{"id":939,"date":"2025-09-08T11:58:19","date_gmt":"2025-09-08T14:58:19","guid":{"rendered":"http:\/\/hackerrangers.site\/simulacoes-phishing-metricas-taxas-cliques-insuficientes\/"},"modified":"2026-07-16T15:53:27","modified_gmt":"2026-07-16T18:53:27","slug":"las-simulaciones-tradicionales-de-phishing-te-estan-enganando","status":"publish","type":"post","link":"https:\/\/tmp-hackerrangers.siteup.dev\/es\/phishing\/las-simulaciones-tradicionales-de-phishing-te-estan-enganando\/","title":{"rendered":"\u00bfFuncionan las simulaciones tradicionales de phishing? Descubre por qu\u00e9 las m\u00e9tricas de clics pueden, en realidad, poner en riesgo tu seguridad"},"content":{"rendered":"

Ya sea por exigencias de cumplimiento normativo o por una preocupaci\u00f3n leg\u00edtima por la ciberseguridad, gran parte de las empresas ya ha llevado a cabo alg\u00fan tipo de simulaci\u00f3n tradicional de phishing. Por lo general, estas simulaciones llegan en forma de un correo electr\u00f3nico con una promoci\u00f3n atractiva, una solicitud urgente o un mensaje alarmante.<\/span><\/p>\n

Aunque estas iniciativas tienen como objetivo reducir los riesgos, tambi\u00e9n pueden producir el efecto contrario. Cuando est\u00e1n mal planificadas, las simulaciones de phishing pueden comprometer la confianza entre los colaboradores, los equipos de seguridad y la propia organizaci\u00f3n.<\/span><\/p>\n

Cuando el \u201centrenamiento\u201d se convierte en problema<\/b><\/h2>\n

Una simulaci\u00f3n de phishing mal ejecutada puede provocar una profunda p\u00e9rdida de confianza.<\/span><\/p>\n

Un caso emblem\u00e1tico ocurri\u00f3 en 2023, cuando una universidad de California realiz\u00f3 una simulaci\u00f3n de phishing con el asunto: \u201cNotificaci\u00f3n de emergencia: caso de \u00e9bola en el campus\u201d.<\/span><\/p>\n

Aunque se trataba solamente de una prueba, el mensaje provoc\u00f3 p\u00e1nico entre estudiantes y empleados. La repercusi\u00f3n fue tan negativa que el equipo de TI tuvo que disculparse p\u00fablicamente.<\/span><\/p>\n

El episodio demuestra c\u00f3mo una simulaci\u00f3n puede sobrepasar los l\u00edmites de la concienciaci\u00f3n y causar da\u00f1os reales. Al utilizar un tema sensible y alarmante, la instituci\u00f3n no solo gener\u00f3 miedo, sino que tambi\u00e9n puso en riesgo la credibilidad de futuras comunicaciones de emergencia.<\/span><\/p>\n

Despu\u00e9s de todo, cuando los mensajes institucionales se utilizan como trampas, las personas pueden empezar a cuestionarse si deben confiar en ellos cuando se produzca una situaci\u00f3n real.<\/span><\/p>\n

El problema de las m\u00e9tricas tradicionales<\/b><\/h2>\n

En las pruebas tradicionales de phishing, los resultados suelen reducirse a dos categor\u00edas: quienes hicieron clic y quienes no lo hicieron. Sin embargo, de manera aislada, estas m\u00e9tricas dicen muy poco sobre el nivel real de preparaci\u00f3n de una organizaci\u00f3n.<\/span><\/p>\n

\u00bfLa tasa de clics mide la preparaci\u00f3n de los colaboradores?<\/b><\/h3>\n

No necesariamente. Durante mucho tiempo, indicadores como la tasa de clics, la finalizaci\u00f3n de capacitaciones y la visualizaci\u00f3n de p\u00e1ginas educativas se consideraron se\u00f1ales de madurez. Sin embargo, de manera aislada, \u00fanicamente registran eventos puntuales, no la capacidad real de los colaboradores para reconocer, interpretar y responder a un intento de phishing.<\/span><\/p>\n

La tasa de clics, utilizada muchas veces como la m\u00e9trica principal o incluso como la \u00fanica m\u00e9trica de los programas de seguridad, mide solamente una reacci\u00f3n espec\u00edfica ante un mensaje espec\u00edfico. Seg\u00fan el tema, el momento del env\u00edo y la plantilla utilizada, los resultados pueden variar dr\u00e1sticamente.<\/span><\/p>\n

En un estudio realizado por UC San Diego y la University of Chicago<\/span><\/a>, diferentes simulaciones presentaron tasas medias de error muy distintas. Mientras que los mensajes relacionados con la actualizaci\u00f3n de contrase\u00f1as de Outlook y el inicio de sesi\u00f3n en cuentas registraron tasas inferiores al 2 %, una campa\u00f1a relacionada con la pol\u00edtica de vacaciones alcanz\u00f3 el 30,8 %.<\/span><\/p>\n

Esto significa que la tasa de clics puede revelar m\u00e1s sobre el atractivo emocional, la relevancia o el contexto de un determinado correo electr\u00f3nico que sobre la preparaci\u00f3n real de los colaboradores. Una persona que no hizo clic en una simulaci\u00f3n y fue considerada \u201cconsciente\u201d puede reaccionar de manera diferente ante otro mensaje, especialmente cuando el contenido sea m\u00e1s convincente, urgente o cercano a su rutina diaria.<\/span><\/p>\n

\u00bfEs eficaz la capacitaci\u00f3n presentada despu\u00e9s del clic?<\/b><\/h3>\n

No siempre. Algunos estudios recientes cuestionan la eficacia de las capacitaciones que se presentan despu\u00e9s de hacer clic en una simulaci\u00f3n de phishing. En la pr\u00e1ctica, su impacto puede ser mucho menor de lo que muchas empresas suponen.<\/span><\/p>\n

Una investigaci\u00f3n de ETH Zurich<\/span><\/a> realiz\u00f3 un seguimiento de m\u00e1s de 14.000 colaboradores durante 15 meses y analiz\u00f3 el efecto de los contenidos educativos mostrados despu\u00e9s del clic. El estudio concluy\u00f3 que este tipo de capacitaci\u00f3n, cuando se ofrece de manera aislada, no garantiza que el usuario est\u00e9 mejor preparado para reconocer futuros intentos de phishing. En muchos casos, los participantes continuaron siendo vulnerables y, en determinadas situaciones, incluso presentaron una mayor probabilidad de caer en nuevas pruebas.<\/span><\/p>\n

Otro estudio, realizado con m\u00e1s de 19.500 empleados de UC San Diego Health, lleg\u00f3 a una conclusi\u00f3n similar. Seg\u00fan la investigaci\u00f3n, los formatos tradicionales de capacitaci\u00f3n contra el phishing, incluidas las simulaciones no anunciadas, no demostraron un impacto pr\u00e1ctico significativo en la reducci\u00f3n de los riesgos. Entre los motivos se\u00f1alados se encuentra el bajo nivel de interacci\u00f3n de los usuarios con los materiales educativos presentados despu\u00e9s de la prueba.<\/span><\/p>\n

Los resultados refuerzan una lecci\u00f3n importante: una capacitaci\u00f3n sin contexto y sin participaci\u00f3n dif\u00edcilmente se convierte en aprendizaje. Cuando el contenido aparece \u00fanicamente como consecuencia del clic, el usuario puede llegar a visualizar la orientaci\u00f3n, pero no necesariamente comprende por qu\u00e9 esa informaci\u00f3n es relevante, qu\u00e9 se\u00f1ales no logr\u00f3 detectar o c\u00f3mo aplicar ese conocimiento ante una amenaza futura.<\/span><\/p>\n

\u00bfQuienes no hicieron clic est\u00e1n realmente preparados?<\/b><\/h3>\n

No necesariamente. Un porcentaje elevado de personas que no hicieron clic, por ejemplo, no significa necesariamente que la empresa est\u00e9 m\u00e1s segura. Es posible que los empleados estuvieran demasiado ocupados para abrir el mensaje, que una parte del equipo ya supiera que se estaba realizando la prueba o, simplemente, que el tema utilizado en la simulaci\u00f3n no despertara su inter\u00e9s.<\/span><\/p>\n

En otras palabras, no hacer clic no siempre es el resultado de una decisi\u00f3n consciente. Sin comprender el contexto y el comportamiento que existe detr\u00e1s de la acci\u00f3n, la organizaci\u00f3n corre el riesgo de convertir una m\u00e9trica superficial en una falsa sensaci\u00f3n de seguridad.<\/span><\/p>\n

En los \u00faltimos a\u00f1os, Google dej\u00f3 de realizar pruebas de phishing en su formato tradicional. En su blog oficial, la empresa explic\u00f3 que concienciar a los colaboradores sobre ciberseguridad sigue siendo una pr\u00e1ctica esencial, pero que este proceso no necesita realizarse de manera confrontativa.<\/span><\/p>\n

Como se\u00f1ala el art\u00edculo \u201c<\/span>On Fire Drills and Phishing Tests<\/span><\/a>\u201d, no existe ning\u00fan beneficio en crear una din\u00e1mica basada en \u201catrapar\u201d a las personas cometiendo errores. Este cambio de enfoque refuerza una idea importante: m\u00e1s relevante que medir qui\u00e9n cay\u00f3 en la trampa es evaluar si las personas saben reconocer, reportar y responder adecuadamente ante una amenaza.<\/span><\/p>\n

\u00bfC\u00f3mo se debe medir correctamente la eficacia de una simulaci\u00f3n de phishing?<\/b><\/h2>\n

Para medir correctamente la preparaci\u00f3n de los colaboradores frente a los ataques de phishing, no basta con analizar cu\u00e1ntas personas hicieron clic o dejaron de hacerlo en un mensaje. Una evaluaci\u00f3n eficaz debe comprobar si los usuarios pueden reconocer se\u00f1ales de peligro, explicar sus decisiones, reportar mensajes sospechosos y aplicar ese conocimiento en diferentes contextos. En otras palabras, la organizaci\u00f3n debe medir el cambio de comportamiento, no solamente eventos aislados.<\/span><\/p>\n

M\u00e9trica 1: \u00bfQu\u00e9 se\u00f1ales de phishing se identificaron y cu\u00e1les pasaron desapercibidas?<\/b><\/h3>\n

Una buena simulaci\u00f3n debe comprobar si el usuario puede identificar los elementos que hacen que un mensaje resulte sospechoso. Entre estas se\u00f1ales pueden encontrarse:<\/span><\/p>\n