¿Funcionan las simulaciones tradicionales de phishing? Descubre por qué las métricas de clics pueden, en realidad, poner en riesgo tu seguridad

Ya sea por exigencias de cumplimiento normativo o por una preocupación legítima por la ciberseguridad, gran parte de las empresas ya ha llevado a cabo algún tipo de simulación tradicional de phishing. Por lo general, estas simulaciones llegan en forma de un correo electrónico con una promoción atractiva, una solicitud urgente o un mensaje alarmante.

Aunque estas iniciativas tienen como objetivo reducir los riesgos, también pueden producir el efecto contrario. Cuando están mal planificadas, las simulaciones de phishing pueden comprometer la confianza entre los colaboradores, los equipos de seguridad y la propia organización.

Cuando el “entrenamiento” se convierte en problema

Una simulación de phishing mal ejecutada puede provocar una profunda pérdida de confianza.

Un caso emblemático ocurrió en 2023, cuando una universidad de California realizó una simulación de phishing con el asunto: “Notificación de emergencia: caso de ébola en el campus”.

Aunque se trataba solamente de una prueba, el mensaje provocó pánico entre estudiantes y empleados. La repercusión fue tan negativa que el equipo de TI tuvo que disculparse públicamente.

El episodio demuestra cómo una simulación puede sobrepasar los límites de la concienciación y causar daños reales. Al utilizar un tema sensible y alarmante, la institución no solo generó miedo, sino que también puso en riesgo la credibilidad de futuras comunicaciones de emergencia.

Después de todo, cuando los mensajes institucionales se utilizan como trampas, las personas pueden empezar a cuestionarse si deben confiar en ellos cuando se produzca una situación real.

El problema de las métricas tradicionales

En las pruebas tradicionales de phishing, los resultados suelen reducirse a dos categorías: quienes hicieron clic y quienes no lo hicieron. Sin embargo, de manera aislada, estas métricas dicen muy poco sobre el nivel real de preparación de una organización.

¿La tasa de clics mide la preparación de los colaboradores?

No necesariamente. Durante mucho tiempo, indicadores como la tasa de clics, la finalización de capacitaciones y la visualización de páginas educativas se consideraron señales de madurez. Sin embargo, de manera aislada, únicamente registran eventos puntuales, no la capacidad real de los colaboradores para reconocer, interpretar y responder a un intento de phishing.

La tasa de clics, utilizada muchas veces como la métrica principal o incluso como la única métrica de los programas de seguridad, mide solamente una reacción específica ante un mensaje específico. Según el tema, el momento del envío y la plantilla utilizada, los resultados pueden variar drásticamente.

En un estudio realizado por UC San Diego y la University of Chicago, diferentes simulaciones presentaron tasas medias de error muy distintas. Mientras que los mensajes relacionados con la actualización de contraseñas de Outlook y el inicio de sesión en cuentas registraron tasas inferiores al 2 %, una campaña relacionada con la política de vacaciones alcanzó el 30,8 %.

Esto significa que la tasa de clics puede revelar más sobre el atractivo emocional, la relevancia o el contexto de un determinado correo electrónico que sobre la preparación real de los colaboradores. Una persona que no hizo clic en una simulación y fue considerada “consciente” puede reaccionar de manera diferente ante otro mensaje, especialmente cuando el contenido sea más convincente, urgente o cercano a su rutina diaria.

¿Es eficaz la capacitación presentada después del clic?

No siempre. Algunos estudios recientes cuestionan la eficacia de las capacitaciones que se presentan después de hacer clic en una simulación de phishing. En la práctica, su impacto puede ser mucho menor de lo que muchas empresas suponen.

Una investigación de ETH Zurich realizó un seguimiento de más de 14.000 colaboradores durante 15 meses y analizó el efecto de los contenidos educativos mostrados después del clic. El estudio concluyó que este tipo de capacitación, cuando se ofrece de manera aislada, no garantiza que el usuario esté mejor preparado para reconocer futuros intentos de phishing. En muchos casos, los participantes continuaron siendo vulnerables y, en determinadas situaciones, incluso presentaron una mayor probabilidad de caer en nuevas pruebas.

Otro estudio, realizado con más de 19.500 empleados de UC San Diego Health, llegó a una conclusión similar. Según la investigación, los formatos tradicionales de capacitación contra el phishing, incluidas las simulaciones no anunciadas, no demostraron un impacto práctico significativo en la reducción de los riesgos. Entre los motivos señalados se encuentra el bajo nivel de interacción de los usuarios con los materiales educativos presentados después de la prueba.

Los resultados refuerzan una lección importante: una capacitación sin contexto y sin participación difícilmente se convierte en aprendizaje. Cuando el contenido aparece únicamente como consecuencia del clic, el usuario puede llegar a visualizar la orientación, pero no necesariamente comprende por qué esa información es relevante, qué señales no logró detectar o cómo aplicar ese conocimiento ante una amenaza futura.

¿Quienes no hicieron clic están realmente preparados?

No necesariamente. Un porcentaje elevado de personas que no hicieron clic, por ejemplo, no significa necesariamente que la empresa esté más segura. Es posible que los empleados estuvieran demasiado ocupados para abrir el mensaje, que una parte del equipo ya supiera que se estaba realizando la prueba o, simplemente, que el tema utilizado en la simulación no despertara su interés.

En otras palabras, no hacer clic no siempre es el resultado de una decisión consciente. Sin comprender el contexto y el comportamiento que existe detrás de la acción, la organización corre el riesgo de convertir una métrica superficial en una falsa sensación de seguridad.

En los últimos años, Google dejó de realizar pruebas de phishing en su formato tradicional. En su blog oficial, la empresa explicó que concienciar a los colaboradores sobre ciberseguridad sigue siendo una práctica esencial, pero que este proceso no necesita realizarse de manera confrontativa.

Como señala el artículo “On Fire Drills and Phishing Tests”, no existe ningún beneficio en crear una dinámica basada en “atrapar” a las personas cometiendo errores. Este cambio de enfoque refuerza una idea importante: más relevante que medir quién cayó en la trampa es evaluar si las personas saben reconocer, reportar y responder adecuadamente ante una amenaza.

¿Cómo se debe medir correctamente la eficacia de una simulación de phishing?

Para medir correctamente la preparación de los colaboradores frente a los ataques de phishing, no basta con analizar cuántas personas hicieron clic o dejaron de hacerlo en un mensaje. Una evaluación eficaz debe comprobar si los usuarios pueden reconocer señales de peligro, explicar sus decisiones, reportar mensajes sospechosos y aplicar ese conocimiento en diferentes contextos. En otras palabras, la organización debe medir el cambio de comportamiento, no solamente eventos aislados.

Métrica 1: ¿Qué señales de phishing se identificaron y cuáles pasaron desapercibidas?

Una buena simulación debe comprobar si el usuario puede identificar los elementos que hacen que un mensaje resulte sospechoso. Entre estas señales pueden encontrarse:

• solicitudes urgentes o amenazantes;
• remitentes o dominios inconsistentes;
• enlaces sospechosos;
• solicitudes inusuales de credenciales;
• errores de lenguaje o formato;
• ofertas excesivamente atractivas;
• solicitudes que no forman parte de los procesos habituales de la organización.

Más importante que saber si el usuario hizo clic es comprender qué señales identificó y cuáles pasó por alto.

Métrica 2: ¿Cómo justifica el usuario su decisión?

El colaborador no debe limitarse a clasificar un mensaje como legítimo o malicioso. También debe explicar por qué llegó a esa conclusión.

Esta justificación permite evaluar si la decisión se basó en conocimientos, intuición, desconfianza general o casualidad. También ayuda a identificar brechas específicas de aprendizaje.

Una persona puede acertar la respuesta sin comprender las señales de la amenaza. Del mismo modo, puede equivocarse a pesar de haber identificado parte de los indicios. Sin esta capa adicional de análisis, la organización únicamente observa el resultado final, no el razonamiento que condujo a él.

Métrica 3: ¿Qué hace el usuario después de recibir un mensaje sospechoso?

Reconocer un intento de phishing es solo una parte de la respuesta. El colaborador también debe saber qué hacer a continuación. Una evaluación completa debe observar si el usuario:

• reporta el mensaje a través del canal correcto;
• evita reenviar el contenido de manera insegura;
• informa rápidamente al equipo responsable;
• sigue los procedimientos establecidos por la organización.

La capacidad de reportar una amenaza puede ser más valiosa para la seguridad colectiva que el simple hecho de no hacer clic.

Métrica 4: ¿Cómo se comporta el usuario a lo largo del tiempo?

Una única simulación no es suficiente para determinar si una persona está preparada. El desempeño puede variar según el tema, el nivel de dificultad, el contexto y el momento en el que se presenta el mensaje. Por este motivo, la evaluación debe hacer un seguimiento de la evolución de los colaboradores en diferentes escenarios.

Entre las métricas más relevantes se encuentran:

• señales identificadas correctamente;
• calidad de las justificaciones;
• tasa de reportes;
• tiempo de respuesta;
• tipos de amenazas que presentan un mayor nivel de dificultad;
• reducción de errores recurrentes;
• evolución individual y colectiva a lo largo del tiempo.

El objetivo no debe ser descubrir quién “cayó en la trampa”, sino identificar si las personas están desarrollando los conocimientos y las habilidades necesarios para tomar mejores decisiones ante amenazas reales.

PhishOS: un nuevo enfoque para las simulaciones de phishing

Basándose en estos principios, Hacker Rangers desarrolló PhishOS, un simulador avanzado creado para ir más allá del simple recuento de clics. La solución se fundamenta en la NIST Phish Scale, una metodología desarrollada por el National Institute of Standards and Technology para evaluar las señales presentes en los mensajes de phishing y el nivel de dificultad de cada simulación.

En PhishOS, los usuarios hacen más que clasificar un mensaje como legítimo o malicioso. También deben justificar su decisión e identificar las señales que fundamentan su análisis. De esta forma, la plataforma no registra únicamente el resultado final. Permite que los responsables comprendan el razonamiento de cada participante, identifiquen patrones de comportamiento y detecten con mayor precisión las principales brechas de conocimiento del equipo.

¿Qué mide PhishOS?

PhishOS permite evaluar:

• si el usuario reconoce un intento de phishing;
• qué señales de peligro se identificaron;
• qué indicios pasaron desapercibidos;
• cómo justifica el usuario su decisión;
• qué tipos de mensajes generan una mayor dificultad;
• cómo evoluciona el desempeño a lo largo del tiempo.

En lugar de presentar la capacitación como una actividad punitiva o burocrática, PhishOS transforma cada simulación en una experiencia gamificada y contextualizada. Los usuarios analizan situaciones prácticas, toman decisiones, acumulan puntos por las respuestas correctas y reciben un reconocimiento inmediato por su desempeño.

Cuando se equivocan, también reciben retroalimentación inmediata sobre las señales que pasaron por alto, por qué el mensaje representaba un riesgo y cómo podrían actuar de manera más segura en una situación similar. De esta forma, el aprendizaje se produce en el momento de la decisión, cuando el contexto todavía está claro para el participante.

Con este enfoque, la simulación deja de ser únicamente una prueba y se convierte en una oportunidad práctica de desarrollo. Los colaboradores fortalecen su capacidad para reconocer amenazas en un entorno seguro, mientras que los responsables hacen un seguimiento de los patrones de comportamiento, las dificultades recurrentes y la evolución del equipo a lo largo del tiempo.

Del recuento de clics al desarrollo de competencias

Las simulaciones de phishing no deben servir únicamente para poner a prueba, castigar o sorprender a los colaboradores. Deben ayudar a las personas a comprender cómo funcionan los ataques y a tomar decisiones más seguras.

Esto exige un cambio de enfoque: dejar atrás las métricas aisladas, como la tasa de clics, y comenzar a medir competencias reales, como el reconocimiento, la interpretación, la justificación, el reporte y la evolución.

Con PhishOS, las organizaciones transforman las simulaciones de phishing en experiencias educativas, contextualizadas y realmente medibles, todo ello dentro de un entorno controlado y 100 % seguro. Solicita una demostración y descubre, en la práctica, una nueva forma de desarrollar la preparación de los colaboradores frente a amenazas reales.