Uso: copia y pega, rellena los campos
[ENTRE CORCHETES]y envía YA. Objetivo: reducir daño (phishing/fraude), no “quedar bien”. Regla: si dudas, dilo. Lo peor es sonar seguro y luego corregir.
Asunto del email (elige 1)
Sin vender y sin eufemismos. Elige una de estas tres líneas:
Aviso importante de seguridad sobre tu cuenta en [EMPRESA]
Aviso de seguridad: posibles intentos de phishing relacionados con [EMPRESA]
Información de seguridad: estamos investigando un incidente
Preheader del email (una línea)
El preheader es lo segundo que se lee, antes de abrir. Que diga para qué sirve el correo, no que lo adorne:
Estamos investigando un incidente y queremos que sepas qué hacer para protegerte desde ya.
Cuerpo del email
Todo lo que hay dentro del bloque va al cliente, tal cual. Sustituye los campos [ENTRE CORCHETES] y borra las líneas que no apliquen.
Hola,
Te escribimos para avisarte de un incidente de seguridad que estamos investigando en [EMPRESA].
Ahora mismo, esto es lo que sabemos (y lo que no):
Qué ha pasado
- El [FECHA] detectamos [DESCRIPCION_CORTA_DE_LO_DETECTADO].
- En este momento no podemos confirmar todavía [LO_QUE_NO_PODEMOS_CONFIRMAR: alcance exacto / origen / si ha habido exfiltración].
- Lo que sí podemos decirte es que podrías recibir intentos de phishing o fraude haciéndose pasar por [EMPRESA].
Qué datos podrían estar implicados (según lo que sabemos hoy)
- [DATOS_QUE_PODRIAN_ESTAR_IMPLICADOS: email / nombre / teléfono / dirección / DNI / historial de pedidos].
- No se han visto indicios de exposición de: [DATOS_NO_EXPUESTOS: contraseñas en texto claro / datos completos de pago]. (Si no estás seguro, borra esta línea.)
Qué estamos haciendo
- Hemos [MEDIDAS_TOMADAS: bloqueado accesos / forzado reset de contraseñas / invalidado sesiones / reforzado detecciones / notificado a proveedores].
- Estamos trabajando con [EQUIPO: equipo interno / expertos externos] para determinar el alcance y cerrar cualquier vía de acceso.
- Si confirmamos nueva información relevante, te avisaremos por este mismo canal.
Lo importante: cómo protegerte ahora (2 minutos)
1) No hagas esto
- No hagas clic en enlaces de correos o SMS que digan "tu pedido está retenido", "confirma pago", "actualiza tus datos", "verifica tu cuenta".
- No descargues adjuntos inesperados.
- No facilites códigos de verificación por teléfono.
2) Cómo reconocer mensajes falsos
Un mensaje NO es de [EMPRESA] si:
- te mete prisa ("último aviso", "en 30 minutos…", "se cancelará…")
- te pide contraseñas, códigos 2FA, datos bancarios o "confirmar identidad" por enlace
- viene de dominios raros o acortadores de URL
Nosotros NUNCA te vamos a pedir:
- tu contraseña
- códigos de verificación (SMS/Authenticator)
- datos de tarjeta por email/SMS
- que instales una app para "verificar" nada
3) Qué te recomendamos hacer ya
- Cambia tu contraseña de [EMPRESA] si la reutilizas en otros sitios.
- Activa 2FA si lo tienes disponible: [LINK_2FA_O_RUTA_EN_APP]
- Revisa tu cuenta por si ves actividad rara:
- pedidos que no reconoces
- cambios de dirección
- cambios de email/teléfono
4) Si has hecho clic o has dado datos
Si has interactuado con algún mensaje sospechoso:
- cambia tu contraseña inmediatamente
- revisa tu banco si has dado datos de pago
- contacta con nosotros aquí: [CANAL_DE_SOPORTE]
- si recibes llamadas pidiendo "verificación", cuelga y llama tú a nuestro soporte desde la web o la app oficial
Canales oficiales y soporte
Para que no haya dudas, estos son nuestros canales oficiales:
- Web: [URL_OFICIAL]
- App: [NOMBRE_APP] (descargada desde [STORE_OFICIAL])
- Soporte: [EMAIL_SOPORTE] / [TEL_SOPORTE] / [URL_TICKET]
- Estado del incidente: [URL_STATUS_O_POST]
Si alguien te escribe desde otro canal, o te pide datos sensibles, desconfía.
Próxima actualización
Publicaremos una actualización como tarde el [FECHA_HORA_LIMITE], aunque no tengamos todo cerrado.
Si la investigación confirma impacto en datos personales, te lo diremos de forma explícita y con detalle.
Gracias por tu paciencia.
[NOMBRE_Y_APELLIDOS]
[CARGO: Responsable de Seguridad / Equipo de Seguridad]
[EMPRESA]
Apéndice interno (NO enviar a clientes)
Checklist de envío rápido (primera hora)
Esto se repasa antes de darle a enviar, no después:
- Asunto sin vender, sin eufemismos, sin “tranquilidad”
- Qué se sabe / qué no se sabe (sin humo)
- Riesgo práctico (phishing/fraude) explicado en 2 líneas
- 3 o 4 acciones concretas para el cliente
- “Nunca te pediremos X” explícito
- Canales oficiales y soporte
- Compromiso de próxima actualización con hora
Variantes por canal
El mismo aviso, recortado. Los campos entre corchetes son los mismos que arriba.
SMS (máximo 300 caracteres)
[EMPRESA]: Aviso de seguridad. Podrías recibir mensajes/llamadas falsas. No pedimos contraseñas ni códigos. Entra solo por la app o web oficial. Info y actualizaciones: [URL_CORTA_OFICIAL]
Push
Aviso de seguridad: posibles intentos de phishing. Entra en la app para ver recomendaciones y actualizaciones.
Banner web/app
Aviso de seguridad: estamos investigando un incidente. Atención a emails/SMS/llamadas falsas. Recomendaciones y estado aquí: [URL_STATUS_O_POST]
¿Cómo has llegado hasta aquí?
Esta plantilla se envió a la lista de email como respuesta a un incidente de seguridad.
Puedes apuntarte a la lista de email aquí: vamosallio.com
