Loterías del Estado obliga a sus empleados a formarse en ciberseguridad ante el aumento de hackeos
- El factor humano, en el centro del riesgo
- Un programa online y continuado durante un año
- Phishing, fraude y protección de datos
- La marca Loterías, objetivo de estafas
- Externalización y control de resultados
- El error humano
Loterías del Estado ha puesto en marcha un programa obligatorio de formación en ciberseguridad para toda su plantilla, como respuesta al aumento sostenido de los ataques digitales contra organismos públicos y del uso fraudulento de su marca en estafas online.
La iniciativa, que se desarrolla de forma telemática y durante un periodo de doce meses, alcanza a cerca de 600 empleados, y busca reforzar la protección de los sistemas internos frente a amenazas como phishing, fraudes digitales, ransomware y el uso indebido de datos personales, según ha podido saber Confidencial Digital.
El factor humano, en el centro del riesgo
La decisión de la Sociedad Estatal Loterías y Apuestas del Estado (SELAE) no es aislada. Llega en un contexto en el que las administraciones públicas se han convertido en uno de los principales objetivos de los ciberdelincuentes en España.
Los datos del Centro Criptológico Nacional (CCN-CERT) muestran que el 34% de los ciberataques registrados en el país se dirigen contra organismos públicos, una proporción que no ha dejado de crecer en los últimos años.
En 2022, los sistemas del sector público sufrieron 55.000 incidentes de seguridad, cifra que en 2023 se disparó hasta los 107.000 ataques.
La tendencia no se moderó en 2024: solo en los dos primeros meses del año ya se contabilizaron 25.000 agresiones digitales, lo que supone un incremento del 190% respecto al mismo periodo del año anterior.
Este escenario ha llevado a reforzar las estrategias de defensa, poniendo el foco, no solo en la tecnología, sino también en el comportamiento de los empleados.
Un programa online y continuado durante un año
El plan diseñado por SELAE se articula a través de una plataforma de aprendizaje online externa.
La modalidad telemática permite que los contenidos sean accesibles desde cualquier dispositivo con conexión a internet, y sin necesidad de instalaciones locales, un aspecto clave para garantizar la participación de toda la plantilla.
La carga está limitada a una hora mensual por usuario, pero se extiende durante un año completo, lo que convierte el programa en una acción continuada de concienciación, no en un curso puntual.
El objetivo es reforzar hábitos seguros de forma progresiva, con evaluaciones periódicas, control del progreso y pruebas finales de conocimientos.
Phishing, fraude y protección de datos
Los contenidos incluidos responden a los principales vectores de ataque detectados en el ámbito público.
Entre ellos figuran el uso seguro del correo electrónico, la ingeniería social, las campañas de phishing, el malware, el ransomware, la seguridad en la nube, el teletrabajo, el fraude del CEO y la protección de datos conforme al RGPD, además de los principios del Esquema Nacional de Seguridad.
El enfoque es eminentemente práctico. El programa se basa en casos reales y simulaciones, evitando modelos teóricos tradicionales y recurriendo a recursos audiovisuales, ejercicios interactivos y dinámicas de gamificación.
La finalidad es que los empleados identifiquen situaciones de riesgo en su trabajo diario y sepan cómo reaccionar ante ellas.
La marca Loterías, objetivo de estafas
El refuerzo interno de la ciberseguridad se produce, además, en un momento en el que Loterías del Estado es utilizada de forma recurrente como gancho en fraudes digitales dirigidos a ciudadanos.
En campañas recientes, coincidiendo con sorteos como el de Navidad, se han detectado webs falsas, suplantaciones de identidad y estafas vinculadas a la venta de décimos o a supuestos premios, tal y como ha venido informando Confidencial Digital.
Aunque estas estafas se dirigen principalmente a usuarios externos, la exposición permanente a ese tipo de amenazas incrementa el riesgo para los sistemas internos, especialmente cuando los ataques se apoyan en técnicas de ingeniería social o en correos electrónicos fraudulentos que imitan comunicaciones oficiales.
Externalización y control de resultados
SELAE ha optado por externalizar el desarrollo completo del programa, incluyendo la gestión de accesos, la atención a incidencias, la emisión de certificados y la elaboración de informes de seguimiento.
Cada mes, la empresa adjudicataria deberá entregar reportes estadísticos sobre el nivel de participación, el grado de avance y las posibles incidencias detectadas.
Al finalizar el contrato, se elaborará un informe ejecutivo final, con datos agregados sobre el rendimiento del programa, el nivel de cumplimiento de los objetivos, y el grado de satisfacción de los empleados, sin que en ningún caso se expongan datos personales individuales.
El error humano
El refuerzo de la concienciación interna conecta con una tendencia más amplia en materia de seguridad digital.
Expertos del sector advierten de que el error humano sigue siendo uno de los principales puntos de entrada de los ciberataques, incluso en organizaciones con sistemas tecnológicos avanzados.
La combinación de presión económica, uso malicioso de la inteligencia artificial y sofisticación del ransomware está elevando el nivel de amenaza, especialmente en sectores críticos como las administraciones públicas.