Qué hacen las personas frente a ataques simulados de phishing y ransomware. Datos primarios de la plataforma SMARTFENSE, agregados y anonimizados, sobre una base de +700 organizaciones de la región.
El Informe del Riesgo Humano es un estudio recurrente de SMARTFENSE que mide cómo responden las personas de organizaciones reales ante simulaciones de phishing, ransomware y otros vectores de ingeniería social. Se elabora con datos agregados y anonimizados de la plataforma, sin encuestas ni autopercepción, y permite comparar el riesgo humano por país, por sector y a lo largo del tiempo.
El riesgo humano es la probabilidad de que el comportamiento de las personas derive en un incidente de seguridad. Se mide con conducta observada (aperturas, clics, entrega de datos, reportes) y se gestiona con concienciación, simulación y remediación continua.
Sí, y el dato lo muestra con claridad. La tasa de clic agregada bajó de 13,8% en 2020 a 7,1% en 2026, una reducción cercana a la mitad. En el mismo período nació la cultura de reporte: de 0% en 2020 a 2,8% en 2026. Las organizaciones que sostienen su programa año tras año reducen el riesgo y ganan alertas tempranas.
| Año | Envíos | Apertura | Clic | Reporte |
|---|---|---|---|---|
| 2020 | +35.000 | 36,5% | 13,8% | 0,0% |
| 2021 | +110.000 | 31,1% | 11,2% | 0,5% |
| 2022 | +350.000 | 43,0% | 9,5% | 0,6% |
| 2023 | +540.000 | 41,1% | 7,6% | 1,1% |
| 2024 | +620.000 | 39,2% | 6,9% | 0,9% |
| 2025 | +800.000 | 40,3% | 7,4% | 1,2% |
| 2026 (parcial) | +570.000 | 47,7% | 7,1% | 2,8% |
2026 incluye datos hasta junio. Los años 2018-2019 se omiten de la tabla por muestra chica (menos de 15.000 envíos anuales) aunque integran el agregado global.
La lectura de 2026 es la más reveladora de la serie. Los correos logran la apertura más alta registrada (47,7%), consistente con señuelos cada vez mejor escritos en la era del phishing asistido por IA, y aun así el clic no acompaña esa subida y el reporte se duplica. Los ataques mejoran; las personas entrenadas, también.
Nueve países superan los 10.000 envíos de phishing simulado en el dataset. Italia registra la tasa de clic más alta (10,6%) y Chile la más baja (5,4%). Panamá lidera la cultura de reporte (7,5%), seguido por Perú (6,8%), ambos muy por encima del promedio regional.
| País | Envíos | Apertura | Clic | Datos entregados | Reporte |
|---|---|---|---|---|---|
| Italia | +85.000 | 53,6% | 10,6% | 2,6% | 1,2% |
| Ecuador | +80.000 | 46,6% | 9,3% | 2,6% | 3,4% |
| Colombia | +70.000 | 34,2% | 9,2% | 3,3% | 0,6% |
| Perú | +220.000 | 50,5% | 9,0% | 3,2% | 6,8% |
| Argentina | +1,3M | 49,1% | 8,2% | 2,8% | 0,7% |
| España | +310.000 | 34,7% | 8,0% | 2,3% | 1,2% |
| México | +220.000 | 25,4% | 7,9% | 0,7% | 0,2% |
| Panamá | +40.000 | 21,9% | 5,5% | 1,1% | 7,5% |
| Chile | +620.000 | 31,3% | 5,4% | 1,5% | 0,7% |
Solo países con +10.000 envíos. Argentina concentra la muestra más grande (+1,3M de envíos). Porcentajes sobre el total de envíos de cada país.
Energía encabeza la tasa de clic (12,3%) y Transporte registra la más baja (4,8%). Seguros combina un clic alto (9,3%) con la mejor tasa de reporte sectorial (6,1%).
| Sector | Envíos | Apertura | Clic | Reporte |
|---|---|---|---|---|
| Energía | +60.000 | 44,1% | 12,3% | 5,2% |
| Educación | +20.000 | 48,3% | 10,7% | 0,0% |
| TIC | +55.000 | 40,5% | 9,8% | 1,2% |
| Seguros | +160.000 | 43,2% | 9,3% | 6,1% |
| Alimentos | +50.000 | 35,6% | 8,8% | 0,9% |
| Administración Pública | +110.000 | 32,3% | 8,1% | 1,5% |
| Servicios | +990.000 | 53,5% | 8,0% | 0,4% |
| Banca/Financiera | +570.000 | 31,9% | 7,7% | 2,5% |
| Salud | +160.000 | 48,1% | 6,7% | 0,1% |
| Industrial | +620.000 | 32,7% | 5,5% | 0,5% |
| Retail | +40.000 | 27,4% | 5,4% | 4,0% |
| Transporte | +35.000 | 45,1% | 4,8% | 0,5% |
Solo sectores con un mínimo de 5 organizaciones con datos (criterio de publicación anti reidentificación). Porcentajes sobre el total de envíos del sector.
El dataset también registra la conducta frente a los contenidos educativos. La señal es consistente: cuando el contenido llega al buzón, una parte importante de la organización lo completa.
Las cifras excluyen interacciones generadas por software de seguridad (sandboxes, gateways, scanners, verificadores de enlaces). SMARTFENSE detecta y filtra esas interacciones automáticamente. En herramientas sin ese filtrado, los clics y las descargas suelen estar inflados.
El mismo dato que ves en esta página, empaquetado para el comité: gráficos presentables, metodología extendida y comentario ejecutivo. Te lo enviamos al correo al instante.
En una demo te mostramos cómo medir el riesgo humano de tu organización con la misma metodología de este informe y cómo reducirlo con un programa sostenido.