Simulación y formación en phishing
El phishing sigue siendo la vía de acceso más fácil a la mayoría de las organizaciones, y precisamente por eso la formación genérica del tipo «haga clic aquí si esto le parece sospechoso» no tiene un gran impacto. Las personas deben practicar con señuelos que se parezcan realmente a lo que reciben en su bandeja de entrada: no una notificación de premio obviamente falsa, sino algo que parezca una factura de un proveedor, una invitación de calendario o un mensaje del departamento de TI.
Creo simulaciones basadas en su entorno real: las herramientas que utiliza, los proveedores con los que trabaja, la forma en que se redactan realmente sus propios correos electrónicos internos. Eso es lo que hace que una simulación sea útil, en lugar de una mera representación teatral. Una campaña que resulte demasiado fácil de detectar no enseña nada; una creada a partir de un reconocimiento real enseña a las personas a qué deben estar realmente atentas.
Lo que mido y por qué
La tasa de clics por sí sola es un indicador poco fiable: indica quién ha hecho clic, pero no lo que ocurrió a continuación. Yo analizo la tasa de notificación (si alguien lo ha señalado al equipo de seguridad), el tiempo transcurrido hasta la notificación y si realmente se ha enviado una credencial o una carga útil. Esas cifras cuentan una historia muy diferente a la de un simple porcentaje de clics, y son las que realmente le indican si su programa está funcionando.
Formación práctica, no clases teóricas
El momento justo después de que alguien haga clic en un enlace de phishing simulado es la mejor oportunidad de aprendizaje que tendrá: una retroalimentación breve, específica y no punitiva, vinculada exactamente a lo que acaba de experimentar. Prefiero integrar eso en el programa antes que reproducir un vídeo de cumplimiento normativo una vez al año que nadie recuerda para febrero.
Si su última prueba de phishing consistió en una herramienta predefinida con una plantilla genérica, merece la pena realizar una con un alcance adecuado y realista para comprobar a qué se enfrenta realmente. Vamos a preparar una.