Riesgo humano en servicios financieros: donde se mueve el dinero

En un banco, el dinero no se mueve porque un sistema decida moverlo. Se mueve porque una persona con los permisos adecuados cree que una instrucción es real. Ese hecho explica buena parte del panorama de amenazas en los servicios financieros. El IC3 del FBI ha contabilizado 55.490 millones de dólares en pérdidas expuestas por compromiso del correo electrónico empresarial en una década. Nada de eso exigió romper un cifrado. Todo exigió convencer a una persona.

Los reguladores lo han visto. Desde el 17 de enero de 2025, el Reglamento europeo de resiliencia operativa digital (DORA) ha convertido la formación en concienciación en una obligación legal directamente aplicable a casi todas las entidades financieras de la Unión, y nombra expresamente a la alta dirección. Esta guía explica por qué las finanzas tienen un perfil de riesgo humano propio, qué exige exactamente la norma a su plantilla y cómo construir un programa que satisfaga al supervisor y, a la vez, endurezca de forma medible a las personas.

Por qué las finanzas son el camino más corto entre la persuasión y el beneficio

Todos los sectores sufren phishing. Las finanzas sufren phishing con la salida de caja incorporada. El Verizon DBIR 2026 atribuye al elemento humano el 62 % de las brechas, pero en la mayoría de sectores el atacante que compromete a un empleado sigue teniendo un problema para rentabilizarlo: datos que vender, un rescate que negociar. En un banco, una aseguradora o la tesorería de una empresa, la persona manipulada es el paso que convierte el ataque en dinero. Aprobar la transferencia, cambiar la cuenta del proveedor, liberar la remesa de pagos: el ataque y el cobro son la misma acción.

Las cifras reflejan esa concentración de valor:

Y los pretextos mejoran. Los equipos financieros se enfrentan ya a ataques de voz y vídeo con deepfake diseñados en torno a operaciones en curso: el intento contra Ferrari fracasó solo porque un directivo hizo una pregunta de verificación que la voz clonada no supo responder. La FinCEN estadounidense consideró la tendencia lo bastante grave como para publicar una alerta específica sobre fraudes con deepfake dirigidos a entidades financieras. Lo irónico es que las finanzas son, en casi cualquier medida técnica, un sector maduro: la evaluación NIS360 de ENISA sitúa a la banca entre los sectores con mayor madurez en ciberseguridad de Europa. Los atacantes leen los mismos informes. Cuando el perímetro es duro, llaman a la mesa de tesorería.

En los servicios financieros, la capa humana no está junto a las joyas de la corona. Tiene las llaves y ejecuta la operación. Por eso el regulador audita ahora a su plantilla, no solo sus cortafuegos.

Qué exige realmente DORA a su plantilla

DORA (Reglamento (UE) 2022/2554) es conocido sobre todo por sus disposiciones sobre gestión del riesgo TIC, notificación de incidentes, pruebas de resiliencia y terceros proveedores. Pero el artículo 13(6) contiene la frase que afecta al programa de concienciación: las entidades financieras desarrollarán programas de concienciación sobre seguridad de las TIC y formación en resiliencia operativa digital como módulos obligatorios de sus planes de formación del personal, aplicables a todos los empleados y a la alta dirección, con una complejidad proporcionada a sus funciones. El texto completo está en EUR-Lex.

Tres rasgos lo hacen más estricto que las cláusulas de concienciación que la mayoría de los equipos de cumplimiento conocían:

• Es obligatorio por su nombre. La formación en concienciación no es un ejemplo de medida razonable: es la medida.
• Es universal. «Todos los empleados» no deja fuera la sala de mercados, la red de oficinas ni a los contratistas que atienden su centro de llamadas, y «la alta dirección» pone en el expediente la formación del propio consejo.
• Es directamente aplicable. Al ser un reglamento y no una directiva, DORA no necesitó transposición nacional ni ofrece el margen que ha retrasado NIS2 en varios Estados miembros. En muchos grupos se aplican los dos regímenes a la vez; lo práctico es un único programa construido según el estándar más exigente.

La lógica del supervisor es la misma que aprendieron otros sectores regulados: un registro de formación es una prueba, y su ausencia es una incidencia. Tras un incidente, «hicimos la formación anual» es una prueba débil si el operador de pagos engañado vio por última vez un curso genérico de e-learning once meses antes y nunca había ensayado una petición de cambio de cuenta bancaria de un proveedor.

El manual de ataque propio de las finanzas

El contenido genérico de concienciación no cubre los escenarios que de verdad vacían cuentas. Un programa para el sector financiero debe construirse alrededor de los pretextos que se usan contra quien mueve dinero:

• Cambios de cuenta bancaria de proveedores. La variante de BEC más rentable: un proveedor «actualiza» su cuenta justo antes de un pago importante programado. La defensa es de procedimiento: verificar llamando a un número que ya consta en el expediente, nunca al que aparece en la solicitud. Nuestra guía de defensa frente al BEC recorre todos los controles.
• Peticiones de pago de directivos. Urgentes, confidenciales, con un plazo encima, y cada vez más a menudo con voz o vídeo clonados en una llamada en directo en lugar de por correo.
• Pretextos de pago autorizado. El patrón del fraude a particulares tiene un gemelo empresarial: un empleado o un cliente convencido de iniciar él mismo la transferencia, lo que elimina muchas opciones técnicas de recuperación (véase el fraude de pago autorizado).
• Ingeniería social contra el servicio de ayuda y el restablecimiento de MFA. El camino que abrió MGM y Clorox también funciona en un banco: llamar a TI, decir que se es un operador bloqueado y heredar su acceso.
• Suplantación ante los clientes. A sus clientes se les ataca con su marca, y los reguladores esperan cada vez más que la plantilla sepa detectar las instrucciones anómalas que llegan después a sus cuentas.

Cómo construir un programa de riesgo humano preparado para DORA

1. Clasifique a la plantilla según su capacidad de pago. Identifique quién puede mover, aprobar o desviar dinero (tesorería, cuentas a pagar, nóminas, gestores de clientes, directivos y sus asistentes) y trátelo como un grupo de alto riesgo, con escenarios más difíciles y una cadencia más intensa. Un Human Risk Score por función y equipo convierte ese ejercicio de organigrama en una línea de base medible que el supervisor puede revisar.

2. Ensaye los escenarios de dinero, no solo el correo. Con el phishing de voz disparado y los señuelos por QR y SMS ya habituales, una prueba solo por correo pasa por alto los canales por los que se ataca a las finanzas. Ejecute simulaciones multicanal que incluyan cambios de cuenta de proveedores, peticiones urgentes de directivos y llamadas para restablecer la MFA. El reflejo que hay que construir es «verificar por otro canal antes de que se mueva el valor».

3. Proteja el acto de verificar. Lo que salvó a Ferrari fue cultural, no técnico: un empleado se sintió seguro para cuestionar a su «consejero delegado». Publique el protocolo de verificación, haga que la dirección diga expresamente que ninguna petición legítima penalizará nunca una llamada de comprobación, y pruebe si el protocolo resiste un pretexto convincente.

4. Incluya al consejo en el programa. El artículo 13(6) nombra a la alta dirección, y el supervisor pedirá primero sus registros de finalización. Las sesiones para el consejo sirven además como respaldo visible de todo lo demás.

5. Genere evidencia de forma continua. Cadencia, contenidos ajustados al riesgo de cada función, resultados de las simulaciones, líneas de tendencia. Con DORA el programa es en sí un control supervisable: la documentación no es un trámite, es el entregable.

Las finanzas ya funcionan con riesgos medidos: el riesgo de crédito, de mercado y operativo tienen responsables, modelos y líneas de tendencia. La gestión del riesgo humano extiende esa disciplina a la capa donde hoy empiezan la mayoría de los ataques: las personas que mueven el dinero. El regulador ha hecho obligatoria la formación. Conseguir que funcione (medible, por funciones, ensayada contra los pretextos que de verdad vacían cuentas) es lo que protege el balance.