Cómo hacer una buena campaña de phishing simulado en seis pasos

Imagínate la escena: se acerca rápidamente el día de cobrar la nómina. Tus empleados tienen que hacer frente a un montón de facturas y confían en el pago puntual de la empresa para gestionar sus finanzas. De repente, reciben un correo electrónico con el asunto «Error en el cálculo de la nómina». Preocupados, abren el correo electrónico, en el que se les explica que deben actualizar urgentemente sus datos bancarios haciendo clic en el enlace para recibir el pago.

En un escenario real, esta situación podría tener graves consecuencias y podría llegar incluso a paralizar al equipo de seguridad y perjudicar tanto las finanzas como la reputación de tu empresa. Sin embargo, en el marco de una campaña de simulación de phishing, se transforma en una valiosa oportunidad de aprendizaje. Si expones a tus empleados a estos escenarios en un entorno controlado de bajo riesgo, puedes transmitirles una formación eficaz para que reconozcan estas amenazas y respondan de manera correcta.

Aunque los ataques de phishing parezcan algo del pasado, siguen estando de plena actualidad y los cibercriminales continúan aprovechándose de la psicología humana, independientemente de los avances tecnológicos. Los datos recogidos en nuestro Análisis del riesgo humano 2024 lo confirman: el phishing sigue siendo la táctica número 1 en los ataques exitosos, y el 51 % de los responsables de seguridad afirman que su organización ha sido objeto de ataques por correo electrónico.

Para conseguir el máximo impacto, las campañas de phishing se deben pensar meticulosamente, y hay ciertos aspectos, como la comunicación previa con los empleados y una planificación adecuada, que pueden influir mucho en su eficacia. En este artículo te mostramos cómo hacer con éxito una campaña de phishing en unos pocos pasos.

Paso 1: planifica tu estrategia de simulación de phishing

Toda buena campaña de simulación de phishing comienza con una planificación cuidadosa. Los equipos de seguridad deben empezar por definir los objetivos y el alcance de la campaña, como el número de empleados a los que se dirige, la complejidad de los correos electrónicos de phishing y los tipos de escenarios que se van a incluir. 

Si no tienes experiencia planificando este tipo de campañas, lo mejor es que empieces por lo más básico para ver cómo reaccionan tus empleados a la primera simulación. Si ya has hecho simulaciones de phishing, puede ser el momento perfecto para definir estrategias diferentes por grupos de usuarios (por ejemplo, los recién incorporados frente a los empleados con más antigüedad, por departamentos, etc.). 

Para establecer una estrategia clara que cubra tus necesidades de la mejor forma posible, debes hacerte algunas preguntas antes de avanzar al siguiente paso:

• ¿Cuáles son los objetivos de esta campaña de phishing? Los objetivos más comunes son formar a los empleados, evaluar los niveles de vulnerabilidad y garantizar el cumplimiento de las normativas.
• ¿Qué tipo de correos electrónicos se utilizan para dirigirse a tu sector? Esto te ayudará a elegir qué escenarios incluir en tus simulaciones. Es esencial planificar campañas que reflejen las últimas tácticas de phishing para garantizar que la formación siga siendo actual y eficaz.
• ¿Cuál es nivel medio de conocimientos de los empleados? Las simulaciones no pueden ser demasiado fáciles ni demasiado difíciles. Se tienen que adaptar al nivel de conocimientos actuales de tu organización. Una vez que ese nivel vaya mejorando, es importante variar la dificultad de los correos electrónicos de phishing para que los usuarios sigan motivados y comprometidos.
• ¿Cuáles son los tipos de archivo más comunes con los que trabajan los usuarios? Identificar los tipos de archivo más utilizados —como PDF, Word y Excel— y utilizarlos en tu campaña puede ayudarte a imitar mejor los ataques de phishing reales.
• ¿Hay departamentos más expuestos que otros? Si es así, considera si estos departamentos deben recibir emails de phishing específicos y adapta la simulación en consecuencia.
• ¿Con qué frecuencia deberían enviarse las simulaciones de phishing? Las campañas programadas regularmente ayudan a mantener un nivel de concienciación alto entre los empleados.  Más adelante profundizaremos en este tema.

Una vez que hayas decidido los puntos principales de tu estrategia, es el momento de empezar a construir tu campaña.

Paso 2: construye tu campaña de simulación de phishing

El siguiente paso consiste en crear las plantillas de correo electrónico y automatizar el mayor número de procesos posible, como el envío de correos electrónicos, la incorporación de nuevos usuarios a la campaña y la integración de los datos en un panel de métricas. También puedes automatizar la creación de correos electrónicos para no tener que escribirlos desde cero. Algunos proveedores ofrecen una gama de plantillas personalizables de simulación de phishing que se pueden adaptar a las necesidades y las vulnerabilidades específicas de tu organización. No obstante, para maximizar el aprendizaje, la formación debe ser lo más personalizada posible. Teniendo esto presente, SoSafe ha desarrollado, más allá de las plantillas básicas de phishing, dos enfoques diferentes que aprovechan el poder de la personalización para crear simulaciones de phishing eficaces y atractivas:

• Phishing basado en roles: como ya hemos mencionado, una de las estrategias más eficaces consiste en adoptar un enfoque basado en los roles de los empleados a la hora de personalizar los correos electrónicos. Por ejemplo, el equipo financiero podría recibir correos electrónicos de phishing relacionados con el procesamiento de facturas, mientras que el equipo de informática recibiría correos sobre actualizaciones del sistema. La personalización es clave: al enviar correos electrónicos de phishing destinados a roles específicos, nos aseguramos de que las simulaciones se adaptan a las responsabilidades y vulnerabilidades de cada grupo. Formar a los usuarios sobre los riesgos específicos a los que se enfrentan en su puesto de trabajo también ayuda a las empresas a cumplir las normativas de formación en ciberseguridad.

• Phishing basado en el comportamiento: este tipo de phishing consiste en ajustar la dificultad, el tema y la frecuencia de los correos electrónicos de phishing en función del comportamiento del usuario y de su perfil de riesgo. Este es el tipo de phishing más avanzado y se recomienda si tienes experiencia en simulaciones de phishing básico y basado en roles.

Como ya hemos mencionado, el uso de plantillas o la generación de correos electrónicos con IA para no tener que crearlos desde cero es solo una de las acciones que puedes automatizar en tu campaña de phishing. También puedes automatizar la incorporación de empleados, lo que te permite incluir rápidamente a nuevos empleados en las simulaciones de phishing sin intervención manual, o incluso programar el envío de las simulaciones de phishing a diferentes horarios y con frecuencias distintas. La entrega aleatoria contribuye a imitar la naturaleza impredecible de los ataques de phishing reales, y así conseguimos que las simulaciones sean más realistas y el aprendizaje más eficaz. Además, evita que los empleados se anticipen a la recepción de los emails y les prepara mejor para las amenazas reales.

Para analizar mejor los resultados, la automatización del seguimiento de las campañas y la elaboración de informes puede proporcionar análisis detallados sobre las respuestas de los empleados a los emails simulados de phishing. De esto hablaremos más en el paso cinco.

Paso 3: informa a los empleados antes de empezar

Una vez que hayas creado tus plantillas y automatizado el mayor número de procesos posible, lo siguiente es anunciar tus planes. La clave en este sentido es avisar a tus empleados en lugar de sorprenderles. Esto ayuda a evitar confusiones y motiva a tus empleados a participar en la simulación. Lo mejor es que empieces a correr la voz unas semanas antes del inicio de la simulación, por ejemplo, en un correo electrónico dirigido a toda la empresa o en una reunión con todos los empleados.

Sea cual sea la forma que elijas para comunicarlo, asegúrate de incluir detalles como el motivo por el que se ha creado la campaña, qué pueden esperar de ella y cuándo empieza (no es necesario especificar una fecha concreta). Deja claro que la simulación no es un examen y que no hay nada que temer. Deben saber que no habrá consecuencias negativas si hacen clic en un correo electrónico de la simulación. No olvides añadir cómo funciona la simulación y a quién hay que dirigirse para cualquier consulta.

Paso 4: lanza tu campaña y empieza a entrenar a tus empleados

Este es el momento de lanzar la campaña y empezar a ver cómo reaccionan tus equipos. Para que las simulaciones de phishing sirvan como herramienta educativa y no como una mera herramienta de prueba, deben ser capaces de educar y entrenar a tus empleados.

Ofrecerles formación después de hacer clic en un email de la simulación es esencial (no solo beneficioso) para que el comportamiento sea más seguro en el futuro. En cuanto un empleado hace clic en un enlace de un correo electrónico simulado, hay que enviarle recursos educativos, como materiales de formación y consejos para identificar las características principales de un correo electrónico de phishing. Esto les permite aprender en tiempo real sobre lo ocurrido y aumentar así la eficacia y el impacto de los resultados de su aprendizaje. Para optimizar el aprendizaje también es crucial informar a los usuarios con tacto para que no se avergüencen de los errores que hayan cometido.

Descubre cómo Freudenberg consiguió reducir sus porcentajes de clics de forma significativa gracias a SoSafe.

Leer la historia de Freudenberg

Dicho esto, los empleados no solo deben recibir feedback después de cometer un error. Reconocer y reforzar regularmente las acciones positivas —utilizando una técnica de la ciencia del comportamiento llamada refuerzo positivo— no solo favorece el aprendizaje, sino que también mantiene a los empleados motivados. 

No obstante, para recibir refuerzo positivo los empleados deben tener la posibilidad de informar sobre lo que han detectado, ya sea un email de phishing real o una simulación. Para ello necesitan el contexto y las herramientas adecuadas. Una herramienta como el botón de aviso de phishing de SoSafe es una solución útil que se puede integrar cómodamente en el proveedor de servicios de correo electrónico para que tus empleados puedan avisar de las amenazas de forma rápida y sencilla.

 Una vez que han avisado de un correo electrónico, pueden recibir feedback sobre si ese correo era malicioso o no. La función Phishing Feedback de SoSafe es un buen ejemplo de cómo introducir el refuerzo positivo en tu estrategia de campañas de phishing: los empleados siempre reciben un correo electrónico en el que se les explica si el email del que han avisado era un correo de phishing simulado, un correo real de phishing o un correo inofensivo. Así se mejora la experiencia de aprendizaje y pueden aprender de sus interacciones y sentirse útiles a la hora de proteger su organización.

Estas herramientas permiten informar sobre los correos sospechosos de forma rápida y sencilla y recopilar datos sobre el comportamiento de los usuarios, como por ejemplo qué departamentos son más activos a la hora de avisar de amenazas. También ayudan a entrenar a los empleados para que actúen como una extensión de tu equipo de seguridad: así estarán alerta y les resultará más fácil informarte sobre los intentos de ataque.

Paso 5: mide y analiza

Evaluar e interpretar los resultados de tu campaña de simulación de phishing es un paso crucial que no puedes pasar por alto si quieres maximizar sus beneficios. Esta etapa te permite detectar tendencias, vulnerabilidades y áreas de mejora para garantizar que tus campañas sean cada vez más eficaces.

Hay muchas métricas interesantes, pero puedes empezar analizando el porcentaje de interacción, el porcentaje de clics, el porcentaje de aviso de incidentes y el tiempo transcurrido hasta el aviso para comprender en qué medida interactúan tus empleados con los correos electrónicos de phishing simulados y con qué frecuencia los identifican como tales. Esto te ayuda a evaluar a fondo el planteamiento de seguridad de tu organización y determinar qué conocimientos les faltan a los empleados. Pero el análisis puede ir más allá: puedes agregar los porcentajes anteriores por ubicaciones, roles y funciones para identificar los niveles de riesgo y analizar los desencadenantes emocionales y los asuntos que generan más clics, y también puedes utilizar diferentes métricas de contexto y cultura. Esta información te permite centrarte en solucionar los puntos débiles de forma específica personalizando la formación, evitando así que todos los empleados tengan que empezar de cero.

No obstante, la mejora de la eficacia de las simulaciones futuras no es la única razón por la que son importantes estas métricas. Si utilizas esos datos durante las conversaciones con los altos cargos ejecutivos y la junta directiva te puede resultar más sencillo persuadirles de la eficacia de la formación en ciberseguridad, lo que al final se traducirá en un mayor apoyo y financiación para abordar cualquier punto débil en el área de la concienciación en ciberseguridad.

Paso 6: repite y mejora

Este último paso te permite hacer un seguimiento del progreso y mejorar la concienciación de los empleados en materia de seguridad. Al hacer que las campañas de phishing se repitan de forma periódica, podrás avanzar en la formación de los empleados y ayudar a los equipos a identificar mejor las amenazas con cada nueva ronda. La repetición de la formación también hace que los empleados estén al tanto de las últimas ciberamenazas, puesto que reciben materiales y recursos de formación actualizados.

Para perfeccionar las simulaciones, es esencial incorporar el feedback de los usuarios y los datos de rendimiento. Por ejemplo, puede que tus empleados consideren que la simulación ha sido demasiado fácil o difícil. Tal vez los datos de rendimiento revelen que superan las simulaciones con facilidad, lo que indica la necesidad de aumentar la dificultad. Ahora es el momento de revisar tus datos y el feedback para que cada nueva simulación sea aún más eficaz. Recuerda guiarte por lo que necesitan tus empleados y por su nivel de concienciación. Una campaña básica puede servirte como punto de partida para cuando decidas realizar campañas más específicas y, además, te ayudará a detectar qué grupos de usuarios requieren atención urgente.

¿Cuál es la frecuencia ideal para las simulaciones de phishing?

Decidir la frecuencia de las simulaciones de phishing debe ser un proceso dinámico que se vaya adaptando constantemente a las necesidades y las circunstancias específicas de tu organización. Hay factores clave que debes tener en cuenta, como las características de tu sector, tu nivel de ciberseguridad y el panorama actual de las amenazas.

Es posible que estés deseando programar campañas de simulación de phishing con una frecuencia muy alta para ver mejoras pronto. Lejos de proteger mejor a tu empresa, si haces campañas con demasiada frecuencia puedes aumentar el estrés y obstaculizar la productividad. Por otro lado, si actúas con demasiada cautela y las haces con muy poca frecuencia, corres el riesgo de que los empleados no estén suficientemente preparados para enfrentarse a ataques de phishing en la vida real.

Aunque no existe una solución única, muchas organizaciones encuentran el equilibrio enviando un correo electrónico de phishing simulado al mes. Este programa mensual ayuda a evitar que caigan en el olvido los conocimientos recién adquiridos y hace que los empleados mantengan siempre presente la ciberseguridad. Si no les sobrecargas con demasiadas simulaciones, es más probable que mantengan la atención y que se fomente la participación activa.

Lo ideal es que una campaña de simulación esté siempre activa. Además, debemos adoptar un enfoque basado en el comportamiento en el que nos ajustamos en todo momento a las necesidades particulares de cada usuario. Por ejemplo, si los empleados no están muy concienciados sobre las amenazas de phishing, les podrían venir bien más de dos correos electrónicos al mes mientras que, si el nivel de concienciación es alto, pueden ser suficientes uno o dos correos al mes.

Cómo garantizar el aprendizaje continuo entre una simulación de phishing y la siguiente

Los intervalos entre los correos electrónicos de la simulación de phishing —y también entre las propias campañas— son una gran oportunidad para reforzar tus medidas de ciberseguridad y fomentar una cultura en la que los empleados estén alerta. Para que las simulaciones de phishing sean más eficaces, te indicamos algunas acciones que puedes llevar a cabo durante estas pausas:

• Obtén información sobre tus campañas: como ya hemos mencionado, si revisas a fondo tus informes de simulación de phishing comprenderás mejor la cultura de seguridad de tu organización. Por ejemplo, si el equipo de marketing muestra el mayor porcentaje de clics en un tipo concreto de correo electrónico de phishing, puedes pensar cómo personalizar la formación para ayudarles a reconocer y combatir esa amenaza concreta.
• Promueve que se compartan experiencias: crea foros internos para que los empleados intercambien libremente impresiones sobre los emails de phishing. Esto ayuda a cultivar una cultura que fomente activamente el aviso de correos electrónicos o incidentes sospechosos y en la que los empleados puedan expresar con confianza sus preocupaciones sobre ciberseguridad sin temor a las consecuencias.
• Refuerza los conocimientos en las áreas de alto riesgo: si puedes identificar los aspectos en las que tus empleados necesitan mejorar o los conocimientos que les faltan, aprovecha el tiempo entre una simulación y otra para enviarles recordatorios automatizados que cubran esas necesidades. Las herramientas basadas en IA, como Sofie de SoSafe, pueden convertirse en un método de formación muy eficaz, puesto que envían alertas de forma cómoda y rápida a todos tus empleados y alivian así la carga de trabajo de los equipos de seguridad.
• Asegúrate de que el aprendizaje sea continuo: mantener a tus equipos al día sobre las últimas estrategias y métodos de phishing es crucial para garantizar la protección a largo plazo. Una forma eficaz de conseguirlo es enviar a tus empleados información de seguridad en un formato breve que encaje perfectamente en su jornada laboral. Gracias a un chatbot conversacional con IA como Sofie, los empleados no solo pueden recibir alertas de seguridad, sino también iniciar fácilmente conversaciones y resolver dudas sobre cualquier tema relacionado con la seguridad, lo que fomenta una cultura de seguridad proactiva dentro de la organización.

Cómo puede ayudarte SoSafe a implementar campañas de phishing eficaces

Las simulaciones de phishing son una herramienta transformadora que puede convertir a tu equipo en tu mejor línea de defensa frente a los ciberataques. Como ya hemos mencionado, uno de los pasos clave en el diseño de la estrategia de tu campaña de phishing es adaptarla lo máximo posible a tu empresa y a tus empleados para abordar con eficacia sus necesidades de formación.   

Por eso SoSafe ofrece simulaciones basadas en IA y centradas en el usuario que son rápidas y fáciles de configurar. Los correos electrónicos basados en roles se adaptan a las necesidades específicas de los empleados en función de su rol y su perfil de riesgo, mientras que los correos basados en el comportamiento se adaptan al comportamiento del usuario para abordar con más eficacia los conocimientos que les faltan. Esto les proporciona un entorno seguro en el que pueden comprender, detectar y neutralizar los emails de phishing con la formación adecuada para cada uno de ellos y sin pérdidas de tiempo innecesarias en su jornada laboral.

Su formación se complementa con páginas de aprendizaje contextual cuando hacen clic en correos electrónicos simulados y con feedback instantáneo sobre cada correo electrónico del que avisan. Lo ideal es que este proceso se combine con una experiencia de aprendizaje integral en la que los empleados adquieran todos los conocimientos necesarios para después aplicarlos en las simulaciones. Esto les ayuda a cubrir los conocimientos que les faltan. El e-learning de SoSafe cuenta con una biblioteca de contenidos cuidadosamente seleccionados donde los empleados pueden aprender con módulos breves basados en historias que encajan perfectamente en su jornada laboral. El objetivo no es solo enseñar a los empleados a reconocer los emails de phishing, sino también entrenarles para transformar esos conocimientos en comportamientos seguros.

Las amenazas de phishing no van a desaparecer a corto plazo y los ciberdelincuentes saben que sigue siendo una táctica muy rentable. En vista de su persistencia y de que son más eficaces que nunca, es crucial reforzar nuestras defensas y protegernos contra los ataques de phishing. Para saber más sobre cómo SoSafe puede conseguir que tu equipo sea más resiliente, solicita una demo con uno de nuestros expertos.