Phishing en español: la amenaza que las PYMES subestiman
Los filtros entrenados en inglés dejan pasar correos creíbles en español. Por qué el BEC local funciona y cómo entrenar a su equipo sin slides aburridos.
Bruce Schneier lleva años repitiendo que el eslabón más débil es humano, no el firewall. En Puerto Rico y el resto de LatAm eso se amplifica: muchas organizaciones compraron suites de email security calibradas para inglés corporativo, mientras los atacantes redactan correos impecables en español con tono formal caribeño o mexicano según el blanco.
El BEC en español no parece spam
El BEC en español no parece spam. Parece el contador, el banco Popular o FirstBank, o un proveedor de materiales en Caguas pidiendo actualizar datos de ACH. Incluye referencias locales, fechas fiscales relevantes, y a veces respuestas dentro de hilos reales comprometidos previamente. The Hacker News reporta campañas regionales cada mes; el equipo de contabilidad de una distribuidora mediana no lee THN — lee el inbox.
Tres señales que enseñamos en talleres de cwAWARE: urgencia
Tres señales que enseñamos en talleres de cwAWARE: urgencia artificial ("cierre hoy antes de las 3pm"), cambio de instrucciones de pago en el mismo hilo, y remitentes con dominios que difieren por un carácter (popular-banca.com vs el dominio real). Nada revolucionario, pero debe practicarse en simulaciones trimestrales, no en un PDF anual.
Técnicamente, combine DMARC con política de rechazo, marque externos en Outlook o Google Workspace, y bloquee macros en documentos de Office por defecto. OWASP no es solo para desarrolladores: su cheat sheet de social engineering es lectura útil para líderes no técnicos.
La cultura importa tanto como la herramienta. En empresas familiares de PR es común que el dueño apruebe transferencias por WhatsApp. Ese canal necesita reglas explícitas: ningún cambio de cuenta bancaria sin verificación telefónica a un número conocido, no al del correo.
Phishing en español no es un problema de "países en desarrollo". Es un problema de madurez de procesos. La buena noticia: awareness bien hecho reduce clics peligrosos más rápido que cualquier appliance nuevo.
Operaciones y ejecución — conecta estrategia con lo que el equipo entrega cada semana.
