Clase 01 · Amenazas y hábitos seguros

← Índice de la parte · Índice de la parte · 02 · Phishing y suplantación →

Parte 04 — Seguridad y consumo financiero · Nivel: Fundamento — sin conocimientos previos · Duración: 90 minutos

🎯 Propósito

Construir el mapa de amenazas que enfrenta cualquier persona con productos financieros, y convertirlo en un conjunto acotado de hábitos que efectivamente se sostienen. La seguridad financiera personal no se logra con vigilancia permanente —que nadie mantiene— sino con controles que funcionan solos y con un pequeño número de reglas ejecutables bajo presión.

Las tres partes anteriores enseñaron a calcular, a ordenar el propio dinero y a elegir productos. Esta cierra la etapa con lo que puede deshacer todo lo anterior en una tarde. Y lo hace con un criterio de ingeniería y no de miedo: la seguridad financiera personal es una cuestión de superficie de exposición y de controles, y las dos cosas se miden.

📚 Objetivos

Al finalizar podrás:

1. Clasificar las amenazas financieras por vector y por probabilidad realista.
2. Aplicar el marco identificar–proteger–detectar–responder–recuperar a tu situación.
3. Configurar los siete controles que más reducen la pérdida esperada.
4. Reconocer los principios de manipulación que usan los fraudes.
5. Definir tu superficie de exposición y reducirla de forma medible.

Agenda de 90 minutos

La clase dura noventa minutos y se recorre en cinco tramos. No es un horario rígido: es el orden en que los bloques de esta página se sostienen unos a otros, y por eso conviene respetarlo aunque cambien los tiempos.

Los diez primeros minutos se dedican a recuperar la clase anterior, porque casi todo lo que aquí se explica supone algo que ya se vio. Los veinticinco siguientes desarrollan los conceptos con la fuente oficial a la vista: las referencias del final de la página no son un adorno bibliográfico, se consultan mientras se estudia. Del minuto 35 al 55 se resuelve el ejemplo guiado paso a paso, sin saltarse ninguno, porque el error típico vive precisamente en el paso que parece obvio. Los veinticinco minutos siguientes son de práctica con datos propios o sintéticos —nunca reales de terceros—, que es cuando se comprueba si se entendió. Los diez últimos cierran con las preguntas de comprobación y el registro del entregable.

Si el tiempo aprieta, lo que se recorta es la práctica y se traslada al laboratorio de la parte; lo que no se recorta nunca es el ejemplo guiado.

🧩 Conceptos centrales

Los tres primeros términos miden el problema y los cuatro últimos son las respuestas. La distinción entre control preventivo, detectivo y correctivo es la que ordena toda la parte: la mayoría de la gente solo tiene controles preventivos, y cuando fallan no hay nada que avise ni nada que repare.

🧠 Modelo mental

Los sistemas bancarios modernos son difíciles de vulnerar técnicamente. Por eso el objetivo del atacante eres tú:

atacar el sistema     → criptografía, monitoreo, capas de control   → costoso
atacar a la persona   → un mensaje bien redactado                   → barato

De ahí la consecuencia práctica: la mayor parte de tu esfuerzo de seguridad no debe ir a "protegerse de hackers", sino a no autorizar tú mismo la operación que el atacante necesita.

📖 Desarrollo

1. Mapa de amenazas por vector

Las amenazas se organizan mejor por la vía de entrada que por el nombre del fraude, porque los nombres cambian cada año y las vías no. La tabla las agrupa por vector.

La combinación que produce más pérdida en términos absolutos: fraude de inversión, porque involucra montos grandes y rara vez es recuperable. La que produce más incidentes: mensajes y llamadas suplantadas.

2. El marco de cinco funciones

Adaptado del marco de ciberseguridad del NIST a la situación de una persona:

IDENTIFICAR  ¿qué tengo, dónde, con qué acceso?      → inventario
PROTEGER     ¿qué impide que ocurra?                 → límites, doble factor, cupos
DETECTAR     ¿cómo me entero rápido?                 → notificaciones, revisión periódica
RESPONDER    ¿qué hago en la primera hora?           → protocolo escrito
RECUPERAR    ¿cómo vuelvo a la normalidad?           → reemisión, reclamo, denuncia

La mayoría de las personas trabaja solo en "proteger" y no tiene nada en "detectar" ni en "responder". El resultado típico: se enteran tarde y improvisan.

3. Los siete controles de mayor impacto

De todos los controles posibles, siete concentran casi toda la reducción de riesgo y se configuran en una tarde. La tabla los recoge en orden de impacto.

Los siete cuestan cero pesos y se configuran en menos de una hora. El séptimo es el más difícil y el más valioso: ninguna operación financiera legítima exige decidir en menos de diez minutos.

4. Los principios que explotan los fraudes

Los fraudes no explotan fallos técnicos sino mecanismos psicológicos conocidos y estudiados. Reconocerlos en el momento es lo que permite detenerse, y por eso conviene tenerlos nombrados.

Reconocer el principio en uso durante la conversación es la defensa más eficaz, porque estos mecanismos funcionan sobre todo cuando no se los ve.

5. Medir y reducir tu superficie

La superficie de exposición se puede contar: cuántas cuentas, cuántos accesos, cuánto saldo alcanzable. El procedimiento siguiente la mide y da la lista de lo que conviene cerrar.

superficie = Σ (cuentas con acceso remoto)
           + Σ (cupos de crédito disponibles)
           + Σ (dispositivos con sesión iniciada)
           + Σ (servicios con tu tarjeta guardada)
           + Σ (datos personales publicados)

Ejemplo de reducción en una tarde:

🧮 Ejemplo guiado

Situación. Camilo recibe un mensaje: "Banco XX: detectamos una compra de $890.000 en el extranjero. Si no la reconoce, ingrese aquí para anularla: bancoxx-seguridad.cl". Dos minutos después recibe una llamada de alguien que se identifica como ejecutivo de fraude del banco.

Paso 1 — identifica los principios en uso.

autoridad   "ejecutivo de fraude del banco"
urgencia    monto alto + acción inmediata
miedo       pérdida ya ocurrida
compromiso  el mensaje pide un primer paso pequeño (ingresar al enlace)

Cuatro principios simultáneos es, por sí solo, una señal: una comunicación legítima rara vez los combina.

Paso 2 — verifica el dominio.

dominio del mensaje   bancoxx-seguridad.cl
dominio oficial       bancoxx.cl

Un guion y un subdominio distinto. Regla: el dominio real es lo que está inmediatamente antes del primer / y después del último punto antes de él. bancoxx-seguridad.cl no pertenece a bancoxx.cl.

Paso 3 — aplica la regla de los 10 minutos.

corta la llamada
NO usa el enlace
llama al número impreso en el reverso de su tarjeta

Paso 4 — verifica en el canal oficial. Al ingresar por la aplicación, comprueba que no existe ninguna compra de 890 000. El mensaje era el ataque completo.

Paso 5 — qué habría pasado si seguía el enlace.

1. sitio idéntico al del banco solicita usuario y clave
2. mientras Camilo los ingresa, el atacante los usa en el sitio real
3. el banco envía un código de verificación al teléfono de Camilo
4. el sitio falso pide ese código "para confirmar la anulación"
5. el atacante lo usa y transfiere el saldo disponible

El segundo factor no protege si la persona lo entrega. Por eso la regla operativa es: un código de verificación autoriza una operación; si no sabes exactamente cuál, no lo entregues a nadie, por ningún canal, nunca.

Paso 6 — refuerza. Camilo configura límite de transferencia de 500 000 diarios y notificaciones instantáneas. Con eso, si en el futuro cae en un engaño similar:

pérdida máxima antes:  todo el saldo disponible (3 200 000)
pérdida máxima después: 500 000, con aviso instantáneo

Interpreta: el control que más protege a Camilo no es "no caer en engaños" —nadie puede garantizarlo— sino haber acotado por adelantado lo que puede perderse. La seguridad efectiva supone que en algún momento el engaño va a funcionar.

🏦 Del cliente al banco

El cliente ve un fraude y el banco ve un caso con reglas de responsabilidad y plazos. La tabla enfrenta las dos lecturas, y la segunda columna explica por qué la rapidez del aviso cambia el resultado.

🧪 Práctica

El laboratorio pide medir la superficie de exposición propia y aplicar los siete controles. Es el ejercicio con mayor efecto real de todo el programa por el tiempo que cuesta, y su resultado se comprueba: los controles se verifican, no se declaran.

En labs/lab-01.md:

1. Construye tu mapa de amenazas con probabilidad y pérdida estimada por vector.
2. Mide tu superficie de exposición con las cinco dimensiones.
3. Configura los siete controles y documenta la evidencia de cada uno.
4. Analiza tres mensajes sospechosos reales identificando los principios de manipulación.

⚠️ Errores frecuentes

La tabla se usa buscando el síntoma. En esta clase, casi todos los síntomas indican una superficie de exposición mayor de la que se creía, no un ataque sofisticado.

❓ Preguntas de comprobación

1. ¿Por qué el atacante prefiere a la persona antes que al sistema?
2. Nombra las cinco funciones del marco y qué haces tú en cada una.
3. ¿Cuáles son los siete controles de mayor impacto y cuánto cuestan?
4. Identifica tres principios de manipulación en un mensaje de fraude real.
5. ¿Por qué el segundo factor no protege si se entrega el código?

📥 Entregable

Guarda en portfolio/parte-04/clase-01/:

• tu mapa de amenazas por vector con probabilidad y pérdida;
• la medición de tu superficie de exposición antes y después;
• la evidencia de configuración de los siete controles;
• el análisis de tres mensajes sospechosos con los principios identificados.

🔐 Seguridad, ética y límites

Trabaja siempre con datos sintéticos o propios: nunca uses datos reales de terceros, números de cuenta, documentos de identidad ni antecedentes crediticios ajenos. Este material es formativo y no constituye asesoría financiera, tributaria ni legal; las tasas, comisiones, límites y normas citados cambian y deben verificarse en la fuente oficial vigente del país donde se aplique. Cuando un cálculo alimente una decisión que afecte a otra persona, registra los supuestos y quién los aprobó.

📗 Fuentes y verificación

• NIST (2024). Cybersecurity Framework 2.0. National Institute of Standards and Technology. Funciones identificar, proteger, detectar, responder y recuperar. https://www.nist.gov/cyberframework
• Cialdini, R. (2021). Influence: The Psychology of Persuasion (edición ampliada). Harper Business. Los siete principios de influencia usados en ingeniería social.
• Mitnick, K. y Simon, W. (2002). The Art of Deception. Wiley. Técnicas de ingeniería social documentadas.
• ENISA (2024). Threat Landscape. Agencia de la Unión Europea para la Ciberseguridad. Vectores predominantes y tendencias. https://www.enisa.europa.eu/
• Europol (2024). Internet Organised Crime Threat Assessment (IOCTA). Europol. Fraude financiero y suplantación.
• Verificación local: consulta los canales oficiales de denuncia de fraude de tu país y los plazos legales de respuesta del emisor ante operaciones no reconocidas.