Simulación de vishing con juego de rol IA: construir un escenario

Una simulación de vishing mediante juego de rol con IA consiste en hacer hablar al empleado con un personaje atacante, interpretado por una IA, que sube la presión por niveles. Para construirla, el formador define un personaje, una secuencia de palancas, algunas informaciones trampa y una lista de criterios de debriefing. Este es el método, paso a paso.

El objetivo no es engañar a los empleados, sino hacerles decir, en voz alta, las frases que detienen un ataque. Para el marco general, consulte nuestra guía de concienciación en ciberseguridad y vishing.

¿Por qué un juego de rol y no un módulo?

Un módulo explica qué es el vishing. No coloca al empleado ante alguien que insiste. Y el vishing se juega en la relación: una voz amable, una urgencia, una autoridad que se impacienta.

El juego de rol recrea esa tensión en un marco seguro. El alumno habla, el interlocutor reacciona y el debriefing muestra lo que se ha dicho. Después puede volver a empezar.

Paso 1: elegir un caso real y una profesión

Parta de un incidente vivido, de una notificación o de un escenario que tema su equipo de seguridad. Una sola profesión y una sola petición por escenario. Por ejemplo: un asesor al que se reclama un código, un servicio de asistencia informática al que se pide restablecer una contraseña, o un contable al que se anuncia un cambio de IBAN.

Cuanto más cercano a lo cotidiano sea el caso, más reconoce el alumno la situación. Evite los escenarios espectaculares y prefiera las peticiones banales, porque son las que pasan.

Paso 2: escribir el personaje atacante

El personaje es una ficha, no un monólogo. Describe quién dice ser, qué quiere conseguir y cómo habla.

• Identidad que muestra: «Marcos, del servicio de seguridad de su banco», «Julia, de asistencia informática».
• Objetivo real: conseguir un código recibido por SMS, un acceso, una transferencia, una información sobre un tercero.
• Tono: cortés al principio, cada vez más apremiante, nunca caricaturesco.
• Conocimientos: lo que ya sabe (nombre del empleado, nombre de un proveedor) y lo que ignora.

Un personaje creíble vale más que uno agresivo. Los atacantes reales se mantienen amables mientras consiguen lo que quieren.

Paso 3: programar palancas que suben

El escenario es más útil cuando la presión aumenta por niveles, como en una llamada real. Cada nivel activa una palanca psicológica: urgencia, autoridad, culpabilidad, reciprocidad, petición reducida, aislamiento. Nuestro artículo sobre las palancas de la ingeniería social las detalla.

Ejemplo de escalada para un falso asesor bancario:

1. Generar confianza: «Buenos días, le llamo por una operación inusual en su cuenta».
2. Urgencia: «Hay que actuar en diez minutos, si no la transferencia sale».
3. Autoridad: «Soy el responsable de la célula de fraude, este es mi número de empleado».
4. Petición reducida: «Solo necesito el código que va a recibir, nada más».
5. Culpabilidad: «Si se niega, usted será responsable de la pérdida».

El personaje solo pasa al nivel siguiente si el alumno no se ha negado. Si verifica correctamente, el personaje cambia de táctica o abandona.

Paso 4: sembrar informaciones trampa

Una información trampa es un detalle que debe hacer saltar la alarma. El formador coloca tres o cuatro en el escenario, sin señalarlas.

• Un número de expediente que no existe o que no corresponde a nada.
• El nombre de pila exacto de un compañero, pero un nombre de departamento inexacto.
• Un número de devolución facilitado por quien llama, distinto del número oficial.
• Una petición de código de un solo uso presentada como «un simple trámite».

El alumno debe detectarlas y aprovecharlas: pedir el número de expediente, comparar, proponer devolver la llamada. Estos detalles sirven luego de base para el debriefing. Para la lista de preguntas que prueban algo, véase cómo verificar la identidad de quien llama.

Paso 5: definir criterios de debriefing observables

Un criterio útil se verifica en la transcripción: es verdadero o falso, sin interpretación. El debriefing se apoya en formulaciones como:

• «Pidió un número de expediente».
• «Propuso devolver la llamada al número oficial».
• «No dio ningún código».
• «No confirmó ninguna información personal antes de verificar a quien llamaba».
• «Anotó el nombre, el departamento y el número dados».
• «Notificó la llamada a la persona adecuada al final del intercambio».

Con Face Up, el formador escribe él mismo estos criterios en su escenario, con la ayuda de un asistente de diseño. Tras la sesión, el alumno recibe un debriefing: objetivos alcanzados o no, puntos fuertes, puntos que mejorar, plan de acción y citas de lo que ha dicho. Puede volver a jugar.

Paso 6: prever la puesta en común dirigida por el formador

Una llamada real no termina al colgar. Hay que informar de ella: quién llamó, qué se pidió, qué se dijo. La puesta en común es, pues, un ejercicio en sí mismo, que el formador dirige tras la sesión, en grupo pequeño o por parejas.

Cada participante cuenta su llamada como si la notificara al equipo de seguridad: nombre dado, departamento, número, peticiones, palancas detectadas, lo que dio o rechazó. El formador retoma con la plantilla de notificación de un incidente de seguridad y corrige los olvidos.

Este ejercicio es una actividad de formación, no una función de la herramienta. Convierte la experiencia vivida en hábito de notificación, que suele ser el eslabón más débil.

Los errores frecuentes que evitar

• Un personaje demasiado agresivo. El alumno se defiende en lugar de verificar, y el escenario deja de parecerse a una llamada real.
• Demasiadas trampas. Más allá de cuatro informaciones trampa, el debriefing se vuelve ilegible.
• Criterios vagos. «Fue prudente» no se verifica. «Propuso devolver la llamada» sí.
• Un ejercicio único. Un reflejo se fija con la repetición. Prevea varios escenarios espaciados a lo largo del año.
• Una sanción implícita. Aclare que el ejercicio no puntúa en la evaluación individual de carrera.

Ejemplo: un fragmento de buena respuesta ante un falso servicio de seguridad

Imaginemos una llamada a un asesor. El personaje se presenta como «Marcos, de la célula de fraude» y reclama un código recibido por SMS para «anular una transferencia fraudulenta». Esto es lo que puede decir un alumno que supera los niveles:

«Nunca comunico un código por teléfono, sea cual sea el motivo. Deme su nombre, su departamento y el número de expediente. Cuelgo y le llamo al número oficial del servicio».

Esta respuesta no se justifica, no acusa y no deja asidero a la palanca siguiente. Contiene tres criterios observables: petición del número de expediente, propuesta de devolver la llamada, ningún código dado. Es exactamente lo que el debriefing debe poder citar.

Si el alumno cede en el nivel de culpabilidad, el debriefing puede citar su frase y proponer una alternativa. La distancia entre lo que dijo y lo que habría podido decir es el corazón del aprendizaje. Para mantener una negativa cuando quien llama insiste, véanse las frases para decir no bajo presión por teléfono.

Una plantilla para revisar su escenario antes de proponerlo

Antes de lanzar el ejercicio, pase su escenario por estas preguntas. Cada una debe recibir un «sí».

1. ¿Persigue el personaje un único objetivo, claro, que se pueda describir en una frase?
2. ¿Suben las palancas por niveles, con una salida en cada nivel si el alumno verifica?
3. ¿Hay tres o cuatro informaciones trampa, sin señalarlas?
4. ¿Se verifica cada criterio de debriefing en la transcripción, sin interpretación?
5. ¿Corresponde la situación a una llamada que esa profesión recibe realmente?
6. ¿Está prevista la puesta en común dirigida por el formador, con la plantilla de notificación?

Haga probar el escenario a un compañero antes de proponerlo al equipo. Una prueba en blanco revela enseguida una trampa demasiado evidente o un criterio ambiguo. Ajuste, despliegue y revise el escenario cuando aparezca un nuevo modus operandi en las notificaciones.

Preguntas frecuentes

¿Hay que avisar a los empleados de que hablarán con una IA?

Sí. El ejercicio se anuncia, se encuadra y se comenta en un debriefing. No es una llamada sorpresa a su teléfono, sino una puesta en situación en la que saben que se están entrenando.

¿Cuánto dura un escenario?

Bastan unos minutos para una llamada completa, seguida del debriefing y de un posible segundo intento. Es mejor tener escenarios cortos y frecuentes que una larga sesión anual.

¿Cómo medir los progresos?

Compare los criterios alcanzados de una sesión a otra, por ejemplo la proporción de empleados que proponen devolver la llamada. Nuestro artículo sobre la medición de la eficacia de una concienciación propone indicadores.

¿Qué relación hay con las campañas de phishing?

Las dos se complementan: la campaña mide el clic, el juego de rol entrena la conversación. Véanse los límites de la simulación de phishing frente a la voz.

Para construir su primer escenario de vishing con sus propios casos, reserve una demostración de Face Up.