Phishing en bancos y fintech de Centroamérica: cómo se ve y cómo medirlo

La guía de CISA separa dos fines. En el primero, el atacante busca credenciales: un correo que imita al área de TI o a un jefe y lleva a una página de inicio de sesión falsa. En el segundo, busca que alguien abra un adjunto o un enlace que instala software malicioso. Los dos terminan igual para el banco. Alguien de afuera entra con la identidad de un empleado.

El correo ya no es el único canal. La misma guía menciona SMS, WhatsApp, Teams y llamadas con identificador de llamada falsificado. En la región, WhatsApp es el canal de trabajo de muchos equipos comerciales y de atención al cliente, y ahí casi nadie revisa un enlace con cuidado. Una pantalla de teléfono muestra poco del enlace real.

La autenticación de varios factores reduce el daño, pero no lo elimina. CISA advierte que el código por SMS, la llamada de voz y la notificación push sin coincidencia de número se pueden burlar con el mismo engaño. Solo los métodos FIDO o basados en PKI resisten el phishing de credenciales. La diferencia pesa el día en que alguien en el comité dice que con MFA el tema está cerrado.

No nombramos instituciones afectadas. Los tipos de mensaje se repiten porque explotan procesos que todos los bancos de la región comparten. Estos son los que más conviene reconocer y, después, usar como base de una simulación autorizada:

Ninguno necesita una técnica sofisticada. Todos se apoyan en la prisa, en la jerarquía o en un trámite que el empleado hace todos los días. Por eso un filtro de correo, por bueno que sea, no basta, y por eso los reguladores piden programas de capacitación y no solo herramientas.

• Un aviso de "actualización de la contraseña del correo" con el logo interno y un enlace a una página de inicio de sesión copiada.
• Un mensaje del supuesto gerente, desde un número nuevo de WhatsApp, que pide aprobar una transferencia urgente antes del cierre.
• Un comprobante de transferencia o de depósito adjunto, enviado al área de operaciones o de cobros, que pide habilitar macros para verse.
• Un correo de un proveedor conocido que avisa de un cambio de cuenta bancaria para el próximo pago.
• Un aviso de la administración tributaria o de una entidad de gobierno sobre una supuesta multa, con un archivo comprimido.
• Una llamada de "soporte técnico" que pide el código que acaba de llegar por SMS para "validar" el acceso remoto.
• En canales de clientes, mensajes que imitan al banco y avisan de una tarjeta bloqueada, con un enlace a un sitio falso.

Ninguna de las cuatro normas obliga a hacer una simulación de phishing. Todas obligan a capacitar y, en tres casos, a medir o registrar. Una simulación autorizada es la forma más directa de producir esa medición.

En Honduras, el Art. 23 de la Circular CNBS 025/2022 pide "un programa de capacitación, concientización y culturización sobre seguridad de la información y ciberseguridad" para los colaboradores y para los integrantes del Órgano de Administración. El mismo artículo pide campañas de concientización sobre el uso de los canales digitales dirigidas a los Usuarios Financieros.

En El Salvador, la NRP-23 (Art. 10 b) iii) pide programas de capacitación y concientización para todo el personal, al menos una vez al año. La NRP-32 (Art. 8) es la única que nombra el phishing: los bancos deben contar con herramientas contra la suplantación de identidad en correos de phishing, spam y spear-phishing, y con "programas de capacitación constante sobre este tipo de amenazas" para los empleados, con énfasis en quienes atienden al cliente.

En Guatemala, el Art. 23 de la JM-98-2025 pide un programa continuo de capacitación a todo el recurso humano, "debiendo llevar un registro de la realización de estos programas". El Art. 27 k) agrega capacitación de ciberseguridad para el personal con funciones especializadas.

En Costa Rica, el Art. 35 del Acuerdo CONASSIF 5-24 pide planes anuales de promoción de la cultura de seguridad para colaboradores y clientes. Los planes "deben contener indicadores de medición" del nivel de concientización. Una tasa de reporte medida en una simulación es uno de esos indicadores.

La guía NIST SP 800-50r1 (septiembre de 2024) recomienda empezar por la línea base: la tasa de clics actual por grupo de usuarios o por función. Sin ese número no hay forma de saber si la capacitación del año sirvió. NIST describe dos mediciones. La de clics cuenta quién abrió el enlace o el adjunto. La de reporte cuenta quién avisó del correo sospechoso por el canal correcto.

De las dos, la tasa de reporte dice más. Un empleado que hace clic y avisa en cinco minutos le da al equipo de seguridad tiempo para bloquear la cuenta. Uno que no hace clic pero tampoco avisa deja que el mismo correo siga llegando a otros. También conviene medir el tiempo hasta el primer reporte.

La dificultad del señuelo cambia el resultado. NIST propone su Phish Scale para clasificar qué tan difícil era detectar el correo de prueba. Un informe que compara campañas de distinta dificultad sin decirlo engaña al comité. Mida cada área por separado. Operaciones, tesorería, atención al cliente y la alta gerencia reciben ataques distintos.

NIST también pone condiciones. El área legal revisa el diseño antes de enviar. Se evita usar marcas reales o nombrar entidades de gobierno en el señuelo sin esa revisión. Se avisa al personal de que habrá ejercicios en fechas al azar y de que los resultados guían la capacitación. Y nadie es señalado ni sancionado por su respuesta. Una simulación hecha así sirve. Una hecha para "atrapar" gente destruye la confianza que el programa necesita.

La capacitación cubre una parte. La guía de CISA lista controles que su área de TI puede revisar, y que un comité de riesgo puede pedir como evidencia. Los más relevantes para una institución financiera son estos:

Ninguno de estos controles reemplaza al otro. Un dominio con DMARC en "reject" impide que alguien envíe correos con su dominio exacto, pero no detiene un dominio parecido registrado la semana pasada. Para eso sirve un empleado que sabe reportar.

• DMARC con política "reject" para el dominio propio, junto con SPF y DKIM.
• MFA resistente al phishing (FIDO o PKI) para correo, VPN y cuentas privilegiadas. Como mínimo, número de coincidencia en las notificaciones push.
• Un botón o buzón para reportar correos sospechosos, con alguien que lo revise en horario de oficina y fuera de él.
• Bloqueo de macros en documentos que llegan de internet.
• Un procedimiento escrito para validar por otro canal cualquier cambio de cuenta bancaria de un proveedor o una orden de pago urgente.

Use esta lista tal cual en su próximo comité de seguridad o de riesgos. Cada punto se responde con un sí, un no o un documento:

• Tenemos un programa de capacitación aprobado, con fechas y un registro de quién asistió.
• La Junta Directiva o el Órgano de Administración recibió al menos una sesión este año.
• Conocemos nuestra tasa de clics y nuestra tasa de reporte por área, medidas en los últimos 12 meses.
• Cada simulación tuvo autorización escrita de la gerencia, revisión de Recursos Humanos y del área legal.
• Las simulaciones no guardan contraseñas ni datos que el empleado escriba.
• Los resultados se presentan por área. Ningún empleado aparece con nombre ante la gerencia.
• El personal de atención al cliente recibe capacitación propia sobre llamadas y mensajes que suplantan al banco.
• El dominio principal tiene DMARC en "reject".
• Correo, VPN y cuentas privilegiadas usan MFA resistente al phishing o, como mínimo, número de coincidencia.
• Existe un canal de reporte y alguien responde en menos de una hora.
• Un cambio de cuenta de un proveedor se confirma siempre por teléfono a un número ya registrado.