Una tasa de clics que podría costarle millones: la amenaza oculta de los correos electrónicos de phishing

Si los correos electrónicos de phishing fueran una campaña de marketing, sería la más exitosa de su empresa.

Mientras que la tasa media de clics en los correos electrónicos B2B apenas supera el 3 % (Mailchimp), las campañas de phishing suelen alcanzar entre el 10 % y el 20 %. Esto significa que los ciberdelincuentes no solo logran burlar sus filtros, sino que superan a su equipo de marketing en lo que respecta a la implicación de los empleados.

¿Cuál es la diferencia? Un solo clic en un correo electrónico de phishing no genera clientes potenciales. Genera pérdidas.

Hacer clic en un correo electrónico de phishing es algo más que un simple error. Supone un riesgo financiero.

Los correos electrónicos de phishing siguen siendo el vector de ataque inicial más habitual en las filtraciones de datos. Según el Informe de IBM sobre el coste de una filtración de datos de 2024, el coste medio de una filtración asciende actualmente a 4,45 millones de dólares, lo que supone un aumento del 15 % en los últimos tres años. Un solo correo electrónico de phishing, con un único clic erróneo, puede acarrear consecuencias devastadoras que van mucho más allá del daño inmediato.

Detrás de estos costes se esconden repercusiones reales y a largo plazo:

• Interrupción de las operaciones (tiempo medio para detectar y contener una violación de seguridad: 277 días)
• Multas legales y reglamentarias (especialmente en virtud de los reglamentos del RGPD y la Directiva NIS2, que son más estrictos que nunca)
• Daño a la reputación y pérdida de clientes (los clientes tienden a confiar menos en una empresa tras una filtración de datos, especialmente si esta se debe a un correo electrónico de phishing)
• Pérdida de propiedad intelectual o de datos confidenciales (los secretos comerciales y la información de los clientes son los principales objetivos de las estafas de phishing)

Si es probable que el 10 % de su plantilla haga clic en un enlace de phishing en un solo correo electrónico de este tipo, ¿cuál es la exposición potencial por campaña? ¿Cuántos correos electrónicos de phishing llegan cada semana a las bandejas de entrada de su organización? El enorme volumen de estas amenazas implica que los riesgos son exponenciales.

Un clic es más que un simple error. Es un riesgo financiero.

El phishing sigue siendo el vector de ataque inicial más habitual en las filtraciones de datos. Según el informe de IBM de 2023 sobre el coste de una filtración de datos, el coste medio de una filtración asciende actualmente a 4,45 millones de dólares, lo que supone un aumento del 15 % en los últimos tres años.

Detrás de estos costes se esconden consecuencias reales:

• Interrupción de las operaciones (tiempo medio para detectar y contener una violación de seguridad: 277 días)
• Multas de carácter legal y normativo (especialmente en virtud del RGPD y la Directiva NIS2)
• Daño a la reputación y pérdida de clientes
• Pérdida de propiedad intelectual o de datos confidenciales

Si es probable que el 10 % de su plantilla haga clic en un enlace de phishing, ¿cuál es el riesgo potencial por campaña? ¿Cuántas de esas campañas llegan a las bandejas de entrada cada semana?

La seguridad frente a los correos electrónicos de phishing no es solo un problema del departamento de TI, sino que es una cuestión que compete a la junta directiva.

Cuando los correos electrónicos de phishing se consideran únicamente un problema técnico, las soluciones suelen girar en torno a filtros, cortafuegos y protección de terminales. Pero lo cierto es que los ataques de phishing no logran traspasar estas defensas: son sus propios empleados quienes les dan vía libre. Los correos electrónicos de phishing se aprovechan del comportamiento humano, y la tecnología por sí sola no basta para detenerlos.

El verdadero riesgo reside en la toma de decisiones humanas, y es ahí donde la tecnología se queda corta. Los correos electrónicos de phishing se aprovechan de los momentos de error humano, que no pueden prevenirse por completo únicamente con filtros o sistemas de seguridad automatizados. Por eso, las organizaciones líderes están cambiando su enfoque, pasando de una respuesta reactiva ante los incidentes a un cambio proactivo de comportamiento.

Un informe de Gartner de 2023 destaca que la formación en concienciación sobre seguridad que se centra en cambiar los comportamientos —en lugar de limitarse a garantizar el cumplimiento normativo— puede reducir los incidentes de seguridad hasta en un 70 %. Los correos electrónicos de phishing se basan en el factor humano, y la única forma de defenderse contra ellos es dotar a su personal de los conocimientos y las habilidades necesarios para reconocer y hacer frente a estas amenazas.

Cada clic en un correo electrónico de phishing es una decisión, y cada decisión conlleva un coste: económico, de reputación y operativo. Reducir las tasas de clics en mensajes de phishing no consiste en añadir más políticas, sino en convertir a su personal en su mejor defensa. Esto implica invertir en:

• Formación atractiva y basada en situaciones prácticas para que los empleados estén mejor preparados
• Datos de comportamiento para identificar a los usuarios de alto riesgo y ofrecerles apoyo específico
• Un refuerzo continuo, y no solo una formación anual, para que la concienciación sobre el phishing sea una prioridad constante

La reducción del riesgo de los correos electrónicos de phishing ofrece un claro retorno de la inversión

¿La buena noticia? Invertir en programas de sensibilización sobre seguridad centrados en las personas puede generar beneficios significativos. Las organizaciones que han adoptado este enfoque han señalado que:

• Reducción de hasta el 90 % en las tasas de clics en simulaciones de phishing
• Reducción de los costes de respuesta ante incidentes
• Mejora del nivel de cumplimiento normativo y de los resultados de las auditorías

Cuando evita que se haga un solo clic en un correo electrónico de phishing, no solo está protegiendo los datos, sino que también está evitando pérdidas potenciales de millones. El retorno de la inversión que supone reducir los riesgos derivados de los correos electrónicos de phishing es claro y cuantificable. Cada clic evitado supone un beneficio para los resultados de su empresa.

¿Está preparado para descubrir cuánto le podría costar hacer clic en un correo electrónico de phishing?

Cada correo electrónico de phishing supone un riesgo potencial para la empresa, pero la combinación adecuada de concienciación en materia de seguridad y gestión de riesgos humanos puede reducir drásticamente dicho riesgo.

Solicite una demostración para descubrir cómo MetaCompliance ayuda a las organizaciones a reducir las tasas de clics en mensajes de phishing, identificar los usuarios de alto riesgo usuarios y a crear una cultura de seguridad más resiliente.