Los New York Knicks realizan controvertida prueba de phishing usando oferta falsa de anillos de campeonato

Image: Ars Technica · Source

Los New York Knicks evaluaron la conciencia en ciberseguridad de sus empleados mediante un correo phishing que prometía anillos gratuitos del campeonato NBA, lo que derivó en capacitación obligatoria para quienes hicieron clic en el enlace, según informes.

En un notable ejemplo de prueba corporativa de ciberseguridad, la organización New York Knicks envió un correo electrónico de phishing a sus empleados a finales de septiembre prometiendo anillos gratuitos del campeonato NBA. El correo invitaba a los destinatarios a elegir entre dos diseños de anillos a través de un enlace proporcionado, afirmando que el anillo era una recompensa gratuita conmemorando el primer título NBA de la franquicia en más de 50 años.

Esta prueba tenía como objetivo medir la capacidad de los empleados para detectar correos sospechosos que imitan comunicaciones legítimas de la empresa, una práctica común entre organizaciones que buscan mejorar la conciencia en ciberseguridad. Sin embargo, la elección de una recompensa sentimental y potencialmente valiosa—un anillo de campeonato—hizo que este ejercicio de phishing fuera inusual y, según fuentes internas, particularmente severo.

Los empleados que hicieron clic en el enlace de phishing posteriormente tuvieron que asistir a una capacitación obligatoria en ciberseguridad impuesta por James Dolan, propietario del Madison Square Garden, reflejando la creciente atención a la ciberseguridad dentro de la organización.

Por lo general, las empresas diseñan pruebas de phishing con señales evidentes que indican estafa, como dominios de remitente mal escritos, pero el enfoque de los Knicks fue más sofisticado. La plausibilidad del correo se reforzaba por el hecho de que muchos empleados de equipos NBA reciben anillos de campeonato, aunque usualmente menos ornamentados que los entregados a los jugadores.

Según Joe Vardon, escritor senior de la NBA para The Athletic, el correo de prueba incluía una imagen gráfica con dos estilos de anillos diferentes—"Championship Gold" y "Garden Classic"—y aseguraba a los empleados que los anillos serían personalizados y sin costo alguno.

Esta simulación de phishing coincidió con un periodo en que asistentes técnicos reales de los Knicks participaron en una ceremonia de banderas de campeonato sin recibir anillos, lo cual generó decepción interna, ya que los pedidos y personalizaciones de anillos suelen tomar tiempo. Algunos empleados veteranos del Madison Square Garden no recibirán anillos en absoluto, lo que subraya el ambiente delicado en torno a este gesto.

Múltiples fuentes del equipo confirmaron que el correo realmente formaba parte de una prueba de phishing, pero detalles como la cantidad de empleados que interactuaron con la prueba o la posibilidad de eventualmente recibir anillos permanecen sin divulgarse. Se intentó obtener comentarios oficiales de Madison Square Garden Sports, pero no hubo respuesta al momento de redactar esta nota.

Este incidente resalta el delicado equilibrio que las empresas deben mantener entre una capacitación efectiva en ciberseguridad y la moral de los empleados, especialmente cuando se usan incentivos emocionalmente cargados como señuelo en simulaciones de phishing.