Selva Orejón
Septiembre también necesita una espera
"Una empresa que exige responder de inmediato, pero incomoda a quien pregunta, está poniendo las cosas demasiado fáciles al fraude"
Septiembre tiene algo de lunes enorme. Vuelven los horarios, las reuniones, las facturas pendientes y esa voluntad de ponerse al día que dura hasta que abrimos el correo. Entonces aparecen los mensajes acumulados y empezamos a despachar. Contestar, aprobar, enviar, pagar. Quitarnos cosas de encima.
Y ahí conviene detenerse un momento.
Imaginemos una escena perfectamente posible, llega un correo de un proveedor habitual. Tiene una factura pendiente y comunica un cambio de cuenta bancaria. El nombre nos resulta familiar, la cantidad encaja y necesitamos resolverlo antes de entrar en la siguiente reunión. Cambiamos el número, autorizamos el pago y seguimos trabajando. Todo parecía normal. Esa era precisamente la ventaja del engaño.
La suplantación de proveedores y directivos busca introducir instrucciones fraudulentas dentro de relaciones que ya inspiran confianza. El Banco de España recomienda comprobar por teléfono o presencialmente los cambios de cuenta bancaria de un proveedor. Una precaución sencilla que merece un lugar en nuestra vuelta al trabajo. Porque cuando hablamos de ciberseguridad seguimos imaginando pantallas llenas de código y ataques extraordinariamente sofisticados. Mientras tanto, hay riesgos que pasan por una factura, un nombre conocido y una persona que lleva toda la mañana intentando llegar a todo.
Desde mi trabajo en identidad digital y gestión de crisis, me interesa especialmente esa distancia entre lo que una organización dice que protege y lo que permite que ocurra en una jornada normal. Podemos tener procedimientos escritos, formación y herramientas. Después llega una petición urgente de dirección y alguien entiende que comprobarla sería molestar.
Tenemos que revisar eso.
Si un empleado siente que llamar para confirmar una transferencia demuestra falta de iniciativa, algo falla en la cultura de la empresa. Si preguntar por una instrucción extraña parece una falta de respeto al jefe, estamos castigando una conducta que puede protegernos. Y si todo es urgente, resulta bastante difícil distinguir una urgencia legítima de una fabricada para hacernos actuar.
No podemos pedir criterio y premiar únicamente la velocidad.
El fraude del CEO utiliza precisamente esa combinación de autoridad, urgencia y, en ocasiones, confidencialidad, una supuesta orden de un superior para que alguien con capacidad de pago haga una transferencia. INCIBE también advierte de que la comunicación puede llegar desde una dirección legítima previamente comprometida. Reconocer al remitente no basta para dar por buena la petición.
Por eso, comprobar tiene que formar parte del trabajo. Con tiempo asignado, con un procedimiento claro y con respaldo de dirección. Una orden sensible debe poder confirmarse por un canal independiente, usando los datos de contacto que ya teníamos, en lugar del teléfono que acaba de facilitarnos el mismo mensaje sospechoso.
Y quien llama debe encontrarse con un "has hecho bien".
Septiembre es un buen momento para revisar estas cosas. Antes de recuperar todas las reuniones, podemos recuperar también las preguntas básicas. Quién autoriza los pagos. Cómo se comprueba un cambio de cuenta. Qué accesos siguen activos después de una salida del equipo. A quién hay que avisar cuando alguien sospecha que ha cometido un error.
Esta última cuestión me parece esencial. Una empresa necesita que sus empleados comuniquen pronto un problema. Si la primera respuesta es buscar a quién culpar, la próxima persona dudará antes de levantar la mano. Ese silencio puede agravar el daño.
Nos gusta hablar de equipos preparados. Prepararse también consiste en conseguir que una persona pueda decir "esto me parece raro" sin tener que defender después su competencia profesional.
Volvemos de vacaciones con propósitos bastante razonables: organizarnos mejor, hacer deporte, pasar menos tiempo con el móvil. Propongo añadir uno que puede ser muy útil en la oficina: dejar de tratar cada petición como si necesitara obediencia inmediata.
Una factura puede esperar a que confirmemos la cuenta. Una instrucción puede esperar a que comprobemos quién la envía. Y una reunión puede empezar dos minutos más tarde si esos dos minutos sirven para evitar un problema.
Septiembre ya trae suficientes prisas. No hace falta ponerlas también al servicio de quien quiere engañarnos.
