El phishing es un grave problema para las empresas de todos los tamaños y sectores. Pero, ¿qué es un simulacro de phishing? Un simulacro de phishing es un ejercicio de formación diseñado para educar a los empleados sobre los ataques de phishing imitando escenarios de la vida real. Utilizando estos ejercicios de simulación de phishing, una organización puede tomar el control de esta insidiosa amenaza, mejorando su capacidad para identificar y responder a los intentos de phishing con eficacia.

A los ciberdelincuentes les encanta suplantar a los empleados para robarles credenciales y datos, e infectar a las empresas con ransomware. El Informe de Tendencias de la Actividad de Phishing del Grupo de Trabajo Anti-Phishing (APWG) muestra que el phishing alcanzó un máximo histórico en el segundo trimestre de 2022. Además, estos ataques mostraron un aumento del 7% en el robo de credenciales contra empleados de empresas.

El resultado suele ser catastrófico cuando se roba una contraseña u otros datos: un ataque de phishing provocó que el Departamento de Defensa de EE.UU. entregara 23,5 millones de dólares (19,3 millones de libras) a un ciberdelincuente; la Open University de Londres sufrió más de un millón de ataques de phishing en nueve meses, lo que provocó trastornos masivos, y la lista continúa.

¿Por qué son importantes los programas de simulación de phishing?

Podría decirse que el phishing es una de las herramientas más exitosas del arsenal de los ciberdelincuentes para obtener información confidencial. Un informe de RiskIQ sobre las pérdidas debidas a la ciberdelincuencia reveló que se perdían 17.700 dólares (14.500 libras esterlinas) por minuto a causa de los ataques de phishing.

El phishing es un método inteligente de ingeniería social que engaña a los empleados y a otros usuarios para que hagan cosas que beneficien al pirata informático. Los ciberdelincuentes utilizan ampliamente el phishing, ya que el 83% de las organizaciones fueron blanco de ataques de phishing en 2021.

Con el paso del tiempo, los piratas informáticos que están detrás de los correos electrónicos de phishing se vuelven sabios ante los sistemas de software automatizados que impiden el phishing, como las plataformas antispam/email gateway. Como resultado, los hackers cambian la forma de operar de las estafas de phishing y el contenido de esos correos electrónicos para que puedan evadir las pasarelas de correo electrónico.

Por ejemplo, un informe en el que se analizaban 55,5 millones de correos electrónicos enviados a Microsoft Office 365 descubrió que el 25% de los correos electrónicos de phishing que contenían archivos adjuntos maliciosos se permitían a través de la puerta de enlace de correo electrónico integrada en Office 365. El resultado es que los correos electrónicos de phishing son difíciles de prevenir, y el correo electrónico de phishing acaba en la bandeja de entrada de un empleado desprevenido, listo para engañarle y hacerle entregar sus credenciales de inicio de sesión o instalar malware.

Sin embargo, este empleado desprevenido puede convertirse en un empleado experto en cibernética, conocedor y consciente de la seguridad utilizando ejercicios regulares de phishing simulado.

¿Qué ocurre en un ataque de simulación de phishing?

Los ataques de phishing simulado están diseñados para parecerse exactamente a un intento de phishing real. Se utiliza una plataforma de phishing simulado para generar correos electrónicos de phishing simulados como parte de una campaña de formación dedicada a la concienciación sobre la seguridad. Los empleados y cualquier otro grupo de usuarios que necesite formación sobre concienciación en materia de seguridad deben recibir estos correos electrónicos de phishing simulado.

La plataforma de prueba de phishing interactuará con el usuario para ayudarle a formarse sobre los peligros del phishing. Sin embargo, la plataforma también debe registrar y auditar lo que ocurre cuando ese usuario recibe el correo electrónico de phishing simulado. Por ejemplo, ¿abre el usuario el correo electrónico, hace clic en un enlace o descarga un archivo adjunto, etc.?

Estos sucesos se registran y se generan informes que pueden utilizarse para evaluar el éxito de la formación sobre concienciación en materia de seguridad y qué áreas deben mejorarse.

Características principales del mejor software de simulación de phishing

Un software avanzado de simulación de phishing debe tener varias características importantes:

Imita los correos electrónicos de phishing reales

El sistema debe crear correos electrónicos de phishing realistas que reflejen las campañas de phishing actuales vistas en la vida real.

Ofrezca una amplia selección de plantillas

La plataforma de simulación de phishing debe venir con un amplio conjunto de plantillas que puedan utilizarse para diseñar un correo electrónico de phishing de aspecto realista. Las plantillas deberían poder configurarse para que coincidan con marcas conocidas y crear nombres de dominio y URL «parecidos».

Puede adaptarse para reflejar las funciones

Se sabe que los estafadores tienen como objetivo funciones organizativas específicas, como RRHH y cuentas por pagar. Los ejecutivos también son un grupo objetivo y deberían participar en ejercicios de phishing simulado, ya que los ciberataques específicos, como el Business Email Compromise, pueden afectar al nivel C. Por lo tanto, los mensajes de phishing simulado deben adaptarse a grupos de empleados.

Aprendizaje puntual

Las personas aprenden mejor cuando están comprometidas y tienen una experiencia de aprendizaje interactiva. Una plataforma que ofrezca aprendizaje en el punto de necesidad permite a los empleados aprender de sus errores. Por ejemplo, los empleados recibirán una notificación de advertencia si hacen clic en un enlace malicioso.

Una experiencia interactiva puntual ayuda a explicar lo que ha sucedido y los peligros asociados a un correo electrónico de phishing. Algunos sistemas avanzados llevarán esto más lejos y educarán al empleado en estrategias de evasión para ayudarle a prevenir futuros intentos de phishing.

Ofrece opciones lingüísticas

Muchas empresas cuentan con personal que habla inglés como segunda lengua o con oficinas en países de habla no inglesa. Por lo tanto, las plantillas de correo electrónico de phishing simulado deben poder ofrecer compatibilidad con otros idiomas.

Auditoría e informes

Las métricas de un ejercicio de phishing simulado son esenciales, ya que ofrecen una visión de lo bien que está progresando la formación sobre concienciación en materia de seguridad. Además, las métricas detallan cuántos empleados son vulnerables a los ataques de phishing.

Algunos sistemas avanzados proporcionarán un desglose granular de las métricas de phishing para analizar departamentos y grupos de usuarios específicos. Los informes generados a partir de estas métricas demuestran la eficacia de un programa de simulación de phishing e identifican las áreas débiles en la comprensión por parte del personal de lo que supone el phishing.

¿Hasta qué punto son eficaces los simulacros de phishing?

Según una encuesta de Cisco, los correos electrónicos de phishing son difíciles de detectar, ya que en el 86% de las empresas al menos un empleado ha hecho clic en un enlace malicioso. Y sólo hace falta que un empleado haga clic en un enlace e introduzca las credenciales de acceso a un sitio web falso para abrir las puertas de su red. Las simulaciones de phishing ofrecen una forma de minimizar el riesgo de ese único clic desastroso.

¿Con qué frecuencia debe enviar un simulacro de phishing?

Un estudio de USENIX sobre la longevidad de la formación sobre concienciación en materia de seguridad descubrió que los empleados aún podían detectar los correos electrónicos de phishing cuatro meses después de la formación inicial. Aun así, después de seis meses, los empleados perdieron la capacidad de detectar correos electrónicos maliciosos.

El informe también destaca que los vídeos y la formación interactiva producen los resultados más duraderos, ya que este nivel de formación dura otros seis meses. Por lo tanto, el informe recomienda que la formación se realice cada seis meses. Además, los simulacros de phishing periódicos son una buena idea porque el panorama de la seguridad también tiende a cambiar con frecuencia.

Riesgo de ransomware