Seguridad digital para el equipo de una pyme: correos, claves y celular

El eslabón débil no es el computador

Imagina este correo un lunes temprano: el logo de la empresa de agua, el asunto dice que hay una boleta impaga y que el servicio se corta hoy, y un botón para regularizar. La persona que lleva la administración de la pyme tiene diez cosas pendientes, el mensaje se ve igual al de siempre y hace clic. La página pide el RUT y la clave del banco. Eso es un correo falso, y no hace falta ningún virus: alcanza con una persona apurada y un mensaje creíble.

Por eso la seguridad digital de una pyme de servicios se juega en la gente, no en el antivirus. En una empresa de fosas, en un taller o en una parcela con trabajadores, el que contesta el teléfono es quien decide en un segundo si confía o no. La ANCI, la agencia del Estado a cargo del tema, publica ciberconsejos escritos para gente común, con los engaños que más circulan en Chile; sirven como material de partida sin tener que inventar nada.

Fuentes: ANCI, Ciberconsejos

Cómo se reconoce un correo o un mensaje falso

Casi todos los engaños comparten tres señales: urgencia (se corta hoy, última oportunidad, su cuenta será bloqueada), un remitente que se parece pero no es (el nombre dice la empresa de agua, pero la dirección completa es otra) y un enlace que pide datos que esa empresa ya tiene o nunca pediría por correo, como la clave del banco o el código que llega por SMS.

La regla que más sirve es también la más simple: ningún pago ni ninguna clave se entrega desde un enlace que llegó por correo o WhatsApp. Si la empresa de agua dice que hay deuda, se entra a su sitio escribiendo la dirección a mano o se llama al número de la boleta. Esa costumbre resuelve la mayoría de los casos y no cuesta nada.

Contraseñas y segundo factor

En una pyme la misma clave suele servir para el correo, el banco, Mercado Público y la cuenta de la empresa de agua. Si una sola cae, caen todas. Lo mínimo es una clave distinta para el correo y para el banco, y que sean largas: una frase que la persona recuerde y nadie adivine es mejor que una palabra con un número al final.

El segundo factor es el código que llega al celular o a una aplicación cuando se entra desde un aparato nuevo. Con eso activado, la clave robada sola no sirve. Conviene activarlo en el correo de la empresa, en el banco y en la cuenta de WhatsApp (la verificación en dos pasos está en los ajustes de la aplicación). Y un detalle que se olvida: ese código no se le dicta a nadie que llame diciendo ser del banco o del soporte.

El celular con el WhatsApp de la empresa

En muchas pymes el negocio entero vive en un celular: el WhatsApp con el que cotizan, las fotos de los trabajos, el acceso al correo y a la cuenta del banco. Si ese aparato se pierde o se lo roban, el problema no es el teléfono sino lo que abre. Bloqueo de pantalla con clave o huella, verificación en dos pasos en WhatsApp y una copia de los contactos fuera del teléfono son tres medidas que se hacen en una tarde.

También conviene decidir quién puede tener ese número. Si el WhatsApp del negocio lo usa más de una persona, cada una debería saber que no se mandan claves ni fotos de tarjetas por ese chat, aunque lo pida alguien que parece conocido. Si el equipo coordina visitas a casas y cámaras por ese número, como pasa en una mantención por contrato, ahí también viajan direcciones y datos de personas que hay que cuidar.

Qué hacer si alguien ya hizo clic

Lo primero es no retar a la persona: si teme contarlo, lo va a esconder y el daño crece. Después, en orden: cambiar la clave de la cuenta afectada desde otro aparato, cerrar las sesiones abiertas, avisar al banco si se entregó algún dato de pago, y revisar que el correo no tenga reglas nuevas que reenvíen mensajes a otra dirección, un truco común para seguir leyendo sin que nadie lo note.

El CSIRT de Gobierno tiene una pauta pública de qué hacer ante un incidente y cómo reportarlo. Reportar ayuda a que el mismo engaño llegue a menos personas. Conviene guardar el correo o el mensaje original en vez de borrarlo, porque sirve como evidencia.

Fuentes: CSIRT de Gobierno, ¿Qué hacer ante un incidente?

Cómo se arma una capacitación corta

No hace falta un curso de un día. Funciona mejor una sesión breve, con el equipo completo y con casos reales del rubro: el correo de la empresa de agua, el WhatsApp del supuesto cliente que manda un archivo, la llamada del falso soporte que pide el código. Se muestra cada caso, se pregunta qué haría cada uno y se acuerda una regla por caso. Al final queda una hoja de una página con las reglas pegada donde todos la vean.

Si prefieres que alguien de afuera la arme y la dicte, hay empresas que ofrecen capacitación en ciberseguridad para empresas pensada para equipos sin perfil técnico. Lo importante es repetirla cuando entra gente nueva y cada cierto tiempo, porque los engaños cambian de disfraz. En una pyme que postula a compras del Estado, como contamos en licitaciones de limpieza de fosas en Mercado Público, las claves del portal y del registro de proveedores entran en la misma lista de cosas que cuidar.