Formación y simulacros de phishing

La mayoría de las intrusiones empiezan con una persona que hizo algo razonable en su momento: abrió un correo que parecía de un proveedor, introdujo su contraseña en una web que parecía la real o aceptó una petición por teléfono con cara de urgencia. La tecnología frena mucho, pero el último clic es humano.

Por eso la formación en phishing no es un cursillo de cumplimiento. Es una disciplina de medición y refuerzo: exponer al equipo de forma controlada, enseñar justo después de que alguien falle —que es cuando se aprende— y repetir hasta que el comportamiento cambie.

El error habitual de las empresas es tratar el riesgo humano como un problema de concienciación general: un vídeo anual que nadie mira. El error de los que lo hacen bien es castigar al que cae: el empleado que esconde el error deja de reportar, y no reportar es mucho peor que caer.

Un simulacro es un envío controlado e inofensivo que imita un ataque real sobre tus propios empleados, con una landing falsa o un adjunto trampa que registra si hubo interacción. Sirve para saber, con dato, cuánta gente cae y en qué tipo de enredo.

Lo que no es: un email con el asunto obvio "esto es una prueba". Si el simulacro es fácil, mide amabilidad, no riesgo. Los buenos simulacros suben la dificultad con el tiempo —suplantación de dirección, proveedores reales, urgencia financiera, mensajes por SMS o WhatsApp— hasta el nivel de los ataques que hoy reciben las empresas.

Tampoco es un castigo. Un programa con amenazas de despido consigue métricas falsas: la gente deja de reportar para no aparecer. El objetivo es que el simulacro se comente en el pasillo, no que se oculte.

La tasa de clic mide cuántos se comen el cebo, y es la métrica de riesgo más directa. Pero la más interesante a medio plazo es la tasa de reporte: cuántos empleados detectan el ataque y lo comunican a seguridad en lugar de ignorarlo. Una empresa donde el 40% reporta es más segura que una donde el 10% cae pero nadie reporta lo sospechoso.

La evolución por periodo es lo que convierte el programa en gestión: comparas trimestre contra trimestre, equipo contra equipo, y ves dónde está el riesgo concentrado (facturación, dirección, recepción suelen ser los puntos donde más duele un engaño).

Y la métrica final es la que le importa al negocio: intentos de fraude BEC y pagos fraudulentos evitados. Conecta la formación con dinero real, que es lo que hace que el programa siga financiándose.

Los marcos de cumplimiento exigen formación y concienciación demostrables: el control A.6.3 de ISO 27001, las obligaciones de formación del ENS y la sensibilización continua que NIS2 refuerza. En una auditoría no basta con decir que se forma: hay que entregar campañas, asistencia y resultados.

Nuestro programa genera esa evidencia por defecto: calendario de simulacros, registros de participación, resultados por periodo y el plan de mejora que la auditoría espera ver. El mismo sirve para el cumplimiento y para reducir el riesgo real, que es exactamente como debe ser.