza.
«Microsoft 365: confirma tu identidad»
06 / 10
Recompensa
Pone como cebo un premio, un bonus o una devolución.
«Has recibido un bonus de 200 € de RRHH»
07 / 10
Escasez
Sugiere que se acaba y que te lo vas a perder.
«Solo quedan 3 plazas para el curso de teletrabajo»
08 / 10
Prueba social
Se apoya en que todos los demás ya lo han hecho.
«El 90% de tu equipo ya ha confirmado sus datos»
09 / 10
Familiaridad
Finge continuar una conversación que ya tenías.
«Re: factura de tu proveedor habitual»
10 / 10
Ganas de ayudar
Pide un favor pequeño y se aprovecha de la buena fe.
«¿Me echas una mano con un pago urgente?»
Dejas de adivinar qué riesgo es real. Entrenas contra la debilidad que de verdad está ahí.
Las simulaciones
Todas las vías de entrada. Cubiertas.
Los ataques no llegan solo por email, así que nosotros tampoco. Empieza por el correo y activa los demás canales cuando te venga bien.
«Re: factura #4471 — pago retrasado»
El que siguen usando todos.
Mensajes que tu gente no distingue de los de verdad: la factura del proveedor, el cambio en la nómina, la contraseña que caduca hoy. En cuanto alguien entrega una contraseña, la simulación se para y empieza la lección, ahí mismo.
- Escenarios escritos por gente que investiga fraude real
- Cada persona recibe la dificultad que le corresponde, no un examen igual para todos
- El error se convierte en lección en el mismo segundo
Llega como si fuera real.
Sin carpeta de spam, sin configuración por tu parte, sin nada que tu equipo de IT tenga que aprobar. La simulación aterriza justo donde aterrizaría un ataque de verdad, que es el único sitio donde la lección cuenta.
Funciona solo.
Decides cada cuánto hay que poner a prueba a tu gente y te olvidas. Quien detecta el truco recibe uno más difícil la próxima vez. Quien pica recibe ayuda, no un truco más difícil.
Encaja con cómo ya trabajas.
Tu lista de personas se mantiene al día sola, las incorporaciones quedan cubiertas desde el primer día y la formación se asigna sola. Nadie tiene que perseguir a nadie y no se instala nada en ningún portátil.
Cómo funciona
Cuatro pasos. Y vuelta a empezar.
No es un evento anual. Es una costumbre que baja tu riesgo mes a mes, sin ruido.
01
Email · SMS · QR · Voz
Simula.
Enviamos a tu equipo una estafa que merece la pena picar. Nadie sabe que viene, que es justo de lo que se trata, y cada persona recibe una a su nivel.
02
Por persona · por equipo · por truco
Mide.
Quién lo abrió, quién picó y quién lo detectó y avisó. Desglosado por persona, por equipo y por truco, para que sepas dónde estás en lugar de suponerlo.
03
Al instante · minutos, no horas
Forma.
Quien pica recibe la formación en ese momento, cuando de verdad cala. Corta, concreta y sobre el error que acaba de cometer. Detectarlo y reportarlo suma puntos: esa es la costumbre que interesa crear.
04
NIS2 · ISO 27001 · SOC 2 · DORA · RGPD
Demuestra.
Un informe que puedes entregar al comité de dirección, a tu mayor cliente o al auditor sin reescribirlo antes. Tu riesgo en un solo número, con todo el histórico detrás.
CyberShield
Nadie aprende por caer. Se aprende por lo que pasa después.
CyberShield es la parte de formación de DarkPhish. Es donde un error se convierte en una habilidad, y donde tu gente puede volverse buena en esto antes de que nadie les ponga a prueba.
Dos momentos que importan
Apréndelo antes de que pase.
Nadie debería tener que fallar primero. Tu equipo puede hacer cursos cortos cuando le venga bien, y las nuevas incorporaciones empiezan el primer día. Quien no pica en ninguna simulación también mejora, y su puntuación lo refleja.
- Abierto para todos, desde el primer día
- Cursos cortos que se terminan en un café
- Mejorar cuenta, no solo evitar errores
Apréndelo en el momento exacto.
En cuanto alguien pica en una simulación, la lección correcta ya le está esperando. No un recordatorio el trimestre que viene. El truco exacto que acaba de funcionar, explicado mientras todavía lo tiene fresco.
- Se asigna sola, según el truco que ha funcionado
- Se abre en el momento del error, en la misma página
- Terminarla vuelve a bajar su puntuación
Fraude en pagos y facturas falsas
Tras una simulaciónDetectar un remitente calcado
Cuando quierasLlamadas que te piden un código
Tras una simulaciónCódigos QR en el mundo real
Cuando quierasPor qué la gente sí la termina
Minutos, no tardes enteras.
Tan cortos que nadie tiene que reservarse un hueco. Esa es toda la razón por la que se terminan.
Sobre el error que cometió.
No una charla general de seguridad. El truco concreto, por qué funcionó con esa persona y en qué fijarse la próxima vez.
Un progreso que cuenta.
Terminar un curso mueve el número. Cada persona se ve mejorar, y tú también lo ves.
Pruebas que puedes entregar.
Quién se formó, en qué y cuándo. Va en el mismo informe que ya te pidió el auditor.
La formación es parte del mismo programa, no algo aparte que haya que gestionar. Un sitio, una puntuación, un informe.
Resultados
El número baja.
Mes a mes, a la misma gente cada vez cuesta más engañarla. Esto es lo que se ve. El panel de abajo son datos de ejemplo: tus informes solo muestran a tu equipo.
Han picado
4,0%
Detectado y reportado
31%
Datos entregados
1,2%
Riesgo
38
Quién hizo clic, por mes
Un programa tipo, funcionando en continuo
−86%
33% → 4%
Riesgo por equipo
Adónde va el mes que viene
Cómo se les puso a prueba
Un reparto habitual
Cifras de ejemplo, solo ilustrativas. Tus informes solo muestran tus propios resultados.
Un número que tu comité de dirección entiende.
Cada simulación, cada lección y cada aviso se resumen en una sola puntuación sobre 100. Lo reciente pesa más que lo del año pasado, así que el número te dice dónde estás hoy, no dónde estabas el día que firmaste. Ponlo delante del comité, de un auditor o de un cliente y la conversación se resuelve en un minuto.
Para quién es
Qué cambia, según dónde te sientes.
El mismo programa responde a una pregunta distinta para cada persona que tiene que preocuparse por esto.
Quien responde por la seguridad
Un solo número para el riesgo humano, una línea que va en la buena dirección y evidencias que puedes poner delante de un regulador. Se acabó defender el presupuesto de seguridad con anécdotas.
El equipo que responde a incidentes
Tu gente se convierte en sensores. Cuando llega algo de verdad, te avisan, y te enteras en minutos en lugar de descubrirlo el trimestre siguiente.
IT y RRHH
Nada que instalar y a nadie que perseguir. Las incorporaciones quedan cubiertas desde el primer día, la formación se asigna sola y vuestro trabajo es prácticamente cero.
Quien lleva la seguridad de otras empresas
Todos tus clientes en un mismo sitio, con tu nombre y tu marca. Un informe para cada uno, una conversación, y un servicio que puedes vender en la primera llamada.
Escenarios escritos para tu sector
Preguntas
Lo que nos preguntan primero.
¿Es legítimo engañar a nuestra propia plantilla?
¿La gente se va a sentir humillada?
¿Qué pasa en el momento en que alguien pica?
Ya hacemos formación una vez al año. ¿Por qué esto?
¿Cuánto tardamos en estar funcionando?
¿Hay que instalar algo?
¿Dónde están nuestros datos?
¿Cómo le demostramos todo esto a un auditor?
Empezar
Lanza la primera simulación.
Cuéntanos qué te preocupa. En un día tienes una respuesta clara y un plan, y si encaja, una demo en directo con tu equipo.
Hablemos
info@darkphish.esDónde estamos
DarkData · Madrid, España
Respondemos en
Menos de 24 horas, días laborables