Mirá, lo vi mil veces. Un negocio que invierte en cámaras, en alarmas, en rejas. Y después el empleado de la caja le manda el código por WhatsApp a un «proveedor» que le escribió con la foto de la dueña. O le abre un link a un mail que dice que le van a dar de baja el Mercado Pago si no actualiza los datos ya.
La tecnología no es el eslabón débil. El eslabón débil es la persona que no sabe que un comprobante trucho se ve igual que uno real. Y no es culpa de tu equipo. Es culpa de no haberlos capacitado.
Te lo simplifico: no necesitás un curso de dos días ni un manual de 40 páginas. Necesitás 30 minutos, una pizarra o un papel, y el orden que te dejo acá abajo. Es el mismo que uso con Marta, la de la óptica, y con cada pyme que asesoro.
El error que cometés si no capacitás a tu equipo
Creer que «a ellos no les va a pasar». Te juro que lo escucho todos los días. Y después me llaman cuando el empleado le pasó la clave del home banking a un «gerente del banco» que lo llamó por teléfono.
La estafa no entra por la puerta. Entra por un WhatsApp, un mail o una llamada. Y tu equipo es la puerta. Si no les enseñás a mirar antes de abrir, no hay candado que te salve.
El dato del cliente es prestado, no tuyo. Y la seguridad de tu negocio no es cara, es ordenada. Parte de ese orden es que todos sepan cuáles son las reglas del juego.
La capacitación de 30 minutos: el paso a paso que uso
Sentate con tu equipo un día tranquilo, no un sábado a las 13 con clientes esperando. Apagá los teléfonos y hacé esto, en este orden.
Primero: el enemigo más común (10 minutos)
No les hables de hackers rusos. Hablales de lo que ven todos los días. Mostrales un ejemplo real de cada uno de estos tres ataques:
- El mail trampa: el que dice que hay un problema con una cuenta y te pide que entres por un link. Contales que el banco o Mercado Pago jamás te pide la clave por mail. Si tenés un ejemplo de los que te llegaron al negocio, mostralo.
- El comprobante falso: el que te manda una foto de una transferencia que nunca se acreditó. La regla de oro es una sola: no se entrega nada hasta que el dinero esté en la cuenta. Mirá cómo detectar un comprobante falso antes de entregar el producto.
- La llamada del «soporte»: el que dice ser del banco, de Meta o de una empresa de tecnología y pide acceso remoto o códigos. La regla: nadie que te llame te va a pedir un código. Nunca. Cortá y llamá vos al número oficial.
Este es el momento de contarles que el phishing dirigido a tu negocio es la puerta de entrada a los problemas más grandes.
Segundo: la regla de las dos preguntas (10 minutos)
Enseñales a frenar antes de actuar. Ante cualquier pedido raro, que se hagan dos preguntas:
- ¿Me está pidiendo esto por un canal que no es el oficial? Si el banco te escribe por WhatsApp, es una estafa. Si un proveedor te cambia el número de cuenta por mail, llamalo por teléfono para confirmar.
- ¿Me está pidiendo un código, una clave o plata? Si la respuesta es sí, no es el banco, no es un cliente, no es un proveedor. Es un ladrón.
Que lo repitan en voz alta. Que lo escriban en un papel y lo peguen al lado de la caja. Esa es la capacitación.
Tercero: el doble factor, el cinturón de seguridad (10 minutos)
La mejor capacitación no sirve si la cuenta del negocio no tiene el doble factor activado. Porque si un empleado cae en una estafa, el doble factor es lo que te frena el desastre.
El doble factor es el cinturón de seguridad del negocio. No es opcional. Es la diferencia entre que te roben la cuenta y que el ladrón se quede mirando la puerta cerrada.
Si todavía no lo activaste en las cuentas principales, pará esta lectura y andá a hacerlo. Te dejo la guía para activar la verificación en dos pasos.
Lo que no puede faltar en tu capacitación: las contraseñas
Si tu equipo comparte la clave de Instagram o de Mercado Pago por WhatsApp, tenés un problema más grande que la falta de capacitación. Tenés un problema de orden.
Contales que la clave no se comparte por chat. Nunca. Y si necesitan compartir accesos, que usen un gestor de contraseñas. Hay gratis y son seguros. Te explico cómo dejar de compartir la clave por WhatsApp y ordenar este desastre.
El simulacro que te salva (opcional, pero recomendado)
Si querés ir un paso más allá, mandale a tu equipo un mail falso. Uno que diga «tenés un paquete pendiente» o «tu factura de luz está vencida». Y fijate quién hace clic.
No lo hagas para retar a nadie. Hacelo para ver dónde está el hueco. Después, con eso, reforzás la capacitación. Es como el simulacro de incendio: no esperás a que se queme el local para saber si saben salir.
La frecuencia: no es un evento único
Una capacitación de 30 minutos no te salva para siempre. Los estafadores cambian la modalidad cada dos meses. Lo que funcionaba en enero, en marzo ya no funciona.
Mi recomendación: una vez por mes, en la reunión de equipo, dedicá 10 minutos a mostrar una estafa nueva. Hay alertas de la UFECI y de la policía cibernética que salen seguido. No hace falta más que eso. Diez minutos para mantener el reflejo.
Y una cosa más: cada vez que un cliente te diga «a mí no me va a pasar», anotá la fecha. Siempre vuelven. Mejor que vuelvan a comprarte, no a pedirte ayuda después de un fraude.
¿Cuánto tiempo necesito para capacitar a mi equipo contra estafas?
Con 30 minutos bien usados alcanza para lo básico. Lo importante es la frecuencia: 10 minutos por mes para repasar modalidades nuevas es más efectivo que una charla de dos horas que nadie recuerda.
¿Qué es lo primero que tengo que enseñarle a mi equipo?
Que nadie legítimo te va a pedir un código, una clave o plata por un canal no oficial. Esa es la base. Después, que no se entrega un producto hasta que la transferencia esté acreditada en la cuenta.
¿Cómo hago para que mi equipo no caiga en un phishing?
Mostrales ejemplos reales de mails truchos. Que aprendan a mirar el remitente, el link y la urgencia. Y que ante la duda, no hagan clic: pregunten. La regla de las dos preguntas (¿canal oficial? ¿me pide un código o plata?) es infalible.
¿Qué hago si un empleado ya cayó en una estafa?
Primero, no lo retes. Segundo, actuá rápido: cambiá las contraseñas de las cuentas comprometidas, activá el doble factor y avisá al banco o plataforma por el canal oficial. Después, usá el caso como ejemplo para capacitar al resto.
¿Necesito contratar un servicio de seguridad para capacitar a mi equipo?
No. La capacitación más efectiva es la que das vos, con ejemplos de tu propio rubro. Lo que necesitás es orden y constancia. Las herramientas gratis (doble factor, gestor de contraseñas) son más que suficientes para empezar.
Esta semana, sentate 20 minutos con tu equipo. No hace falta más. Mostrales un comprobante trucho, un mail de phishing y la regla de las dos preguntas. Después, activá el doble factor en las tres cuentas más importantes del negocio si todavía no lo hiciste. Ese es el orden. Eso es todo. 🔒
Cada negocio es distinto; tomá esto como guía y, ante un fraude o filtración en curso, contactá los canales oficiales y, si corresponde, hacé la denuncia.
Asesora de pymes, cinco años en el soporte de una fintech. Escribe sobre datos de clientes, antifraude y seguridad del negocio, en criollo.
Mas sobre Lucía Sandoval
Lucía trabajó cinco años en el soporte de una fintech, atendiendo a comercios que se comían fraudes, contracargos y cuentas hackeadas. Vio de todo, y vio que casi siempre se podía evitar. Ahora asesora a pymes y emprendedores para que protejan los datos de sus clientes y la plata del negocio sin volverse locos ni gastar una fortuna. No promete blindajes mágicos: enseña lo que de verdad mueve la aguja. Voz de Negocio Blindado, con asistencia de IA.
