Qué es una simulación de phishing, y qué no es
Una simulación de phishing es un ejercicio controlado en el que la organización envía a sus propios empleados correos diseñados para parecer phishing real y registra qué hace cada persona: lo ignora, lo reporta, hace clic en el enlace, abre el adjunto o introduce sus credenciales en una página falsa. No pasa nada dañino. El enlace lleva a una página que explica qué se le escapó a la persona, y el resultado queda en un informe.
El objetivo es medir y mejorar comportamientos, no pillar a nadie. Una simulación responde a preguntas que la formación por sí sola no responde: ¿reconocería hoy la plantilla un correo de phishing convincente?, ¿lo reportaría?, ¿con qué rapidez se enteraría el equipo de seguridad? Esas respuestas deciden dónde poner el esfuerzo de formación.
También conviene tener claro lo que no es. No sustituye a los controles técnicos, como el filtrado de correo, la autenticación multifactor o la protección de los equipos, que frenan la mayor parte del phishing antes de que nadie lo vea. No es un ejercicio puntual que demuestre que la organización está a salvo. Y no es una herramienta disciplinaria. Los programas planteados como castigo generan menos reportes, no menos clics, porque la gente aprende a callarse los errores.
Cómo diseñar un pretexto realista
El pretexto es la historia que cuenta el correo: por qué el destinatario debería hacer clic. Una simulación basada en un correo burdo, con faltas de ortografía y un remitente desconocido, no mide nada útil. Los atacantes escriben cada vez más mensajes limpios y verosímiles, que encajan en el día a día de quien los recibe. La simulación tiene que estar al menos a esa altura.
Imitar campañas reales
La mejor fuente de pretextos es lo que envían los atacantes. INCIBE ha avisado a las empresas en repetidas ocasiones de campañas que suplantan al propio administrador del correo de la empresa. Hay variantes en las que el mensaje dice que el buzón está lleno y hay que actualizarlo para seguir recibiendo correo, que la contraseña está a punto de caducar o que el servicio de correo web, como Office 365 u Outlook, se está actualizando y hay que volver a iniciar sesión. En todos los casos el objetivo es capturar las credenciales del correo en una página de acceso falsa.
Son modelos excelentes para una simulación: apuntan a algo que todo empleado tiene, usan la urgencia sin resultar absurdos y conducen al resultado que más importa, el robo de credenciales. Otros pretextos realistas son la notificación de un documento compartido, una factura de un proveedor conocido, un aviso de entrega de un paquete, un mensaje aparentemente de recursos humanos sobre un cambio de política o una petición que parece venir de la dirección. El historial de incidentes de la propia organización también sirve: si el mes pasado llegó un phishing real a la plantilla, una versión de ese correo es una buena simulación.
Niveles de dificultad y segmentación por puesto
No todos los correos deben ser igual de difíciles. Un programa suele combinar mensajes más fáciles, que la mayoría debería detectar, con otros más difíciles que ponen a prueba la atención al detalle. Seguir los resultados por nivel de dificultad muestra si la organización mejora o simplemente se ha acostumbrado a un tipo de mensaje.
Segmentar por puesto hace las simulaciones más realistas y más útiles. Administración y finanzas reciben pretextos de facturas y cambios de cuenta bancaria; quienes tienen permisos de administrador, mensajes dirigidos a accesos privilegiados; la dirección, mensajes que imitan comunicaciones del consejo o notificaciones legales. Un mensaje genérico para todos subestima el riesgo en los puestos que más buscan los atacantes.
Con qué frecuencia hacer simulaciones
La frecuencia es un equilibrio entre mantener la atención y provocar cansancio. Una única campaña anual da una foto, pero mejora poco; la gente olvida en meses. Muchas organizaciones hacen una campaña al mes o al trimestre, con mensajes distintos para personas distintas y en momentos distintos, para que el ejercicio no se convierta en un evento reconocible del que los compañeros se avisan entre sí.
Repartir los envíos a lo largo de días o semanas también da mejores datos. Si todo el mundo recibe el mismo correo el lunes a las nueve, la primera persona que lo detecta suele avisar al resto, y el resultado mide la comunicación interna, no el criterio individual. Horarios aleatorios y plantillas variadas dan una imagen más honesta.
Qué métricas importan de verdad
Las plataformas de simulación ofrecen muchas cifras. Solo unas pocas dicen si la organización está más protegida, y la más citada, la tasa de clics, no es la más importante.
Tasa de reporte y tiempo hasta el primer aviso
La tasa de reporte es el porcentaje de destinatarios que avisan del correo por el canal acordado, normalmente un botón de reporte en el cliente de correo. Mide el comportamiento que de verdad protege a la organización: cuando llega un phishing real, quien lo reporta da al equipo de seguridad la oportunidad de retirarlo de todos los buzones antes de que más gente interactúe con él.
El tiempo hasta el primer aviso mide la rapidez con que llegan los primeros reportes. En un ataque real, el primer aviso pone en marcha la respuesta: el equipo puede buscar el mismo mensaje en todos los buzones, bloquear el remitente y el enlace, y cambiar las credenciales que alguien ya haya introducido. No es lo mismo que el primer aviso llegue a los pocos minutos que al día siguiente.
Quién hace clic de forma reiterada
Hay quien hace clic una vez y aprende. Y hay quien repite en varias campañas. Esas personas concentran el riesgo y son una señal clara para dar apoyo específico: formación más breve y frecuente, una conversación con su responsable sobre las prisas que les llevan a fallar o controles técnicos adicionales en sus cuentas.
Hacer seguimiento individual entre campañas plantea cuestiones de protección de datos, así que los resultados deben tratarse con cuidado: acceso limitado, una finalidad clara y la participación del delegado de protección de datos al diseñar el programa. El objetivo es ayudar a mejorar, y así hay que explicárselo a la plantilla.
Por qué la tasa de clics por sí sola engaña
La tasa de clics depende mucho de lo difícil que fuera el correo. Una organización puede reducirla a la mitad enviando mensajes más fáciles, sin que nadie se haya vuelto más prudente. Además mezcla resultados muy distintos: hacer clic en un enlace no es lo mismo que introducir las credenciales en la página que aparece después, y es esto último lo que daría acceso a un atacante.
Las cifras también pueden tener algo de ruido. Según cómo se filtre y se abra el correo en cada organización, algunas aperturas o clics registrados pueden no venir de una persona, así que conviene preguntar al proveedor de simulaciones cómo tratan sus informes la actividad automática. Mirar a la vez credenciales introducidas, reportes y repeticiones da una imagen mucho más fiable que la tasa de clics sola.
Qué hacer cuando alguien hace clic
El momento justo después del clic es el más valioso de todo el programa para aprender. La persona acaba de equivocarse y está prestando atención. Lo que pase entonces decide si la simulación genera concienciación o rechazo.
Explicación inmediata, sin exponer a nadie
La página de destino debe explicar, de forma breve y sin juzgar, qué se le pasó por alto: la dirección del remitente que no cuadraba, el enlace que llevaba a otro sitio, la urgencia que debería haber hecho pararse a pensar. Un ejemplo corto de qué revisar la próxima vez sirve más que una advertencia larga.
Los resultados nunca deben compartirse públicamente con nombres, ni los responsables deben usarlos para avergonzar a nadie. Quien se siente avergonzado tras fallar una simulación tiene menos probabilidades de reportar un phishing real en el que ya ha hecho clic, que es justo cuando el equipo de seguridad más necesita saberlo.
Formación específica
La formación funciona mejor cuando responde directamente a lo que hizo cada persona. Quien introdujo sus credenciales necesita aprender a revisar una página de acceso y por qué importa la autenticación multifactor; quien abrió un adjunto, a reconocer los ataques basados en documentos. Los módulos breves asignados automáticamente tras fallar una simulación suelen funcionar mejor que un curso anual igual para todos.
Las tendencias del conjunto de la organización apuntan a mejoras más amplias. Si mucha gente cae con el mismo pretexto, puede que al contenido formativo le falte algo o que haya que reforzar un control técnico. Los resultados de las simulaciones deben alimentar el programa de concienciación, no solo medirlo.
Cómo sirven las simulaciones de evidencia para la ISO 27001 y el ENS
Ni la ISO 27001 ni el ENS exigen simulaciones de phishing de forma expresa. Ambos exigen concienciar y formar a la plantilla, y ambos esperan pruebas de que eso ocurre y funciona. Un programa de simulaciones bien llevado es una de las evidencias más convincentes, porque mide comportamientos y no solo cursos completados.
El control 6.3 de la ISO 27001
El control 6.3 del Anexo A de la ISO 27001:2022, concienciación, educación y formación en seguridad de la información, espera que el personal reciba la concienciación, educación y formación adecuadas, con actualizaciones periódicas acordes a su puesto. La cláusula 7.3 de la norma, sobre concienciación, añade que las personas que trabajan bajo el control de la organización deben conocer la política de seguridad, su contribución y las consecuencias de no cumplirla.
El auditor suele buscar un programa de concienciación planificado, registros de quién recibió qué y pruebas de que se evalúa su eficacia. Los resultados de las simulaciones a lo largo del tiempo, junto con la formación que provocaron, demuestran ambas cosas. El artículo sobre concienciación en seguridad para la ISO 27001 explica el programa completo en el que encaja.
El ENS: medidas de concienciación y formación
El Real Decreto 311/2022 lo recoge de forma expresa. Su artículo 15 exige que el personal, propio o ajeno, relacionado con los sistemas sea formado e informado de sus deberes y responsabilidades en materia de seguridad, y el artículo 6.2 pide prestar la máxima atención a la concienciación de las personas que intervienen en el proceso. En el Anexo II, las medidas mp.per.3 (concienciación) y mp.per.4 (formación) aplican desde la categoría BÁSICA.
El Anexo II incluye también la medida mp.s.1, protección del correo electrónico, que cubre la parte técnica de la misma amenaza. Para las empresas que prestan servicios al sector público, los resultados de las simulaciones aportan en la auditoría evidencias concretas para mp.per.3 y mp.per.4, junto con los propios registros de formación.
Cómo encajan las simulaciones con la seguridad del correo y de los dispositivos
Las simulaciones funcionan mejor como una capa más. El filtrado de correo y los estándares de autenticación como SPF, DKIM y DMARC reducen el phishing que llega a los buzones. La autenticación multifactor limita lo que se puede hacer con unas credenciales robadas. La protección de los equipos y la gestión de dispositivos, de la que hablamos en el artículo sobre MDM, contienen lo que pasa si se abre un adjunto malicioso.
El botón de reporte conecta todas estas capas. Cada aviso de un correo sospechoso, simulado o real, debe llegar a quien puede actuar: buscar el mismo mensaje, retirarlo, bloquear el origen y comprobar si alguien introdujo credenciales. Para dudas o incidentes, INCIBE ofrece además a empresas y autónomos su línea gratuita de ayuda en ciberseguridad, el 017. Un programa que enseña a reportar, junto con un equipo que responde a cada aviso, convierte a la plantilla en un sistema de alerta temprana y no en el eslabón débil.
Qalea realiza simulaciones de phishing y formación de concienciación dentro de su área de Personas, con campañas que miden la respuesta real del equipo e identifican quién necesita más formación, y conserva los resultados como evidencia para los marcos en los que la organización está certificada. La página de concienciación sobre seguridad reúne el resto de la serie, y el artículo pentest vs análisis de vulnerabilidades trata la parte técnica de poner a prueba las defensas.
