Por qué la mayoría de simulaciones fallan
El error más común en los programas de simulación de phishing no es técnico. Es de diseño y comunicación. Las empresas lanzan campañas de phishing con el objetivo implícito de "pillar" a los empleados, sin un propósito formativo claro, sin contexto para los participantes, y sin un proceso definido para cuando alguien falla.
El resultado es predecible: los empleados que caen se sienten traicionados por su empresa, los que lo detectan sienten que hicieron algo excepcional (en lugar de lo esperable), y la cultura de seguridad no mejora — en muchos casos empeora.
Una simulación bien diseñada tiene el objetivo contrario: crear un entorno seguro para practicar, identificar vulnerabilidades sistémicas, y convertir el fallo en una oportunidad de aprendizaje.
Los cuatro principios de una simulación efectiva
1. El objetivo es aprender, no exponer
La simulación no es una auditoría punitiva. Es un ejercicio de entrenamiento. Igual que un simulacro de incendio no despide a quien no sabe dónde está la salida de emergencia, una simulación de phishing no debería avergonzar ni penalizar a quien cae.
Este principio debe estar explícito en cómo se comunica el programa y en cómo se diseña la formación post-fallo.
2. El contexto importa más que la técnica
Un correo de phishing genérico ("Has ganado un premio") tiene poco valor formativo porque nunca engañaría a nadie. Un correo que simula una comunicación de RRHH sobre un ajuste salarial, o una notificación falsa de Microsoft Teams sobre un mensaje urgente del CEO, es mucho más valioso porque replica las técnicas reales.
El realismo es el eje del aprendizaje. Los empleados deben reconocer que si no están prestando atención, podrían caer en algo así.
3. El fallo es el inicio del aprendizaje, no el final
El momento en que un empleado hace clic en el enlace de la simulación es el punto de máxima receptividad. En ese instante, la persona está consciente de que acaba de cometer un error y quiere entender por qué.
Una landing page formativa inmediata — que explique exactamente qué señales debería haber visto y cómo reportar correos sospechosos — tiene un impacto en la retención completamente diferente a un aviso genérico de "esto era una prueba".
4. Medir el comportamiento, no solo el fallo
La tasa de clics es la métrica más obvia, pero no la más importante. El reporte proactivo — cuántos empleados identificaron el correo como sospechoso y lo reportaron antes de caer — es el indicador real de cultura de seguridad.
Un programa maduro aumenta el reporte proactivo, no solo reduce los clics. Son objetivos distintos que requieren diseños distintos.
Cómo planificar una campaña de simulación
Paso 1: Definir el alcance y los objetivos
Antes de crear el correo, define:
- ¿A qué grupos o departamentos va dirigida esta simulación?
- ¿Qué técnica de phishing se simula (credential harvesting, malware attachment, pretexting)?
- ¿Cuál es el perfil de riesgo de los destinatarios?
- ¿Qué acción se espera que el empleado evite o reporte?
Diferentes departamentos requieren diferentes escenarios. Finanzas debe practicar BEC; IT debe practicar ataques de pretexting técnico; marketing debe practicar credential harvesting de plataformas SaaS.
Paso 2: Seleccionar el escenario con el nivel de dificultad adecuado
La dificultad debe calibrarse a la madurez del programa:
- Nivel básico (primeras campañas): remitentes claramente incorrectos, urgencia exagerada, errores ortográficos sutiles — señales que un empleado alerta debería detectar
- Nivel intermedio: dominios muy similares al real (microsofft.com, micros0ft.com), identidades de proveedores reales, solicitudes plausibles dentro del flujo de trabajo normal
- Nivel avanzado: spear phishing personalizado con información real de la empresa y el destinatario, técnicas de evasión de filtros, uso de servicios legítimos como vector (Google Forms, Dropbox)
Empezar con nivel avanzado en un programa nuevo tiene poco valor formativo: si el 80 % del equipo cae, el mensaje es que el problema es imposible, no que hay que mejorar.
Paso 3: Diseñar la formación post-clic
La landing page que ve el empleado tras hacer clic determina si la simulación genera aprendizaje o frustración.
Una landing efectiva incluye:
- Una explicación clara de las señales que debería haber detectado (con capturas del correo anotadas)
- Una guía de 2-3 pasos sobre cómo reportar correos sospechosos en la empresa
- Un enlace a una microformación de 3-5 minutos sobre el tipo de técnica utilizada
- Un tono empático y no punitivo: "esto ocurre, aquí está cómo protegerte"
Paso 4: Establecer el proceso de notificación interna
Antes de lanzar la campaña, el equipo de seguridad debe:
- Informar al helpdesk para no generar alarma si reciben tickets sobre el correo
- Asegurarse de que la infraestructura de simulación está en la lista blanca del filtro de spam (sin comprometer el realismo de la prueba)
- Tener preparada la respuesta comunicativa si alguien escala al comité de dirección
Paso 5: Analizar y comunicar resultados
Los resultados de la simulación tienen dos audiencias distintas:
Para el equipo de seguridad: métricas detalladas por departamento, tipo de dispositivo, hora del día, nivel de riesgo individual.
Para dirección: resumen ejecutivo que contextualiza los resultados en términos de riesgo de negocio, no técnico. "El 34 % del equipo de finanzas hizo clic en un correo que simulaba una instrucción de transferencia urgente del CEO" comunica el riesgo de forma comprensible para quien toma decisiones.
Tipos de simulaciones y cuándo usar cada una
Phishing de credenciales
El empleado recibe un correo que le dirige a una página de login falsa (Microsoft 365, Google, VPN corporativa). El objetivo es medir si introduce sus credenciales.
Cuándo usarlo: primera campaña de baseline, equipos con acceso a sistemas críticos, tras un incidente real de compromiso de credenciales.
Phishing con adjunto
El correo contiene un adjunto que simula la instalación de malware (sin ejecutar nada real en el entorno del usuario — solo un registro del clic/apertura).
Cuándo usarlo: equipos que manejan documentos de terceros habitualmente, tras cambios en la política de gestión de adjuntos.
Business Email Compromise (BEC)
Un correo aparentemente del CEO, CFO o un proveedor solicita una acción urgente: una transferencia, un cambio de datos bancarios, el envío de información confidencial.
Cuándo usarlo: departamentos de finanzas, RRHH y dirección. Técnica más sofisticada, para programas con cierta madurez.
Smishing (phishing por SMS)
Un mensaje de texto simula una notificación bancaria, de entrega de paquete o de RRHH con un enlace malicioso.
Cuándo usarlo: organizaciones con alto uso de dispositivos móviles corporativos, sectores con equipos en campo.
Los errores más comunes que evitar
Error 1: Publicar los resultados individualmente. Mostrar una lista de "quién cayó" genera humillación y daña la cultura de seguridad. Los datos individuales son solo para los responsables de seguridad; los datos agregados por departamento son apropiados para comunicación interna.
Error 2: Usar técnicas que generen resentimiento justificado. Simular un bonus salarial que no existe, o un aviso de ERE, genera una reacción emocional negativa que contamina el aprendizaje. Las simulaciones deben ser realistas pero no deben explotar situaciones laborales sensibles.
Error 3: No tener un proceso de reporte definido antes de lanzar. Si los empleados que detectan el correo no saben a quién reportarlo, el único comportamiento que puede medirse es el fallo. El reporte proactivo requiere un canal claro y una respuesta.
Error 4: No seguir la evolución. Una simulación aislada da un dato puntual. El valor real está en la tendencia: ¿mejora la tasa de clics en el tiempo?, ¿aumenta el reporte proactivo? Sin seguimiento, no hay programa.
Cómo integrar simulaciones en un programa más amplio
Las simulaciones son el ejercicio práctico de un programa de awareness, no el programa completo. Para que generen el máximo impacto, deben estar integradas con:
- Microformaciones previas que preparan al equipo sobre las técnicas que se simularán
- Comunicaciones de cultura que normalizan el reporte de incidentes como algo positivo
- Seguimiento individualizado para empleados de alto riesgo que fallan repetidamente
- Métricas de progreso que demuestren la mejora al equipo y a dirección
Una simulación trimestral sin estos elementos genera datos pero no cambio. Con estos elementos, es la pieza central de una reducción sostenida del riesgo humano.
Conclusión
El diseño de una simulación de phishing efectiva no es principalmente un ejercicio técnico. Es un ejercicio de comunicación, pedagogía y gestión del cambio. El correo de phishing es el mecanismo; el aprendizaje y el cambio de comportamiento son el objetivo.
Invertir tiempo en el diseño del escenario, la formación post-clic y el proceso de comunicación de resultados multiplica el impacto de cada campaña. Las simulaciones bien diseñadas no solo miden el riesgo — lo reducen.