Simulaciones de phishing: ¿por qué hay que ir más allá del número de clics?

Las simulaciones de Phishing se utilizan tanto para evaluar como para capacitar a los colaboradores en la identificación de amenazas. Por lo general, las empresas envían e-mails que simulan mensajes maliciosos y realizan un seguimiento de métricas como los clics y los reportes para analizar cómo reaccionan los usuarios.

Pero ¿saber cuántas personas hicieron clic en un e-mail es suficiente para evaluar el nivel de concientización de un equipo?

Cuando se realizan sin una planificación adecuada y sin el apoyo de otras iniciativas educativas, las simulaciones tradicionales pueden generar métricas poco representativas, aumentar la desconfianza hacia los canales de comunicación corporativos y hacer que la capacitación se perciba como un castigo.

Al mismo tiempo, preparar a los colaboradores para reconocer amenazas sigue siendo fundamental. El Security Awareness & Culture Report 2026, de SANS, demuestra que la ciberseguridad es un desafío tanto técnico como humano y señala las estafas de ingeniería social como el principal factor de riesgo, mencionado por el 77 % de los profesionales de concientización en seguridad que participaron en el estudio.

Por lo tanto, el desafío no consiste únicamente en poner a prueba a los colaboradores, sino en prepararlos para identificar intentos reales de phishing. Por eso, la capacitación en concientización sobre ciberseguridad debe ir más allá de las pruebas y contribuir al aprendizaje y al desarrollo de comportamientos más seguros.

¿Cuáles son los problemas de las métricas de las simulaciones de phishing tradicionales? 

• Tasa de clics: no explica por qué un colaborador decidió interactuar con un mensaje determinado. Un usuario puede hacer clic porque no identificó las señales de amenaza, por curiosidad o porque el e-mail utilizado en la campaña era más convincente. Del mismo modo, no hacer clic no significa necesariamente que haya reconocido el intento de phishing.
• Plantillas: la plantilla utilizada puede influir significativamente en los resultados, lo que dificulta utilizar la tasa de clics como único indicador del nivel de preparación de los colaboradores.
• Campañas sorpresa: las campañas diseñadas para tomar a los usuarios por sorpresa o inducirlos a cometer errores pueden aumentar la desconfianza hacia los e-mails y otros canales oficiales, lo que puede llevar a los colaboradores a ignorar incluso comunicaciones legítimas.
• Miedo a equivocarse: cuando los errores se utilizan como motivo de castigo o para avergonzar a los colaboradores, la capacitación también puede perder su propósito educativo.

¿Qué puede revelar una simulación de phishing y qué no?

En general, las campañas tradicionales de phishing ayudan a responder principalmente dos preguntas: cuántos colaboradores hacen clic en un enlace al recibir un e-mail malicioso y cuántos reportan el mensaje al identificar un intento de phishing.

Sin embargo, la lista de preguntas que estas métricas no pueden responder es un poco más larga:

• ¿Los colaboradores saben qué es el phishing?
• ¿Comprenden los riesgos de seguridad relacionados con su trabajo?
• ¿Por qué hicieron clic en el enlace? ¿Por qué no lo hicieron?
• ¿Saben qué señales deben buscar para identificar un intento de phishing?
• ¿Saben utilizar el e-mail de forma segura y con confianza?

Sin respuestas a estas preguntas, resulta más difícil comprender el nivel de concientización de los colaboradores, identificar sus principales dificultades y orientar la capacitación de manera eficaz.

¿Por qué la tasa de clics no es suficiente para medir la concientización?

Una estrategia de concientización sobre ciberseguridad debe evaluar no solo quién hizo clic, sino también qué señales de phishing son capaces de identificar los colaboradores.

¿El usuario detectó un dominio sospechoso? ¿Identificó el sentido de urgencia? ¿Reconoció una solicitud inusual? ¿Notó inconsistencias en el mensaje? ¿Notó que el formato no coincidía con el contexto del mensaje?

Esta información ofrece una visión más completa de los conocimientos y la preparación del equipo, lo que ayuda a identificar los aspectos que todavía necesitan mejorarse.

¿Cuáles son los desafíos técnicos de las simulaciones de phishing?

Las campañas tradicionales también requieren una preparación adecuada de la infraestructura de la empresa para garantizar la entrega de los e-mails simulados.

Las listas de direcciones de e-mail desactualizadas pueden provocar rebotes (bounces), mientras que las herramientas de seguridad pueden acceder automáticamente a los enlaces y generar falsos positivos. Las configuraciones inadecuadas también pueden impedir que los mensajes lleguen a los usuarios o hacer que terminen en las carpetas de spam.

Por lo tanto, los resultados de las simulaciones pueden verse influenciados tanto por el comportamiento de los colaboradores como por cuestiones técnicas.

Este cambio de perspectiva es la base de PhishOS, una solución de Hacker Rangers que transforma la capacitación sobre phishing en una experiencia práctica y gamificada.

¿Cómo funciona la capacitación sobre phishing con PhishOS?

Con PhishOS, los colaboradores acceden a un laboratorio virtual diseñado específicamente para el aprendizaje. En este entorno controlado, deben distinguir los mensajes legítimos de los maliciosos e identificar las señales de amenaza presentes en ellos.

La herramienta cuenta con más de 350 plantillas de phishing desarrolladas a partir de estafas reales, incluidos ejemplos que utilizan marcas conocidas, y utiliza más de 20 indicadores de la NIST Phish Scale.

De esta manera, la empresa puede identificar qué señales de phishing reconocen los usuarios y cuáles todavía pasan desapercibidas. Los resultados pueden utilizarse para orientar otras iniciativas de capacitación en concientización sobre ciberseguridad y reforzar los aspectos que aún necesitan desarrollarse.

Simulaciones de phishing tradicionales vs. PhishOS: ¿cuáles son las diferencias?

Simulaciones tradicionales	PhishOS
Envían e-mails de phishing simulado a las bandejas de entrada de los usuarios.	Utiliza un entorno de aprendizaje controlado.
Evalúan principalmente acciones como hacer clic y reportar mensajes.	Evalúa la capacidad de identificar señales de phishing.
El colaborador es el objetivo de la simulación.	El colaborador participa activamente en la capacitación.
Pueden verse afectadas por rebotes (bounces) y falsos positivos.	No depende del envío de e-mails simulados.
Utilizan los canales reales de comunicación de la empresa para realizar las pruebas.	Realiza la capacitación en un entorno dedicado y diseñado específicamente para las simulaciones.
Los resultados están influenciados por la plantilla utilizada.	Trabaja con diferentes indicadores de la NIST Phish Scale.
Los errores pueden percibirse como fallas.	Los errores forman parte del proceso de aprendizaje.
Permiten identificar quién interactuó con el mensaje.	Busca comprender qué señales puede identificar el usuario.
No permiten saber por qué el usuario hizo clic o no en el e-mail.	Identifica exactamente qué señales de phishing les cuesta reconocer a los usuarios y qué aspectos necesitan mejorar.

¿Cómo hacer que la capacitación sobre phishing sea más educativa y eficaz? 

Además de los ejercicios prácticos, PhishOS utiliza recursos de gamificación para fomentar la participación. Los puntos, las medallas, los rangos y los rankings permiten que los colaboradores sigan su progreso mientras desarrollan sus habilidades para identificar amenazas.

La diferencia está en el enfoque: en lugar de descubrir únicamente quién cayó en una simulación, el objetivo es comprender qué necesitan aprender los colaboradores para reconocer un ataque real.

Las simulaciones tradicionales pueden formar parte de un programa de concientización sobre ciberseguridad cuando se utilizan con una planificación adecuada y un propósito educativo claro. Sin embargo, preparar a las personas para enfrentar el phishing requiere mucho más que contar clics.

Con PhishOS, de Hacker Rangers, los colaboradores dejan de ser simples objetivos de una simulación y se convierten en protagonistas de su propio aprendizaje, identificando amenazas, recibiendo retroalimentación y desarrollando comportamientos más seguros.