Pensemos en el mensaje que manda el banco cuando detecta una compra que no encaja con nuestros hábitos. Trae el monto, el comercio y una pregunta, ¿reconoces esta compra?, con dos respuestas posibles. No explica cómo funciona el fraude con tarjetas ni pide entrar a ningún sitio a verificar datos, así que lo leemos entero en la pantalla bloqueada, respondemos con un toque y seguimos con lo que estábamos haciendo. ¿Qué tiene de especial? Poco, en realidad. Funciona porque hace una sola cosa y la hace en el momento, y eso es lo mismo que le pedimos a un nudge.
Sobre cuándo tiene que llegar un nudge ya hablamos en otro artículo, y el momento sigue siendo una parte central del trabajo. Aquí vamos a ocuparnos de la otra parte, que es cómo escribir un nudge de ciberseguridad para que se lea. Un nudge que llega a tiempo pero está redactado como una circular se lee como una circular, y termina archivado igual.
¿Qué tiene que hacer el texto de un nudge?
Un nudge es un mensaje breve que busca inclinar una decisión de seguridad hacia el lado que cuida a la persona, sin obligarla a nada y mientras esa decisión todavía está abierta. La definición ya dice bastante sobre cómo tiene que estar escrito. Como no obliga a nada, solo funciona si la persona lo entiende enseguida, en los pocos segundos que le dedica a una notificación.
Por eso el texto de un nudge tiene una tarea principal, que es plantear una pregunta atada al hecho que disparó el mensaje, que la persona pueda responder en el momento. Si comparamos “recuerde revisar periódicamente sus movimientos” con “¿reconoces esta compra?”, vemos que la primera frase describe una buena costumbre mientras que la segunda plantea algo que se puede responder ahora mismo. En seguridad pasa lo mismo, y cuando un nudge empieza con “recuerda que es importante verificar los remitentes”, la persona que lo recibe reconoce enseguida el tono de la política y lo trata como un aviso de tantos.
La tentación de decirlo todo en un solo mensaje es grande, porque el espacio parece poco y el tema da para mucho. Ahora bien, lo que no entra en el nudge tiene su lugar en otra parte del programa, ya que la explicación de fondo está en los contenidos y la corrección después del error está en los Momentos Educativos. El nudge puede ser incompleto porque no trabaja solo.
Un ejemplo de cómo escribir un nudge de ciberseguridad
Supongamos que creamos una campaña de simulación de phishing con un correo que imita una factura pendiente, y configuramos un nudge para que llegue en el momento en que se envía la campaña. La primera versión que suele salir se parece a esta:
“Recordatorio de seguridad: según la política vigente, antes de abrir cualquier adjunto es importante verificar que el remitente sea confiable y que el correo sea legítimo.”
¿Dónde falla? Lo que dice es correcto, pero obliga a leer una oración larga para llegar a una instrucción genérica. Además, cita la política en lugar de hablarle a la persona y no se relaciona con nada de lo que tiene en su bandeja en ese momento. Si la reescribimos con una sola pregunta atada al hecho, queda más cerca de esto:
“¿Te llegó una factura que no esperabas? ¿Reconoces a quien la envía?”
La segunda versión se entiende completa en la vista previa, nombra algo que la persona puede reconocer en su bandeja y plantea una duda que se resuelve en un segundo. No menciona la simulación ni la política, porque su trabajo es que la persona se detenga antes del clic, y para eso alcanza con que se haga una pregunta en el momento indicado. Si aun así hace clic, ahí entra el Momento Educativo, que es donde tiene sentido explicar qué pasó y cómo reconocer el engaño la próxima vez.
¿Qué tipos de nudges hay según el mecanismo que usan?
Dos nudges disparados por el mismo hecho pueden empujar de maneras muy distintas, y elegir el mecanismo antes de escribir es lo que ordena todo lo demás. Tres mecanismos alcanzan para ver la diferencia:
| Mecanismo | Qué hace | Cuándo rinde | Un ejemplo | Dónde se pasa de la raya |
|---|---|---|---|---|
| Emocional | Apela a lo que la persona quiere cuidar | Cuando la acción protege algo cercano: sus datos, su equipo, su trabajo | “Detrás de tu contraseña también está el trabajo de tu equipo.” | Cuando cuidar se convierte en asustar |
| Social | Se apoya en lo que hace el entorno | Cuando la conducta ya es común y tiene sentido hacerla visible | “Cuando alguien de tu equipo reporta un correo sospechoso, el resto gana tiempo.” | Cuando el dato no es cierto o suena a vigilancia |
| Visual | Muestra el gesto en lugar de describirlo | Cuando la acción depende de encontrar un botón o una señal | Una captura del botón de reporte con la línea “Aquí está, por si lo necesitas” | Cuando la imagen no se ve en el canal elegido |
Elegir un solo mecanismo por nudge ordena el resto del texto. Cuando un mensaje intenta emocionar, mostrar lo que hace el resto del equipo y explicar dónde está el botón al mismo tiempo, termina largo y sin dirección, y la persona no sabe con cuál de las tres cosas quedarse. Si el disparador da para más de un mecanismo, es mejor escribir dos nudges distintos y alternarlos que sumarlos en uno.
El mecanismo social tiene una condición que los otros no tienen, y es que solo funciona si lo que afirma es cierto en esa organización. Decir que “la mayoría ya reporta” cuando no es así es algo que la persona puede contrastar con lo que ve a su alrededor. Y cuando el dato no coincide, deja de creerle también al resto de los mensajes. Si no hay un número que respalde la frase, la alternativa es hablar de lo que se espera del equipo, que es algo que el programa sí puede afirmar.
Cuando el nudge felicita en lugar de corregir
Solemos pensar en el nudge como algo que frena un error, pero una parte de los disparadores son conductas que salieron bien, como reportar una simulación de phishing, completar un contenido o aprobar un examen. En esos casos el mensaje no tiene nada que corregir, y aun así cumple una función importante, que es hacerle saber a la persona que ese gesto se vio y que era el correcto.
El riesgo aquí es el agradecimiento genérico. “¡Gracias por tu participación!” se lee como un texto automático, igual para cualquier persona que lo reciba, y no refuerza nada porque no nombra nada concreto. El reconocimiento que funciona dice qué hizo la persona y por qué sirve, por ejemplo: “Reportaste la simulación de hoy con el botón. Eso es lo que hay que hacer con un correo que pide algo inesperado, y es lo que nos permite reaccionar a tiempo cuando el correo es real”.
Este tipo de nudge sostiene algo que se pierde con facilidad, que es la sensación de que reportar tiene sentido. Cuando una persona reporta y no recibe ninguna respuesta, el hábito se va apagando sin que haya una decisión de por medio, y un mensaje breve en el momento es la forma más sencilla de evitarlo. Además, se apoya en una idea que atraviesa todo el programa, porque la concienciación que cuida se construye más con lo que la persona hace bien que con la lista de lo que hizo mal.
¿Cómo cambia el texto de un nudge según el canal?
El mismo nudge no se lee igual en una bandeja de entrada que en un chat de trabajo, y por eso cada canal necesita su propio título y su propio texto. En el correo, el asunto es la parte del nudge que más personas van a leer, y muchas veces la única, así que tiene que funcionar por sí solo. “Aviso de seguridad” es un asunto que no dice nada, mientras que “¿Te llegó una factura que no esperabas?” ya plantea la pregunta importante antes de que la persona abra el mensaje.
En Slack o en Microsoft Teams el mensaje aparece en el mismo espacio donde se conversa con el equipo, y eso cambia el registro. Un texto con tono de comunicado se siente fuera de lugar entre dos mensajes de trabajo, mientras que uno más corto y directo se lee como lo que tiene que ser, alguien del equipo que avisa algo útil. Además, estos canales admiten una imagen, que es donde el mecanismo visual encuentra su mejor lugar.
Una práctica que ayuda es escribir primero la versión más corta, la del título o el asunto, y después el cuerpo. Si la versión corta no se entiende sola, agregar texto abajo no lo resuelve, porque la persona que decidió con la vista previa ya no va a leerlo.
¿Qué no debería decir nunca un nudge?
Hay mensajes que se escriben con la mejor intención y terminan trabajando en contra. La mayoría cae en alguna de estas familias:
- El que asusta. “Tu cuenta podría estar comprometida” consigue atención por un instante y deja detrás una sensación de amenaza que la persona asocia con el programa. El objetivo es que la persona sepa reconocer la trampa, y el miedo le enseña más bien a esquivar los mensajes que se la recuerdan.
- El que reprocha. “Otra vez hiciste clic en un enlace de phishing” le habla a la persona como si el error fuera un rasgo suyo. El error es algo puntual y el mensaje tiene que tratarlo así, contando qué pasó y qué hacer la próxima vez.
- El que cita la política. “Según la política de seguridad vigente” traslada la conversación del cuidado a la norma, y quien lo lee escucha una advertencia formal donde esperaba un consejo.
- El que habla en jerga. Términos como “dominio spoofeado” o “vector de ataque” son precisos para quien trabaja en seguridad y opacos para buena parte de la organización, y un nudge que hay que descifrar pierde el poco tiempo de atención que tenía.
- El que se parece a un phishing. Es la familia más delicada, porque un nudge por correo con urgencia, un logo y un botón de “verificar ahora” enseña a hacer lo contrario de lo que busca el programa. El mensaje del banco también funciona por lo que no hace, que es pedir la clave o enviarnos a un enlace, y un nudge de seguridad tiene que ser igual de reconocible por lo que no pide.
¿Cómo se revisa un nudge antes de activarlo?
Antes de activar un nudge, es útil leerlo como lo va a leer la persona, en el canal real y con el poco tiempo que le va a dedicar. Estas preguntas ayudan a detectar la mayoría de los problemas:
- ¿Se entiende con lo que se ve en la vista previa, sea el asunto del correo o el título del chat?
- ¿Plantea una sola cosa y se puede resolver ahí mismo?
- ¿Nombra el hecho concreto que lo disparó, o podría haberle llegado a cualquier persona en cualquier momento?
- ¿Alguien podría confundirlo con un ataque?
- ¿Lo enviaría así una persona a alguien de su equipo?
En SMARTFENSE, los Nudges incluyen una galería de mensajes predefinidos con varias opciones para cada disparador, y cada opción usa un mecanismo distinto para influir en el comportamiento, como el emocional, el social o el visual, entre otros. Así se puede elegir el mecanismo sin escribir desde cero.
Cuando hace falta ajustar el texto a la forma en que se habla en la organización, cada nudge se puede personalizar por completo, con su título y su mensaje para correo, Slack y Microsoft Teams, y en cada idioma. Antes de activarlo, se puede enviar una prueba al propio correo para verlo tal como lo va a recibir la persona, que es la forma más directa de revisarlo.
Si después queremos saber si un nudge está cambiando algo, la medición tiene sus propios métodos. Una buena idea es usarlos para comparar mecanismos, porque el texto que mejor suena en una reunión puede no ser el que más personas leen.
Una pregunta y dos respuestas
En definitiva, el mensaje del banco funciona porque respeta el poco tiempo que le damos, nos pide algo que podemos hacer con un toque y nunca nos pide lo que pediría quien intenta estafarnos. Un nudge de seguridad bien escrito se parece más a ese mensaje que a cualquier comunicado formal. La próxima vez que tengamos que escribir uno, antes de pulir la frase, preguntémonos si alguien podría responderlo desde la pantalla bloqueada. Si la respuesta es sí, el nudge ya está haciendo su trabajo.
Deja una respuesta