En la era digital, los departamentos de recursos humanos se enfrentan a una amenaza creciente: los ataques de phishing con temática de recursos humanos. Estos ataques se dirigen a información confidencial y son cada vez más comunes. En este artículo, exploramos el aumento de las estafas de phishing de RRHH y ofrecemos consejos sobre cómo identificarlas y responder a ellas, incluidos ejemplos de correos electrónicos de phishing de RRHH.

Para los profesionales de recursos humanos, también puede aprender cómo sus departamentos pueden mejorar las estrategias de comunicación para fortalecer las defensas contra esta creciente amenaza. Es importante mantener la cautela ante este desafío creciente.

Aumento de los ataques de phishing con temática de recursos humanos

El aumento de los ataques de phishing con temática de recursos humanos es una tendencia preocupante que pone de manifiesto la evolución de las tácticas de los ciberdelincuentes. Según un estudio de 2023 de IBM Global Security, el phishing es la principal causa de violaciones de datos corporativos y uno de los ciberataques más costosos.

Los correos electrónicos de phishing suelen utilizar temas relacionados con los recursos humanos, como los cambios en el código de vestimenta o las políticas de vacaciones, y suelen imitar las comunicaciones urgentes, como las notificaciones de TI, las alertas de servicio y los problemas relacionados con los impuestos. Estos correos electrónicos también causan daño emocional a los empleados. Los empleados a menudo perciben las comunicaciones de RRHH como confiables, lo que los hace más susceptibles a los intentos de phishing.

¿Qué hacer si sospechas de phishing?

Si sospechas que se trata de correos electrónicos de phishing de recursos humanos, es crucial tomar medidas inmediatas y cautelosas para minimizar los riesgos potenciales. En primer lugar, no interactúes con el correo electrónico sospechoso ni hagas clic en ningún enlace incluído. Evita descargar archivos adjuntos o proporcionar información personal. Para garantizar la legitimidad del correo electrónico, pónte en contacto directamente con el supuesto remitente a través de un método de confianza. Ten cuidado al recibir correos electrónicos, incluso si parecen provenir de una fuente familiar. Los ciberdelincuentes suelen utilizar tácticas sofisticadas para hacerse pasar por entidades de confianza.

Si recibes un correo electrónico sospechoso de phishing de recursos humanos, repórtalo de inmediato al equipo de TI o de seguridad de tu organización. Proporcione detalles sobre la naturaleza del correo electrónico y cualquier información relevante. Muchas empresas tienen canales específicos para denunciar correos electrónicos de phishing, lo que contribuye a un esfuerzo colectivo para fortalecer las defensas de la organización.

Después de informar el mensaje sospechoso, se recomienda eliminarlo para evitar abrir accidentalmente el mensaje en el futuro. En muchos programas de correo electrónico, cuando se elimina un mensaje, se mueve a una carpeta especial llamada “Papelera” o “Elementos eliminados”. Si es posible, vaya a esa carpeta y elimine el mensaje allí también. No reenvíes correos electrónicos de phishing de RRHH ni mensajes sospechosos a tus compañeros, ya que esto podría llevarles involuntariamente a hacer clic en un enlace peligroso o a descargar un archivo adjunto.

Ejemplo de correo electrónico de phishing de RRHH

En aras de la comprensión, compartimos ejemplos de correos electrónicos de phishing de recursos humanos de alguien que se hace pasar por un departamento de recursos humanos (en este caso de la Universidad de Virginia Commonwealth) para demostrar las tácticas engañosas utilizadas por los ciberdelincuentes. Al revisar estos escenarios, los empleados y los profesionales de recursos humanos pueden mejorar su conocimiento y capacidad para identificar posibles amenazas.

Fax de RRHH. Fuente: Documento compartido de recursos humanos con usted

Los atacantes intentan engañarnos incluyendo los nombres de organizaciones conocidas como vcu.edu y Microsoft. Sin embargo, un correo electrónico auténtico de RRHH de VCU no seguiría este formato en particular. Hay varios indicadores de que este correo electrónico es un intento de phishing, incluida la redacción inusual, una advertencia en la línea que dice “Ha recibido 9 páginas de mensaje de fax electrónico corporativo de (154787787622)”. La falta de ortografía de “recibido”, los espacios adicionales y un carácter arbitrario al final también levantan sospechas.

Cómo RRHH debe adaptarse al auge del phishing a través de las comunicaciones de RRHH

Para reforzar las defensas contra los ataques de phishing por correo electrónico, los departamentos de RRHH deben adaptar sus estrategias de comunicación. Hay varios pasos que pueden tomar los equipos de RRHH para fortalecer su postura general de ciberseguridad.

Programas de capacitación para empleados

Se debe priorizar los programas integrales de capacitación de los empleados para enseñar al personal cómo reconocer y responder a los intentos de phishing por correo electrónico. Equipe a los empleados con las habilidades para identificar correos electrónicos sospechosos y verificar la legitimidad de la comunicación. Esto formará parte de una cultura de concienciación sobre la ciberseguridad.

Implementar protocolos de verificación estrictos

RRHH también debe establecer protocolos de verificación estrictos para todas las solicitudes de información confidencial y enfatizar la necesidad de verificar la autenticidad de dichas solicitudes a través de canales confiables.

Actualice las amenazas emergentes y proporcione directrices claras

Además, el departamento de RRHH debe mejorar los canales de comunicación interna para compartir alertas oportunas sobre las tácticas de phishing prevalentes y reforzar las medidas de seguridad. Actualice regularmente a los empleados sobre las amenazas emergentes y proporcione pautas claras sobre cómo informar correos electrónicos sospechosos con prontitud.

Colaborar con el departamento de TI

El departamento de recursos humanos trabaja en estrecha colaboración con el departamento de TI para compartir información sobre amenazas emergentes, campañas de phishing y posibles riesgos internos. Los departamentos de TI pueden ofrecer herramientas avanzadas de ciberseguridad para detectar y prevenir intentos de estafa en tiempo real, fortaleciendo las defensas contra las amenazas cibernéticas en evolución.

Nuestra opinión final

En conclusión, los empleados deben permanecer atentos: mantenerse informados y denunciar inmediatamente los correos electrónicos de phishing de RRHH. Y los profesionales de RRHH toman las medidas necesarias para reforzar su postura general de ciberseguridad.