Concienciación en ciberseguridad bancaria: formar frente al vishing

La concienciación en ciberseguridad en la banca debe entrenar a los empleados a mantener una conversación telefónica bajo presión, y no solo a conocer las normas. Asesores, back office y tesorería reciben cada día llamadas de desconocidos que dicen ser un cliente, un compañero o un proveedor. Saber que hay que verificar no basta. Hay que haber dicho ya «le devuelvo la llamada» en voz alta, ante alguien que insiste.

Este artículo describe las tres situaciones en que el vishing alcanza a un banco. Propone un método en cuatro tiempos, frases para repetir y el marco DORA. Completa nuestra guía sobre la concienciación en ciberseguridad y el entrenamiento frente al vishing.

Por qué el banco es un objetivo telefónico

Un banco reúne tres cosas que busca un estafador: fondos, datos personales y empleados acostumbrados a atender peticiones. El teléfono sigue siendo un canal normal de la profesión. Una llamada entrante no tiene, pues, nada de sospechoso en sí misma.

El contexto general es tenso. Según el informe de actividad 2025 de Cybermalveillance.gouv.fr, el organismo público francés de asistencia a víctimas de ciberdelitos, publicado el 26 de marzo de 2026, se asistió a más de 500 000 víctimas, un 20 % más que en 2024. El informe señala también un aumento del 159 % del fraude del falso asesor bancario y del 170 % de los fraudes por transferencia.

El mismo comunicado cita un aumento del 517 % de la suplantación de números de teléfono. Esto significa que un número que aparece como interno o conocido ya no prueba nada.

Las tres situaciones de vishing en la banca

1. El falso asesor que llama al cliente

En este caso, lo que se roba es la identidad del banco. El estafador llama a un cliente haciéndose pasar por su asesor o por el servicio de fraude, y le pide validar una operación. Detallamos el desarrollo en el artículo sobre el modus operandi del falso asesor bancario.

Para el banco, el reto es doble: informar a los clientes y preparar a los asesores para atender a clientes desconfiados o ya víctimas. Un cliente que vuelve a llamar, aterrado, espera una respuesta clara y rápida.

2. El falso cliente que llama al asesor

Aquí el estafador interpreta al cliente. Conoce algunas informaciones públicas o robadas y pide un cambio de datos de contacto, un nuevo medio de pago o una transferencia urgente. Su objetivo es que se eluda la verificación de identidad.

Imaginemos una llamada en la que el interlocutor dice: «Estoy de viaje, ya no tengo mi teléfono, ¿puede enviarme el código a otro número?». La petición es plausible, el tono es educado y la presión es suave. Eso es precisamente lo que la hace eficaz.

3. El falso compañero o falso proveedor que llama al back office

El estafador se presenta como un responsable, un prestatario o el soporte informático. Apunta a los equipos de pagos y tesorería, o busca obtener un acceso. La lógica se asemeja a la del fraude del CEO por teléfono.

La urgencia es la palanca habitual: «La transferencia debe salir antes de las 16 h, si no perdemos el contrato». Contra esa frase, el procedimiento de doble validación es la mejor defensa, siempre que nadie se atreva a eludirlo.

Un método en cuatro tiempos para toda llamada sensible

Un método útil cabe en pocos pasos, o no se recuerda bajo estrés. Esta es una secuencia que el formador puede adaptar a cada profesión.

1. Frenar. Reconocer la presión sin seguirla: «Entiendo la urgencia, lo haré cumpliendo las normas».
2. Verificar. Pedir los elementos del procedimiento interno, sin improvisar preguntas cuya respuesta es pública.
3. Devolver la llamada por un canal independiente. Usar el número del directorio interno o el del expediente del cliente, nunca el que da quien llama.
4. Anotar y notificar. Escribir lo que se pidió y se dijo, y avisar a seguridad, aunque no se haya dado nada.

La contrallamada se detalla en el procedimiento de devolución de llamada por un canal independiente. La verificación de identidad se trata en las preguntas que hacer para verificar a quien llama.

Las frases exactas que hay que saber de memoria

Bajo presión, nadie compone una respuesta elegante. Se retoma una frase ya dicha. El formador puede hacer con ellas una lista corta, para repetir en voz alta.

• «Por su seguridad y por la mía, le llamo al número que figura en el expediente».
• «No puedo validar esta operación por teléfono, le invito a hacerlo a través de la aplicación».
• «El procedimiento no me lo permite, ni siquiera a usted. No puedo hacer excepciones».
• «Anoto su petición y la traslado al departamento correspondiente».
• «Nunca comunico un código recibido por SMS, sea quien sea quien lo pida».

Estas frases tienen algo en común: no acusan a quien llama. Un cliente de verdad casi nunca se ofende por una verificación presentada como una norma de la casa. Un estafador insiste o cuelga. Esa reacción es en sí una información.

Por qué un e-learning no basta en estas situaciones

Un módulo en línea explica qué es el vishing y recuerda las consignas. Es útil para saber. Pero la situación real incluye una voz, un ritmo, una insistencia, a veces enfado o amabilidad. Nada de eso aparece en un cuestionario.

El reflejo nace de la repetición de un gesto en condiciones próximas a la realidad. Un asesor que ya se ha negado diez veces en voz alta dice que no con más facilidad el día en que la llamada es real. Desarrollamos este mecanismo en el artículo sobre los límites del e-learning en ciberseguridad.

Para los asesores, la dificultad se suma a la de la relación con el cliente. Hay que negarse sin ofender. El tema enlaza con la formación de asesores bancarios en atención al cliente.

El marco DORA: una obligación de formación para todo el personal

Para las entidades financieras, el Reglamento (UE) 2022/2554, conocido como DORA, es aplicable desde el 17 de enero de 2025. Su artículo 13, apartado 6, prevé programas de concienciación sobre la seguridad de las TIC. Prevé también formaciones sobre resiliencia operativa digital, para todo el personal y la dirección. La ACPR, el supervisor francés de banca y seguros, cita este artículo en el anexo TIC del informe sobre control interno.

El texto exige programas de concienciación y de formación. No dice en qué formato. Un banco puede, por tanto, completar un módulo en línea con puestas en situación orales. Dejan constancia de lo que cada uno ha sabido hacer. Detallamos la obligación en el artículo sobre DORA y la formación en seguridad de las TIC, y el panorama de las demás obligaciones en la página sobre las formaciones obligatorias de cumplimiento.

Entrenar mediante el juego de rol, escenario a escenario

Face Up permite a los formadores crear sus propios juegos de rol a partir de sus casos reales. El alumno habla en voz alta con un personaje interpretado por una IA. Puede ser un falso cliente con prisa, un falso responsable o un cliente que se molesta por una pregunta de vigilancia. Tras la sesión, recibe un debriefing con sus puntos fuertes, sus puntos que mejorar y citas de lo que ha dicho.

El formador del banco conserva el control. Escribe el escenario con las trampas reales de su entidad. Elige las palancas (urgencia, autoridad, culpabilidad) y fija lo esperado: verificar, devolver la llamada, negarse, notificar. El alumno puede volver a jugar hasta que el gesto resulte natural. Más ejemplos en la página de juegos de rol.

Errores frecuentes en las formaciones bancarias sobre vishing

Algunos errores se repiten casi siempre cuando un banco organiza esta concienciación. Detectarlos de antemano evita empezar de cero en la segunda campaña.

• Tratar solo al cliente víctima y olvidar al asesor objetivo.
• Exigir verificar sin dar una frase para hacerlo con educación.
• Fiarse del número que aparece en pantalla.
• Considerar que una llamada fallida no necesita notificarse.
• Medir solo la tasa de finalización del módulo.

Un último punto se refiere a la periodicidad. Un entrenamiento puntual se desvanece pronto, mientras que una práctica corta y regular fija el gesto. Más vale un cuarto de hora por trimestre que media jornada al año, sobre todo para los equipos que reciben llamadas todos los días.

Preguntas frecuentes

¿Qué equipos bancarios formar en primer lugar?

Los que pueden desencadenar un movimiento de dinero o dar un acceso: asesores, back office, tesorería, soporte informático y atención telefónica. Empiece por los puestos en los que una sola persona puede validar.

¿Hay que formar también a los clientes?

Informar a los clientes es útil, pero no es el mismo ejercicio. Los asesores deben sobre todo saber responder a un cliente alertado o ya engañado, con palabras sencillas y un gesto claro.

¿Cómo saber si la formación funciona?

Mire comportamientos: llamadas devueltas, notificaciones, dobles validaciones respetadas. Nuestro artículo sobre la medición de la eficacia de una concienciación propone indicadores concretos.

¿Sustituye un ejercicio oral a la obligación de DORA?

Puede formar parte de ella. DORA exige programas de concienciación y de formación, y corresponde a la entidad elegir sus formatos y conservar la prueba.

Para ver cómo un formador construye un escenario de vishing adaptado a su banco, reserve una demostración.