He hecho clic: ¿y ahora qué?

N0 · Lunes · 8:52

Lucía Benítez trabaja en Compras en Talavanta Logística. Entre un café y una llamada, abre un correo: «Óscar Lamela te ha compartido un documento: Pedido_7790.xlsx».

Pincha, se abre una página de Nubaria que le pide sus datos de acceso y los escribe. La página se recarga y muestra un error: «Documento no disponible». Lucía nota un nudo en el estómago.

• A) Cierra la pestaña. Seguro que no ha sido nada; ya lo mirará luego. → N1A
• B) Cambia su contraseña de Nubaria sin decir nada. Así lo arregla sin quedar mal. → N1B
• C) Llama a TI (extensión 210) en ese momento y cuenta lo que ha pasado. → N1C

N1A · 11:30

Varios clientes llaman extrañados: han recibido, desde la cuenta de Lucía, un correo con «los nuevos datos bancarios para los pagos».

El atacante lleva dos horas y media dentro del buzón. Ha leído conversaciones, ha creado una regla para ocultar las respuestas y ha escrito a clientes.

• A) Avisa a TI ya, aunque sea tarde. → F2
• B) Borra los correos raros de la carpeta de enviados y espera a que pase. → F3

N1B · 9:05

Lucía ha cambiado la contraseña. A media mañana, un compañero le comenta que un proveedor ha recibido un correo suyo en el que pide «adelantar un pago».

Lo que Lucía no sabía: al entrar, el atacante dejó una sesión abierta y una regla que reenvía su correo a una dirección externa. Cambiar la contraseña no basta: según el servicio, puede no cerrar las sesiones ya abiertas, y no borra las reglas de reenvío.

• A) Llama a TI y lo cuenta todo, también lo de las 8:52. → F2
• B) Escribe al proveedor para que no haga caso y no se lo dice a nadie más. → F3

N1C · 8:55

Javi, de TI, contesta al primer tono y le hace tres preguntas. La tercera: «¿Te pidió algo más después de la contraseña? ¿Un código o aprobar algo en el móvil?».

Lucía recuerda que le llegó una notificación al móvil y que la aprobó sin pensar.

• A) Le cuenta que aprobó la notificación. → F1
• B) Dice que no, por vergüenza. → N2C

N2C · 10:40

Javi ha cambiado la contraseña de Lucía. Como cree que el segundo factor no se ha usado, no ha cerrado las sesiones abiertas.

Ahora salta una alerta: alguien está descargando los correos de Lucía desde otro país. Javi la vuelve a llamar.

• A) Le cuenta lo de la notificación. → F2
• B) Insiste en que no aprobó nada. → F3

F1 · Final «Contenido en 20 minutos»

TI cierra todas las sesiones de Lucía, cambia la contraseña y revisa los dispositivos registrados para la verificación en dos pasos. Encuentra una regla de reenvío creada a las 8:54 y la borra.

Bloquea el dominio del correo falso y lo retira de los buzones de otros cinco compañeros que lo habían recibido. A las 9:15 todo está contenido y nadie ha perdido dinero. Javi le da las gracias a Lucía: su aviso ha protegido a cinco personas más.

Lección: Avisar en minutos y contarlo todo, también lo que da vergüenza, es lo que más reduce el daño.

F2 · Final «Contenido, con daños»

TI corta el acceso, pero el atacante ha tenido horas. Hay que avisar a clientes y proveedores de que no hagan caso de los correos falsos, revisar qué datos se han visto y valorar si hay que notificar una brecha de datos personales a la AEPD, que tiene un plazo de 72 horas.

Nadie ha pagado todavía, pero el lunes se ha ido en apagar fuegos.

Lección: Avisar tarde es mucho mejor que no avisar, pero cada hora cuenta.

F3 · Final «El fraude llega a tus clientes»

El atacante sigue dentro varios días. Un cliente paga una factura de 23.400 € en la cuenta falsa.

Hay que denunciar, intentar recuperar la transferencia a través del banco, avisar a todos los contactos y, probablemente, notificar una brecha de datos personales. El daño a la confianza dura más que el económico.

Lección: Callar no hace desaparecer un incidente, lo deja crecer. Nunca es tarde para avisar. Vuelve a empezar y prueba otro camino.