¿Cómo funcionan las simulaciones de phishing en la formación?

¿Qué es una simulación de phishing y qué hace exactamente?

Una simulación de phishing es un ataque de phishing reconstruido que usted (o su proveedor) envía a un grupo predefinido de empleados. Los mensajes se parecen a correos reales de phishing, pero un clic no lleva a un atacante. Lleva a una página de aterrizaje segura de su plataforma, donde el empleado recibe una breve explicación de lo que podría haber reconocido.

El objetivo no es engañar a las personas. El objetivo es hacer visibles dos comportamientos: cuántos empleados hacen clic en un mensaje sospechoso (la tasa de clic) y cuántos lo notifican a TI (la tasa de notificación). Esas dos cifras juntas dan una imagen mucho más rica que una prueba clásica o una puntuación de e-learning: muestran cómo se comportan los empleados bajo presión.

Una simulación bien diseñada es una parte recurrente de su programa de concienciación en seguridad, no una acción puntual. Una sola medición dice poco; solo a los doce meses verá si la tasa de clic baja y la de notificación sube, y solo entonces sabrá si el programa funciona.

La configuración técnica: de la plantilla al informe

Una simulación de phishing se compone de cuatro elementos que una buena plataforma combina con unos pocos clics.

• Una plantilla: la apariencia y el contenido del mensaje. Puede ser un falso correo de mensajería, una factura falsa, una solicitud de Microsoft 365 para volver a iniciar sesión o un mensaje falso del helpdesk de TI. Una buena plataforma ofrece decenas de plantillas por sector, en cada idioma que su organización necesite.
• Una audiencia: quién recibe el mensaje. Puede ser toda la organización, un departamento, un rol (todo el personal financiero) o una muestra aleatoria. Una buena plataforma sincroniza audiencias automáticamente desde su sistema de RR. HH. o Microsoft Entra ID.
• Una planificación: cuándo se envía el mensaje. El momento influye notablemente en el resultado: un lunes por la mañana cargado da otras cifras que un viernes por la tarde tranquilo. Una buena plataforma permite planificar un ciclo anual por adelantado.
• Una página de aterrizaje y un informe: lo que ocurre tras un clic y lo que usted ve. Con un clic, el empleado recibe una breve explicación, la plataforma registra quién hizo clic y quién notificó, y usted obtiene un panel con tasas de clic y de notificación por departamento.

Lo que una simulación mide y lo que no

Una simulación de phishing mide tres cosas muy bien y otras tres no. Mantener clara esa distinción es importante; de lo contrario, sacará conclusiones equivocadas.

Lo que una simulación sí mide: la tasa de clic (qué porcentaje hace clic en un mensaje sospechoso), la tasa de notificación (qué porcentaje notifica vía el botón o el helpdesk) y el tiempo hasta la primera notificación (con qué rapidez alguien da la alarma). Las tres cifras juntas forman una imagen fiable de la cultura de notificación en su organización.

Lo que una simulación no mide: la inteligencia individual, el conocimiento teórico sobre phishing o cómo se comportará alguien bajo presión real de ataque. Un empleado que hace clic en una buena simulación generada por IA no es "tonto"; es un usuario medio frente a un ataque realista. Justo ese tipo de ataque es para el que debe formar su programa.

En la práctica, esa es la conclusión más importante: una organización con tasa de clic baja y tasa de notificación baja no es segura. Es una organización donde la gente simplemente ha dejado de notificar. Una organización con tasa de clic media y tasa de notificación alta sí es resistente, porque los ataques reales se vuelven visibles rápido.

Las tres reglas que separan aprender de castigar

En manos equivocadas, una simulación de phishing puede romper más de lo que construye. Tres reglas determinan si su simulación se convierte en un instrumento de aprendizaje o en uno que socava la cultura de notificación.

• Mida la notificación, comunique la notificación, premie la notificación. Quien notifica una simulación recibe un breve mensaje de agradecimiento. Cuando un equipo en su conjunto obtiene buenos resultados de notificación, menciónelo en un boletín. Haga visible la notificación como comportamiento positivo y la tasa sube mes a mes.
• Nunca castigue un clic. Quien hace clic recibe una breve explicación: "Esto fue una simulación. Estas son las tres señales que podía haber reconocido". Punto. Sin correo al responsable, sin recapacitación obligatoria, sin mención en la evaluación. Un clic es un momento de aprendizaje, no una infracción.
• Nunca comunique cifras individuales a los responsables. Las cifras agregadas por departamento ayudan a decidir dónde reforzar contenido. Cifras individuales al jefe: nunca. El momento en que ocurre es el momento en que los empleados dejan de notificar y, con ello, usted pierde su principal capa de defensa frente a ataques reales.
• Ajuste el ritmo al contexto organizativo. Una simulación durante una reorganización o justo antes del pago del bonus se siente como un acto agresivo, no como formación. La gente ya está intranquila, y lo que daña no es la tasa de clic sino la confianza en el programa. Una simulación mal sincronizada puede retrasar un programa de concienciación durante años.

Formas modernas de simulación y el bucle de retroalimentación

Una simulación de phishing que en 2026 sigue enviando solo correos clásicos con frases torpes entrena a los empleados en un patrón de ataque que apenas existe ya. Las simulaciones realistas incorporan las técnicas modernas que se ven en la práctica.

• Correo de phishing clásico, pero con lenguaje impecable y marca perfecta, generado como lo haría un atacante con IA en segundos. Es el tipo base más importante en 2026.
• Smishing (phishing por SMS) al teléfono profesional o privado registrado, con texto corto y URL acortada. Entrena el reconocimiento en el dispositivo donde la gente es menos crítica.
• Quishing (phishing por QR) mediante una imagen en un correo o en un cartel. El código QR lleva a una página de aterrizaje segura de la plataforma. Practica el patrón de que los filtros de correo no leen los QR.
• Escenario de MFA fatigue: una breve ráfaga de notificaciones push reconstruidas o una invitación de inicio de sesión a una hora inusual. Entrena el reconocimiento de patrones adversary-in-the-middle y push bombing.
• El bucle de retroalimentación: quien hace clic recibe de inmediato un breve módulo de microlearning de unos minutos con las tres señales que podía haber detectado. Sin trámites administrativos, sin escalado al jefe, solo un momento de aprendizaje directo. Esa conexión entre clic y aprendizaje convierte la simulación en formación en lugar de control.

Cómo anclar esto en su programa de concienciación

Una simulación de phishing no es una actividad aislada, sino parte de un ciclo más amplio de concienciación. En la práctica, un ritmo de cuatro a seis simulaciones al año funciona mejor en la mayoría de las organizaciones, alternado con módulos cortos de e-learning y comunicación periódica vía intranet, carteles o reuniones de equipo.

Comience con una medición de referencia antes de iniciar el contenido. Le da un punto de partida honesto: una organización sin programa enfocado suele estar entre 25 y 35 por ciento de tasa de clic, con 10 a 15 por ciento de tasa de notificación. Con un programa maduro, la tasa de clic baja al 5 a 10 por ciento en doce a dieciocho meses, y la tasa de notificación sube al 60 a 75 por ciento. La comparación con su propia referencia importa más que con benchmarks externos.

Conecte la simulación con la realidad de su organización. No envíe siempre la misma plantilla genérica, sino escenarios cercanos a lo que sus empleados ven realmente en su bandeja: comunicación de proveedores para finanzas, correos de clientes para atención al cliente, notificaciones de TI para toda la organización. Cuanto más se acerque la simulación a la realidad, más aprende un empleado de un error.

Y por último: mantenga el botón de notificación visible en el cliente de correo, conectado a un proceso de triaje sencillo. Una tasa de notificación alta solo es útil si pasa algo con las notificaciones: respuesta rápida al notificante, triaje diario por el equipo de seguridad y, ante un ataque real, un aviso rápido al resto de la organización. Solo así la simulación deja de ser un número aislado y se convierte en parte de un proceso de defensa que funciona.

Artículos relacionados

• Por qué funcionan las simulaciones de phishing
• Cuando las simulaciones de phishing son contraproducentes
• Los KPIs de phishing que realmente importan
• Seguridad del correo electrónico e ingeniería social

Fuentes

• CISA: evitar ingeniería social y phishing
• NCSC NL: phishing (visión general)
• SANS Security Awareness: phishing benchmarks

FAQ

¿Qué es exactamente una simulación de phishing?

Una simulación de phishing es un ataque de phishing controlado y reconstruido que envía a sus propios empleados para ver cuántos hacen clic y cuántos notifican. No es un ataque real: un clic lleva a una página de aterrizaje segura de la plataforma con una breve explicación.

¿Debo avisar a los empleados de las simulaciones por adelantado?

Sí, en términos generales. Anuncie al inicio del programa de concienciación que las simulaciones de phishing forman parte del mismo y cuál es su finalidad. No se anuncian las simulaciones individuales, lo cual impediría la medición, pero el principio debe ser conocido y estar recogido en la política.

¿Cuál es una buena tasa de clic en una simulación de phishing?

Sin un programa enfocado, una organización media se sitúa entre el 25 y el 35 por ciento de tasa de clic. Con un programa maduro baja al 5 a 10 por ciento en doce a dieciocho meses. Más importante que la cifra absoluta es el movimiento respecto a su propia referencia.

¿Puedo compartir los resultados de clic individuales con los responsables?

No. En cuanto los empleados saben que su comportamiento individual llega al responsable, las notificaciones caen con fuerza. Con ello pierde la detección temprana de ataques reales. Las cifras agregadas por departamento sí son útiles para decidir dónde reforzar contenido.

¿Con qué frecuencia hacer simulaciones de phishing?

Cuatro a seis simulaciones al año funcionan bien en la mayoría de organizaciones. Más a menudo provoca fatiga; menos veces ofrece poca práctica. Más importante que el número es la variación en la forma (correo, smishing, quishing) y en la dificultad.

¿Qué diferencia hay entre una simulación y un ataque real de phishing?

Técnicamente se parecen, pero en una simulación el enlace lleva a una página de aterrizaje segura de su plataforma en lugar de a un atacante. No se roban contraseñas ni datos y no se instala software malicioso. Solo se registra quién hizo clic y quién notificó.

¿Cómo sé si mis simulaciones de phishing son efectivas?

Fíjese en tres cifras durante seis a doce meses: la tasa de clic debe bajar, la tasa de notificación debe subir, y el tiempo hasta la primera notificación debe acortarse. Una simulación aislada dice poco; solo la tendencia a lo largo de varias simulaciones muestra si el programa funciona.