Contenido del artículo
En Ucrania, una simulación de phishing para empleados se encarga a una empresa de ciberseguridad que acuerda por escrito los escenarios y el público antes de empezar, no guarda las contraseñas introducidas y muestra a la dirección resultados sin nombres, por departamento y por rol. Lo que obtienes no es una lista de «quién picó», sino respuestas a tres preguntas: qué correos funcionan en tu equipo, con qué rapidez la gente avisa de un correo sospechoso y qué cambiar en procesos y formación.
Abajo tienes cómo hacer una simulación legal y sin culpas, cómo son los escenarios según su dificultad, qué métricas dicen algo de verdad, qué preguntar a un proveedor y cada cuánto repetir.
En resumen
- Primero, una decisión escrita de la dirección con personas, escenarios y fechas, y RR. HH. informado de antemano.
- Sin culpas ni castigos. Los resultados son agregados y las contraseñas no se guardan.
- Escenarios de fáciles a difíciles, para ver exactamente dónde falla el proceso.
- La métrica principal: cuántas personas avisaron del correo y con qué rapidez, no solo cuántas hicieron clic.
- Una simulación muestra dónde estás; la segunda muestra el cambio. Repite tras un plazo acordado.
Qué es una simulación de phishing
Una simulación de phishing significa una campaña de correos de formación que la empresa decide enviar a su propia gente para ver cómo reacciona el equipo ante un correo fraudulento creíble y enseñarle a detectar y avisar de esos correos. Nadie pierde nada: el enlace lleva a una página de formación y los datos introducidos no se guardan.
La simulación no sustituye a la protección técnica del correo. Si SPF, DKIM y DMARC no están configurados, empieza por ahí: cómo hacerlo lo cuento en cómo proteger el correo de la empresa del phishing. Tampoco prueba tus sistemas: si se puede entrar en tu web o en el área de clientes lo muestra un pentest.
Legal y ético: cuatro reglas
El NCSC (el centro nacional de ciberseguridad del Reino Unido) advierte con claridad que ninguna formación enseña a detectar todos los correos de phishing, y que castigar a alguien por hacer clic en un correo que le enviaste tú crea riesgos legales. Por eso la simulación se acuerda con RR. HH. [1]
- Autorización escrita de la empresa. La simulación se hace en nombre de la empresa por una decisión de la dirección que nombra el público, los escenarios, las fechas y quién conoce la prueba. Si tienes dudas laborales, acuerda el formato con un abogado.
- Sin culpas. Nadie recibe una amonestación por un clic. El NCSC explica que quien teme un castigo no avisa de sus errores, y avisar es justo lo que convierte a las personas en un sistema de alerta temprana. [1]
- Resultados agregados. La dirección ve el panorama por departamento y por rol. Los resultados individuales, si hacen falta, solo los ve quien lleva la formación.
- Protección de datos. Se recoge lo mínimo: si el correo se abrió, si hubo clic, si se introdujeron datos y si se avisó. Las contraseñas no se guardan, el plazo de conservación y el acceso a los datos se acuerdan antes, y los datos se borran al terminar el proyecto. Son datos personales de empleados, así que se aplica la ley ucraniana de protección de datos personales y, si trabajas con la UE, también el RGPD.
Acordad aparte qué temas quedan fuera. Los correos sobre despidos, salarios, salud o la guerra funcionan, pero destruyen la confianza en quien hace la formación. Tampoco conviene hacerse pasar por organismos públicos.
Escenarios según su dificultad
El NIST (el instituto nacional de estándares de EE. UU.) creó la Phish Scale: un método que valora la dificultad de un correo de formación por el número de pistas que lo delatan y por lo mucho que su premisa encaja con el trabajo de un público concreto. El resultado es dificultad baja, media o alta. [2] [3] Sin esto, una tasa de clics baja puede no significar que la gente es atenta, sino que los correos eran demasiado fáciles.
- Dificultad baja. Un correo genérico de «tu buzón está lleno» desde un dominio ajeno, con faltas y un enlace raro. Muestra el nivel de partida.
- Dificultad media. Un servicio conocido: un documento compartido, un aviso de entrega, una petición de cambiar la contraseña de Microsoft 365. El dominio se parece al real y hay pocas pistas.
- Dificultad alta. Un tema del trabajo real del departamento: una factura de un «proveedor» para contabilidad, una petición urgente de un «jefe», un código QR en un adjunto. Así son los ataques que cuestan dinero.
Empieza con dificultad baja o media y ve subiendo. Para contabilidad y para quien hace pagos, un escenario aparte de dificultad alta casi siempre es útil.
Métricas que importan
| Métrica | Qué muestra | Buena señal |
|---|---|---|
| Tasa de avisos (report rate) | Cuántas personas pulsaron «Avisar» | Sube de una simulación a otra |
| Tiempo hasta el primer aviso | Con qué rapidez se entera IT de un ataque | Minutos, no horas |
| Tasa de introducción de datos | Cuántas personas llegaron al paso más peligroso | Menor que la tasa de clics, y bajando |
| Tasa de clics (click rate) | Cuántas personas siguieron el enlace | Leerla solo junto con la dificultad del escenario |
| Resultados por departamento y rol | Dónde el proceso es más débil y por qué | Muestra quién necesita formación específica |
La tasa de clics por sí sola dice poco. Importa más si alguien avisó del correo y con qué rapidez: si el primer aviso llega en minutos, IT puede retirar un correo de phishing real de todos los buzones antes de que la mayoría lo abra. En los informes de Attack simulation training, Microsoft muestra por separado quién avisó del correo y cuándo. [4]
Dónde encargarla: qué preguntar al proveedor
Hay dos caminos. El primero es Attack simulation training, integrado en Microsoft 365 y disponible con Microsoft Defender for Office 365 Plan 2 o Microsoft 365 E5. [5] Lo configura tu administrador, y los escenarios, el repaso y la formación quedan de tu parte. El segundo es un proveedor externo que prepara escenarios para tu empresa y lleva la campaña y el repaso. Para que sus correos lleguen a la gente, tu administrador los añade a la configuración de entrega para simulaciones de phishing de terceros. [6]
| Pregunta al proveedor | Buena respuesta | Señal de alarma |
|---|---|---|
| ¿Quién acuerda los escenarios y el público, y cómo? | Por escrito, antes de empezar, junto con RR. HH. | «Confía en nosotros, la sorpresa importa» |
| ¿Guardáis las contraseñas introducidas? | No, solo registramos que se introdujeron datos | Sí, o «no lo sabemos» |
| ¿Qué informe recibe la dirección? | Agregado, por departamento y por rol | Una lista de nombres de «quién picó» |
| ¿Qué métricas medís? | Avisos, tiempo hasta el aviso, introducción de datos, clics | Solo la tasa de clics |
| ¿Cómo valoráis la dificultad de los escenarios? | Niveles de dificultad, por ejemplo con la NIST Phish Scale | «Nuestros correos siempre funcionan» |
| ¿Dónde se guardan los datos y cuánto tiempo? | Un plazo concreto y borrado al terminar | Sin respuesta |
| ¿Qué pasa después de la campaña? | Repaso con la dirección y formación con ejemplos propios | Solo una cifra en un informe |
| ¿Habrá una simulación de repetición? | Sí, tras un plazo acordado | Una acción puntual |
Cada cuánto hacerla
Para la mayoría de las empresas, un ritmo razonable es una simulación completa una o dos veces al año y una repetición tras cambios grandes, como pasar a un nuevo servicio de correo o un crecimiento rápido del equipo. Para contabilidad y quien tiene acceso a pagos, se pueden hacer escenarios breves y específicos con más frecuencia. No importa el número de campañas, sino lo que cambia entre ellas: reglas, ajustes, formación. En un equipo muy pequeño la estadística dice poco, así que ahí sirve más un repaso breve de ejemplos reales.
Así hacemos las simulaciones de phishing: escenarios y límites acordados antes de empezar, informe agregado, repaso tras la campaña y repetición tras un plazo acordado. Si la pregunta no es solo sobre las personas, sino también sobre qué se puede atacar desde fuera, eso es trabajo para un pentest.
Checklist para preparar la simulación
Descargar la lista de preparación (PDF)PDF · A4
Preguntas frecuentes
¿Dónde encargar una simulación de phishing para empleados en Ucrania?
A una empresa de ciberseguridad que acuerde los escenarios por escrito, no guarde contraseñas y entregue un informe agregado con repaso. Si tienes Microsoft 365 con Defender for Office 365 Plan 2, puedes empezar con Attack simulation training, pero entonces los escenarios y la formación los preparas tú.
¿Es legal poner a prueba a los empleados con correos de phishing?
Sí, si la empresa hace la simulación por decisión escrita de la dirección, con RR. HH. informado y respetando la ley de datos personales. Los resultados no se usan para castigar. Si tienes dudas laborales, acuerda el formato con un abogado.
¿Hay que avisar a los empleados de la simulación?
Puedes anunciar el programa de formación en general, pero no la fecha ni el escenario, porque entonces el resultado no mostraría nada. El momento de revelarlo se acuerda con la dirección, y después de la simulación todos saben que era formación.
¿Qué hacemos con quienes hicieron clic?
Nada punitivo. Quien hizo clic y avisó enseguida lo hizo todo bien. A quienes introdujeron datos les ayuda un repaso breve con ese mismo correo.
¿Tiene sentido una simulación en una empresa pequeña?
En un equipo de pocas personas la estadística no muestra nada, así que funciona mejor un repaso breve de ejemplos reales. Nuestras simulaciones están pensadas para equipos de 20 personas o más.
Referencias
- NCSC: Phishing attacks: defending your organisation ncsc.gov.uk
- NIST: Phish Scale, NIST-developed method helps IT staff see why users click on fraudulent emails nist.gov
- NIST TN 2276: NIST Phish Scale User Guide nvlpubs.nist.gov
- Microsoft Learn: Reports for Attack simulation training learn.microsoft.com
- Microsoft Learn: Get started using Attack simulation training learn.microsoft.com
- Microsoft Learn: Configure the advanced delivery policy for non-Microsoft phishing simulations learn.microsoft.com
