Phishing dirigido: por qué los simulacros internos cambian el comportamiento

El phishing sigue siendo, año tras año, la puerta de entrada más común para un incidente de seguridad — no porque las defensas técnicas fallen, sino porque basta con que una persona haga clic una vez. La buena noticia es que el comportamiento humano frente al phishing sí se puede entrenar, pero no de cualquier forma.

Por qué la charla anual no alcanza

La capacitación tradicional —una presentación una vez al año, algunas diapositivas sobre "cómo reconocer un correo sospechoso"— genera conciencia momentánea, pero no cambia el hábito. Semanas después, la mayoría de las personas vuelve a su comportamiento anterior, simplemente porque el cerebro no retiene bien lo que no se practica.

Qué hace diferente a un simulacro

Un simulacro de phishing envía correos de prueba, diseñados para imitar tácticas reales, a los mismos empleados que luego deben reconocerlos. La diferencia clave frente a una charla es que el aprendizaje ocurre en el momento del error, no antes: cuando alguien hace clic en un simulacro, recibe retroalimentación inmediata sobre qué señal debió notar, en el contexto real de su bandeja de entrada — no en una diapositiva abstracta.

La repetición es lo que cambia el comportamiento

Un solo simulacro aislado tiene un efecto limitado. Lo que realmente reduce la tasa de clics con el tiempo es la repetición espaciada: varios simulacros a lo largo del año, con variaciones en la táctica (urgencia, autoridad, curiosidad), de forma que las personas entrenen el hábito de pausar y verificar antes de hacer clic, en vez de memorizar un solo tipo de correo sospechoso.

Medir para saber si funciona

Un programa de simulacros bien diseñado no termina en "enviamos el correo de prueba" — incluye métricas por equipo y por persona a lo largo del tiempo: tasa de clics, tasa de reporte (personas que marcan el correo como sospechoso en vez de solo ignorarlo), y tiempo de respuesta. Esas métricas son las que permiten mostrarle a la gerencia una tendencia real, no una sensación.

Un componente, no la solución completa

Ningún programa de concientización reemplaza los controles técnicos: filtrado de correo, autenticación de múltiples factores, y un proceso claro de qué hacer si alguien sospecha que hizo clic en algo indebido. El objetivo del entrenamiento no es llegar a cero clics — es reducir la probabilidad y, sobre todo, asegurar que cuando alguien cometa un error, lo reporte rápido en vez de esconderlo por miedo a la consecuencia.