Cómo hacer simulaciones de phishing sin romper la confianza de la plantilla

Según la edición de 2026 del Data Breach Investigations Report de Verizon, en el 62 % de las brechas hay un elemento humano. Esa cifra explica por qué la simulación de phishing es hoy un control estándar en cualquier programa de seguridad serio. Pero esconde una segunda verdad: un programa de simulación mal planteado puede hacer daño de verdad. Desgasta la confianza, ahoga las notificaciones de incidentes y enseña a la plantilla que el equipo de seguridad intenta pillarla.

La diferencia entre los dos resultados no la marca la herramienta, sino el diseño del programa. Esta guía recoge las prácticas que separan las simulaciones que cambian el comportamiento de las que generan resentimiento, apoyándose en lo que los datos actuales de Verizon, KnowBe4 y el NIST respaldan de verdad.

Por qué funciona la simulación cuando se hace bien

La evidencia a favor de los programas de simulación bien diseñados es sólida. El informe Phishing by Industry Benchmarking 2026 de KnowBe4 se basa en 42 millones de correos de phishing simulados enviados a 14,8 millones de usuarios en 64.000 organizaciones. Según el informe, las organizaciones sin formación parten de una tasa de propensión al phishing del 33,2 %: más o menos uno de cada tres empleados interactúa con el correo de la prueba inicial. Con formación y simulación combinadas, la tasa baja al 20,1 % a los noventa días y al 4,2 % a los doce meses.

Damos a propósito las tasas publicadas y no un titular de «reducción porcentual». Los propios resúmenes de KnowBe4 sobre los mismos datos han dado cifras de reducción distintas; dos tasas, en cambio, las puede comprobar cualquiera.

Lo que significa para usted: lo que funciona es la continuidad, no una prueba aislada. La simulación hay que montarla como un ciclo de medición y práctica, no como un evento anual.

Y el resultado más importante de ese ciclo no es el clic, sino la notificación. Un correo de phishing notificado en dos minutos es tiempo ganado para la respuesta al incidente. Un correo borrado o pulsado en silencio no aporta nada. Cada decisión de diseño debe empujar en una sola dirección: más notificaciones, y más rápidas.

El objetivo de una simulación de phishing no es pillar a nadie en un error. Es convertir la notificación de un correo sospechoso en un gesto tan automático como bloquear la pantalla.

Para muchas organizaciones europeas no es solo una buena práctica. El artículo 21(2)(g) de NIS2 incluye la ciberhigiene y la formación en ciberseguridad entre las medidas mínimas obligatorias, y el artículo 13(6) de DORA convierte la concienciación en un módulo obligatorio para las entidades financieras. Lo desarrollamos en nuestra página de servicios financieros.

Ocho principios para la simulación de phishing

1. Defina el objetivo antes del primer envío

«Reducir los clics» no es un objetivo, es un efecto secundario. Escriba qué quiere cambiar de verdad: el tiempo hasta la primera notificación, la proporción de empleados que notifican en lugar de ignorar el correo, el número de personas que repiten clic en los equipos de alto riesgo. Consiga el respaldo de la dirección para esos objetivos y para las reglas básicas (sin sanciones, sin señalar a nadie). Así el programa queda protegido cuando haga clic alguien con cargo. Y alguien con cargo hará clic.

2. Mida una línea de base honesta

Lance la primera campaña antes de cualquier anuncio o formación, con una plantilla de dificultad media y en toda la organización. Es la única medición neutral que tendrá, y cualquier mejora que defienda después se apoyará en ella. Resista la tentación de suavizar la primera prueba para que las cifras luzcan mejor.

3. Pruebe cada mes y hágalo todo aleatorio

El comportamiento se relaja con el tiempo y la plantilla cambia. Una cadencia mensual con horarios de envío aleatorios, plantillas rotatorias y grupos escalonados evita dos errores clásicos: la «temporada de phishing» trimestral que todos aprenden a anticipar y el envío masivo puntual que se destapa en minutos en el grupo de mensajería de la empresa.

4. Ajuste la dificultad a conciencia

Si todas las simulaciones son fáciles de detectar, sus métricas le harán parecer mejor de lo que es. Si todas son phishing dirigido de alta calidad, la plantilla desarrolla indefensión aprendida. La NIST Phish Scale permite puntuar de forma repetible la dificultad de cada plantilla según las pistas que contiene y su encaje con el contexto. Así puede mezclar niveles de dificultad a propósito e interpretar las tasas de clics con justicia: un 12 % de clics en una plantilla difícil es mejor resultado que un 4 % en una evidente.

Un ejemplo concreto: un aviso de «Envíos Rápidos», una empresa de mensajería inventada, desde enviosrapidos.example, que dice «falta su dirección de entrega», es una plantilla fácil: el dominio del remitente, el saludo genérico y la urgencia van juntos. La versión del mismo aviso que coincide con un pedido que el empleado espera de verdad e imita un circuito de compras interno es mucho más difícil. Medir las dos con la misma vara le confundirá.

5. No sancione nunca un clic

En este punto no caben concesiones. Los programas que recortan bonus, señalan nombres o amenazan con el despido a quien falla una simulación obtienen siempre lo mismo: las notificaciones se hunden, la plantilla se avisa entre sí y el equipo de seguridad pierde la relación que más necesita en un incidente real. Acompañe a las personas con formación, escale solo los patrones persistentes y deje todo esto escrito en las reglas del programa.

6. Mida la notificación, no solo el clic

La tasa de clics es la métrica de escaparate de la simulación. Las cifras que predicen la resistencia real son la tasa de notificación, la relación entre notificaciones y clics y el tiempo mediano entre la llegada del correo y la primera notificación. Un equipo con un 8 % de clics y un 70 % de notificaciones está mucho más seguro que uno con un 3 % de clics en el que nadie notifica nada.

Explicamos cómo calcular y presentar estas métricas en nuestro artículo sobre métricas de simulación de phishing.

7. Vaya más allá del correo

Los atacantes reales ya lo han hecho. El phishing de voz (vishing), el phishing por SMS (smishing), los señuelos con códigos QR (quishing) y la fatiga de notificaciones de MFA son ya técnicas habituales de acceso inicial. Un programa que solo prueba el correo mide el modelo de amenazas de ayer. Incluya escenarios de SMS y QR en su rotación, y complemente con formación basada en escenarios los canales que no pueda simular con seguridad. Seguimos lo rápido que cambia la combinación de canales en nuestra recopilación de estadísticas de ingeniería social.

8. Agrupe por riesgo, no por organigrama

Finanzas aprueba pagos, los asistentes de dirección gestionan agendas y viajes, los administradores de TI tienen accesos privilegiados. Cada grupo recibe señuelos distintos y merece escenarios distintos. Los programas maduros asignan a cada empleado un nivel de riesgo según su función, sus accesos y su historial en las simulaciones, y ajustan la dificultad y la frecuencia en consecuencia. El Human Risk Score existe precisamente para eso: convierte resultados de simulación dispersos en una señal de riesgo por persona sobre la que se puede actuar.

Plan de arranque de 90 días

Días 1–15: bases. Redacte las reglas del programa (objetivos, normas básicas, enfoque sin sanciones), consiga el respaldo de la dirección e instale y anuncie el botón para notificar phishing. Si la plantilla no tiene una forma de notificar con un clic, resuelva eso antes que nada.

Días 16–30: línea de base. Lance la campaña inicial sin anunciarla, con una plantilla de dificultad media ya puntuada. Registre la tasa de clics, la de notificación y el tiempo hasta la primera notificación. Presente los resultados a la dirección sin nombres.

Días 31–60: primer ciclo de formación. Anuncie el programa continuo. Imparta formaciones breves y adaptadas a cada función; la investigación sobre lo rápido que se olvida lo aprendido respalda sesiones cortas y frecuentes frente a un maratón anual. Lance la segunda campaña con plantillas rotatorias y envíos aleatorios.

Días 61–90: rutina. Pase a la cadencia mensual. Añada un escenario fuera del correo. Ponga en marcha el acompañamiento para reincidentes. Publique un panel del programa con la tendencia de clics y notificaciones; la transparencia sobre los resultados agregados construye la confianza que destruyen los programas punitivos.

A partir del día 91, el programa se convierte en una rueda que gira sola: simular, medir, acompañar, subir la dificultad, repetir. La simulación de phishing de NOUSEC automatiza la mecánica (rotación de plantillas, ajuste de dificultad, programación por persona y formación en el momento del clic) para que un equipo de seguridad pequeño pueda llevar un programa a escala de gran empresa.

Errores habituales que hunden los programas

Los mismos patrones de fracaso aparecen una y otra vez:

• probar a intervalos trimestrales que todo el mundo anticipa;
• juzgar el programa solo por la tasa de clics;
• usar señuelos con mucha carga emocional (un falso bonus, un falso anuncio de despidos) que provocan reacción en vez de aprendizaje;
• dejar a la alta dirección fuera de las pruebas;
• tratar la simulación como el producto en sí y no como una herramienta de medición.

El phishing, la suplantación (spoofing) y sus variantes ya son amenazas lo bastante reales; no hace falta fabricar indignación dentro de casa.

Un programa de simulación de phishing es, en el fondo, un ejercicio de construcción de confianza a gran escala. Con objetivos claros, una medición honesta y cero sanciones, el día que un ataque real llegue al buzón tendrá lo que busca: menos clics y muchas más notificaciones.