Sección 10: Protege a tu organización sin ánimo de lucro frente a estafas y fraudes
En esta sección, aprenderás a:
Cómo proteger a tu organización sin ánimo de lucro frente a estafas y fraudes
Ya has aprendido cómo proteger cuentas, dispositivos e información, cómo colaborar con los proveedores y cómo prepararte ante posibles incidentes. En esta sección se reúnen todas esas medidas de seguridad para abordar otra vía de acceso a tu organización: convencer a alguien de que realice una acción que parezca razonable.
Los ciberdelincuentes pueden utilizar diversos métodos para acceder a la información, las cuentas y los fondos de tu organización sin ánimo de lucro.
|
Método
|
Cómo podría ser
|
Medidas de protección que ayudan |
|---|---|---|
|
Aprovechar una vulnerabilidad técnica |
Aprovecha las vulnerabilidades del software obsoleto o de una configuración insegura. |
Actualizaciones, software compatible, configuraciones de seguridad y controles de acceso |
|
Utilizar credenciales robadas |
Inicia sesión con una contraseña que se haya filtrado a través de otro servicio o que haya sido capturada en una página de inicio de sesión falsa. |
Contraseñas únicas, gestores de contraseñas, autenticación multifactorial (MFA) y procedimientos de recuperación protegidos |
|
Manipular a alguien para que actúe |
Convencer a alguien para que envíe información, autorice el acceso, instale software o modifique los datos de pago. |
Procedimientos de verificación, autorizaciones claras, prácticas y notificación inmediata |
Estos métodos pueden combinarse. Un mensaje engañoso podría permitir obtener una contraseña, que luego se utilizaría para acceder al correo electrónico. El atacante podría utilizar esa cuenta para enviar una solicitud de pago verosímil a otra persona.
Donde se solapan las estafas y la piratería informática
Las estafas y los fraudes recurren al engaño para obtener dinero, información, acceso u otro beneficio. La gente suele usar piratería para referirse al acceso no autorizado a cuentas, dispositivos o sistemas.
Una estafa puede servir para acceder a una cuenta o a un dispositivo. Por ejemplo, alguien que se haga pasar por el servicio de asistencia técnica podría convencer a un voluntario para que instale un programa de acceso remoto. Otras estafas pueden causar daños sin necesidad de hacerse con el control de una cuenta, como por ejemplo convencer a un miembro del personal para que envíe información de un cliente o redirija un pago.
Ambas se enmarcan en el ámbito de la ciberseguridad, ya que pueden filtrar información, comprometer el acceso y perturbar el funcionamiento de tu organización.
Por qué es importante la verificación
Esta sección se centra en solicitudes que persuaden a las personas para que realicen acciones que afecten a la información, las cuentas o los fondos. Los profesionales de la seguridad denominan a esta manipulación ingeniería social. Puede hacerse por correo electrónico, mensajes de texto, llamadas telefónicas, redes sociales y videoconferencias.
El Informe sobre investigaciones de fugas de datos de 2026 de Verizon reveló que El 62% de las infracciones que examinó se debieron a un factor humano, entre ellas la ingeniería social, el robo de credenciales y los errores. Esto pone de manifiesto por qué es necesario complementar las medidas de seguridad técnicas con procesos claros y apoyo a las personas.
Una solicitud puede parecer algo habitual: abrir un documento, actualizar los datos de pago, facilitar un informe o ayudar a resolver un problema con una cuenta. La persona que realiza la solicitud puede hacerse pasar por un compañero de trabajo, un donante, un cliente, un proveedor, un financiador o un representante de atención al cliente.
No es necesario que una solicitud parezca sospechosa para que haya que verificarla. Basa tus comprobaciones en lo que se te pide que hagas.
Que algo resulte familiar no significa que esté verificado
Un mensaje puede tener una gramática correcta, una imagen de marca reconocible y datos precisos sobre el proyecto. Puede llegar en el marco de una conversación ya existente o desde la cuenta auténtica de alguien después de que dicha cuenta haya sido pirateada.
El identificador de llamadas y los datos del remitente también pueden ser manipulados. Un nombre conocido o un número de teléfono que aparezca en pantalla no garantizan quién se está poniendo en contacto contigo.
Las señales de alerta pueden ayudarte a tomarte un respiro, pero su ausencia no garantiza que una solicitud sea legítima. La protección no debe depender de que detectes errores ortográficos, un acento desconocido o una historia que resulte claramente extraña.
Es posible que oigas el término phishing para detectar mensajes engañosos que intentan obtener información o persuadir a alguien para que actúe, a menudo mediante enlaces o archivos adjuntos.
Phishing dirigido, también conocido como spear phishing, está adaptado a una persona u organización concreta.
Cómo la IA está cambiando las estafas
La inteligencia artificial ofrece a los estafadores nuevas formas de hacer que sus solicitudes resulten convincentes y de generarlas a gran escala.
Mensajes pulidos y personalizados
Las solicitudes pueden redactarse con un lenguaje profesional, hacer referencia a tus programas y resultar convincentes en diferentes idiomas.
Clonación o alteración de la voz
La persona que llama o el mensaje de voz pueden dar la impresión de ser un director ejecutivo, un compañero de trabajo o un socio.
Imágenes y vídeos «deepfake»
El contenido creado o modificado puede dar la impresión de que alguien ha dicho o hecho algo que en realidad no ha dicho ni hecho.
Suplantación de identidad durante las llamadas en directo
Puede parecer que una conversación de voz o por vídeo la mantiene una persona conocida, cuando en realidad está controlada por un estafador.
El Centro Canadiense de Ciberseguridad describe la ingeniería social asistida por IA, que incluye mensajes personalizados y suplantación de identidad mediante voz o «deepfakes».
No es necesario que compruebes si se ha utilizado IA antes de proteger tu organización. Una voz o un rostro reconocibles no constituyen autorización suficiente para facilitar información, modificar los derechos de acceso o enviar dinero.
Los fallos visuales o un lenguaje inusual no son criterios fiables para detectar la IA. Confirma la solicitud a través de un canal de contacto establecido de forma independiente y sigue las normas de autorización de tu organización.
Acordar qué acciones requieren comprobaciones
Utiliza las responsabilidades y las políticas de la sección 2 para establecer un proceso de verificación coherente para las acciones con consecuencias importantes.
|
Acción solicitada
|
Qué hay que comprobar antes de continuar
|
|---|---|
|
Enviar dinero, realizar un reembolso o comprar algo |
Destinatario, finalidad, importe y autorizaciones necesarias |
|
Modificar los datos bancarios, de nómina o de pago |
El cambio de un contacto autorizado utilizando datos de contacto establecidos de forma independiente |
|
Enviar información confidencial o modificar los permisos de uso compartido |
La identidad del solicitante, su autoridad, la necesidad de la información y el método de entrega autorizado |
|
Inicia sesión a través del enlace de un mensaje |
Abre el servicio a través de su aplicación oficial o de un enlace de confianza y comprueba allí si hay alguna solicitud. |
|
Aceptar la autenticación de dos factores (MFA) o introducir un código de acceso |
Acepta únicamente los inicios de sesión que hayas iniciado tú mismo; no facilites los códigos a nadie que se ponga en contacto contigo. |
|
Conceder acceso o modificar los datos de recuperación |
La autorización de la persona y la aprobación interna necesaria |
|
Instalar software o permitir el control remoto |
La necesidad y el proveedor a través de tu proceso de asistencia aprobado |
Aplica controles tanto a las solicitudes de los altos cargos como a las del resto de personas. Un plazo urgente debe activar el proceso de escalado acordado, en lugar de eliminar las medidas de seguridad.
Utiliza una ruta independiente de confianza
La verificación es algo más que responder: “¿Has enviado esto?”.”
Si una cuenta se ve comprometida, el estafador podría responder a tu mensaje. Llamar a un número que figure en un mensaje fraudulento también podría ponerte en contacto con el estafador.
Utiliza los datos de contacto de un directorio reconocido, de un registro de proveedores previamente verificado o de otra fuente confirmada de forma independiente. El Centro Canadiense contra el Fraude recomienda utilizar un número de teléfono de confianza para verificar las solicitudes de pago, especialmente los cambios en los datos bancarios.
.
.
.
Si no se puede localizar a la persona, recurre al sustituto designado o a la persona encargada de tomar la decisión. Mantén la acción en suspenso hasta que se hayan completado las comprobaciones necesarias.
Una respuesta que puedes utilizar: “Nuestra organización verifica las solicitudes relacionadas con pagos, información confidencial o acceso a cuentas mediante nuestro proceso establecido. Me pondré en contacto con la persona correspondiente según consta en nuestros registros antes de seguir adelante”.”
Los responsables deben apoyar al personal y a los voluntarios a la hora de utilizar esta respuesta, incluso cuando la solicitud parezca proceder de los propios responsables.
Practica cómo utilizar el kit
Utiliza un escenario cada vez durante una reunión de personal o una sesión de orientación para voluntarios
Pregunta:
- ¿Qué información, cuentas o fondos podrían verse afectados?
- ¿Qué hay que verificar y a través de qué vía fiable?
- ¿Qué medidas de seguridad de este kit son aplicables?
- ¿Qué haríamos si alguien ya hubiera actuado?
Un proveedor cambia sus datos bancarios
Recibes una factura de tu proveedor habitual. El importe y los datos del proyecto son correctos. En el mensaje se explica que el proveedor ha cambiado de banco y se facilitan las nuevas instrucciones de pago.
Respuesta al ejercicio: Retiene el cambio en el pago. Ponte en contacto con el representante autorizado del proveedor utilizando los datos de que dispones, confirma los detalles y sigue tu proceso interno de aprobación.
Conexión al kit: Unas responsabilidades bien definidas y las autorizaciones de pago respaldan la decisión. El hecho de que los datos de la factura sean correctos no implica que el cambio esté autorizado.
La persona que llama parece ser tu director ejecutivo
Una persona que llama y que parece ser el director ejecutivo te pide que realices un pago urgente. Te dice que está en una reunión y que necesitas ocuparte de ello de inmediato.
Respuesta al ejercicio: Explica que el pago requiere los controles habituales. Finaliza la llamada y ponte en contacto con el director ejecutivo a través del canal habitual. Si no está disponible, ponte en contacto con la persona encargada de tomar decisiones en su ausencia.
Conexión al kit: La responsabilidad de la verificación y la copia de seguridad te permite reaccionar sin tener que decidir si la voz es una réplica.
Un socio envía un enlace a un documento
Un colaborador del proyecto envía un mensaje desde su cuenta de correo habitual. Al hacer clic en el enlace, se abre una página en la que se te pide que inicies sesión para ver un archivo compartido.
Respuesta al ejercicio: Abre directamente el servicio de intercambio autorizado. Si no es posible confirmar el documento allí, ponte en contacto con el socio por tu cuenta.
Conexión al kit: Una contraseña única limita el riesgo en todas las cuentas, y la autenticación multifactorial (MFA) añade una capa adicional de protección. Sin embargo, ninguna de estas medidas garantiza la seguridad de todas las páginas de inicio de sesión vinculadas. Si se han introducido credenciales, avisa de inmediato e inicia el proceso de respuesta de la cuenta.
Una videollamada solicita información del cliente
Alguien que parece ser un compañero de trabajo en una videollamada te pide que envíes una lista de clientes a una nueva dirección de correo electrónico para elaborar un informe.
Respuesta al ejercicio: Confirma la solicitud por tu cuenta, comprueba que el destinatario está autorizado y determina qué información se necesita realmente. Utiliza el método de entrega autorizado.
Conexión al kit: Las normas sobre el tratamiento de la información se aplican incluso a las solicitudes legítimas. Ver a alguien por vídeo no sustituye a esas comprobaciones.
Haz que el entrenamiento sea motivador
Los ejercicios breves y abiertos pueden ayudar a ganar confianza sin necesidad de utilizar software de simulación. Practica los pasos reales: localizar los datos de contacto de confianza, obtener la autorización y comunicar un error.
Busca posibles deficiencias en los procesos. ¿Pueden las personas ponerse en contacto con la persona de contacto de reserva? ¿Saben cómo informar de ello? ¿Pueden verificar una solicitud sin verse presionadas para eludir las normas?
Evita las clasificaciones públicas o los ejercicios diseñados para avergonzar a alguien. Si utilizas mensajes de phishing simulados, establece primero las autorizaciones, el alcance y las medidas de protección de la privacidad. No recopiles contraseñas ni códigos de acceso reales, e informa a los participantes al finalizar el ejercicio.
Si alguien ya ha actuado
Utiliza las estrategias de respuesta elaboradas en la sección 9:
- Interrumpe cualquier interacción posterior y denúncialo de inmediato.
- Guarda los mensajes relevantes y deja constancia de lo que ha ocurrido.
- Si se ha enviado dinero, ponte en contacto con la entidad financiera de inmediato.
- Busca ayuda de confianza para proteger las cuentas o los dispositivos afectados.
- Evalúa cualquier divulgación de datos personales y los requisitos de notificación.
No esperes a demostrar que una solicitud era fraudulenta antes de notificar una posible filtración. Una notificación inmediata ofrece a la organización más posibilidades de limitar los daños.
Una propuesta de norma de política
Las solicitudes relacionadas con pagos, modificaciones de datos financieros, información confidencial o acceso a cuentas deben seguir los procedimientos de verificación y aprobación establecidos. La verificación debe realizarse a través de canales de contacto establecidos de forma independiente. La urgencia, la antigüedad en el cargo ni la familiaridad con el asunto eximen del cumplimiento de estos requisitos. Cualquier posible caso de fraude o acción errónea debe comunicarse de inmediato.
Antes de adoptar esta norma, identifica las acciones que abarca, los canales de contacto, las autorizaciones y los planes de contingencia.
Comprueba tu proceso de verificación
Elige tres peticiones que tu organización sin ánimo de lucro reciba habitualmente.
Practica un escenario utilizando el proceso ya completado. Encarga a alguien que resuelva las deficiencias que detectes.
Lo que debes recordar
Al finalizar esta sección, deberías haber:
- Acciones identificadas que requieren verificación.
- Se han establecido vías de contacto fiables y procedimientos de autorización.
- Se ha entrenado para responder a solicitudes verosímiles, incluidas las suplantaciones de identidad asistidas por IA.
- Prevención integrada con notificación inmediata y respuesta ante incidentes.
Ya estás listo para elegir tus próximas mejoras, asignar responsabilidades y poner en práctica este kit.
Sección de conclusión
CyberCatalyst: Fundamentos de ciberseguridad para organizaciones sin ánimo de lucro es un curso gratuito de KnowledgeFlow que se puede realizar a tu propio ritmo, dirigido a organizaciones con presupuestos limitados y con poco o ningún soporte informático específico.
Este kit te ayuda a identificar los aspectos que requieren atención. CyberCatalyst es el siguiente paso lógico para desarrollar los conocimientos y las habilidades prácticas necesarias para llevar a cabo mejoras. El personal, los responsables y los voluntarios pueden seguir el curso a su propio ritmo y aplicar lo aprendido en tu organización.
Saber cuándo sería útil recurrir a ayuda profesional
Muchas mejoras en el día a día pueden empezar dentro de tu equipo. El apoyo profesional resulta útil cuando necesitas conocimientos especializados, una evaluación independiente o ayuda para poner en marcha varias medidas de seguridad.
Plantéate pedir ayuda cuando:
Avanzando hacia la normalización y la garantía formal
Las normas y los marcos de referencia ofrecen a las organizaciones una forma estructurada de evaluar y mejorar la seguridad. Este kit presenta medidas de protección útiles, pero su aplicación no garantiza el cumplimiento de una norma concreta.
Puedes empezar por adaptar tus prácticas a las directrices reconocidas. Si más adelante decides solicitar el cumplimiento normativo o una certificación, el trabajo también puede implicar definir el alcance, evaluar los riesgos, documentar los procedimientos, conservar las pruebas y comprobar que las medidas de seguridad funcionan de forma coherente.
El apoyo profesional puede ayudarte a:
- Elige un marco o una norma que se adapte a tu organización y a tus obligaciones.
- Compara las prácticas actuales con sus requisitos.
- Prioriza las carencias en función del riesgo, la capacidad y el coste.
- Elaborar políticas y procedimientos viables.
- Recopilar pruebas, revisar los procedimientos habituales y prepararse para cualquier evaluación independiente que sea necesaria.
Pregúntate qué resultado necesitas realmente: un plan de mejora práctico, la adaptación a un marco de referencia, pruebas para un socio o una certificación oficial. Se trata de objetivos distintos que pueden requerir distintos niveles de trabajo.
Encuentra el apoyo que mejor se adapte a tu organización sin ánimo de lucro
Puedes hablar con KnowledgeFlow u otra empresa de consultoría cualificada sobre tus necesidades y el apoyo disponible. Empieza por hacer un balance de tu situación, tus prioridades y las dudas que tengas, para que la conversación permita definir claramente el alcance del proyecto.
Pide a los posibles proveedores que expliquen:
- Su experiencia con organizaciones sin ánimo de lucro de tu tamaño y capacidad.
- Qué van a evaluar o poner en práctica.
- Qué norma o marco proponen y por qué.
- ¿Qué resultados, costes y responsabilidades continuas conlleva?.
- Si la certificación oficial requiere un organismo de evaluación independiente.
Elige un servicio de asistencia que ayude a tu equipo a comprender y mantener las mejoras. Las explicaciones claras y las recomendaciones realistas son tan importantes como los conocimientos técnicos.
Sigue construyendo
La ciberseguridad es una parte fundamental del cuidado de tu organización y de las personas que confían en ella. Mantén al día las responsabilidades, revisa las medidas de seguridad a medida que evoluciona tu trabajo y fomenta las preguntas y la comunicación de incidencias.
Empieza por tus tres próximas mejoras. Amplía tus conocimientos a través de Cibercatalizador, y busca ayuda profesional cuando lo necesites.
English 
French 
Chinese 
Spanish 
Ukrainian 