Simulaciones de phishing y smishing: cómo se hacen bien

Una simulación de phishing mal planteada hace más daño que no hacer ninguna. Envías un correo cebo especialmente cruel, medias empresa pica, publicas la lista de quién ha caído y consigues dos cosas: gente avergonzada y un equipo que a partir de ese día prefiere no contarte nada. La versión bien hecha del mismo ejercicio consigue lo contrario, que la plantilla avise antes y más rápido. La diferencia está entera en el diseño.

Para qué sirve realmente una simulación de phishing

El objetivo no es la nota. Una simulación de phishing es una medición del comportamiento colectivo de tu empresa ante un mensaje fraudulento, y a la vez el momento de aprendizaje con más impacto que vas a conseguir, porque llega justo cuando la persona acaba de hacer clic y todavía tiene la escena fresca.

Eso obliga a decidir antes de enviar nada qué quieres saber. ¿Cuánta gente detecta una suplantación del banco? ¿Cuánto tarda el primer aviso al canal interno? ¿Alguien reporta el mensaje sin haber hecho clic? Cada una de esas preguntas exige un diseño distinto de la campaña.

Diseñar el cebo: creíble, no imposible

Una campaña con faltas de ortografía y un remitente absurdo no mide nada, todo el mundo la esquiva y la conclusión es falsamente tranquilizadora. Una campaña indistinguible de la realidad, con datos internos que solo conocería un compañero, tampoco mide: mide únicamente que un ataque perfecto funciona, y eso ya lo sabíamos.

El punto útil está en el nivel de sofisticación que tu empresa recibiría de verdad. Para una pyme española eso significa unos pocos escenarios reconocibles:

• Un aviso de seguimiento de un paquete de Correos con una supuesta tasa pendiente de pago.
• Una notificación que dice venir de la AEAT sobre una devolución o un requerimiento con plazo.
• Un mensaje atribuido a la Seguridad Social sobre un trámite que hay que confirmar.
• Una alerta de tu banco pidiendo validar un movimiento no reconocido.
• Un correo interno con un enlace a un documento compartido que requiere «volver a iniciar sesión».

El smishing merece su propia campaña

El SMS no es el correo con menos caracteres. Llega al móvil personal, se lee en segundos, casi nunca pasa por un filtro corporativo y el enlace se abre en un navegador móvil donde comprobar el dominio real es incómodo. Además hay un detalle técnico que confunde a mucha gente: los mensajes fraudulentos pueden aparecer agrupados en el mismo hilo que los mensajes legítimos del remitente suplantado, así que el contexto que la persona usa para confiar está ya contaminado.

Por eso una simulación de smishing enseña algo que la de correo no enseña: que la regla no puede ser «desconfía de los remitentes raros», porque el remitente parece el de siempre. La regla útil es no actuar nunca desde el enlace del mensaje y entrar en la sede electrónica o la app del banco por la vía habitual.

La ética del ejercicio y por qué señalar culpables sale caro

Publicar nombres, hacer bromas en una reunión o vincular el resultado a la evaluación de desempeño destruye el único activo que la simulación debería construir: que la gente reporte. Un empleado que teme quedar en ridículo esconde el clic, y un clic escondido es exactamente el escenario que convierte un incidente pequeño en uno grande, porque nadie puede reaccionar a lo que no sabe.

Hay además cebos que no deberías usar aunque funcionen. Falsas comunicaciones sobre despidos, nóminas, primas o temas de salud generan una angustia real y un resentimiento que dura mucho más que cualquier aprendizaje. Un buen ejercicio se apoya en la curiosidad y la rutina, no en el miedo personal.

Tres reglas de base sostienen todo lo demás: resultados agregados hacia dirección, nunca listas nominales; comunicación previa de que la empresa hace simulaciones periódicas, sin decir cuándo; y consulta con quien lleve la protección de datos y con la representación de los trabajadores antes de empezar, porque estás tratando datos de comportamiento de personas identificables bajo el RGPD.

Métricas que valen más que la tasa de clic

La tasa de clic es la métrica que todo el mundo pide y la que menos te dice, porque depende sobre todo de lo agresivo que fuera el cebo. Estas otras aguantan mejor la comparación entre campañas:

• Tasa de reporte: cuánta gente avisó por el canal interno. Es la única métrica que quieres ver subir.
• Tiempo hasta el primer aviso: los minutos entre el envío y la primera alerta marcan tu capacidad real de respuesta.
• Ratio de reporte frente a clic: mide si el equipo reacciona más de lo que cae, que es el verdadero indicador de madurez.
• Entrega de credenciales: hacer clic es un tropiezo, teclear la contraseña es el fallo que importa.
• Reincidencia: quién repite campaña tras campaña, para ofrecerle apoyo individual y discreto.
• Cobertura por área: administración, comercial y dirección reciben ataques distintos y sus resultados no son comparables entre sí.

Cadencia y qué pasa después del envío

Una campaña al trimestre, con escenarios que rotan y dificultad creciente, mantiene la atención sin agotar a nadie. Enviar todos los meses convierte el ejercicio en ruido; enviar una vez al año no mide una tendencia, mide un día.

Lo que ocurre después es la mitad del valor. Quien hace clic debería ver de inmediato una explicación breve de las tres señales que delataban ese mensaje concreto, sin tono de reprimenda. Quien reporta debería recibir un agradecimiento explícito, porque estás premiando justo la conducta que quieres multiplicar. Y dirección debería recibir la lectura agregada junto a la decisión que toca: reforzar el filtro, ajustar el proceso de pagos o llevar un escenario concreto a la siguiente sesión de concienciación en ciberseguridad.

Nuestro servicio de simulaciones de phishing y smishing se diseña con escenarios locales, resultados agregados y refuerzo inmediato tras el clic. Si vas a lanzar la primera campaña, define antes dos cosas: por qué canal se reporta un mensaje sospechoso y quién responde a ese aviso. Sin esas dos respuestas, la simulación solo produce un porcentaje.