Toda herramienta de simulación de phishing en el mercado se presenta como la mejor herramienta de simulación de phishing para tu organización. El sitio de cada proveedor promete plantillas hiper-realistas, dashboards intuitivos, integración con todo y resultados garantizados. Y, sin embargo, cualquier responsable de seguridad que haya operado una plataforma de awareness durante un par de años sabe que la realidad es bastante más prosaica.
Según el Verizon DBIR 2025, alrededor del 60% de las brechas confirmadas involucran una acción humana, y el correo sigue siendo el vector inicial más frecuente en ese subconjunto. Si vas a invertir en una herramienta cuyo trabajo es justamente entrenar a las personas frente a ese vector, conviene tener un marco honesto para decidir cuál vale la pena y cuál se queda en promesa de homepage.
Lo que sigue son cinco criterios prácticos, ordenados por impacto operativo. No reemplazan una prueba real, pero permiten filtrar el catálogo antes de pedir demos.
¿Qué hace que una herramienta de simulación de phishing sea buena de verdad?
Una simulación de phishing es un envío controlado que reproduce un ataque de ingeniería social por correo (o por SMS, QR, voz) con el objetivo de medir y entrenar la respuesta de los usuarios sin ponerlos en riesgo real. El producto que la operativiza es la herramienta de simulación de phishing.
A partir de esa definición, el criterio rector es bastante directo. Una buena herramienta es la que te permite medir y mejorar el comportamiento de tus usuarios frente a phishing real, no la que produce el dashboard más vistoso. Todo lo que evalúes a continuación debería filtrarse por esa pregunta. Si una funcionalidad no mueve la aguja del comportamiento real, es decoración.
¿Las plantillas se parecen a los ataques que recibe tu organización?
El primer criterio es el más obvio y el más subestimado. Una simulación solo entrena si el escenario se parece a algo que podría llegar mañana. Si los empleados ven una plantilla pixelada con el logo de un banco estadounidense, aprenden a reconocer plantillas pixeladas con logos de bancos estadounidenses. Nada más.
Para evaluar este criterio, conviene revisar tres cosas:
- Volumen y frescura del catálogo: ¿hay plantillas nuevas cada mes o son las mismas de hace dos años? Los atacantes actualizan sus señuelos siguiendo tendencias (IA, criptomonedas, paquetería, devoluciones de impuestos) y la herramienta debería seguir el ritmo.
- Localización real: una plantilla “en español” que copia una notificación de la AFIP no sirve para una empresa española, y una de Hacienda no sirve para una mexicana. Pregunta cuántas plantillas hay por país, no por idioma.
- Capacidad de personalización: ¿puedes adaptar una plantilla a tu organización en cinco minutos o necesitas exportar el HTML, editarlo y reimportarlo? Las simulaciones que parecen un correo interno típico de tu empresa son las que funcionan de verdad.
¿La herramienta cubre los vectores que usan los atacantes hoy?
Hace cinco años, simular phishing significaba enviar correos. Hoy es un subconjunto. Los atacantes combinan canales y la herramienta debería poder simular esa combinación.
Como mínimo, una plataforma actual debería permitirte simular:
- Email: con adjuntos, enlaces, formularios y suplantación de remitente.
- Smishing (SMS): porque los flujos de autenticación viven en el teléfono.
- Quishing (QR): cada vez más común en campañas dirigidas, especialmente al área financiera y de logística.
- Vishing (voz): o al menos campañas mixtas donde un correo prepara una llamada posterior.
Si una herramienta solo simula email, está entrenando a tus usuarios para una mitad del problema. Las simulaciones por SMS y QR ya forman parte del básico en cualquier programa de awareness de 2026, no son un agregado opcional.
¿Los correos llegan a la bandeja sin pedir whitelist a TI?
Este criterio parece técnico, pero define si tu programa va a ser sostenible o un dolor operativo permanente.
Muchas herramientas funcionan únicamente si TI agrega excepciones (whitelist) en el gateway de correo, en el antiphishing y en el cliente final. Eso tiene dos consecuencias incómodas. La primera, cada nueva simulación es un trámite con TI. La segunda, los usuarios reciben correos “marcados como seguros” por la infraestructura, lo que sesga la respuesta hacia abajo y reduce el valor formativo del ejercicio.
Las herramientas más maduras logran entregar las simulaciones en la bandeja del usuario sin alterar las defensas de la organización, integrándose con Microsoft 365 o Google Workspace por API. Si la única vía es la whitelist, vas a pagar el costo durante toda la operación del programa. Vale la pena profundizar en este punto antes de firmar, porque evitar el whitelist es la diferencia entre una simulación con valor real y una de pasillo.
El otro tema que se cuela acá son los falsos positivos. Sandboxes, scanners y bots de seguridad que interactúan con los enlaces antes que los usuarios. Si la herramienta no los detecta y filtra, tus métricas se llenan de ruido y tomas decisiones con datos contaminados.
¿Las métricas miden comportamiento, o solo clics?
Si todo lo que una herramienta sabe decirte es “tasa de clics”, estás comprando un contador, no una plataforma de awareness.
Una herramienta seria debería darte, al menos:
- Tasa de reporte: cuántos usuarios identificaron el phishing y lo reportaron. Esta es la métrica más subestimada y la más valiosa, porque mide cultura activa, no pasiva.
- Tiempo hasta el primer reporte: una organización donde el primer reporte llega a los dos minutos tiene una ventana real de defensa; otra donde llega al día siguiente, no.
- Segmentación por grupo, función y reincidencia: el riesgo no es homogéneo. Necesitas saber dónde concentrar el esfuerzo.
- Evolución longitudinal: cómo cambia el comportamiento del mismo usuario a lo largo de los meses, no solo el promedio de la última campaña.
Hay todo un análisis sobre por qué la tasa de clics por sí sola no alcanza para medir un programa de awareness que conviene revisar antes de elegir herramienta, justamente porque define qué tan profundo es el conjunto de métricas que necesitas.
¿Qué pasa después del clic?
Este es el criterio que separa una herramienta de simulación de una plataforma de awareness. Si un usuario hace clic en una simulación, ¿qué ve?
En el peor caso, una landing genérica que dice “te equivocaste” y un envío al correo de la siguiente capacitación, programada quién sabe cuándo. En el mejor caso, un momento educativo inmediato que aporta contexto sobre qué pistas debió detectar, contenido breve para reforzar el aprendizaje y trazabilidad para el equipo de seguridad.
Las herramientas que tratan al clic como dato muerto desaprovechan el momento de mayor atención del usuario. Las que lo tratan como gatillo de formación generan cambio sostenido, porque el aprendizaje ocurre cuando el error está fresco. Si la herramienta no integra de forma nativa la simulación con la capacitación posterior, vas a terminar pegando con cinta dos productos distintos y perdiendo el momento crítico.
¿Cómo cumple SMARTFENSE estos criterios?
SMARTFENSE es una plataforma de awareness con presencia en más de 30 países de LATAM y España, y los cinco criterios anteriores son los que estructuran su herramienta de simulación de ataques de phishing. El catálogo de plantillas está localizado por país y se actualiza con las campañas reales que se observan en la región, cubre los cuatro vectores (email, smishing, quishing y vishing) y se integra por API con Microsoft 365 y Google Workspace para entregar simulaciones en la bandeja del usuario sin requerir whitelist. El conjunto de métricas incluye tasa de reporte, tiempo hasta el primer reporte y vista longitudinal por usuario. Y cuando un usuario hace clic, el momento educativo dispara contenido de refuerzo positivo en el momento exacto en que la persona está prestando atención.
La comparación honesta deja de lado los superlativos y se queda en los criterios: cuáles aplican a tu contexto y cómo cada herramienta los cumple. Lo demás se valida en una prueba real.
¿Cómo elegir la mejor herramienta de simulación de phishing en la práctica?
Antes de pedir una sola demo, ordena el ejercicio. Define las cinco a diez plantillas que más se parecen a los ataques reales que ha recibido tu organización, identifica los vectores que necesitas cubrir (no solo email), revisa con TI si vas a tolerar whitelist o no, y arma la lista de métricas que vas a poner en el reporte ejecutivo. Con ese marco en mano, las demos dejan de ser un desfile de pantallazos y empiezan a ser una conversación útil. La mejor herramienta de simulación de phishing es siempre la que mejor cumple esos criterios para tu contexto, no la que tiene la homepage más prolija.
Cuando estés listo para esa conversación, una demo de SMARTFENSE es un buen lugar para empezar a comparar.
Deja una respuesta