Imagina este mensaje: "Hola, necesito que me ayudes con algo urgente, no puedo hablar por teléfono ahora mismo pero necesito que hagas una transferencia antes de las 3pm. Te explico después." Firmado, aparentemente, por el pastor. Llega por WhatsApp, desde un número que no reconoces del todo, con el tono exacto que usaría él en una emergencia real.
Ese mensaje —o una variación de él— ya llegó a decenas de iglesias hispanohablantes. No porque alguien hackeó ningún sistema complejo. Porque alguien entendió algo simple: en una iglesia, la gente confía rápido y cuestiona poco cuando cree que está ayudando a su pastor.
El fraude dirigido a iglesias casi nunca es técnico
Cuando pienso en ciberseguridad, mi instinto —después de dieciocho años en el terreno— es hablar de vulnerabilidades de software, de cifrado, de firewalls. Pero eso rara vez es lo que le pasa a una congregación. El ataque más común contra una iglesia no explota una debilidad técnica. Explota una relación de confianza que ya existía antes de que la tecnología entrara en la ecuación.
A esto se le llama suplantación de identidad, o phishing cuando llega por correo. El mecanismo es siempre el mismo: alguien se hace pasar por una persona de autoridad o de confianza —el pastor, el tesorero, un líder reconocido— y usa esa confianza para pedir algo que normalmente nadie cuestionaría con calma: una transferencia, una contraseña, información de un miembro.
Un patrón que se repite de iglesia en iglesia
El mensaje casi siempre sigue la misma estructura, con variaciones menores: llega fuera del horario habitual, cuando es más difícil confirmar con alguien más. Usa un tono de urgencia genuina, a veces incluso citando una situación creíble —"estoy en el hospital con un familiar", "estoy en una reunión y no puedo salir". Y pide algo que suena razonable en el momento, pero que ninguna persona pediría normalmente por ese canal: dinero, una contraseña, o acceso a un sistema.
Lo que hace efectivo este patrón no es sofisticación técnica. Es que aprovecha exactamente la cultura de confianza y disposición a ayudar que una iglesia sana debería tener. El objetivo no es volverte desconfiado de tu propia gente. Es reconocer el patrón para que, la próxima vez que aparezca, sepas qué hacer antes de actuar.
Las iglesias comparten accesos entre varios voluntarios, rara vez tienen personal dedicado a tecnología, y publican mucha información pública —horarios, nombres de líderes, fotos de eventos— que facilita construir un mensaje convincente. No es descuido. Es simplemente cómo operan la mayoría de las congregaciones, y un estafador lo sabe.
Las tres señales de alerta que sí puedes reconocer
La urgencia sintética. "Necesito esto antes de las 3pm", "no puedo hablar ahora, solo escribe", "es confidencial, no le digas a nadie más". La urgencia real casi nunca viene empaquetada así. Es una de las herramientas más usadas en fraude porque corta el tiempo que alguien tendría para pensar con calma.
El canal inusual. Un mensaje "del pastor" que llega por un número nuevo, un correo que parece del banco pero viene de un dominio ligeramente distinto, una llamada de alguien que dice representar a la plataforma de donativos. Cuando el canal cambia sin explicación, es momento de verificar por otra vía.
La petición que evita verificación. Cualquier mensaje que te pida explícitamente no confirmar con nadie más, o que insista en que uses un solo canal para responder, está diseñado para que no puedas comprobar si es real.
"El prudente ve el mal y se esconde; mas los simples pasan y llevan el daño."
Proverbios 22:3 (Reina-Valera 1960)Verificar no es desconfianza. Es prudencia.
Aquí es donde algunos líderes dudan: sienten que verificar un mensaje "del pastor" es una falta de respeto o de fe. No lo es. Verificar por un segundo canal —una llamada rápida, un mensaje directo fuera del hilo original— no cuestiona el carácter de nadie. Cuestiona el canal, que es exactamente donde vive el riesgo.
La regla más simple que puedes implementar hoy es esta: cualquier petición de dinero o de información sensible se confirma siempre por un canal distinto al que llegó. Si el mensaje llegó por WhatsApp, la confirmación es una llamada. Si llegó por correo, la confirmación es en persona o por teléfono. Nunca uses el mismo canal para verificar el mismo canal.
- Anuncia públicamente un único canal oficial para pedir donativos o información — así cualquier otro canal es automáticamente sospechoso.
- Establece la regla de "verificación por segundo canal" para cualquier petición de dinero o datos, y comunícala a todo el equipo de liderazgo.
- Nunca compartas contraseñas o credenciales por correo o mensaje directo, sin excepción, sin importar quién lo pida.
Esto no es pánico. Es mayordomía puesta en práctica. Tu gente confía en ti para proteger lo que les importa, y eso incluye protegerlos de alguien que se disfraza de confianza para hacerles daño.