Enviar un correo falso a la plantilla para ver quién cae parece sencillo. Pero si el resultado es una lista de «culpables», la próxima vez nadie se atreverá a decir que ha hecho clic. Y eso, precisamente, es lo que más necesitas saber el día que el ataque sea real.
Una simulación de phishing es un ensayo: un correo preparado para parecerse a un ataque real que se envía a la propia plantilla, con su conocimiento general, para comprobar cómo reacciona. Bien planteada, es una de las formas más eficaces de formar a la gente. Mal planteada, se convierte en un examen sorpresa que nadie quiere suspender.
El riesgo es sutil. Si quien hace clic acaba señalado en una reunión o en un informe con nombres, aprende una lección muy concreta: la próxima vez, mejor callar. Y una plantilla que calla es justo lo que busca un atacante, porque cada minuto que pasa sin que nadie avise es un minuto más para moverse por tus sistemas.
Una empresa segura no es la que nunca hace clic, sino la que avisa en cuanto lo hace.
El porcentaje de clics es fácil de medir y tentador de mostrar, pero cuenta solo una parte de la historia. Para saber si la empresa está mejor protegida, conviene mirar tres cosas:
Una empresa donde la gente avisa rápido está mejor protegida que otra con pocos clics pero sin ningún aviso. Piensa en una oficina de 40 personas: si tres hacen clic pero otras diez notifican el correo en los primeros minutos, el equipo de TI puede bloquear el remitente y retirar el mensaje de todos los buzones antes de que haga más daño. Esa reacción colectiva vale más que cualquier porcentaje aislado.
Una buena campaña no busca engañar con trucos imposibles, sino reproducir lo que de verdad llega a tu empresa. Una factura de un proveedor habitual. Un documento compartido que pide iniciar sesión. Un aviso de una empresa de mensajería sobre un paquete retenido. Son los correos que tu gente ve cada semana, y por eso son los que hay que aprender a mirar dos veces.
Los mensajes tienen que ser verosímiles sin convertirse en trampas. Si la simulación usa información que ningún atacante externo podría conocer, el ejercicio pierde sentido y genera resentimiento. Y conviene variar el tipo de correo y su dificultad cada pocos meses: si siempre se envía el mismo modelo, la plantilla aprende a reconocer «la prueba de TI», no a detectar un fraude.
No todos los departamentos reciben el mismo tipo de correo. Administración ve facturas y cambios de cuenta bancaria; comercial, peticiones de presupuesto y documentos adjuntos; dirección, mensajes que aparentan urgencia. Adaptar las simulaciones a cada área las hace más útiles y más justas.
Lo que ocurre justo después de caer es la parte más importante del ejercicio. Quien hace clic debería ver en ese mismo momento una explicación breve y amable: qué señales tenía el correo, como una dirección de remitente que no encaja o un enlace que lleva a un dominio extraño, y cómo detectarlas la próxima vez.
Es formación en el instante en que más se aprende, porque la persona acaba de vivir el error en primera persona. Una página bien diseñada en ese punto enseña más que una charla de una hora. Nada de listas públicas, nada de correos del jefe, nada de reprimendas.
Antes de la primera campaña, asegúrate de que todo el mundo sabe cómo notificar un correo sospechoso con un solo clic, por ejemplo con el botón de notificación integrado en Outlook. Si avisar es complicado, nadie lo hará, ni en la simulación ni en un ataque real.
Conviene que la plantilla sepa que habrá simulaciones, aunque no cuándo ni cómo serán. Anunciarlo no estropea el ejercicio: lo legitima. La gente entiende que forma parte de la protección de la empresa y no lo vive como una encerrona.
Después de cada campaña, los resultados se comparten en conjunto, por áreas y sin nombres, con un mensaje claro: el objetivo es que la empresa esté mejor protegida, no pillar a nadie. Es buena idea destacar lo que ha mejorado, como más avisos o avisos más rápidos, y explicar con un ejemplo concreto cuál era la señal que delataba el correo de esa vez.
Para dirección, el informe debería caber en una página: cómo ha evolucionado la tasa de notificación, cuántas personas llegaron a introducir credenciales y qué formación se propone para el siguiente trimestre.
No hace falta montar nada aparte. Herramientas como el entrenamiento de simulación de ataques de Microsoft Defender permiten hacerlo dentro de Microsoft 365: preparar el correo, elegir a quién se envía, mostrar la página de formación tras el clic y recoger los resultados. Lo que la herramienta no decide por ti es el enfoque, y ahí está casi todo el valor del ejercicio.
En OLATIC preparamos las campañas pensando en los correos que realmente recibe tu sector, cuidamos el mensaje a la plantilla antes y después, y te entregamos los resultados agregados con propuestas concretas de formación para cada área. La idea es sencilla: que cada simulación deje a tu equipo un poco más atento y bastante más dispuesto a levantar la mano.
Ninguna empresa puede parchear todo a la vez. El orden importa: primero lo que ya se está explotando y lo que da a internet, después el resto, con fechas y sin carreras.
Dos vulnerabilidades críticas en PHP permiten tomar el control de un servidor sin contraseña. Los ataques empezaron antes que los parches. Qué versiones hay que instalar ya.
ClickFix convence a la víctima para que ella misma ejecute el ataque. Google añade a Chrome avisos específicos y empieza a pedir permiso antes de abrir webs sin cifrar.
El calendario lo gestiona HubSpot. ¿No se ve bien? Ábrelo en una pestaña nueva
Detecta puntos débiles antes de que se conviertan en un incidente.
Descárgala ahora en PDF. También te la enviamos a para que la tengas a mano.
Descargar la checklist PDF