Un empleado recibe un correo electrónico sobre una factura vencida. Unos minutos más tarde, alguien le llama —parece que es su jefe— y le pide que la apruebe. Un programa de simulación de phishing que solo comprueba los enlaces sospechosos de un correo electrónico no cubre una situación como esta.
Las herramientas de simulación de phishing permiten a los empleados practicar cómo gestionar estas solicitudes mediante ejercicios controlados. Una plataforma adecuada ayuda a los usuarios a cuestionar las instrucciones inusuales y a informar de actividades sospechosas. Además, proporciona a los equipos de seguridad información útil sobre en qué aspectos los empleados necesitan apoyo. Las nueve herramientas que se enumeran a continuación cubren diferentes necesidades, desde campañas de correo electrónico personalizadas hasta ejercicios de práctica adaptativos y simulacros coordinados de suplantación de identidad.
{{cta}}
¿Qué herramientas de simulación de phishing deberías incluir en tu lista de finalistas?
Si quieres adaptar las simulaciones según el puesto
- Noon Security: personaliza los ejercicios de phishing, voz y deepfake en función del puesto y el historial de cada empleado.
- Seguridad adaptativa: lleva a cabo campañas coordinadas que se desarrollan a través del correo electrónico, las llamadas de voz y el chat, tal y como lo hacen los ataques reales.
Si quieres combinar el entrenamiento de los empleados con la protección en tiempo real
- Noon Security: integra simulaciones en una plataforma que también protege las bandejas de entrada, los dispositivos y el uso de la inteligencia artificial.
- IRONSCALES: Combina sus simulaciones y su formación con sus propios planes de protección del correo electrónico.
Si quieres crear escenarios que reflejen tu organización
- Noon Security: utiliza un generador de escenarios basado en inteligencia artificial para diseñar ejercicios basados en las decisiones a las que se enfrenta realmente tu equipo.
- KnowBe4: Ofrece plantillas y páginas de destino editables, con coordinación AIDA para campañas recurrentes.
Si necesitas aprovechar una inversión ya realizada en productos de Microsoft
- Microsoft Defender for Office 365: Imparte la formación « simulación de ataques » en el portal de Defender para equipos con el Plan 2 o E5.
Si quieres llevar a cabo campañas en una infraestructura que controlas
- Gophish: ofrece a los equipos técnicos el control de las campañas de correo electrónico alojadas en sus propios servidores, siempre y cuando se encarguen de su mantenimiento y de la seguridad.
Las carencias habituales de las herramientas de simulación de phishing
El ejercicio es demasiado genérico
Un correo electrónico falso sobre la entrega de un paquete no aporta prácticamente nada a un empleado a la hora de aprobar los nuevos datos bancarios de un proveedor. El ejercicio que merece la pena realizar consiste en comprobar si alguien sigue realmente el proceso de verificación que ya tiene establecido tu organización. En el caso del departamento financiero, eso podría significar llamar al proveedor a un número que se haya registrado antes de que llegara la solicitud. En el caso del servicio de asistencia técnica, podría significar negarse a saltarse los controles de recuperación de cuenta cuando quien llama tiene prisa.
El ataque se detiene en la bandeja de entrada
Una solicitud que comienza como un correo electrónico continúa por teléfono, SMS o un mensaje en Slack, y es ese segundo contacto el que da credibilidad al primero. Un programa que se limita al correo electrónico nunca simula eso. Ofrecer varios canales ayuda, pero enviar mensajes inconexos a través de cada uno de ellos pone a prueba algo distinto a una secuencia coordinada en la que una voz familiar da continuidad a lo que ya se ha planteado en la bandeja de entrada.
Cada clic cuenta por igual
Una tasa de clics sin contexto no aporta mucha información sobre un ataque de phishing. Una solicitud específica para un puesto y un señuelo genérico evidente no son la misma prueba, pero muchas herramientas las tratan de forma idéntica. La «Phish Scale» del NIST ofrece a los equipos una forma de evaluar el grado de dificultad real de un correo electrónico simulado, lo que hace que los resultados tengan sentido. La rapidez con la que las personas avisan y cómo se recuperan tras un error son tan importantes como el hecho de si han hecho clic o no.
El entrenamiento es lo que lo lleva todo
La formación es valiosa, pero por mucha que se imparta, no convierte a un empleado en responsable de detectar todos los ataques. La protección técnica sigue siendo necesaria para bloquear los mensajes peligrosos, los paquetes maliciosos y las solicitudes de acceso que nunca deberían haberse concedido. Un programa de simulación debe complementarse con una protección más amplia del personal que detecte lo que las personas no detectan.
Cómo hemos evaluado estas herramientas: Cada una de las entradas que figuran a continuación se basa en las páginas del producto y la documentación del propio proveedor, consultadas en el momento de redactar este artículo, además de nuestra propia experiencia práctica cuando la hemos tenido. Cuando una funcionalidad depende de un nivel de licencia específico o del autoalojamiento, así lo hemos indicado.
Comparativa de herramientas de simulación de phishing
La tabla describe las configuraciones que se comentan a continuación. La disponibilidad de canales, los contenidos formativos y la protección adicional pueden depender de la suscripción o de los servicios seleccionados.
Las 9 mejores herramientas de simulación de phishing
1. Noon Security
Qué hace: Noon es la plataforma de seguridad para la plantilla de Aikido Security. Sus simulaciones de ataques van más allá de los correos electrónicos de phishing y abarcan el vishing, el smishing y la suplantación de identidad mediante deepfakes, todas ellas personalizadas en función del puesto y el comportamiento anterior de cada empleado. Las campañas de varios pasos y un generador de escenarios basado en IA permiten a los equipos ir más allá del simple envío de la misma plantilla reconocible a todo el mundo.
Por qué destaca: Está diseñado para adaptarse a la forma en que las personas toman realmente las decisiones en el trabajo. Un equipo financiero puede ensayar cómo verificar una solicitud de pago urgente, y un empleado que atiende una llamada aparentemente procedente del servicio de asistencia aprende a confirmar quién está realmente al otro lado de la línea, de modo que el resultado sea una respuesta repetible incluso cuando el mensaje parezca convincente. Las campañas pueden ejecutarse automáticamente en función del puesto y del comportamiento previo, o bien un administrador puede elegir el escenario. Si se falla en una de ellas, la lección se envía de forma privada a través de Noon, Slack, Teams o Google Chat. En torno a las simulaciones se integran la protección del correo electrónico, la protección de los dispositivos contra software malicioso y una gestión basada en IA que muestra a qué herramientas se conectan los usuarios y hace cumplir la política del equipo.
Lo que hay que saber. Noon se encuentra en fase de acceso anticipado, así que comprueba qué hay disponible hoy y cuándo se enviará el resto.
2. Formación en concienciación sobre seguridad de KnowBe4
Qué hace: KnowBe4 combina ejercicios de phishing con contenidos formativos e informes. Las plantillas y páginas de destino editables te permiten crear escenarios específicos para tu organización, y su función de «vishing simulado» amplía el ejercicio del correo electrónico a las llamadas de voz.
Por qué destaca: Su sistema «AIDA Orchestration» es el principal atractivo para los equipos que buscan la automatización sin renunciar al control. Los administradores definen los grupos y el contenido restringido, y AIDA personaliza a continuación la actividad de cada persona en función de su riesgo individual. Esa combinación resulta ideal para un programa lo suficientemente grande como para que las campañas se ejecuten de forma autónoma, pero lo suficientemente controlado como para exigir límites explícitos sobre lo que recibe cada empleado.
Lo que hay que saber: AIDA Orchestration se incluye en las suscripciones AIDA o SAT Advanced, así que comprueba tus derechos de acceso a la función de voz y de devolución de llamada en el paquete propuesto. KnowBe4 también comercializa Defend y PhishER Plus, pero se trata de funciones de seguridad del correo electrónico en tiempo real y deben incluirse en una partida presupuestaria distinta a la de la propia formación.
3. Formación adaptativa sobre phishing de Hoxhunt
Funciones: Hoxhunt ajusta la dificultad, la cadencia y el tipo de cada ejercicio en función del puesto y el historial de cada empleado. Su cobertura abarca ejercicios por correo electrónico, SMS, voz y devolución de llamada, Microsoft Teams y vídeos deepfake.
Por qué destaca: Se hace hincapié en la práctica recurrente y en el asesoramiento que se ofrece en el momento en que alguien comete un error, en lugar de en una campaña trimestral que hay que crear manualmente. Los casos de « inteligencia de amenazas » y los casos reales de phishing notificados sirven de base para los escenarios, y cada ronda de clics y denuncias determina lo que ocurre a continuación. Esto lo convierte en la opción ideal cuando un equipo de seguridad busca un programa de aprendizaje continuo y quiere dedicar menos tiempo a preparar cada campaña desde cero.
Lo que debes saber: Comprueba qué canales incluye realmente tu paquete y qué grado de control tienes sobre la secuencia de una campaña concreta. La herramienta de automatización de la respuesta a incidentes por correo electrónico de Hoxhunt es un producto independiente, por lo que adquirir únicamente la formación no te proporcionará un servicio completo de respuesta a la bandeja de entrada.
4. Seguridad adaptativa
Funciones: Adaptive Security lleva a cabo campañas a través del correo electrónico, la voz, los SMS y el chat, incluyendo la suplantación de identidad mediante audio y vídeo sintéticos. Los escenarios pueden basarse en información pública y en el contexto de los empleados, con mensajes y experiencias de destino que puedes editar.
Por qué destaca: su flujo de trabajo «Auto-Phish» crea y pone en marcha simulaciones una vez que has establecido la frecuencia y los destinatarios, y los perfiles generados por IA te permiten controlar realmente quién parece ser el atacante. La plataforma demuestra su utilidad cuando quieres ensayar una solicitud que se inicia por correo electrónico y gana credibilidad mediante una llamada de seguimiento, la secuencia que suele despistar a la gente en incidentes reales.
Lo que hay que saber: Establece límites claros sobre la información personal que se utiliza para crear los escenarios y decide quién da el visto bueno a los ejercicios de suplantación de identidad delicados antes de que se pongan en marcha. La solución de seguridad del correo electrónico de Adaptive es independiente del trabajo de simulación que aquí se describe, y una lección de seguimiento no equivale a eliminar una amenaza real.
5. Red de pesca
Qué hace: El simulador de phishing de Keepnet se suma a otros productos independientes de simulación de SMS y llamadas de voz. Los equipos disponen de plantillas realistas, creación de escenarios asistida por IA e informes de campañas para evaluar cómo responden los empleados a través de más de un canal.
Por qué destaca: The vishing simulator is the interesting part. It runs two-way AI voice conversations that adapt to what the employee says back, while the smishing side handles controlled SMS exercises with response feedback. This works for a program that has outgrown email-only testing and wants to see results broken out channel by channel.
Lo que hay que saber: Aclara qué simuladores y qué contenidos formativos se incluyen realmente en la compra. Si lo que necesitas es una conversación coordinada entre el correo electrónico y el teléfono, pide que te muestren esa secuencia exacta, ya que las capacidades por separado de cada canal no se suman automáticamente para formar una única campaña coordinada. Las herramientas de respuesta a incidentes constituyen, de nuevo, un ámbito aparte.
6. Formación sobre phishing de Cofense
En qué consiste: Cofense Phishing Training, que algunos lectores conocen como PhishMe, utiliza información real sobre phishing para diseñar sus simulaciones y contenidos de sensibilización. La plataforma se basa en la competencia demostrada de los empleados y en su comportamiento a la hora de notificar incidentes, así como en identificar aquellas áreas en las que la formación es insuficiente.
Por qué destaca: Ofrece escenarios de phishing por SMS, voz y códigos QR, y para aquellos programas que requieran específicamente el ejercicio de «correo electrónico a teléfono», el servicio «Callback Phishing», que se contrata por separado, se encarga de la entrega y el seguimiento. Cofense también puede enviar simulaciones mientras los usuarios están gestionando activamente su bandeja de entrada, lo que permite incorporar patrones de trabajo reales en la planificación temporal de una prueba.
Lo que hay que saber: Comprueba cómo se presta cada canal que necesites y qué servicios se incluyen realmente en el paquete. Los informes y la formación de los empleados no incluyen automáticamente los servicios independientes de Cofense relacionados con la investigación, la corrección de incidencias o la defensa gestionada, por lo que debes incluirlos en el alcance si tu programa depende de ellos.
7. IRONSCALES
Qué ofrece: IRONSCALES Human Risk Management combina simulaciones, formación en concienciación y una puntuación de riesgo por usuario. Junto con su plan Email Protect, integra las prácticas de los empleados y la protección en tiempo real del buzón de correo en una misma plataforma.
Por qué destaca: su «Agente de simulación de phishing» utiliza información de la web pública para crear ejercicios personalizados, y los resultados, los logros de la formación y los mensajes notificados alimentan la puntuación de riesgo de cada usuario, tras lo cual se asignan automáticamente nuevas tareas de formación. Esto resulta ideal para un equipo que desea que los informes de los empleados y los resultados de los ejercicios impulsen un programa continuo de seguridad del correo electrónico, en lugar de quedar relegados a un ámbito aislado de sensibilización.
Lo que hay que saber: Especifica tanto el plan de correo electrónico como las funciones de gestión de recursos humanos (HRM) que esperas incluir en la compra, ya que los proveedores de servicios gestionados también ofrecen la gestión de recursos humanos por separado. Revisa el plan y los complementos en aquellos ámbitos en los que tu programa de formación necesite más contenido, y recuerda que el resultado de una simulación y la eliminación de una amenaza real son dos aspectos distintos que hay que evaluar por separado.
8. Formación « Microsoft Defender for Office 365 » (simulación de ataques )
En qué consiste: La formación « simulación de ataques » de Microsoft permite a los administradores seleccionar una técnica de ataque por correo electrónico y una carga útil, elegir destinatarios, asignar la formación y revisar los resultados desde el portal de Defender. Entre las técnicas disponibles se incluyen solicitudes de credenciales, escenarios basados en archivos adjuntos y solicitudes de consentimiento para aplicaciones.
Por qué destaca: Sus automatizaciones de simulación gestionan las campañas recurrentes y la formación asociada a ellas. El verdadero atractivo es la proximidad. Si los ejercicios por correo electrónico satisfacen tus necesidades inmediatas y ya dispones de las licencias adecuadas, ejecutarlos dentro de un portal que tu equipo ya gestiona es la opción más sencilla.
Lo que hay que saber: « simulación de ataques » requiere Microsoft 365 E5 o el plan 2 de Defender para Office 365, por lo que no está incluido en todas las suscripciones de Microsoft. Los buzones de correo locales tienen funciones de generación de informes limitadas, y las cargas útiles de correo electrónico y códigos QR no deben confundirse con los canales de simulación de voz o chat, que no están cubiertos por esta herramienta.
9. Gophish
Qué hace: Gophish es un marco de código abierto para ejercicios de phishing autorizados. Un equipo gestiona los grupos de destinatarios, las plantillas de correo electrónico, las páginas de destino, el envío programado y los eventos de las campañas en una infraestructura que gestiona por sí mismo.
Por qué destaca: Su principal atractivo es el control sobre el alojamiento y la configuración. Un equipo con la capacidad técnica necesaria puede llevar a cabo una campaña de correo electrónico limitada y diseñar su propio proceso de aprendizaje de seguimiento, sin que nada pase por un proveedor. Ese mismo control hace que la infraestructura de envío, la gestión de datos, la elaboración de informes y el mantenimiento sean responsabilidad tuya.
Lo que hay que saber: el mantenimiento de la seguridad es la verdadera limitación. La página de lanzamientos del proyecto indica que la versión 0.12.1 es la más reciente, y el aviso revisado de GitHub sobre el CVE-2022-45003 señala que las versiones hasta la 0.12.1 se ven afectadas, sin que se mencione ningún lanzamiento con el parche correspondiente. Resuelve esa vulnerabilidad antes de implementarlo. El hecho de que la licencia sea gratuita no es, por sí solo, una razón suficiente para elegirlo.
Cómo elegir una herramienta de simulación de phishing
Empieza por un escenario empresarial
Elige dos o tres decisiones que tus empleados realmente tengan que tomar correctamente. Verificar un cambio en una cuenta bancaria, cuestionar una solicitud inesperada de recuperación de cuenta, informar de una invitación inusual para conectar una herramienta de IA. Decide qué acción quieres que se lleve a cabo antes de plantearte siquiera utilizar una plantilla o un canal, ya que lo que realmente se pone a prueba en este ejercicio es el escenario en sí.
Adapta la automatización a la capacidad de tu equipo
La generación de escenarios, la selección de destinatarios, la programación, el ajuste de la dificultad y el aprendizaje de seguimiento son tareas independientes, y una herramienta puede automatizar algunas de ellas, dejando el resto en manos de un administrador. Determina cuáles deben gestionar manualmente tus empleados y cuáles deben ejecutarse de forma automática.
Haz que la respuesta sea cuantificable
Comprueba si los informes de la herramienta distinguen entre un clic y una acción completada, si los empleados pueden notificar cualquier actividad sospechosa a través de una herramienta que ya utilizan y cómo se comparan los resultados a lo largo del tiempo. Ten en cuenta la dificultad del escenario y quién lo ha recibido. Comprueba cómo el proveedor excluye de las estadísticas los escáneres automáticos de enlaces, para que la actividad de una herramienta de seguridad no se registre a nombre de un empleado.
Planifica las medidas de protección en torno al ejercicio
Un simulador especializado es la mejor opción cuando las medidas de protección actuales ya dan buenos resultados. Una plataforma más amplia tiene más sentido cuando el mismo equipo también tiene que lidiar con amenazas en la bandeja de entrada, los dispositivos de los empleados y el uso de la inteligencia artificial.
Incorporar prácticas realistas en un programa que proteja a toda la plantilla
Un buen ejercicio de phishing termina cuando el empleado sabe exactamente qué hacer a continuación. Llama al proveedor a un número en el que ya confiabas antes de recibir la solicitud. Verifica la solicitud inesperada a través de un segundo canal. Denuncia el mensaje antes de actuar en consecuencia. La lección debe ser así de concreta; de lo contrario, lo aprendido no se aplicará en el momento decisivo.
Noon integra esa práctica con las medidas de protección técnica de las que ya se encarga el mismo equipo de seguridad, de modo que el criterio de los empleados y los controles relacionados con las bandejas de entrada, los dispositivos y el uso de la IA se planifican de forma conjunta, en lugar de adquirirse por separado. Reserva una demostración de Noon para ver las simulaciones personalizadas, el aprendizaje que obtienen los empleados tras un error y la protección más amplia de la plantilla, todo en un mismo lugar.
