Enviar un correo falso y publicar quién ha pulsado puede generar miedo, pero no necesariamente aprendizaje. Un simulacro de phishing debe enseñar a detectar señales, utilizar el canal de aviso y responder con rapidez.

INCIBE ofrece materiales de concienciación y ejercicios para empresas. Estos recursos muestran que la formación puede combinar contenidos, práctica y evaluación sin requerir una gran infraestructura.

Define qué quieres entrenar

El objetivo no debería limitarse a medir clics. Puede evaluarse si el personal reconoce un dominio extraño, evita introducir credenciales, comunica el correo o sabe qué hacer después de haber interactuado.

Un primer ejercicio sencillo puede centrarse en una supuesta factura. Más adelante pueden trabajarse documentos compartidos, solicitudes MFA, cambios bancarios, llamadas de soporte o mensajes dirigidos a responsables.

Consigue apoyo de dirección

La dirección debe aprobar el alcance, las personas implicadas, el tratamiento de resultados y el procedimiento si el ejercicio genera una incidencia. Recursos humanos, protección de datos y representación laboral pueden necesitar participar según la organización.

T3chWare puede diseñar la parte técnica y formativa, pero las decisiones laborales o jurídicas corresponden a los responsables y asesores adecuados.

Establece límites seguros

Un simulacro no debería pedir contraseñas reales ni ejecutar archivos peligrosos. La infraestructura debe estar controlada y la recogida de datos limitarse a lo necesario.

Conviene evitar temas especialmente sensibles o manipulaciones que puedan causar un daño desproporcionado. El ejercicio debe adaptarse al contexto y la madurez del equipo.

Crea un canal de reporte fácil

El personal necesita saber dónde enviar un mensaje sospechoso: un botón del correo, una dirección o un canal de soporte. Si reportar requiere demasiados pasos, se perderán avisos valiosos.

El equipo técnico debe responder con una confirmación sencilla y evitar ridiculizar dudas legítimas. Es preferible revisar una falsa alarma que silenciar el siguiente incidente.

Enseña señales que puedan aplicarse

  • Dominio que imita a uno conocido.
  • Urgencia o amenaza para impedir la verificación.
  • Petición inesperada de credenciales, dinero o códigos MFA.
  • Adjunto no solicitado.
  • Enlace cuyo destino no coincide con el texto.
  • Cambio de procedimiento sin confirmación por otro canal.

Ninguna señal aislada demuestra que un mensaje sea fraudulento. El hábito esencial es detenerse, verificar por un canal conocido y comunicar.

Da feedback inmediatamente

Si alguien interactúa con el ejercicio, una página educativa puede explicar qué señales había y qué acción era preferible. El aprendizaje cercano al momento suele ser más útil que un informe semanas después.

Quien reporta correctamente también debería recibir confirmación y refuerzo positivo.

Mide más que el porcentaje de clics

Los indicadores pueden incluir tasa y tiempo de reporte, introducción de datos simulados, reincidencia, departamentos con necesidades específicas y preguntas recibidas.

Las cifras deben interpretarse con cuidado: una campaña difícil no puede compararse directamente con otra sencilla. El objetivo es observar tendencias y mejorar procesos.

Convierte resultados en acciones

Si muchas personas aprueban solicitudes MFA inesperadas, puede reforzarse la autenticación y entrenar ese escenario. Si nadie sabe reportar, la prioridad es mejorar el canal, no repetir la trampa.

También pueden aplicarse controles técnicos como filtros, protección de dominios, mínimos privilegios y procedimientos de confirmación para pagos.

Incluye a dirección

Los responsables manejan pagos, contratos e información sensible y pueden recibir ataques personalizados. Su formación debe practicar decisiones: cómo verificar una transferencia, a quién escalar y cuándo detener un proceso.

Repite con variedad razonable

Una única campaña produce una fotografía puntual. Un programa combina sesiones breves, recordatorios, escenarios distintos y ejercicios de respuesta. Debe evitar la saturación y actualizarse a los flujos reales de la empresa.

Conclusión

Un buen simulacro no busca culpables. Comprueba si las personas reconocen, verifican y comunican, y utiliza los resultados para mejorar formación y controles.

T3chWare ofrece formación y ejercicios prácticos adaptados a autónomos y pymes. Consulta T3chWare →

 

Fuentes oficiales: Kit de concienciación de INCIBE y juego de rol para pymes y autónomos.