Concienciación en ciberseguridad: administraciones y hospitales

La concienciación en ciberseguridad de las administraciones locales y de los hospitales debe dirigirse a las personas que descuelgan el teléfono, no solo a los informáticos. Centralita, recepción, contabilidad, secretaría médica y servicios técnicos reciben cada día llamadas de desconocidos. Los estafadores lo saben: buscan la puerta menos vigilada, y suele ser un puesto de recepción.

Este artículo presenta los tres escenarios de llamada más frecuentes en el sector público y en la sanidad. Propone un método para repetir y una manera de organizar el entrenamiento. Amplía nuestra guía sobre la concienciación en ciberseguridad y el vishing.

Por qué las administraciones y los hospitales están expuestos por teléfono

Estas organizaciones tienen rasgos comunes. Reciben muchas llamadas del exterior, tienen servicios dispersos y sus profesionales tienen como misión ayudar. Un empleado que se niega a hacer un favor se siente enseguida en falta, y eso juega a favor de quien llama.

Las cifras nacionales muestran la dirección. Según el informe de actividad de 2025 de Cybermalveillance.gouv.fr, el organismo público francés de asistencia frente a la ciberdelincuencia, publicado el 26 de marzo de 2026, los fraudes por transferencia aumentaron un 170 %. Afectan ya a la facturación electrónica y a la gestión de nóminas. La suplantación de números de teléfono creció un 517 %.

Estas cifras conciernen a todos los públicos. Recuerdan sobre todo que el número que aparece en pantalla no prueba nada. Una petición de cambio de datos bancarios merece una verificación, sea cual sea el servicio.

Escenario 1: el falso proveedor que cambia de IBAN

Imaginemos una llamada a la contabilidad de un ayuntamiento. El interlocutor dice representar a la empresa que mantiene los edificios municipales. Pide: «Hemos cambiado de banco, ¿pueden actualizar nuestro IBAN antes del próximo pago?». Unos minutos después llega un correo de confirmación, con un logotipo correcto.

La trampa se apoya en la rutina. El proveedor existe, la factura es real y solo cambia el destino del pago. La defensa es una regla sencilla. Todo cambio de datos bancarios se confirma con una llamada al número ya conocido del proveedor, hecha por una persona distinta de la que recibió la petición.

Este escenario se parece al descrito en el fraude del CEO y del falso proveedor, con una particularidad: en el sector público, las licitaciones y los plazos de pago añaden una presión legítima.

Escenario 2: el falso técnico que quiere un acceso

En un hospital, alguien se presenta como el proveedor del software de historia clínica. Dice haber detectado un incidente. Pide a un empleado que lea un código, que instale una herramienta de control remoto o que dé una contraseña.

La presión viene de lo que está en juego: «Si no intervenimos ahora, el servicio pierde el acceso a las historias». El empleado quiere proteger la atención a los pacientes, y ese deseo es exactamente lo que explota quien llama.

La respuesta cabe en una frase: «No doy ningún acceso por teléfono. Transmito su solicitud a la dirección de sistemas de información, que le llamará». El tema es cercano al de las solicitudes de restablecimiento de contraseña en el servicio de asistencia.

Escenario 3: la llamada a la centralita o a recepción

La centralita es una puerta de entrada discreta. Un estafador puede buscar allí nombres, organigramas, extensiones o la fecha de ausencia de un responsable. Esa información sirve después para preparar una llamada más creíble a otro servicio.

Una llamada aparentemente inocua puede ser una etapa. «¿Me pasa con la directora financiera? ¿Está de vacaciones? ¿Hasta cuándo?». Cada respuesta es educada, y cada una da un elemento más a quien llama.

La persona de la centralita no tiene por qué sospechar de todo el mundo. Necesita una regla clara sobre lo que puede decir. Necesita también frases para decirlo sin ofender: «No comunico las presencias por teléfono, pero puedo transmitir un mensaje».

Un método sencillo para todos los empleados

En un hospital o en un ayuntamiento, los empleados no tienen el mismo oficio, pero el mismo método puede servir a todos. Debe caber en unos pocos gestos memorizables.

1. Escuchar sin prometer. Dejar que el interlocutor termine y decir: «Tomo nota de su petición».
2. Identificar la palanca. Urgencia, autoridad, culpabilidad, petición presentada como mínima. Nombrar la palanca ayuda a resistirla, como explica el artículo sobre las palancas de la ingeniería social.
3. Devolver la llamada por un canal conocido. Vea el procedimiento de devolución de llamada independiente.
4. Comunicar. Avisar al referente de seguridad, aunque la llamada parezca no tener continuación.

Para el último punto, el artículo sobre cómo comunicar un incidente de seguridad propone una ficha de notas que rellenar durante la llamada.

Las frases que hay que tener en la cabeza

• «Entiendo que sea urgente. Debo seguir el procedimiento, le devuelvo la llamada».
• «No puedo modificar datos bancarios con una simple llamada».
• «No estoy autorizado a dar esa información por teléfono».
• «Deme su nombre y su número, lo paso al servicio competente».
• «Prefiero verificarlo, y si es verdad, a usted no le supondrá ningún problema».

Una buena frase de negativa no se justifica largamente. Cuanto más explica el empleado, más puntos de apoyo tiene quien llama para negociar. Esta idea se desarrolla en el artículo sobre cómo decir no por teléfono bajo presión.

Por qué importa la práctica oral en estos oficios

Los empleados públicos y el personal sanitario ya tienen muchos módulos que hacer. Un módulo más, al que se hace clic entre dos tareas, deja pocas huellas. Lo que queda es el gesto que ya se ha hecho.

Un empleado que se ha entrenado para decir «no puedo, le devuelvo la llamada» ante una voz insistente lo dice con más naturalidad el día D. Ha vivido la incomodidad, el silencio que se instala, la tentación de ceder. No cambia el conocimiento, cambia la facilidad para actuar.

La puesta en situación tiene además una ventaja para los equipos sanitarios: respeta el tiempo de cada uno. Una sesión corta, de viva voz, en el puesto de trabajo, vale más que una formación pesada y difícil de planificar. Hay más ejemplos sobre las conversaciones difíciles en el entorno sanitario.

Organizar el entrenamiento con juegos de rol

Face Up permite a los formadores crear sus propios juegos de rol a partir de los casos reales de su centro. El formador describe al personaje: un falso proveedor que insiste, un falso técnico que se enfada. El empleado le responde de viva voz. Después recibe un debriefing con sus puntos fuertes, sus puntos que mejorar y citas de lo que dijo.

El contenido sigue siendo el del terreno: un IBAN que cambiar, un acceso remoto solicitado, una llamada a la centralita. El formador elige el nivel de presión y el objetivo esperado. El empleado puede repetir tantas veces como haga falta. Para el marco general, vea los juegos de rol de Face Up.

Errores frecuentes

Las formaciones de este tipo rara vez fracasan por falta de buena voluntad. Fracasan porque las reglas siguen siendo abstractas. Estos son los errores que más se encuentran.

• Reservar la concienciación a los informáticos y a los mandos.
• Olvidar la recepción, la centralita y la secretaría, que son puertas de entrada.
• Dar reglas sin frases para aplicarlas.
• No decir con claridad a quién ni cómo comunicar un incidente.
• Tratar una llamada fallida como una falta y no como información.

La regularidad importa tanto como el contenido. Una sesión corta y repetida, en grupos pequeños, se organiza con más facilidad que una formación larga. Permite también al referente de seguridad recoger las llamadas reales y convertirlas en nuevos escenarios.

Este circuito entre el terreno y la formación es el más útil. Cada intento de llamada comunicado se convierte en un caso que repetir, con las palabras exactas de quien llamó, y el equipo progresa en lo que realmente se encuentra.

Preguntas frecuentes

¿A quién formar primero en una administración local?

A los empleados que tocan dinero, accesos o información: contabilidad, nóminas, centralita, recepción y soporte informático. Basta una sola persona mal preparada para abrir la puerta.

¿Hay que formar al personal sanitario en vishing?

Sí, al menos a quienes contestan al teléfono y tienen acceso a los sistemas. La formación debe ser corta y estar ligada a sus situaciones, no a un vocabulario técnico.

¿Cómo abordar la cuestión de la deontología?

La vigilancia ante las llamadas forma parte de la probidad del servicio. El vínculo se trata en nuestro artículo sobre la formación en deontología en la función pública.

Para construir un escenario de llamada adaptado a su ayuntamiento o a su hospital, solicite una demostración.