La primera vez que hicimos un simulacro de phishing para un cliente, el resultado fue incómodo para todos: el 31% del equipo hizo clic en el enlace falso. El correo no era sofisticado. Era un “tu contraseña expira en 24 horas” con logo corporativo. Lo habría borrado cualquiera que hubiera tenido un segundo para pensarlo. Pero nadie tuvo ese segundo.
Eso es exactamente lo que mide un simulacro: no si tu equipo es inteligente, sino si tiene el músculo de detenerse antes de actuar.
Por qué el phishing sigue siendo el vector número uno
El 90% de los ciberataques exitosos a empresas empieza con un correo. No porque los atacantes sean especialmente creativos, sino porque el ser humano es el control más fácil de saltarse. Puedes tener el firewall más caro del mercado y un solo clic en el momento equivocado lo cortocircuita todo.
Y el phishing ha mejorado. Lo que antes eran correos con errores de ortografía y remitentes obvios, hoy son mensajes que imitan a tu banco, a tus proveedores, al área de TI o a RR.HH., con dominios casi idénticos y hasta firma digital. La inteligencia artificial generativa está haciendo que la redacción de estos correos sea perfecta en cualquier idioma — el acento rioplatense o los anglicismos que antes delataban ya no aplican.
En ese escenario, la única defensa que funciona en la práctica es que las personas estén entrenadas para detectarlos.
Qué es un simulacro de phishing (y qué no es)
Un simulacro de phishing es una campaña controlada: tú —o un proveedor como nosotros— envía correos diseñados para parecer ataques reales a los empleados de una empresa, sin avisarles de antemano que es una prueba.
Lo que no es: una trampa para despedir gente. No funciona así, y los programas que se implementan con ese espíritu terminan destruyendo la cultura de reporte, que es exactamente lo que más necesitas cuando pasa un incidente real.
La lógica correcta es esta: el empleado que hace clic en el simulacro es un activo que necesita entrenamiento, no un riesgo que hay que controlar. El objetivo es bajar la tasa de clics del equipo, no identificar culpables.
El ciclo completo de un programa
Un simulacro puntual sirve para medir, pero no cambia el comportamiento. Lo que sí cambia el comportamiento es un programa en rondas con retroalimentación inmediata. Así funciona:
1. Línea base (Ronda 0)
La primera ronda se hace sin capacitación previa. Su única función es medir el punto de partida: ¿cuántas personas del equipo hacen clic? ¿Cuántas entregan credenciales? ¿Cuántas reportan el correo como sospechoso?
El rango típico que vemos en empresas medianas sin programa previo: 28–35% de tasa de clics. Eso no significa que el equipo sea descuidado; significa que nadie les ha enseñado a buscar las señales.
2. Retroalimentación inmediata
Cuando alguien hace clic en el enlace del simulacro, en vez de llegar a la página de phishing llega a una pantalla que le dice tres cosas:
- “Esto era una prueba de seguridad.”
- “Estas son las señales que lo delataban” (dominio sospechoso, urgencia artificial, remitente que no coincide).
- “Esto es lo que debes hacer la próxima vez” (reportar al área de TI sin hacer clic).
El aprendizaje en el momento exacto del error es el más efectivo. Una charla general de ciberseguridad en una sala dos semanas después no tiene el mismo efecto.
3. Segunda ronda
Cuatro a seis semanas después de la primera, se repite la campaña con una plantilla diferente. La tasa de clics suele caer entre un 40% y un 60% respecto de la línea base. No es magia: es que las personas ahora tienen un marco para reconocer las señales.
4. Tercera ronda (y consolidación)
La tercera ronda cierra el ciclo inicial. En la mayoría de los equipos, la tasa de clics llega a menos del 5%. A partir de ahí, el programa pasa a modo de mantenimiento: una campaña cada trimestre o semestre, con plantillas que incorporen las técnicas de phishing más recientes (hoy incluyen llamadas por voz —vishing— y mensajes de texto —smishing—).
5. Métrica clave: tasa de reporte
La tasa de clics es la que todos miran, pero la que más nos importa a nosotros es otra: ¿cuántas personas reportaron el correo como sospechoso?
Una tasa de reporte alta es mejor señal que una tasa de clics baja. Significa que el equipo no solo esquiva los ataques, sino que avisa cuando los ve. En seguridad, el reporte temprano es lo que convierte un incidente potencial en un incidente evitado.
Las plantillas: cómo se diseñan
El realismo importa. Un simulacro con un correo obvio enseña a detectar correos obvios, no phishing real. Por eso las plantillas que usamos se personalizan por empresa:
- Genéricas de alta efectividad: “tu contraseña expira”, “paquete en camino”, “actualiza tu método de pago”. Tienen tasas de clic altas porque activan urgencia en todos.
- Específicas del contexto: imitación del dominio del proveedor de RR.HH., comunicación del área de finanzas, correo del CEO. Más difíciles de detectar; se usan después de la segunda ronda.
- Con señuelos actuales: invitaciones a revisiones de sueldo, comunicaciones sobre la Ley 21.719 de protección de datos, alertas de cuentas en otras plataformas. Aprovechan el contexto del momento.
Lo que la Ley 21.719 tiene que ver con esto
Acá hay algo que muchas empresas no están viendo todavía: cuando un empleado hace clic en un simulacro y ese clic queda registrado, estás recolectando un dato personal. El nombre del empleado asociado a su comportamiento en una prueba de seguridad es un dato personal bajo la definición de la ley.
Eso no significa que no puedas hacer simulacros; significa que debes hacerlos con un marco legal claro: política de uso aceptable actualizada, base legal explícita para el tratamiento de ese dato, y los resultados usados exclusivamente para capacitación. Si tu empresa está en proceso de adecuación a la ley, el programa de concientización en ciberseguridad es parte de ese proceso — y podemos ayudarte a estructurarlo.
Por qué el objetivo no es el 0%
Una aclaración importante: la meta no es que nadie haga jamás clic en un phishing. Eso es inalcanzable. El objetivo es que la tasa sea lo suficientemente baja para que los controles técnicos (filtros de correo, autenticación multifactor, segmentación de red) puedan manejar los casos restantes.
Un equipo con una tasa de clics del 4% y autenticación multifactor activada en todas las cuentas es un equipo razonablemente seguro. Un equipo con una tasa del 30% y buenas contraseñas no lo es, porque un atacante que obtiene credenciales de una sola cuenta puede moverse lateralmente por toda la red.
El simulacro entrena a las personas. Los controles técnicos son la segunda línea. Necesitas las dos.
Cómo empezar
Si nunca han hecho un simulacro, el primer paso es medir la línea base. Antes de invertir en capacitación, necesitas saber dónde está el equipo. Es la misma lógica que aplicamos en consultoría de TI: primero el diagnóstico, después la solución.
Un piloto de phishing simulado para un equipo de 20 a 100 personas se puede armar y ejecutar en dos semanas. Los resultados —con la tasa de clics, el mapa de quiénes reportaron y una primera lectura de los vectores más efectivos— te dan la base para diseñar el programa de las rondas siguientes.
Si quieres entender dónde está parado tu equipo antes de la siguiente ronda de phishing real, conversemos.
Preguntas frecuentes
¿Qué es un simulacro de phishing para empresas?
Es una campaña de correos de phishing falsos enviados a los empleados sin aviso previo, con el único fin de medir y reducir la tasa de clics. Cuando alguien hace clic, llega a una pantalla de retroalimentación inmediata en lugar de a una página maliciosa.
¿Qué porcentaje de empleados cae en un phishing simulado?
En el primer simulacro, el rango típico es 28–35% de clics. Después de tres rondas con retroalimentación inmediata, ese número baja al 5% o menos en la mayoría de los equipos.
¿Cuántas rondas necesito para ver resultados?
Con retroalimentación inmediata, los resultados son visibles desde la segunda ronda. La tercera ronda suele llevar la tasa de clics por debajo del 5%. A partir de ahí, una campaña trimestral o semestral mantiene el músculo activo.
¿Es legal hacer simulacros de phishing sin avisar a los empleados?
Sí, con condiciones: la dirección debe autorizar el programa, los resultados deben usarse exclusivamente para capacitación, y la política de uso aceptable de la empresa debe contemplarlo. Bajo la Ley 21.719, los datos del simulacro son datos personales y deben tratarse con las salvaguardas correspondientes.
¿Cuánto cuesta un programa de simulacro de phishing?
Las plataformas SaaS (KnowBe4, Proofpoint, Cofense) parten en USD 15–25 por usuario al año. Un programa completo con consultoría, personalización de plantillas y reporte ejecutivo puede costar entre 5 y 20 UF por ronda según el tamaño del equipo.
¿Qué pasa si un empleado falla el simulacro?
Ve de inmediato una pantalla de retroalimentación con las señales que delataban el correo y qué hacer la próxima vez. Nunca una sanción. Los programas punitivos reducen la confianza y hacen que las personas eviten reportar incidentes reales — lo opuesto de lo que necesitas.
¿Quieres saber dónde está parado tu equipo? Hacemos un piloto de phishing simulado gratis para equipos de hasta 50 personas. Conversemos.