Qué muestran 48 experimentos de campo sobre la personalidad y el phishing

En 2019, Teodor Sommestad y Henrik Karlzén, de la Agencia Sueca de Investigación para la Defensa, reunieron 48 trabajos con experimentos de campo sobre ataques de phishing.

Su estudio fue un metaanálisis centrado en la susceptibilidad al ataque, que es la probabilidad de que una persona caiga en un phishing, y en los factores que la modifican. En todos esos experimentos, las personas recibieron un correo de phishing simulado sin saber que participaban en un estudio, así que lo que se midió fue el clic real o la contraseña entregada de verdad.

Los autores agregaron las tasas de caída, que promediaron el 21%, y las pruebas estadísticas sobre tres grupos de variables, que eran las de la persona que recibía el correo (edad, género, personalidad, experiencia informática, formación), las del mensaje (urgencia, amenaza de pérdida, apelación a la autoridad) y las de la situación en la que llegaba.

La principal conclusión es que la persona pesó menos de lo que los propios investigadores esperaban. Los rasgos de personalidad y las características demográficas dieron resultados débiles o inconsistentes de un estudio a otro, con una capacidad predictiva limitada. El diseño del ataque y el entrenamiento, en cambio, mostraron una influencia más clara sobre la tasa de caída.

¿Por qué la personalidad no predice quién cae en un phishing?

El phishing es, sobre todo, una interacción entre una persona, un mensaje y un contexto concreto. La personalidad es relativamente estable, y la decisión de hacer clic ocurre en un momento determinado, con una carga de trabajo, un apuro y un correo que coincide o no con una tarea esperada.

La revisión encontró que rasgos como la amabilidad, la extraversión, la responsabilidad o la tendencia a confiar en los demás daban resultados débiles o contradictorios entre estudios. Sobre los cinco grandes rasgos de personalidad hubo veinte pruebas, y trece no hallaron relación. Algunos trabajos encontraban una asociación y otros no, así que no era posible afirmar que esos rasgos predijeran de forma confiable la susceptibilidad al phishing. Los autores resumen esa relación como «limitada y débil».

Una forma sencilla de entenderlo es pensar en una persona muy prudente que cae en un correo muy creíble, recibido en un momento de estrés, y en otra impulsiva que detecta sin esfuerzo un mensaje mal diseñado. La personalidad, por sí sola, explica poco de lo que pasa en cada uno de esos casos.

Una de las lecturas más interesantes que deja el estudio es que no aparece una «víctima tipo» de phishing. La vulnerabilidad parece depender de la combinación entre la persona, el contexto y la calidad del engaño, y esa combinación es justamente lo que menos se midió. De las 140 pruebas estadísticas que reunió la revisión, 116 analizaban a la persona que recibía el correo, 16 el mensaje y solo una la situación en la que llegaba.

¿Por qué hay estudios que sí encuentran rasgos asociados al clic?

Un estudio individual suele trabajar con una muestra concreta, un tipo específico de campaña de phishing y un contexto determinado. En esas condiciones puede encontrar que un rasgo como la confianza o la amabilidad se asocia con una mayor probabilidad de hacer clic. Cuando se comparan muchos estudios a la vez, esas asociaciones no siempre se repiten, y lo que aparece en una investigación puede desaparecer en otra hecha con una población distinta o con otro enfoque.

Es plausible, por ejemplo, que una persona con una alta tendencia a confiar sea más vulnerable ante un correo que aparenta venir de un compañero de trabajo. Si el siguiente estudio usa un mensaje basado en la urgencia o en el miedo, esa misma característica puede dejar de pesar. El efecto observado depende entonces del tipo de engaño y de la palanca de persuasión que activa el mensaje.

Una revisión sistemática publicada en 2025 por López-Aguilar y su equipo muestra ese patrón con 26 estudios. Encontró tendencias, como la extraversión asociada a más caída en doce estudios y la responsabilidad a menos caída en siete, pero solo diez de esos estudios midieron conducta real y los autores no pudieron combinar los resultados en un metaanálisis porque cada uno medía la personalidad y el phishing a su manera.

Muchos de los estudios revisados por Sommestad y Karlzén tenían, además, problemas de muestreo y de control, como reconocen los propios autores, y su revisión cuenta cuántas pruebas resultaron significativas sin combinar tamaños de efecto. No encontré ningún metaanálisis posterior que combine tamaños de efecto entre personalidad y phishing. Por eso la conclusión prudente es que la personalidad tiene una capacidad predictiva débil e inconsistente frente a otros factores, aunque no nula.

¿Qué cambia, entonces, la probabilidad de caer?

Las variables con un efecto claro estaban en el mensaje y en el entorno de quien lo recibe. En los mismos 48 experimentos, los sistemas técnicos de advertencia, la personalización del correo, el entrenamiento y el uso de tácticas de engaño conocidas modificaron la tasa de caída. El tipo de estafa mostró las diferencias más grandes, con algunos tipos mucho más efectivos que otros.

Ese resultado invierte la pregunta que suele hacerse un programa. La variable con más peso pasa a ser qué le llegó a la persona y en qué condiciones, que es justamente lo que la investigación casi no estudió. Es la misma confusión que aparece cuando una lista de «reincidentes» suma en un solo número lo que hizo cada persona y lo difícil que era el correo que le tocó.

¿Qué significa esto para un programa de concienciación?

Significa que la personalización con respaldo en la evidencia parte de la conducta observada, como los contenidos que cada persona completó, lo que hizo frente a una simulación o lo que reportó.

En Smart Path, el formato de SMARTFENSE que crea un programa distinto para cada persona, el recorrido se construye con los criterios que define el equipo y con lo que esa persona ya completó, el tiempo que tiene y el momento en que entró a la organización. Ninguno de esos criterios es un rasgo de personalidad.

La investigación preguntó 116 veces quién cae y una sola vez en qué situación. La segunda pregunta todavía espera su turno.