Qué mide una simulación de phishing cuando ya la reconocen

La conclusión: cuando tu equipo ya reconoce el correo de práctica, la simulación deja de medir juicio y empieza a medir memoria

Si tu gente detecta el simulacro apenas lo abre, la simulación ya no mide lo que crees. La causa más probable es que la plantilla se delata sola: el mismo remitente raro, la misma redacción torpe, y encima llega justo después de la charla anual. La persona no ejerce juicio, reconoce el patrón ("otra vez el correo trampa del mes") y aprieta reportar por costumbre, no porque haya dudado bajo presión. Para confirmarlo, mira dos señales: tu tasa de click baja campaña tras campaña pero los incidentes reales no ceden, o alguien en el equipo bromea con que "ya llegó la prueba".

Lo que arregla el problema no es un simulacro más, es que la simulación se parezca a un ataque real dirigido a esa persona, y después validar el cambio con un retest, no con otro correo idéntico.

El engaño real casi siempre entra por el correo. Más del 90 por ciento de los ciberataques exitosos comienzan con un correo de phishing, según CISA, la agencia de ciberseguridad de Estados Unidos, así que el buzón sigue siendo el terreno donde se juega la prueba. El problema no es medir en el correo, es medir con un correo que no se parece en nada al que de verdad va a llegar.

Por qué tu gente reconoce los simulacros: la plantilla genérica se delata sola

Un empleado que lleva un año recibiendo el mismo tipo de correo de práctica aprende la forma de la prueba, no la forma de la amenaza. Y la plantilla genérica ayuda a que la aprenda rápido: se manda igual a toda la empresa, trae señales torpes que un ataque cuidado ya no comete, y aparece en fechas predecibles. Con eso basta para que la persona archive el mensaje mentalmente como "simulacro" antes de leerlo con atención.

El efecto secundario es peor que la falta de práctica. La persona no sale entrenada para dudar frente a un correo bien hecho, sale entrenada para detectar tu correo mal hecho. Son cosas distintas, y esa diferencia es la que se cobra el día del ataque real.

Qué mide de verdad una simulación que el empleado ya vio venir

Mide reconocimiento del ejercicio, no criterio frente a un engaño. Cuando la tasa de click de una plantilla reconocible se desploma, lo natural es leerlo como progreso, pero suele ser lo contrario: es la señal de que el equipo memorizó el estilo del simulacro. Esa cifra baja produce una falsa sensación de seguridad en el reporte a dirección, porque promete una resiliencia que no existe fuera del laboratorio.

La pregunta correcta no es cuántos hicieron click en el correo trampa. Es si esa persona, un martes cualquiera, con la bandeja llena y un mensaje que aprieta un instinto real, se detendría a verificar. Esa es la conducta que importa, y un simulacro que se delata no la pone a prueba.

Reconocimiento de patrón y juicio bajo presión no son lo mismo

Reconocer un patrón es barato: "esto se parece a la prueba del mes pasado". Ejercer juicio bajo presión es caro: la persona está ocupada, el mensaje toca una fibra (una factura vencida, una orden del jefe, una cuenta que se bloquea) y aun así se toma el segundo de verificar antes de actuar. La primera habilidad no protege de nada; la segunda es la que evita la brecha.

Y el terreno se está poniendo más difícil, no más fácil. El phishing impulsado por IA es hoy tres veces más efectivo que las campañas tradicionales, según el Microsoft Digital Defense Report 2025, lo que significa que el correo real llega cada vez más limpio, más creíble y más difícil de distinguir. Un simulacro que el empleado detecta a leguas lo prepara para una amenaza que ya casi no existe con ese aspecto.

Qué hace realista a una simulación: el contexto real de la persona

Una simulación deja de delatarse cuando deja de ser genérica, y deja de ser genérica cuando se construye con el contexto de quien la recibe: su rol y su departamento, las plataformas que su empresa de verdad usa, y las credenciales suyas que ya aparecieron expuestas en una brecha. Con esos ingredientes, el señuelo se parece al ataque que un adversario armaría para esa persona en particular, no al molde que le sirve a cualquiera.

Ahí está la diferencia entre un correo de práctica y una prueba de comportamiento. Las simulaciones que reproducen el disparador al que cada persona es más vulnerable no se detectan por su torpeza, porque no la tienen; obligan a la persona a ejercer criterio, que es justo lo que se quiere medir. El marco 90-5-5 de Cisco, que estima que cerca del 90 por ciento de las brechas involucran un factor humano, deja claro por qué vale la pena medir bien esa conducta: la superficie de riesgo está en las personas, no en los filtros.

Por qué el retest, y no un simulacro más, prueba que la conducta cambió

Aunque la simulación sea realista y la persona caiga, un solo dato no prueba nada todavía. Que alguien falle, reciba una capacitación y la apruebe no demuestra que la próxima vez vaya a dudar. Repetir el mismo correo semanas después mide memoria; volver a probar la misma categoría de ataque con otra plantilla y otro contexto mide si la lección quedó. A eso lo llamamos retest, y es la única forma honesta de cerrar la medición.

Hay respaldo para insistir en esto. La evidencia revisada por pares (Ho et al., IEEE Symposium on Security and Privacy 2025; Lain et al., IEEE Symposium on Security and Privacy 2022) muestra que completar una capacitación no predice por sí solo la reducción de fallos reales. Lo que demuestra el cambio es volver a exponer a la persona al mismo tipo de engaño y observar si esta vez se detiene. Un simulacro reconocible ni siquiera llega a esa pregunta; un programa serio la responde una y otra vez.

En Fensivo trabajamos justo sobre esa capa. El emparejamiento inteligente cruza el rol de cada persona, el stack real de su empresa y sus credenciales ya filtradas para que la simulación no se delate y de verdad mida criterio; quien cae recibe en minutos una capacitación específica al ataque; y semanas después un retest de la misma categoría, con otra plantilla, confirma si el comportamiento cambió. Ese es el ciclo que convierte la concientización en gestión de riesgo humano (Human Risk Management, HRM), y puedes ver cómo se aplica en nuestros casos de uso.

Si mañana revisas tu último reporte de simulación, ¿la tasa de click te está diciendo que tu equipo aprendió a defenderse, o solo que aprendió a reconocer tu correo de práctica?

Fuentes y referencias

• CISA (Cybersecurity and Infrastructure Security Agency): más del 90 por ciento de los ciberataques exitosos comienzan con un correo de phishing. https://www.cisa.gov/news-events/news/4-things-you-can-do-keep-yourself-cyber-safe
• Cisco, The 90-5-5 Concept, 2025. https://blogs.cisco.com/security/the-90-5-5-concept-your-key-to-solving-human-risk-in-cybersecurity
• Microsoft Digital Defense Report 2025. https://www.microsoft.com/en-us/security/security-insider/threat-landscape/microsoft-digital-defense-report-2025
• Ho et al., Understanding the Efficacy of Phishing Training in Practice, IEEE Symposium on Security and Privacy 2025. https://sp2025.ieee-security.org/accepted-papers.html
• Lain et al., Phishing in Organizations: Findings from a Large-Scale and Long-Term Study, IEEE Symposium on Security and Privacy 2022. https://www.ieee-security.org/TC/SP2022/program-papers.html