El phishing sigue siendo el vector inicial de la mayoría de los incidentes que investigamos. No porque el correo malicioso sea sofisticado, sino porque explota la variable menos controlable de tu superficie de ataque: las personas. Como CISO puedes desplegar EDR, segmentar la red y endurecer el correo con SPF, DKIM y DMARC, pero basta con que un empleado introduzca sus credenciales en una página clonada para que un atacante entre por la puerta principal con una sesión legítima. El problema no es la falta de tecnología, es que el riesgo humano casi nunca se mide con el mismo rigor que el resto de controles.
La buena noticia es que ese riesgo se puede cuantificar, seguir en el tiempo y reducir. Este artículo explica cómo estructurar un programa serio, qué métricas importan de verdad y dónde suelen fallar las iniciativas que se quedan en el checkbox de cumplimiento.
Concienciación frente al phishing: qué medir y por qué
La concienciación frente al phishing no es un curso anual ni un vídeo con un cuestionario final. Es un ciclo continuo de simulación, medición e intervención cuyo objetivo es cambiar comportamientos, no acumular certificados de asistencia. Para que ese ciclo funcione necesitas partir de datos, y ahí es donde la mayoría de organizaciones se equivocan al elegir sus indicadores.
La métrica más usada —y la más engañosa— es la tasa de clics. Un porcentaje bajo de clics puede darte una falsa sensación de seguridad si tu campaña usó un pretexto burdo o un remitente evidente. El indicador que de verdad correlaciona con el riesgo real es la tasa de compromiso: el porcentaje de usuarios que, tras hacer clic, introducen credenciales, descargan y ejecutan un adjunto o autorizan un OAuth malicioso. Un clic es curiosidad; entregar la contraseña es el evento que un atacante monetiza.
Junto a esa métrica principal, conviene seguir varias más:
- Tasa de reporte: cuántos usuarios notifican el correo sospechoso al buzón o botón habilitado. Es el único indicador positivo del conjunto y el que mejor mide la madurez cultural.
- Tiempo medio de reporte: los minutos que tarda el primer aviso. En un incidente real, cada minuto entre el primer clic y la primera alerta define si el SOC contiene o llega tarde.
- Reincidencia: usuarios que caen de forma repetida en varias campañas. Concentran una parte desproporcionada del riesgo y requieren intervención dirigida.
- Segmentación por departamento y perfil: finanzas, dirección y RRHH suelen ser objetivos de fraude del CEO y BEC, y merecen escenarios específicos.
Cómo diseñar campañas de phishing ético que aporten señal
Una campaña mal calibrada contamina tus datos. Si el pretexto es irreal, mides poco; si es abusivamente creíble y sin propósito formativo, generas resentimiento y pierdes al aliado que necesitas: el propio empleado.
Realismo alineado con amenazas reales
Los escenarios deben reflejar lo que un atacante haría de verdad contra tu organización. En CISEC partimos de la fase de reconocimiento del framework PTES y de las técnicas de acceso inicial de MITRE ATT&CK para construir pretextos plausibles: notificaciones de tu propio proveedor de correo, falsas peticiones de firma, avisos de RRHH sobre nóminas o mensajes de soporte interno. El objetivo es medir la respuesta ante la amenaza que realmente vas a recibir, no ante un genérico.
Progresión de dificultad
Empezar con un escenario imposible de detectar solo produce frustración. Un programa maduro escala la dificultad: primeras campañas con señales detectables, después pretextos más pulidos con dominios typosquatting y personalización. Esa progresión permite ver si la formación entre campañas está teniendo efecto real sobre el comportamiento.
Cadencia continua, no evento aislado
Una simulación anual mide un instante, no una tendencia. La concienciación es un músculo que se atrofia: los estudios de comportamiento y nuestra propia experiencia muestran que el efecto de una sesión formativa decae en pocos meses. Una cadencia trimestral o mensual con escenarios variados mantiene la vigilancia alta y genera series temporales con las que demostrar mejora ante dirección y auditoría.
Ingeniería social más allá del correo
El phishing por email es la puerta más común, pero no la única. El vishing (llamadas suplantando soporte o dirección), el smishing por SMS y los pretextos presenciales forman parte de la superficie humana. Un programa completo incorpora estos vectores en función del perfil de riesgo de la organización, porque un atacante determinado no se limita al buzón de entrada.
De la métrica a la reducción real del riesgo
Medir sin intervenir no reduce nada. El valor del programa está en lo que ocurre después de cada campaña.
La formación más eficaz es la que llega en el momento del error. Cuando un usuario hace clic o introduce credenciales en una simulación, mostrarle de inmediato una página que explique las señales que pasó por alto tiene mucho más impacto que un curso genérico semanas después. Ese aprendizaje contextual convierte el fallo en una lección concreta y memorable.
A partir de ahí, la formación debe segmentarse. Los usuarios reincidentes necesitan itinerarios reforzados; los departamentos expuestos a fraude financiero, módulos específicos sobre verificación de pagos y autorizaciones. Y la dirección, que suele ser la más difícil de convocar, es también el objetivo prioritario del whaling, así que su participación no es opcional.
Conviene recordar que la concienciación reduce la probabilidad, pero no elimina el riesgo. Debe combinarse con controles técnicos que limiten el impacto de un clic: MFA resistente a phishing, políticas de acceso condicional, revisión de reglas de reenvío automático y monitorización de autenticaciones anómalas. La persona es la primera línea, no la única.
Cumplimiento, evidencia y encaje con tu programa de seguridad
Buena parte de los marcos que auditan tu organización exigen formación en seguridad de forma explícita o implícita. El ENS, ISO 27001 (control de concienciación, formación y capacitación), y los requisitos de NIS2 sobre gestión de riesgos y formación del personal esperan que puedas demostrar que el programa existe, se ejecuta y mejora. Los controles CIS también incluyen la concienciación como salvaguarda específica.
Un programa de phishing ético bien documentado genera precisamente esa evidencia: informes por campaña, evolución de métricas, cobertura de plantilla y planes de acción para los grupos de mayor riesgo. Esto transforma un requisito que muchas empresas cubren con un PDF firmado en un control vivo y auditable.
Si quieres externalizar el diseño, la ejecución y el análisis de estas campañas con un equipo certificado OSCP y escenarios construidos sobre amenazas reales, nuestro servicio de campañas de phishing e ingeniería social cubre desde el reconocimiento hasta la formación posterior y el reporte para dirección. Además, con la plataforma ORDAL de pentesting continuo puedes mantener las simulaciones de forma programada y seguir la evolución del riesgo humano en el tiempo, no solo en una foto puntual.
Preguntas frecuentes
¿Con qué frecuencia debemos lanzar campañas de phishing?
Una cadencia trimestral es el mínimo razonable para generar tendencia y sostener el efecto formativo. En organizaciones con alta exposición o mucha rotación, una periodicidad mensual con escenarios cortos y variados funciona mejor que campañas grandes y esporádicas. Lo importante es la continuidad y la variación de pretextos.
¿Qué tasa de clics es aceptable?
No existe un número universal, porque depende del realismo del escenario. Es más útil observar la evolución de tus propias métricas: que la tasa de compromiso baje campaña a campaña y que la tasa de reporte suba. Un programa maduro prioriza que la gente notifique rápido por encima de que nadie haga clic jamás, algo poco realista.
¿Cómo evitamos que los empleados vivan las campañas como una trampa?
Con transparencia sobre la existencia del programa —no sobre las fechas concretas—, formación inmediata y no punitiva, y comunicación desde dirección de que el objetivo es proteger a la plantilla, no señalarla. Cuando el empleado entiende que reportar se valora, se convierte en sensor y no en víctima.