El teléfono sigue siendo un canal fundamental para la atención al cliente, pero también puede convertirse en una puerta de entrada para los ciberdelincuentes. En los ataques de Vishing (Voice Phishing), el delincuente utiliza llamadas telefónicas, mensajes de voz o conversaciones manipuladas para hacerse pasar por un cliente, ejecutivo, proveedor, entidad financiera u otra persona de confianza.
El riesgo aumenta en los equipos de atención al cliente porque sus integrantes interactúan diariamente con personas que solicitan cambios de información, recuperación de cuentas, actualización de datos o acceso a determinados servicios. Un atacante que consigue convencer a un trabajador puede intentar obtener información sensible o provocar acciones que comprometan a la organización.
Por ello, capacitar al personal para identificar y gestionar intentos de suplantación de identidad telefónica debe formar parte de una estrategia integral de ciberseguridad.
¿Qué es el Vishing y por qué representa un riesgo para las empresas?
El Vishing combina técnicas de ingeniería social con comunicación telefónica. El atacante puede crear una historia convincente y utilizar información previamente obtenida sobre la empresa, sus empleados o sus clientes para aumentar su credibilidad.
Por ejemplo, alguien podría llamar al centro de atención afirmando ser un cliente que perdió acceso a su cuenta y necesita modificar inmediatamente su número telefónico. También puede hacerse pasar por un gerente y solicitar información sobre un proveedor o intentar convencer al agente de realizar una acción excepcional.
La dificultad es que la llamada puede parecer perfectamente normal. CISA identifica el phishing telefónico y otras formas de ingeniería social como mecanismos utilizados para conseguir información, credenciales o acceso a sistemas. (cisa.gov)
1. Enseñar que el caller ID no demuestra identidad
Uno de los conceptos más importantes que debe conocer el equipo es que el número que aparece en la pantalla no garantiza que la llamada sea legítima.
Los atacantes pueden utilizar técnicas de suplantación del identificador de llamadas (caller ID spoofing) para hacer que una llamada parezca provenir de un número conocido.
Por tanto, una regla fundamental debe ser:
“No confíes en la identidad declarada durante la llamada; verifica por un mecanismo independiente.”
Este principio debe formar parte de los procedimientos de atención y no depender solamente del criterio individual del trabajador.
2. Definir claramente qué información nunca debe entregarse
Los empleados deben saber exactamente qué información es confidencial y nunca debe proporcionarse por teléfono sin una validación adecuada.
Entre los datos que pueden representar un riesgo se encuentran contraseñas, códigos de autenticación, información bancaria, datos personales, credenciales internas, números completos de tarjetas, preguntas de seguridad o información técnica utilizada para recuperar cuentas.
CISA recomienda no compartir información sensible ante solicitudes sospechosas y verificar por canales oficiales antes de continuar una interacción. (cisa.gov)
Una política eficaz debe convertir esta recomendación en una regla operativa sencilla.
3. Implementar un proceso de verificación independiente
La defensa más importante contra el Vishing es no depender de la información proporcionada durante la propia llamada.
Si un supuesto cliente solicita modificar datos críticos, el empleado debe utilizar un segundo mecanismo para validar la identidad. Dependiendo del proceso de la organización, puede utilizarse información previamente registrada, una autenticación dentro de la plataforma, una devolución de llamada a un número oficial o un procedimiento adicional de validación.
Para solicitudes de alto riesgo, deben existir controles más estrictos.
Por ejemplo, un cambio de cuenta bancaria para recibir un pago no debería aprobarse exclusivamente porque alguien lo solicitó por teléfono.
4. Enseñar a reconocer señales de manipulación
Los ataques de Vishing suelen utilizar presión psicológica. El atacante puede crear urgencia, miedo, autoridad o confianza para impedir que el empleado se detenga a verificar.
Algunas señales de alerta incluyen:
- La persona exige una respuesta inmediata.
- Afirma ser un directivo y pide saltarse un procedimiento.
- Solicita información que normalmente no necesita.
- Intenta impedir que el empleado consulte a un supervisor.
- Asegura que existe una emergencia.
- Se irrita cuando se aplica el proceso de verificación.
- Pide códigos enviados por SMS o aplicaciones de autenticación.
- Solicita mantener la llamada en secreto.
El trabajador debe aprender a interpretar estas señales como indicadores de riesgo y no como una razón para acelerar el proceso.
5. Crear guiones para situaciones sospechosas
Una buena capacitación debe ofrecer al empleado frases preparadas para responder ante solicitudes inusuales.
Por ejemplo:
“Por motivos de seguridad, necesito verificar su identidad mediante nuestro procedimiento establecido antes de realizar este cambio.”
Este tipo de guion elimina la presión de improvisar y ayuda a que el trabajador respete las políticas incluso cuando el interlocutor intenta persuadirlo.
La organización debe dejar claro que aplicar un control de seguridad no constituye una mala atención al cliente.
6. Establecer niveles de autorización
No todas las solicitudes tienen el mismo nivel de riesgo.
Una consulta general puede resolverse con una verificación básica, mientras que el cambio de información financiera, recuperación de una cuenta o modificación de privilegios puede requerir una autenticación reforzada y autorización adicional.
Establecer niveles de riesgo permite que la atención al cliente sepa cuándo puede continuar y cuándo debe escalar la solicitud.
Por ejemplo, cualquier modificación relacionada con pagos, cuentas empresariales o datos sensibles podría requerir una segunda validación y la intervención de un supervisor.
7. Realizar simulaciones de Vishing
La capacitación teórica debe complementarse con ejercicios prácticos.
Una organización puede realizar simulaciones controladas de llamadas fraudulentas para observar cómo reaccionan los empleados ante situaciones realistas. Estos ejercicios deben desarrollarse bajo autorización, con objetivos educativos claros y sin generar consecuencias laborales injustificadas.
El objetivo no es encontrar culpables, sino identificar oportunidades de mejora.
Después de cada ejercicio, debe explicarse qué señales estaban presentes, qué procedimiento debía aplicarse y cómo podría haberse prevenido el incidente.
8. Crear una cultura de reporte
Un empleado que sospecha de una llamada debe tener una vía sencilla para reportarla.
La organización debería definir a quién comunicar el incidente, qué información registrar y cuándo activar al equipo de seguridad.
También es fundamental evitar una cultura en la que los trabajadores oculten errores por temor a sanciones. Un reporte temprano puede permitir bloquear una cuenta, alertar a otros empleados y evitar nuevos intentos.
CISA recomienda promover mecanismos para reportar incidentes y actividades sospechosas como parte de una estrategia de protección frente a phishing e ingeniería social. (cisa.gov)
9. Medir el comportamiento del equipo
Un programa de prevención de Vishing debe tener indicadores.
La empresa puede medir cuántos intentos fueron identificados, cuántos trabajadores aplicaron correctamente el procedimiento, cuánto tiempo tardaron en reportar una llamada sospechosa y qué tipos de solicitudes generaron más errores.
Estas métricas permiten detectar áreas que requieren capacitación adicional.
El objetivo no debería ser simplemente alcanzar el 100 % de asistencia a una capacitación, sino demostrar una reducción del riesgo asociado al comportamiento humano.
10. Complementar la capacitación con tecnología
La capacitación por sí sola no puede eliminar todos los riesgos.
El equipo debe contar con controles tecnológicos que reduzcan el impacto de un error humano. Entre ellos pueden encontrarse MFA, gestión de identidades y accesos, PAM, monitoreo de cuentas, registro de actividades y soluciones de detección y respuesta.
Además, las organizaciones pueden establecer controles que impidan que el personal de atención al cliente realice determinadas acciones sin una segunda aprobación.
La combinación de procesos y tecnología proporciona una defensa mucho más sólida.
¿Cómo puede ayudar Pawa Peru?
La prevención del Vishing requiere entender cómo interactúan las personas con los procesos y las tecnologías de la organización.
En Pawa Peru, ayudamos a empresas a fortalecer su postura de ciberseguridad mediante soluciones orientadas a proteger identidades, accesos, endpoints y datos, además de estrategias de concientización para reducir el riesgo humano.
Para los dueños de empresas, gerentes de TI y oficiales de seguridad de la información, capacitar al equipo de atención al cliente debe verse como una inversión para proteger tanto a los usuarios como a la propia organización.
Conclusión
Un atacante no necesita vulnerar técnicamente un servidor para comprometer una empresa. En determinadas circunstancias, puede intentar convencer a una persona para que revele información o realice una acción insegura.
Por ello, entrenar al equipo de atención al cliente frente al Vishing requiere combinar capacitación, procedimientos de verificación, simulaciones, mecanismos de reporte y controles tecnológicos.
La regla más importante que debe aprender cada trabajador es sencilla:
Una llamada urgente no justifica saltarse un control de seguridad.
Cuando la organización consigue convertir esta idea en un hábito operativo, reduce significativamente las posibilidades de que una llamada aparentemente legítima se convierta en una brecha de seguridad.
