Test de ingeniería social y phishing
El eslabón más débil de cualquier perímetro es la persona que abre el correo, contesta la llamada o cede el paso a un desconocido. Este servicio simula ataques reales de phishing, vishing, smishing e ingeniería social presencial contra tu plantilla, con el mismo pretexto y presión que usaría un atacante. El resultado es una medición objetiva de cuántos empleados caen, en qué momento se detecta el incidente y cómo reacciona el equipo de seguridad.
Solicitar este servicioQué incluye
- Campañas de phishing dirigido (spear phishing) con pretextos personalizados por departamento o cargo, no plantillas genéricas.
- Vishing y smishing: llamadas y SMS suplantando proveedores, soporte TI o dirección para obtener credenciales o acceso.
- Ingeniería social física: intentos de acceso a instalaciones mediante tailgating, suplantación de personal técnico o pretextos con recepción.
- Simulación de USB drop y dispositivos maliciosos abandonados para medir la respuesta ante hardware desconocido.
- Medición de indicadores concretos: tasa de clics, credenciales introducidas, adjuntos ejecutados y tiempo hasta el primer reporte al SOC.
- Informe por departamento y perfil de riesgo, sin exponer a empleados individuales, para dirigir la formación donde realmente falla.
Dirigido a
Dirigido a empresas medianas y grandes con plantilla numerosa o distribuida, especialmente en sectores donde el phishing es la puerta de entrada habitual: banca, seguros, sanidad, administración pública y despachos profesionales.
El servicio reproduce los vectores de ataque que con más frecuencia usan los grupos de amenaza para conseguir el primer acceso: correos de phishing con dominios similares al de la empresa, llamadas de vishing suplantando a soporte técnico o proveedores, mensajes SMS con enlaces a portales de credenciales falsos y, cuando el alcance lo incluye, intentos de acceso físico a oficinas o centros de datos. Cada campaña se diseña con un pretexto creíble para la organización — una factura pendiente, una alerta de IT, una convocatoria interna — y se ejecuta de forma controlada, sin dañar sistemas ni exponer datos reales.
El diseño de cada campaña parte de los vectores de acceso inicial descritos en MITRE ATT&CK y de los escenarios de phishing e ingeniería social recogidos en guías como OWASP y OWISAM, adaptados al contexto y al sector del cliente. Antes de lanzar cualquier simulación se acuerda con el cliente el alcance, los departamentos objetivo, los límites éticos y el protocolo de parada inmediata si algo se sale de lo previsto. Durante la ejecución se registra cada interacción — apertura, clic, credenciales introducidas, llamada al soporte, reporte al SOC — con marca de tiempo, para poder reconstruir la cadena completa de la simulación.
El cliente recibe un informe con las métricas de exposición por departamento y por vector de ataque, la cronología de detección y respuesta interna, y una priorización de qué controles fallaron: técnicos (filtrado de correo, DMARC, EDR) o humanos (formación, procedimientos de verificación). El informe incluye recomendaciones concretas de remediación y, si se solicita, una sesión de devolución con los responsables de seguridad y RRHH para plantear el plan de concienciación sin señalar a empleados concretos.
Preguntas frecuentes
¿El test puede afectar a la operativa normal de la empresa o exponer datos reales?
No. Las campañas usan credenciales y documentos señuelo, nunca sistemas de producción ni datos reales de clientes. El alcance y los límites se pactan por escrito antes de empezar, y existe un protocolo de parada inmediata si algo se desvía del plan.
¿Se identifica a los empleados que caen en la simulación?
El informe se entrega agregado por departamento y perfil de riesgo, no por persona. El objetivo es dirigir la formación donde falla el proceso, no señalar a individuos ante dirección o RRHH.
¿Con qué frecuencia conviene repetir este tipo de test?
Depende del nivel de exposición y de la rotación de plantilla, pero una cadencia semestral o anual permite medir si la formación y los controles técnicos están reduciendo la tasa de éxito de los ataques reales.