NOUSEC da a las entidades financieras la evidencia que pide DORA y las simulaciones que usa el fraude de hoy. El artículo 13(6) de DORA convierte los programas de concienciación sobre seguridad de las TIC y la formación en resiliencia operativa digital en módulos obligatorios para toda la plantilla y la alta dirección, y el artículo 5(4) obliga al órgano de dirección a mantener al día sus propios conocimientos sobre riesgo TIC. NOUSEC ejecuta simulaciones en ocho canales (voz y vídeo deepfake en el plan Enterprise), verifica la finalización en el servidor en lugar de fiarse de lo que dice el navegador y mide la eficacia de cada módulo como correlación con la tasa real de clics.
Su sector, en sus propias cifras.
El control funcionó. Ese era el problema.
Todos los fraudes con deepfake publicados en los dos últimos años se frenaron, o no, por un paso de proceso; nunca por el oído de alguien.
| Caso | Canal | Qué se pidió | Resultado |
|---|---|---|---|
| Arup, feb. 2024 | Videollamada con varias personas | 15 transferencias | ~25,6 millones de USD pagados[7] |
| Ferrari, jul. 2024 | Llamada de voz suplantando al consejero delegado | Operación confidencial urgente | Frenado: el empleado hizo una pregunta que solo el consejero delegado real podía responder[8] |
| LastPass, abr. 2024 | Deepfake de voz por WhatsApp | Contacto fuera de los canales habituales | Frenado: el empleado lo notificó[9] |
Los dos que se frenaron no tienen nada que ver con la detección. Nadie oyó un artefacto sintético. Un empleado aplicó un paso de verificación que el atacante no podía superar; el otro se dio cuenta de que el canal no era el correcto y lo notificó en lugar de responder.
Eso es un control de proceso y una cultura de notificación, y ambos se pueden entrenar. Ninguno mejora pidiendo a la gente que escuche con más atención: la posición honesta, y la que enseñamos, es que en los pares de audio más difíciles no se puede distinguir de oído.
Así que el objetivo de la formación no es la percepción. Es verificar por un canal que ya se tiene, contar con una vía de escalado para los cambios de datos bancarios de proveedores y construir una organización en la que decir «no» al consejero delegado no tenga consecuencias.
Finanzas, tesorería y quienes pueden mover dinero.
En este sector el alcance no es un problema de cobertura: casi todo el mundo tiene buzón de correo. Es un problema de puntería: los grupos más pequeños concentran el mayor riesgo por operación y necesitan una campaña distinta a la del resto.
Pagos y tesorería
El objetivo de mayor valor y el grupo más pequeño. Merece simulaciones de spear phishing y de devolución de llamada (TOAD), no el mismo módulo anual que el resto de la plantilla.
Gestores y personal de atención al cliente
Están formados para responder rápido y ser serviciales, que es exactamente la conducta que explota un pretexto. La ruta adaptativa asigna formación según el fallo medido, no según lo que se supone de un puesto.
El órgano de dirección
El artículo 5(4) de DORA es una obligación personal suya, y el artículo 20(2) de NIS2 hace obligatoria la formación del consejo cuando la entidad está en el ámbito de ambos. Su evidencia de finalización tiene que ser tan defendible como la del resto.
El artículo, y la evidencia que le responde.
La cuarta columna es la única que menciona el producto, y nombra un mecanismo, no una intención.
| Instrumento | Artículo | Qué exige | Cómo lo evidencia NOUSEC |
|---|---|---|---|
| DORA (UE) 2022/2554, aplicable desde el 17 de enero de 2025[4] | Art. 13(6) | Programas de concienciación sobre seguridad de las TIC y formación en resiliencia operativa digital como módulos obligatorios para todos los empleados y la alta dirección, con una complejidad proporcionada a cada función. | Asignación adaptativa según el fallo medido; cuadro de cumplimiento ajustado para auditoría; campañas delimitadas por función. |
| DORA | Art. 5(4) | El órgano de dirección mantiene al día sus conocimientos sobre riesgo TIC mediante formación periódica y proporcionada. | Un grupo propio para el consejo, con su evidencia de finalización y sus certificados. |
| NIS2 (UE) 2022/2555[3] | Art. 21(2)(g) | Prácticas básicas de ciberhigiene y formación en ciberseguridad como medida mínima obligatoria. | Verificación de finalización en el servidor: evidencia de formación realizada, no solo asignada. |
| RGPD (UE) 2016/679 | Art. 39(1)(b) | La concienciación y formación del personal, dentro de las funciones de supervisión del DPD. | Aceptación de políticas con control de versiones; exportación al SIEM. |
| ISO/IEC 27001:2022[5] | Cl. 7.2 / 7.3, A 6.3 | Competencia, toma de conciencia, y concienciación, educación y formación en seguridad de la información. | Página de verificación pública de certificados; registro de auditoría. |
Los resúmenes normativos son orientativos y no constituyen asesoramiento jurídico. El ámbito de aplicación y la clasificación dependen de la transposición en su Estado miembro. La verificación de finalización y el cuadro de cumplimiento empiezan en Essentials; la aceptación de políticas, la verificación pública de certificados y el Human Risk Score en Professional; el registro de auditoría y la exportación al SIEM en Enterprise.
Los cuatro mecanismos en los que se apoya esta página.
Verificación de finalización en el servidor
Ocho canales de simulación
Una puntuación que enseña sus cálculos
Sincronización con el directorio y el correo
Lectura relacionada: ataques de voz con deepfake contra equipos financieros, y las entradas del glosario sobre fraude del CEO, fraude de facturas y compromiso del correo empresarial. Nuestra propia postura está en Seguridad.
Preguntas
Lo primero que pregunta el CISO o el DPD de una entidad financiera.
Cada cifra de esta página, y de dónde sale
Última revisión: 21 de octubre de 2026. Las citas normativas se contrastan con el texto consolidado de EUR-Lex en cada revisión.
- 2026 Data Breach Investigations ReportVerizon Business — sección sectorial, p. 84, Finanzas y Seguros (NAICS 52). Corpus: más de 31.000 incidentes, más de 22.000 brechas confirmadas, 145 países, oct. 2024 – nov. 2025 · 2026Uso: Finanzas y Seguros (52): 3809 incidentes y 1300 con divulgación confirmada; 65 % con elemento humano; 20 % phishing frente a 22 % explotación de vulnerabilidades; 88 % actores externos y 98 % motivación económica.
- Directive (EU) 2022/2555 (NIS2)Diario Oficial de la Unión Europea, DO L 333, 27.12.2022 · 2022Uso: Artículos 20(2) y 21(2)(g).
- Regulation (EU) 2022/2554 (DORA)Diario Oficial de la Unión Europea — aplicable desde el 17 de enero de 2025 · 2022Uso: Artículo 13(6) sobre los módulos obligatorios de concienciación y formación en resiliencia, y artículo 5(4) sobre los conocimientos del propio órgano de dirección.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organización Internacional de Normalización — 3.ª edición · 2022Uso: Cláusulas 7.2 y 7.3; título del control 6.3 del anexo A.
- Internet Crime Report 2025Centro de Denuncias de Delitos en Internet del FBI (IC3) · 2026Uso: Compromiso del correo electrónico empresarial: 24.768 denuncias y 3.046.598.558 USD en pérdidas declaradas.
- Arup confirms it was the victim of a $25 million deepfake fraudCNN — información sobre el caso Arup, febrero de 2024 · 2024Uso: 25,6 millones de USD pagados en 15 transferencias tras una videollamada con deepfake.
- Ferrari executive foils deepfake attempt by asking the caller a questionFortune — información sobre el intento contra Ferrari, julio de 2024 · 2024Uso: El intento que se frenó con una pregunta de verificación que solo el directivo real podía responder.
- Attempted audio deepfake call targets LastPass employeeBlog corporativo de LastPass · 2024Uso: Un deepfake de voz del consejero delegado enviado por WhatsApp, que el empleado notificó en lugar de actuar.