Te llega un mensaje que parece de dirección mientras la persona responsable está fuera y pide resolver un pago antes de terminar la mañana, añadiendo que no debes comentarlo porque se trata de una operación reservada, y notas que la prisa del mensaje empieza a ocupar el lugar de las comprobaciones habituales.
Desde ese punto no puedes saber por qué se ha enviado ni confirmar su legitimidad solo porque reconozcas el nombre, de modo que la necesidad inmediata es seguir el procedimiento autorizado para verificar la petición antes de ejecutar una operación sensible.
INCIBE recomienda confirmar las solicitudes de pago urgente por un canal alternativo y advierte de que la urgencia y la confidencialidad pueden utilizarse para evitar consultas internas, una orientación defensiva que aquí sirve de base para preparar la conversación del equipo y no para diagnosticar un mensaje concreto.
En un ensayo sin mensajes reales podéis preguntar cómo localizaríais esa vía conocida y quién tiene responsabilidad para confirmar la operación, evitando tomar del propio mensaje dudoso el contacto que supuestamente demostraría que la petición es auténtica.
Puede aparecer que el canal existe y nadie nuevo lo conoce o que no está claro quién actúa durante una ausencia, diferencias que merecen registrarse para que las resuelvan los responsables adecuados sin pedir a quien recibe la solicitud que improvise un acceso o se salte una comprobación por la jerarquía que aparenta tener el remitente.
Si diriges, puedes explicar expresamente cómo esperas que se verifiquen estas peticiones incluso cuando parezcan tuyas y sostener esa pauta en el trato cotidiano, porque resulta difícil pedir al equipo que compruebe una urgencia si después se le reprocha haber tardado en consultarte.
El ensayo no necesita bloquear cuentas, generar un correo falso ni ejecutar transferencias de prueba, ya que basta con recorrer quién recibe el aviso y qué responsabilidad falta por aclarar, dejando la configuración y la revisión de seguridad a las personas competentes.
Ante un mensaje real sospechoso corresponde utilizar los procedimientos y canales oficiales de apoyo y respuesta de la organización, con la ayuda especializada que haga falta y sin reenviar información sensible a otras personas por iniciativa propia ni investigar al posible remitente fuera de ese marco.
El resultado que puedes buscar hoy es una referencia localizable y una frase de confirmación que la persona sepa que puede utilizar, sin prometer que ese acuerdo eliminará el fraude ni convertir haber recibido una petición extraña en prueba de que alguien del equipo ha actuado mal.
Fuente: 10 pasos para proteger a tu pyme del fraude del CEO · INCIBE
Ejercicio práctico
Ensayar una confirmación antes de actuar
Plantea solo en conversación una petición ficticia de pago urgente atribuida a dirección y pregunta quién podría confirmarla y por qué vía conocida, anota las responsabilidades que no estén claras y prepara una frase para detener la ejecución mientras se verifica, sin crear mensajes engañosos, compartir datos, cambiar cuentas ni realizar operaciones durante el ensayo.
Puedes hacerlo por tu cuenta, en una libreta o en tus notas.