Simulaciones de phishing: mide y reduce el riesgo humano de tu empresa

Es un ataque controlado y autorizado en el que la empresa envía a sus propios colaboradores correos, SMS o llamadas falsas que imitan las técnicas de los atacantes reales. Sirve para medir cuántas personas caen en el engaño, identificar perfiles de alto riesgo y entrenarlas en el momento en que fallan. También se conoce como simulacro de phishing, test de phishing o phishing testing.

Nuestro equipo la ejecuta en cinco pasos: elegimos la plantilla o la generamos con IA; segmentamos a los destinatarios por área, cargo o nivel de riesgo; programamos fecha, hora y frecuencia; medimos quién abre, hace clic, ingresa datos o reporta el mensaje; y quienes caen reciben un micro-curso reactivo. Cada campaña queda registrada como evidencia para auditorías.

Depende del tamaño de la organización y de la modalidad. El servicio gestionado anual de simulaciones, con 4 campañas al año, se cotiza según el número de colaboradores. El programa integral de cultura de seguridad, que suma capacitación con cursos y certificado en Certisec Academy, parte desde 30 colaboradores, con facturación anual en UF. Solicita una cotización y te enviamos la propuesta.

Phishing es el engaño por correo electrónico. Smishing es lo mismo por SMS o mensajería, como WhatsApp. Vishing es el engaño por llamada de voz, a veces con voces generadas por IA. Los tres son formas de ingeniería social y los tres pueden incluirse en el servicio, con escenarios localizados para Chile: bancos, servicios públicos y tributarios, previsión, retail, RRHH y proveedores de nube.

Reproducen las técnicas que usan los atacantes: dominios parecidos al legítimo (typosquatting), una identidad visual creíble y urgencia fabricada. Las plantillas generadas con IA no tienen errores ortográficos y se personalizan con el nombre del colaborador, su área y su contexto de trabajo. La dificultad de cada campaña se ajusta al grupo y al objetivo de la medición.

Cada colaborador tiene un score de riesgo individual de 0 a 100 que se actualiza con cada campaña. Medimos la tasa de apertura, de clic, de ingreso de credenciales y de reporte (quién marcó el mensaje como sospechoso), y su evolución en el tiempo. Después de cada campaña entregamos un reporte ejecutivo con los perfiles de alto riesgo y la evidencia para ISO 27001 y la Ley 21.663. Los datos también se pueden conectar a PowerBI.

Sí, cuando se hacen dentro de la propia empresa, con su autorización y con fines de formación: es una práctica habitual de concientización en seguridad. La Ley 21.663 (Marco de Ciberseguridad) e ISO 27001 (control A.6.3, concientización, educación y formación) exigen medidas de concientización y capacitación; las simulaciones de phishing son una forma medible de ejecutarlas y evidenciarlas. La empresa es responsable del programa y Confiden360 opera el servicio por encargo suyo. Los resultados individuales se entregan solo a la organización y no se comparten con terceros.