Cada cuánto enviar simulaciones de phishing según el rol

La conclusión: mensual para la población general y quincenal para los roles de alta exposición, variando dificultad para no entrenar a la persona a reconocer el simulacro

¿Cada cuánto conviene enviar simulaciones de phishing? La respuesta operativa que hoy comparte la mayoría de los programas maduros es simple: una simulación al mes para la población general y una cada dos semanas para los roles de alta exposición (finanzas, dirección, recursos humanos y soporte de TI), siempre variando la dificultad y el pretexto para que la gente aprenda a reconocer el ataque, no el formato de tu simulacro.

El primer paso no es abrir el catálogo de plantillas, es decidir quién está más expuesto, porque la cadencia correcta depende del rol antes que del calendario. Lo que sigue desarrolla esa respuesta: por qué la frecuencia importa, cómo se corta por rol, cómo se evita la fatiga y cómo saber si de verdad está funcionando.

Por qué una vez al año no cambia nada

La capacitación anual sigue siendo el modelo por defecto en muchas empresas, y es también el que menos mueve el comportamiento. El motivo es de ritmo y de memoria: una persona que recibe un solo recordatorio al año no tiene forma de sostener el reflejo cuando llega el correo real, once meses después. Y el correo real no dejó de llegar. CISA estima que más del 90 por ciento de los ciberataques exitosos comienzan con un correo de phishing, así que el canal que la práctica anual toca una sola vez es el mismo por el que entra casi todo.

Peor aún, ese canal se volvió más peligroso, no menos. El Microsoft Digital Defense Report 2025 encontró que el phishing impulsado por IA es hoy tres veces más efectivo que las campañas tradicionales. Practicar una vez al año contra un adversario que afina su técnica cada mes es como ensayar la evacuación en enero para un incendio de diciembre. La frecuencia no es un capricho de rigor, es lo que mantiene el reflejo a la altura del ataque.

La cadencia por rol: finanzas, dirección y RRHH frente al resto

El factor humano no se reparte igual entre los equipos. El marco 90-5-5 de Cisco, que estima que cerca del 90 por ciento de las brechas involucran un factor humano, describe el problema a nivel de empresa; la cadencia por rol lo aterriza a nivel de persona. No todos enfrentan el mismo nivel de ataque, así que no tiene sentido probarlos a todos con la misma frecuencia.

Los roles con acceso a dinero, a datos sensibles o a la capacidad de aprobar accesos reciben ataques más frecuentes y mejor dirigidos. El equipo de finanzas es blanco del fraude del correo corporativo (BEC), en el que un atacante suplanta a un proveedor o a un directivo para desviar un pago. La dirección concentra la autoridad que un pretexto explota para saltarse los controles. Recursos humanos maneja datos personales y abre adjuntos de desconocidos por oficio, desde hojas de vida hasta soportes. El soporte de TI puede restablecer contraseñas y segundos factores, lo que lo convierte en la llave que muchos atacantes buscan por teléfono.

Para estos grupos, una cadencia quincenal mantiene el reflejo despierto sin saturar. Para el resto de la organización, una vez al mes sostiene el hábito sin volverse ruido.

Fatiga de simulación: el riesgo de repetir el mismo estilo

Subir la frecuencia tiene un límite, y no es el que la mayoría imagina. El problema no es el número de correos, es la repetición del mismo estilo. Si cada simulacro llega con el mismo remitente, el mismo tono y el mismo gancho, la gente deja de aprender a detectar ataques y aprende a detectar tus simulacros, que es una habilidad inútil el día del ataque real.

Por eso una cadencia sana rara vez pasa de una a tres simulaciones al mes por persona, y sobre todo varía tres cosas en cada envío: el pretexto (autoridad, urgencia, curiosidad, recompensa), el canal aparente y la dificultad. Esa variación es justo lo que resuelven las simulaciones personalizadas por rol y comportamiento, que evitan que el señuelo se vuelva predecible.

La fatiga también es emocional. Un programa que solo castiga el fallo genera resentimiento, y con él llegan los reportes falsos y la gente que aprende a esconder el error en lugar de avisarlo. La simulación existe para medir y enseñar, no para atrapar, y el tono del seguimiento define si el equipo colabora o se blinda. Una cadencia bien calibrada se nota tanto en el número como en el trato.

Dónde entra el retest: no es lo mismo repetir que volver a probar la lección

Conviene separar dos cosas que suelen confundirse: repetir una simulación y hacer un retest. Repetir es enviar otro simulacro cualquiera en el siguiente ciclo. El retest es deliberado: cuando alguien cae, semanas después recibe una simulación de la misma categoría y dificultad, pero con otra plantilla y otro contexto, para comprobar si aprendió el mecanismo del engaño y no solo memorizó aquel correo puntual.

Es una diferencia con respaldo. La evidencia revisada por pares (Ho et al., IEEE S&P 2025; Lain et al., IEEE S&P 2022) muestra que completar una capacitación no predice por sí solo la reducción de fallos reales; lo que demuestra el cambio es volver a probar el comportamiento. Sin retest, la cadencia mide actividad: cuántos correos salieron. Con retest, la cadencia mide aprendizaje: si la persona resiste el mismo engaño cuando ya no lo espera. Por eso la frecuencia y el retest son piezas del mismo mecanismo, no dos decisiones separadas.

Cómo saber si la cadencia está funcionando

Una cadencia funciona cuando las métricas de comportamiento mejoran de forma sostenida, no cuando el calendario está lleno. Un programa de gestión de riesgo humano (Human Risk Management, HRM) mira tres señales juntas. Primero, la tasa de click en los roles de alta exposición baja y se mantiene baja a lo largo de varios envíos, no en un solo mes afortunado. Segundo, la tasa de reporte sube: la gente no solo evita caer, avisa, y así cada empleado se vuelve un sensor. Tercero, y la más importante, quienes fallaron y pasaron un retest de la misma categoría dejan de reincidir.

Si subes la frecuencia y ninguna de las tres se mueve, el problema no es la cadencia, es el contenido o el seguimiento. Y si la tasa de click baja pero la de reporte no sube, quizá estás entrenando gente que reconoce tus simulacros en lugar de ataques. Si quieres profundizar en cuántos empleados hacen falta para que la medición sea válida y otras dudas frecuentes, las reunimos en nuestras preguntas frecuentes sobre gestión de riesgo humano.

En Fensivo tratamos la cadencia como parte de un ciclo, no como un calendario suelto. Cada persona recibe entre una y tres simulaciones de phishing por correo al mes, elegidas según su rol, su comportamiento previo y las plataformas que su empresa usa de verdad, y quien falla entra a un retest de la misma categoría semanas después para validar que el cambio quedó. Puedes ver cómo encaja en una operación de 25 a 500 empleados en nuestros casos de uso.

Así que la pregunta no es solo cada cuánto envías simulaciones. Es esta: ¿tu cadencia actual está midiendo lo que tu gente aprendió, o solo demostrando que tu calendario está lleno?