{"id":41898,"date":"2026-06-10T07:24:52","date_gmt":"2026-06-10T05:24:52","guid":{"rendered":"https:\/\/smartfense.com\/?p=41898"},"modified":"2026-06-10T07:24:55","modified_gmt":"2026-06-10T05:24:55","slug":"simulacion-de-phishing-campana-cambia-comportamiento","status":"publish","type":"post","link":"https:\/\/smartfense.com\/es-ar\/blog\/simulacion-de-phishing-campana-cambia-comportamiento\/","title":{"rendered":"Simulaci\u00f3n de phishing: c\u00f3mo dise\u00f1ar una campa\u00f1a que cambia el comportamiento"},"content":{"rendered":"

Casi todas las organizaciones que arrancan un programa de awareness empiezan por lo mismo: enviar una simulaci\u00f3n de phishing, contar cu\u00e1ntas personas hicieron clic y guardar el n\u00famero. Un mes despu\u00e9s repiten el ejercicio, comparan los dos porcentajes y declaran que el programa \u201cest\u00e1 funcionando\u201d o que \u201cla gente no aprende\u201d. En la mayor\u00eda de los casos no es ni una cosa ni la otra. Lo que suele fallar no es la gente, sino el dise\u00f1o de la campa\u00f1a.<\/p>\n

El Verizon DBIR 2026<\/a> muestra que el phishing dej\u00f3 de concentrarse en el correo: los atacantes se desplazaron al m\u00f3vil, donde las tasas de clic en mensajes de texto y llamadas son m\u00e1s altas. El factor humano sigue en el centro, solo que ahora repartido en m\u00e1s canales. Entrenar esa respuesta es exactamente para lo que sirve una simulaci\u00f3n, pero solo si est\u00e1 pensada para cambiar conducta y no para producir un porcentaje. Veamos qu\u00e9 separa a una campa\u00f1a que mueve la aguja de una que solo genera un reporte.<\/p>\n

\u00bfQu\u00e9 es una simulaci\u00f3n de phishing?<\/h2>\n

Una simulaci\u00f3n de phishing<\/strong> es un env\u00edo controlado que reproduce un ataque de ingenier\u00eda social (por correo, SMS, c\u00f3digo QR o voz) con el objetivo de medir y entrenar la respuesta de las personas frente a ese ataque, sin exponerlas a un riesgo real. Funciona como un ensayo, no como una trampa para \u201catrapar\u201d a quien se equivoca, y su valor est\u00e1 en lo que se aprende despu\u00e9s, no en el resultado del primer intento.<\/p>\n

De esa definici\u00f3n se desprende el criterio que ordena todo lo dem\u00e1s. Una buena campa\u00f1a es la que produce un cambio de comportamiento medible y sostenido<\/strong>, no la que baja la tasa de clics una vez. Si una decisi\u00f3n de dise\u00f1o no contribuye a ese cambio, sobra.<\/p>\n

\u00bfPor qu\u00e9 la tasa de clics no alcanza para dise\u00f1ar la campa\u00f1a?<\/h2>\n

La tasa de clics es f\u00e1cil de medir y por eso domina los reportes. El problema es que dice muy poco. Una organizaci\u00f3n puede bajar su porcentaje de clics simplemente repitiendo la misma plantilla hasta que todos la reconozcan, sin que nadie haya aprendido a detectar un ataque nuevo.<\/p>\n

Lo que conviene observar es otra cosa: cu\u00e1ntas personas reportan<\/strong> el correo sospechoso, en cu\u00e1nto tiempo llega el primer reporte y c\u00f3mo evoluciona el mismo grupo a lo largo de los meses. Hay un an\u00e1lisis m\u00e1s extenso sobre qu\u00e9 deber\u00eda medir de verdad un programa de awareness<\/a>, pero la idea central es simple: la simulaci\u00f3n se dise\u00f1a hacia atr\u00e1s, empezando por la conducta que se quiere ver, no por el n\u00famero que se quiere bajar.<\/p>\n

\u00bfQu\u00e9 tan parecido al ataque real tiene que ser el escenario?<\/h2>\n

Una simulaci\u00f3n entrena solo si se parece a algo que podr\u00eda llegar ma\u00f1ana. Si las personas ven siempre una plantilla gen\u00e9rica con el logo de un banco que no usan, aprenden a reconocer esa plantilla y nada m\u00e1s. Cuando el escenario no se parece a lo que la organizaci\u00f3n recibe de verdad, lo aprendido se queda en la simulaci\u00f3n y nunca llega al correo real. Por eso el realismo es la primera decisi\u00f3n de dise\u00f1o de una campa\u00f1a.<\/p>\n

Dise\u00f1ar realismo implica tres decisiones concretas:<\/p>\n