Simulación de phishing: límites y qué añadir para la voz

Una simulación de phishing mide un clic en un correo falso, no cómo mantiene un empleado una conversación con un falso interlocutor. Sigue siendo útil, pero no prepara para el vishing, el phishing por teléfono. Para cubrir la voz hay que añadir una práctica oral, con reglas de verificación sencillas y un informe de evaluación.

Este artículo explica qué miden realmente las campañas de correos falsos, dónde se quedan cortas y cómo completar el dispositivo sin desmontarlo.

¿Qué mide, exactamente, una simulación de phishing?

Una campaña envía un mensaje falso a empleados. La herramienta anota después quién ha hecho clic, quién ha introducido un identificador y, según los dispositivos, quién ha notificado el mensaje. Se obtiene una tasa de clics, por equipo y a lo largo del tiempo.

Es un indicador valioso para un canal concreto: el correo electrónico. Revela las poblaciones más expuestas y permite probar un nuevo mensaje de alerta. También da a la dirección un punto de partida cuantificado.

Pero el clic es un gesto único, rápido y solitario. El empleado está solo ante su pantalla, puede detenerse, mirar la dirección del remitente, preguntar a un compañero. Nada le apremia, salvo el propio mensaje.

Por qué el teléfono cambia la naturaleza del problema

Por teléfono, el atacante habla en directo. Reacciona a sus dudas, responde a sus objeciones, insiste cuando usted duda. La urgencia ya no está escrita, está en la voz.

La situación se parece más a una entrevista que a una clasificación de correo. Tres cosas la distinguen de un correo electrónico:

• El ritmo está impuesto: quien llama decide cuándo hay que responder, y el silencio resulta incómodo.
• La relación es social: negarse ante una persona que parece amable o en apuros cuesta más que borrar un mensaje.
• No queda nada: ni enlace que señalar, ni cabecera que examinar, solo lo que ha retenido.

El saber teórico («nunca doy mi código») no basta, por tanto. Hay que pronunciarlo, en voz alta, frente a alguien que insiste. Es lo que detalla nuestro artículo sobre las palancas psicológicas de la ingeniería social.

Los cinco límites de las campañas de correos falsos

1. Solo ponen a prueba lo escrito

Un empleado muy prudente con sus correos puede ceder ante una llamada bien llevada. Las dos competencias solo se solapan en parte. Superar una no dice nada de la otra.

2. Miden un clic, no un reflejo de verificación

No hacer clic puede deberse a una vigilancia real, pero también a un mensaje mal escrito o a un día sin tiempo. La tasa de clics no dice si la persona sabría verificar a quien llama, ni qué frase emplearía.

3. Pueden producir cansancio o desconfianza

Cuando los empleados se sienten engañados, algunos dejan de notificar por miedo al juicio. El dispositivo debe seguir siendo pedagógico: un error debe llevar a una explicación, no a una clasificación.

4. Se limitan a ataques unidireccionales

En un correo falso, el empleado no puede negociar, hacer una pregunta ni oír cómo el atacante cambia de táctica. Y eso es exactamente lo que ocurre en un vishing real.

5. Dejan de lado a las poblaciones que descuelgan el teléfono

Centralitas, recepción, soporte informático, contabilidad de proveedores, asesores: muchos puestos reciben llamadas entrantes por naturaleza. Su exposición viene del teléfono, no del buzón de correo.

Lo que dicen las cifras sobre el factor humano

El informe 2025 de Verizon sobre brechas de datos (DBIR) indica que el elemento humano interviene en cerca del 60 % de las brechas analizadas. Esta cifra no se refiere solo al phishing. No dice nada del canal. Recuerda sobre todo que la técnica por sí sola no basta.

Para la voz, ninguna estadística de un único informe debe servir de prueba. Lo esencial está en otra parte: los modus operandi por teléfono, como el falso asesor bancario o el fraude del CEO, se basan en la palabra y el momento oportuno. Una prueba en pantalla no los reproduce.

¿Qué hay que añadir a una campaña de phishing?

No suprima sus campañas. Compleméntelas en tres puntos.

1. Reglas de verificación orales, cortas e idénticas para todos. Por ejemplo: colgar y devolver la llamada a un número oficial, nunca al que da quien llama. Nuestro artículo sobre el procedimiento de devolución de llamada por un canal independiente detalla la fórmula.
2. Una práctica de la conversación. El empleado repite la frase que rechaza, ante alguien que insiste, hasta que sale sin esfuerzo.
3. Una notificación medida tanto como el clic. Se cuenta cuántas personas notifican y con qué calidad de información.

Estos tres elementos se encuentran en el artículo principal sobre la formación en ciberseguridad y el vishing.

Cómo entrenar la voz: el juego de rol

Un reflejo oral se construye diciéndolo. El juego de rol coloca al empleado ante un interlocutor que insiste, adula o amenaza, y le deja la palabra. Puede equivocarse sin consecuencias y luego volver a empezar.

Con Face Up, el formador escribe el escenario a partir de sus casos reales. El empleado habla con un personaje interpretado por una IA, por ejemplo un falso proveedor. Recibe después un informe de evaluación con lo que ha dicho y con lo que podía haber hecho de otro modo. Para el método completo, véase cómo construir una simulación de vishing con juegos de rol con IA.

Este tipo de ejercicio no sustituye ni al e-learning ni a las campañas de correos. Cubre lo que ellos no cubren: la palabra bajo presión.

Imaginemos una llamada: lo que una prueba de correo no ve

Un contable de proveedores, al que llamaremos Pablo, supera todas las campañas de correos falsos desde hace dos años. Una mañana, un hombre se presenta como el responsable de un proveedor habitual. Dice que su IBAN ha cambiado y que el pago del día debe salir antes del mediodía.

Pablo conoce el nombre del proveedor, el tono es cortés y quien llama menciona una factura real. Añade que su director financiero espera la confirmación. El tiempo apremia, la voz se irrita un poco y el silencio de Pablo se prolonga.

Ninguna campaña de correos ha enseñado a Pablo la frase que sale en ese instante. La que funciona es sencilla: «Nunca modifico un IBAN por teléfono. Le devuelvo la llamada al número de su ficha de proveedor.» Se dice en dos segundos, pero solo si ya se ha dicho antes en voz alta.

Cómo leer una tasa de clics sin equivocarse

Una buena tasa de clics es una buena noticia sobre el correo, nada más. Tres precauciones evitan conclusiones erróneas.

• Compare lo comparable. Un mensaje falso grosero y uno muy dirigido no dan la misma tasa. Anote la dificultad de cada campaña.
• Mire la tendencia, no el valor aislado. Una bajada regular a lo largo de varias campañas dice más que una cifra puntual.
• Cruce con la notificación. Pocos clics sin ninguna notificación pueden significar que nadie ha visto el mensaje, o que nadie se atreve a decirlo.

Estos límites coinciden con los que se observan en el e-learning en general, descritos en nuestro artículo sobre el e-learning en ciberseguridad y los reflejos.

Una tabla para completar su dispositivo

Antes de lanzar su próxima campaña, hágase cuatro preguntas. Si dos respuestas son «no», el dispositivo tiene un ángulo muerto en la voz.

1. ¿Conoce cada empleado expuesto al teléfono una única regla de verificación oral?
2. ¿Ha pronunciado cada uno la frase de negativa, ante alguien, antes del día real?
3. ¿Sabe a quién notificar una llamada sospechosa y qué datos anotar?
4. ¿Mide usted algo más que el clic, por ejemplo la notificación o el éxito en un ejercicio oral?

Preguntas frecuentes

¿Hay que dejar las simulaciones de phishing?

No. Miden bien un riesgo real en el correo y sensibilizan a gran escala. Lo importante es no concluir, a partir de una tasa de clics baja, que los equipos están preparados para el teléfono.

¿Se pueden organizar falsas llamadas sorpresa?

Es posible en ciertas organizaciones, pero exige un marco jurídico y social sólido (información a los representantes de los trabajadores, anonimato, ausencia de sanciones). Un ejercicio anunciado y seguido de un informe de evaluación es más sencillo de poner en marcha y más formativo.

¿Qué indicador seguir en lugar de la tasa de clics?

Siga varios: tasa de notificación, plazo de notificación, calidad de la notificación y éxito en ejercicios de verificación oral. Nuestro artículo sobre la medición de la eficacia de una sensibilización propone una tabla.

¿Quién debe entrenar la voz en prioridad?

Los puestos que reciben llamadas entrantes o validan operaciones: recepción, soporte informático, tesorería, contabilidad de proveedores, asesores de atención al cliente. Empiece por ellos, con escenarios sacados de sus casos reales.

¿Quiere ver cómo es un ejercicio de verificación de quien llama, escrito por sus formadores? Reserve una demostración de Face Up.