NOUSEC aborda las dos cosas que hacen distinto el riesgo humano en la industria y la energía: la cadena de suministro y la planta. Los terceros participan en el 61 % de las brechas industriales, la proporción más alta de todos los sectores del Verizon DBIR, así que los pretextos que importan son los cambios de cuenta bancaria de proveedores, las altas de proveedor y los «reclutadores» que contactan al personal de operaciones. Y como gran parte de la plantilla no tiene un puesto informático asignado, NOUSEC simula por código QR, memoria USB, SMS y WhatsApp además del correo, e imparte la formación en formatos breves, incluidos carteles e infografías para zonas donde nadie tiene pantalla.
El sector más atacado, cinco años seguidos.
Su cadena de suministro es una superficie de ataque social.
Un 61 % de participación de terceros no es un problema de cuestionarios de riesgo de proveedores. Es un problema de personas con un pedido de compra adjunto.
| Pretexto | Por qué funciona | El control que resiste |
|---|---|---|
| Cambio de cuenta bancaria del proveedor | Llega desde una relación real, en el tono adecuado y en un momento verosímil del ciclo de facturación. | Verificar a través del contacto que ya consta en el expediente, nunca del que aparece en la solicitud. |
| Alta de proveedor / presupuesto falsificado | El trabajo de compras consiste precisamente en atender a los proveedores nuevos. | Un circuito de alta definido que no acepta documentos por canales paralelos. |
| Un «reclutador» que contacta al personal de operaciones | Halaga, es personal y está fuera de cualquier canal corporativo. | Formación que pone nombre al patrón, y una vía de notificación que no le cuesta nada al empleado. |
No es una hipótesis. En su revisión anual de OT de 2026, Dragos describe al grupo que rastrea como PYROXENE ejecutando campañas de varios años a través de la cadena de suministro con ingeniería social contra personal de operaciones, incluidos perfiles falsos de LinkedIn que se hacen pasar por reclutadores.[13]
Muchas de las personas que necesita no están leyendo el correo.
Turnos, terminales compartidos y, en muchos puestos, ningún buzón individual. Tres grupos, tres respuestas distintas.
Planta y campo
Turnos, terminales compartidos y, en muchos puestos, ningún buzón individual. La simulación con códigos QR y memorias USB llega donde el correo no llega; la formación se presenta como carteles, infografías y módulos breves, no como un curso de 20 minutos.
Compras, cuentas a pagar e ingeniería
El grupo al que de verdad apuntan los pretextos de la cadena de suministro. Simulación por correo, SMS, WhatsApp y devolución de llamada, los módulos ya disponibles sobre BEC y robo de credenciales, y asignación adaptativa según el fallo medido.
Personal de OT y de sala de control
Formado en los controles de proceso, no en detectar contenido sintético. Vías de escalado y verificación por otro canal, y la posición honesta sobre lo que las personas pueden y no pueden distinguir.
14 formatos, 30 idiomas (9 totalmente localizados hoy y 21 más bajo petición) y un plan formativo que cubre el fraude de proveedores, BEC, robo de credenciales y adjuntos maliciosos. Marca blanca completa con gestión automática de la moneda para grupos con presencia en varios países.
Dos anexos, dos clasificaciones, una cadena de evidencias.
| Instrumento | Artículo | Qué exige | Cómo lo evidencia NOUSEC |
|---|---|---|---|
| NIS2: energía[3] | Anexo I.1 | Electricidad, sistemas urbanos de calefacción y refrigeración, petróleo, gas e hidrógeno son sectores de alta criticidad. Las entidades de mayor tamaño son esenciales según el art. 3. | Verificación de finalización en el servidor; cuadro ajustado para auditoría. |
| NIS2: fabricación | Anexo II.5 | Productos sanitarios y de diagnóstico in vitro; productos informáticos, electrónicos y ópticos (NACE 26); material eléctrico (27); maquinaria n.c.o.p. (28); vehículos de motor y remolques (29); otro material de transporte (30): entidades importantes. | La misma cadena de evidencias, otro techo de multas. |
| NIS2 | Art. 21(2)(g) | Ciberhigiene y formación en ciberseguridad como medida mínima obligatoria. | Evidencia de finalización, no registros de asignación. |
| NIS2 | Art. 34(4)–(5) | Los Estados miembros deben fijar multas máximas de al menos 10 millones de euros o el 2 % del volumen de negocios mundial (esenciales), y de 7 millones o el 1,4 % (importantes), si esta cifra es superior. | — |
| RGPD | Art. 39(1)(b) | Concienciación y formación dentro de las funciones de supervisión del DPD. | Aceptación de políticas con control de versiones. |
| ISO/IEC 27001:2022[5] | Cl. 7.2 / 7.3, A 6.3 | Competencia, toma de conciencia, formación. | Página de verificación pública de certificados. |
Los resúmenes normativos son orientativos y no constituyen asesoramiento jurídico. El ámbito de aplicación y la clasificación dependen de la transposición en su Estado miembro. La verificación de finalización y el cuadro de cumplimiento empiezan en Essentials; la aceptación de políticas y la verificación pública de certificados en Professional; el registro de auditoría y la exportación al SIEM en Enterprise.
Los cuatro mecanismos en los que se apoya esta página.
Código QR y memoria USB
Formatos que funcionan sin pantalla
Asignación adaptativa según el fallo medido
Marca blanca en varios países
Lectura relacionada: ataques de phishing con códigos QR, y las entradas del glosario sobre fraude de facturas, OSINT y pretexting. Nuestra propia postura está en Seguridad.
Preguntas
Lo primero que pregunta el CISO de un grupo con plantas en varios países.
Cada cifra de esta página, y de dónde sale
Última revisión: 21 de octubre de 2026. Las citas normativas se contrastan con el texto consolidado de EUR-Lex en cada revisión.
- 2026 Data Breach Investigations ReportVerizon Business — sección sectorial, p. 84, Finanzas y Seguros (NAICS 52). Corpus: más de 31.000 incidentes, más de 22.000 brechas confirmadas, 145 países, oct. 2024 – nov. 2025 · 2026Uso: Industria (31–33): 3627 incidentes; 61 % con participación de terceros; el 77 % de los ataques sociales fueron phishing; la ingeniería social como segundo patrón de brecha más común del sector, el único puesto que el informe indica con palabras.
- X-Force Threat Intelligence Index 2026IBM — publicado el 25 de febrero de 2026, con datos de 2025 · 2026Uso: La industria como sector más atacado por quinto año consecutivo, con el 27,7 % de los incidentes observados.
- OT Cybersecurity Year in ReviewDragos — 9.ª edición anual, 17 de febrero de 2026 · 2026Uso: 119 grupos de ransomware, un 49 % más que los 80 de 2024, contra 3300 organizaciones industriales, con la industria manufacturera como más de dos tercios de las víctimas; y las campañas de ingeniería social de varios años de PYROXENE contra personal de operaciones a través de la cadena de suministro. El 49 % es el crecimiento del número de grupos rastreados, no de víctimas ni de ataques.
- Directive (EU) 2022/2555 (NIS2)Diario Oficial de la Unión Europea, DO L 333, 27.12.2022 · 2022Uso: Artículo 3 sobre la clasificación por tamaño, artículo 21(2)(g), artículo 34(4)–(5) sobre los mínimos de las multas y pertenencia a los anexos I.1 y II.5.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Organización Internacional de Normalización — 3.ª edición · 2022Uso: Cláusulas 7.2 y 7.3; título del control 6.3 del anexo A.