Phishing simulado para empresas: las 5 métricas que importan de verdad
1. Introducción
El Phishing simulado para empresas es el ejercicio más eficaz que existe para medir y mejorar la respuesta real de tus empleados ante un correo de ataque. Consiste en enviar mensajes prácticamente idénticos a un phishing real, en un entorno controlado y autorizado, para observar qué hace tu plantilla antes de que un atacante de verdad lo compruebe por ti.
Durante años, la formación en ciberseguridad se limitó a cursos anuales que nadie recuerda. Un programa de Phishing simulado para empresas cambia el paradigma: en lugar de hablar de amenazas en abstracto, cada empleado se enfrenta a un escenario concreto y recibe retroalimentación inmediata. Los resultados se miden, se comparan y se mejoran mes a mes.
En este artículo veremos el estado real de la amenaza, las cinco métricas que deben gobernar tu programa, las herramientas disponibles y las dos piezas que separan un programa mediocre de uno excelente: la microformación y la cultura no-blame.
2. El estado real de la amenaza
El correo electrónico sigue siendo el vector número uno de entrada en las empresas. Según los datos trimestrales del APWG, solo en el cuarto trimestre de 2024 se registraron 989.123 ataques de phishing, y la cifra no deja de crecer. El phishing es el mecanismo inicial de la mayoría de los incidentes graves: ransomware, BEC, exfiltración de datos y compromiso de cuentas arrancan con un solo clic.
La industria publica cifras que deberían inquietar a cualquier directivo. Según el Verizon DBIR 2024, el usuario medio tarda solo 21 segundos en hacer clic en un enlace de phishing desde que abre el correo, y necesita 28 segundos más para teclear sus credenciales en la página falsa. Es decir, entre la apertura del mensaje y la entrega de la contraseña transcurre menos de un minuto. Y el phishing dejó de ser reconocible: la IA generativa ha eliminado las faltas de ortografía y los indicios clásicos, lo que obliga a formar con escenarios actuales, no con los ejemplos de hace diez años.
El objetivo de un programa de simulación no es «pillar» a nadie, sino generar datos: cuántas personas caen, cuántas notifican y cuántas vuelven a caer. Con esos datos se prioriza formación, controles técnicos y segmentos de riesgo con precisión quirúrgica.
3. Las 5 métricas que importan de verdad
Un panel de control lleno de cifras sirve de poco si no sabes cuáles gobiernan el programa. En un programa de Phishing simulado para empresas hay cinco métricas que concentran el 90% del valor:
| Métrica | Qué mide | Objetivo razonable |
|---|---|---|
| Tasa de clic | % de empleados que abre el enlace | Reducir mes a mes hacia el 5% |
| Tasa de credenciales | % que entrega usuario y contraseña | La más grave; objetivo cercano a 0% |
| Tasa de notificación | % que reporta el correo sospechoso | La más relevante; objetivo creciente |
| Tasa de reincidencia | % que vuelve a caer en escenarios distintos | Detectar segmentos que necesitan refuerzo |
| Cobertura | % de plantilla simulada y frecuencia | 100% del personal, mínimo mensual |
Fig. 1 – Las cinco métricas de un programa de Phishing simulado para empresas.
La tasa de clic mide la exposición inicial y sirve de termómetro global, pero no es la cifra que debe hacerte perder el sueño: muchos clics no conducen a nada si la pasarela de correo bloquea el contenido malicioso. La tasa de credenciales sí es crítica, porque implica que el empleado ha pasado el filtro final del engaño y que el atacante tiene lo que buscaba.
La tasa de notificación es la métrica más relevante del programa: mide la probabilidad de que un ataque real sea neutralizado por los propios empleados antes de causar daño. Un 80% de notificación convierte a la plantilla en una extensión del SOC. Si la tasa de notificación es baja, tienes un problema de canal, no de voluntad: falta un botón de reporte accesible y retroalimentación visible.
La reincidencia identifica a los segmentos que no están aprendiendo: un departamento que cae una y otra vez a pesar de los refuerzos necesita una intervención distinta, no más simulaciones del mismo tipo. La cobertura, por último, garantiza que el programa no se olvide de nadie: contratistas, becarios y directivos incluidos, porque el spear phishing de los ejecutivos (whaling) es precisamente el que más se cobra.
4. Cómo lanzar una campaña de phishing simulado
Las herramientas maduraron lo suficiente como para que una empresa media monte su programa con recursos limitados. En el ecosistema conviven plataformas comerciales como KnowBe4, Proofpoint SAT, Cofense o Hoxhunt, el simulador integrado de Microsoft 365 Attack Simulator, y opciones de código abierto como Gophish, que usamos en nuestros laboratorios y puedes desplegar en tu propia infraestructura:
# Despliegue básico de Gophish para una campaña piloto
docker run -p 3333:3333 -p 80:80 gophish/gophish
# 1. Sending profile: SMTP propio, remitente neutro (sin marca real)
# 2. Landing page: página falsa descrita en la lista blanca del programa
# 3. Template: asunto y cuerpo con escenario de baja sospecha
# 4. Campaign: grupo piloto del 10%, ventana de 48 horas
# Registro de clics, credenciales y notificaciones en el panel
Fig. 2 – Pasos mínimos para lanzar una campaña con Gophish.
La frecuencia importa más que la sofisticación: una campaña mensual sostenida produce mejores resultados que un ejercicio espectacular anual, porque el atacante real no espera a tu calendario. Rota escenarios por estilo (facturas, phishing de credenciales, adjuntos) y segmenta por departamento, de modo que finanzas y RR.HH. reciban escenarios coherentes con su trabajo.
Empieza siempre con un piloto reducido y escenarios de riesgo bajo: remitentes externos, sin tu marca, para calibrar la herramienta y las alertas antes de exponer a la plantilla. Si no tienes experiencia montando el laboratorio, puedes ver cómo lanzamos una campaña de phishing con Gophish paso a paso.
5. Microformación y botón de reporte
La primera pieza que distingue a los programas efectivos es la microformación en el momento de máximo aprendizaje. Cuando un empleado cae en la simulación, aparece inmediatamente una pantalla de dos o tres minutos que explica los indicadores concretos del correo: dominio sospechoso, remitente externo, urgencia fabricada, enlace con redirección. Es el famoso «teachable moment»: en ese instante el empleado está receptivo como nunca y retiene la lección durante semanas.
La segunda pieza es el botón Report Phishing: un complemento del cliente de correo que permite denunciar cualquier mensaje sospechoso con un clic. El botón conecta directamente con el SOC o con la pasarela de correo, donde el mensaje se analiza y, si es malicioso, se purga de todos los buzones. Cada notificación del botón cumple tres funciones: protege al resto de la empresa, alimenta la inteligencia de amenazas y refuerza el comportamiento correcto del empleado.
Un programa maduro premia la notificación: si un empleado reporta la campaña real, recibe reconocimiento por haber hecho exactamente lo correcto, aunque la herramienta marque un «fallo» teórico. El listado de recursos de formación y concienciación en ciberseguridad ayuda a construir el contenido de estas microsesiones.
6. Cultura no-blame: el cimiento del programa
La cultura no-blame es la condición de éxito de todo el programa. Si el empleado que cae en una simulación recibe un correo avisando a su jefe, aprenderá a esconder el siguiente fallo en lugar de corregirlo. Y el fallo que se esconde sí puede ser real. La regla es simple: nunca se sanciona a quien cae en una simulación ni a quien reporta; sí se revisa el caso de quien reincide de forma sistemática sin mejora, y siempre desde la formación, no desde la sanción.
Los resultados se publican agregados: tasa de clic por departamento, evolución trimestral, sin nombres individuales. Y la dirección participa con idénticas condiciones: cuando un directivo cae delante de su equipo y lo comenta con naturalidad, demuestra que la seguridad no es un problema de los demás. Esa normalización multiplica la notificación y reduce la vergüenza que alimenta los incidentes silenciosos.
7. El phishing simulado dentro de la defensa en profundidad
Conviene ser honesto: el Phishing simulado para empresas mide y mejora el factor humano, pero no sustituye a los controles técnicos. La defensa en profundidad obliga a mantener simultáneamente la simulación y el endurecimiento del correo. El primer frente es la autenticación del dominio: SPF con strict («-all»), DKIM y sobre todo DMARC, que debe evolucionar desde none hasta p=reject con informes agregados; en modo reject se elimina por completo la suplantación directa de tu dominio, que es la base de muchos ataques.
El segundo frente es el MFA. Las campañas avanzadas ya no roban solo contraseñas: los ataques AiTM (adversary-in-the-middle) con herramientas como Evilginx actúan como proxy TLS entre la víctima y el servicio legítimo, capturan la cookie de sesión posterior al segundo factor y saltan SMS, TOTP e incluso push. Frente a AiTM solo resisten los factores FIDO2/WebAuthn, como llaves de seguridad o passkeys, que deben ser obligatorios al menos en cuentas críticas y privilegiadas.
Completan la defensa la pasarela de correo con sandbox de adjuntos y reescritura de URLs en el momento del clic, y el endurecimiento de la respuesta: si un empleado entrega credenciales en una campaña real, se rotan las contraseñas y se revocan todas las sesiones activas de inmediato, revisando además qué más se simuló. El ejercicio periódico garantiza que esos procesos se ejercitan antes de necesitarlos.
8. Conclusión
El Phishing simulado para empresas es hoy la inversión de concienciación con mejor retorno conocido: convierte a la plantilla en un control de seguridad medible, mejora la detección interna y prepara los procesos de respuesta con datos reales de tu propia organización. Cinco métricas bastan para dirigirlo bien: clic, credenciales, notificación, reincidencia y cobertura.
La combinación ganadora es técnicamente simple y culturalmente exigente: campañas mensuales con las herramientas adecuadas, microformación inmediata, un botón de reporte conectado al SOC y una cultura no-blame sostenida desde la dirección. Hacerlo cuesta mucho menos que asumir la primera campaña real que elija tu empresa como blanco.
¿Necesitas ayuda con Phishing simulado para empresas?
En Jaymon Security ayudamos a las organizaciones a proteger sus sistemas. Desde auditorías de seguridad hasta implementación de SIEM/SOC, nuestro equipo de expertos diseña soluciones a medida.
Contacta con nosotros para una evaluación gratuita de tu infraestructura.
