Zepo: riesgo humano frente a la ingeniería social con IA
El correo dejó de ser el único canal. Hoy el mismo ataque llega por mensaje de texto,
por un código QR impreso, por una llamada con voz sintética o por una videollamada donde
la cara del director general no es la del director general. Un programa de concientización
que solo simula phishing por correo entrena para el ataque de hace diez años.
QMA opera Zepo Intelligence como plataforma de gestión del riesgo humano: simulación en los
canales que el atacante usa de verdad, formación que se dispara en el momento del error y
medición continua del riesgo por persona, por área y por organización.
El vector cambió y la mayoría de los programas no
La simulación de phishing por correo sigue siendo necesaria y ya no es suficiente. Las
campañas que funcionan hoy combinan canales: un mensaje de texto que prepara la llamada,
una llamada con voz clonada que pide urgencia, un enlace que llega por un canal donde nadie
espera un ataque. El empleado que aprueba en la simulación anual de correo puede no tener
ninguna preparación para eso.
Simulación en los canales reales
Campañas de ingeniería social por correo, mensaje de texto, código QR, voz con
inteligencia artificial y videollamada sintética. El ejercicio se parece al ataque, que
es la única forma de entrenar una decisión bajo presión.
Formación en el momento del error
El contenido no se asigna por calendario sino por lo que cada persona acaba de hacer.
Cursos de fondo y píldoras cortas, con adaptación al perfil de riesgo de quien las
recibe.
Medición continua del riesgo
Perfil de exposición por persona, por equipo y por rol, que evoluciona con cada
interacción en lugar de quedarse en la foto de la campaña del trimestre pasado.
Cómo lo opera QMA
La plataforma es de Zepo. El programa es de QMA. La diferencia práctica está en quién define
el calendario de campañas, quién interpreta los resultados frente a la dirección y quién
convierte el reporte en una decisión.
Diseño del programa
Definición del alcance, segmentación por área y por nivel de exposición, y calendario de
campañas alineado a los momentos de riesgo reales de la organización, como los cierres
contables o las temporadas de alta rotación.
Operación de las campañas
Ejecución, seguimiento y ajuste. Las campañas se afinan con el resultado de la anterior,
de modo que el programa sube de dificultad conforme la organización mejora.
Reporte para dirección y para auditoría
Evidencia documentada de la formación impartida y de los resultados por área. Sirve para
el expediente de cumplimiento y para sustentar la renovación de un seguro cibernético.
Integración con el resto del programa
El reporte del usuario que detecta un intento alimenta la operación de seguridad. Un
empleado que reporta a tiempo es un sensor, y esa señal vale tanto como la de una
herramienta.
Zepo y Kymatio: para qué sirve cada uno
QMA opera las dos plataformas y no son intercambiables. La elección depende de qué necesita
resolver la organización, no de cuál está de moda.
| Necesidad | Plataforma |
|---|---|
| Entrenar la reacción ante un ataque de ingeniería social en varios canales, incluidos voz y video sintéticos | Zepo |
| Medir el perfil de exposición de cada persona y construir el programa a partir de esa evaluación | Kymatio |
| Sumar concientización a una operación que ya corre sobre una plataforma de protección instalada | Módulo de Acronis |
En organizaciones grandes las dos primeras se combinan: la evaluación define a quién hay que
entrenar y con qué prioridad, y la simulación comprueba si el entrenamiento funcionó.
Sobre el fabricante
Zepo Intelligence es una empresa europea con sede en Madrid y presencia en Nueva York, Tel
Aviv y Ciudad de México. Su plataforma opera en modalidad de servicio en la nube y mantiene
certificaciones de gestión de seguridad de la información, de calidad y de gestión del
servicio, además de cumplimiento del reglamento europeo de protección de datos.
Las certificaciones citadas corresponden al fabricante de la plataforma. QMA mantiene un
acuerdo comercial vigente con Zepo Intelligence para la comercialización y el soporte de sus
productos en México.
¿Su programa de concientización entrena para el ataque de hoy?
Si la última simulación fue un correo con un enlace falso y el resultado se archivó en una
hoja de cálculo, hay una brecha entre lo que se entrena y lo que se enfrenta. El diagnóstico
inicial no tiene costo y parte de una campaña de referencia sobre su población real.