Un correo de la gerencia pide una transferencia urgente a una cuenta nueva. Un audio con la voz de un socio explica que está de viaje y necesita un cambio de cuenta «ya». Un cliente escribe con prisa pidiendo que se modifique su correo de contacto. Con IA, tanto el texto como la voz pueden imitar a alguien conocido con una calidad que hace unos años exigía mucho trabajo. La defensa más eficaz no es «fijarse mejor»: es tener un procedimiento sencillo y haberlo practicado.
Practicarlo tiene su dificultad. Si un ejercicio deja en evidencia a quien cae, la plantilla aprende a esconder los errores en lugar de a comunicarlos, y eso es lo contrario de lo que se busca. Este artículo propone cómo montar un simulacro interno en seis pasos, con mensajes y audios de prueba para administración, dirección y atención al cliente, y cómo comentar los resultados sin señalar a nadie. Es una guía de organización, no un servicio de ciberseguridad: si tu empresa maneja pagos importantes, apóyate en quien lleve tu seguridad informática.
Qué quieres que aprenda el equipo
Un solo objetivo: ante una petición inusual o urgente, verificar por un segundo canal antes de actuar. No se trata de enseñar a detectar un audio falso por el oído, porque un audio bien hecho puede resultar indistinguible de uno real. Lo que sí se puede entrenar es el procedimiento:
- Segundo canal conocido. Llamar al teléfono que ya tienes guardado, nunca al número que aparece en el mensaje.
- Doble aprobación para pagos y para cambios de cuenta bancaria.
- Derecho a parar. Nadie será reprendido por verificar, aunque quien pedía fuese el propio gerente.
Si el simulacro mide algo, que sea eso: cuánta gente para y comprueba, no cuánta gente «cae».
Paso 1: acuerda el marco con la dirección y avisa a la plantilla
Antes de enviar nada:
- La dirección aprueba y sostiene una regla: nadie tendrá consecuencias disciplinarias por lo que ocurra en el simulacro, ni se usará su resultado en una valoración del desempeño. Es la regla que hace posible todo lo demás, y conviene dejarla por escrito.
- Se informa a la plantilla de que se harán simulacros periódicos, sin decir cuándo, y de para qué sirven. Si hay representación de los trabajadores, coméntalo con ella. Consulta antes con tu asesor laboral y con quien se ocupe de protección de datos.
- Límites claros. No se suplanta a ninguna persona real de la plantilla sin su permiso por escrito. No se usan datos reales de clientes, cuentas reales ni importes reales, y no se mueve dinero de verdad. Nada de mensajes que toquen la vida personal: salud, despidos, familia.
- Una persona responsable del ejercicio y un canal para quien dude. Si alguien pregunta «¿esto es real?», debe recibir respuesta rápida.
Paso 2: elige tres o cuatro escenarios por puesto
Parte de lo que pasa de verdad en tu empresa. Esta tabla da ideas, todas ficticias:
| Puesto | Mensaje de prueba | Respuesta esperada |
|---|---|---|
| Administración | Correo «de la gerencia» que pide un pago urgente a una cuenta nueva | Llamar al número habitual de la gerencia y pedir la doble aprobación |
| Administración | Aviso de un «proveedor» con un cambio de cuenta bancaria en una factura | Comprobarlo con el contacto guardado, no con el del mensaje |
| Dirección | Audio con una voz sintética inventada que pide una gestión urgente y confidencial a nombre de un socio | Devolver la llamada al socio por su teléfono conocido |
| Atención al cliente | Un «cliente» con prisa pide cambiar el correo o el teléfono de su cuenta | Aplicar el procedimiento de verificación de identidad habitual |
| Ventas o recepción | Mensaje de un «técnico» que pide el código recibido por SMS | No facilitar códigos y avisar a la persona responsable |
Para cada escenario define de antemano cuál es la respuesta correcta. Si hay varias, escríbelas todas.
Paso 3: prepara el material, con el reparto claro entre IA y personas
La IA puede ayudar a:
- Redactar varias versiones de un mismo mensaje, con el tono habitual del sector, con y sin faltas de ortografía.
- Generar audios de prueba con una voz sintética inventada.
- Proponer escenarios adaptados a tu actividad.
Las personas deciden:
- Qué escenarios se usan y con qué dificultad. No hace falta engañar al máximo: el objetivo es practicar, no ganar.
- Que el material no contiene datos reales, nombres de clientes ni personas identificables.
- Que se tiene permiso por escrito si, excepcionalmente, se imita la voz o el estilo de alguien real. Lo más sencillo es usar voces inventadas y roles («la gerencia») en vez de nombres.
- Cuál es la respuesta correcta y qué se considera un acierto.
Todo el material lo revisa una persona antes de enviarse. Las herramientas redactan; no deciden qué es aceptable.
Paso 4: ejecútalo con calma
- Repártelo en una semana normal, con uno o dos escenarios por persona, en su horario habitual.
- Define qué cuenta como respuesta correcta: llamar por el segundo canal, consultar al responsable, reenviar el mensaje al canal de dudas. Cualquiera de las tres es un acierto.
- Si alguien verifica, el responsable contesta enseguida y le da las gracias: «era un simulacro, has hecho justo lo que tocaba».
- Si alguien está a punto de actuar como si fuera real (daría el código, haría el pago), el ejercicio se detiene antes de cualquier consecuencia. Se le avisa en privado, con amabilidad, y se le explica qué señal podía haberle hecho parar.
- Se registra el resultado por escenario y equipo, no por persona. Para saber qué falla, no hace falta saber quién.
Paso 5: comenta los resultados sin señalar a nadie
Aquí se gana o se pierde el ejercicio. Algunas pautas:
- Resultados agregados. Se habla de lo ocurrido por equipo o por escenario («la mayoría verificó el cambio de cuenta; en el audio hubo más dudas»), nunca con nombres ni con capturas donde aparezcan.
- La dirección cuenta primero. Quien lidera explica un caso en el que él mismo, o ella misma, habría caído. Es la forma más rápida de quitar vergüenza.
- Veinte minutos, no más. Se enseña el mensaje, se pregunta «¿qué lo delataba?» y luego «¿y si no hubiera nada que lo delatara?». La segunda pregunta es la que justifica el procedimiento.
- Se reconoce a quien verificó, y se hace delante de todos.
- Si algo falla mucho, es un fallo del sistema, no de las personas. Quizá nadie sabe a qué número llamar o falta un contacto de verificación. Eso es lo que hay que arreglar: una lista de contactos, un límite de importe sin doble aprobación, un canal claro para dudas.
Paso 6: repítelo, cambiando algo cada vez
Un simulacro aislado se olvida. Repítelo con una periodicidad que puedas mantener, cambia los escenarios para que no se aprendan de memoria, adapta los mensajes a lo que haya ocurrido en tu sector e incluye el procedimiento en la acogida de las personas nuevas. Si la plantilla cambia a menudo, ayuda dejarlo por escrito en una ficha corta, como se explica en la biblioteca de instrucciones del equipo.
Lo que ni la IA ni el simulacro resuelven
- No aseguran que nadie caiga nunca, ni que no haya intentos reales. Reducen el riesgo, no lo eliminan.
- Las falsificaciones mejoran. Por eso la defensa descansa en el procedimiento y no en un «oído fino» ni en una única herramienta que pretenda detectar lo falso.
- No sustituyen las medidas técnicas: verificación en dos pasos, límites en los pagos, filtros de correo. Consúltalas con quien lleve tu seguridad.
- No evalúan a personas. Un simulacro es una herramienta de aprendizaje; usarlo para puntuar o sancionar destruye la confianza que lo hace útil.
- No son asesoramiento jurídico. Si dudas sobre protección de datos o sobre la información a la plantilla, consulta a un profesional.
Lista de comprobación antes de lanzarlo
- La dirección ha aprobado el simulacro y se ha comprometido por escrito a no sancionar.
- La plantilla sabe que habrá simulacros periódicos, aunque no cuándo.
- No se usan datos, cuentas ni importes reales, ni la voz de nadie sin permiso.
- Hay una persona responsable y un canal para dudas.
- Cada escenario tiene definida su respuesta correcta.
- Los resultados se comentan por equipo, no por persona.
Si te interesa saber por qué el equipo usa herramientas sin decirlo, lee IA en la sombra: por qué tus empleados la usan sin decírtelo. Para el reparto de responsabilidades cuando alguien se equivoca, quién responde si un empleado se equivoca usando IA en su trabajo. Y como complemento para revisar lo que sale de la empresa, tienes el checklist para revisar un texto hecho con IA antes de enviarlo.
Conclusión
Un simulacro de fraude con IA funciona cuando entrena un solo hábito, verificar por un segundo canal, y cuando nadie sale señalado. Para eso hacen falta tres cosas: una regla clara de que no habrá sanciones, escenarios realistas con material inventado y una conversación posterior sobre lo ocurrido en conjunto, no persona por persona.
En MG Solutions formamos a equipos de empresa en IA, por puesto y con casos reales de tu negocio, y también implantamos agentes de IA a medida.
Puedes ver más en nuestra formación en IA para empresas.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.