Superficie humana y corporativa
Estructura de la organización, nomenclatura de correo, tecnología en uso deducida de ofertas de empleo, metadatos de documentos publicados, credenciales en volcados y exposición personal de directivos.
Servicio 06
Ingeniería social, OSINT e intrusión física
El vector humano sigue siendo el más rentable para el atacante y el peor medido por la organización. La mayoría de las campañas de concienciación miden quién hace clic; lo relevante es cuántos minutos pasan hasta que alguien lo comunica y qué ocurre en ese intervalo.
Criterio
Se mide la organización, nunca a la persona
Un ejercicio de ingeniería social que termina en una lista de nombres es un ejercicio fallido y, además, un problema laboral. Lo que se evalúa es si los procesos y los controles resisten, no si un empleado concreto tuvo un mal día.
- Los resultados se entregan agregados por departamento y por perfil de riesgo. No se identifica a personas individuales en el informe.
- El acuerdo con la representación de los trabajadores, cuando procede, se resuelve antes de lanzar la campaña.
- La métrica principal no es la tasa de clic: es el tiempo hasta el primer reporte y el porcentaje de destinatarios que lo comunicaron.
- Ningún señuelo utiliza temas que puedan causar daño real: nóminas, despidos, salud o asuntos personales quedan fuera.
Alcance
Vectores
El reconocimiento previo es lo que separa una campaña genérica de una que funciona. Y funciona: con pretexto correcto, la tasa de credencial entregada supera con holgura lo que la dirección espera.
OSINT
Phishing
Campañas dirigidas
Infraestructura propia con dominios registrados y reputación construida, señuelos alineados con procesos internos reales y medición de clic, credencial entregada, ejecución y reporte.
Vishing
Llamada y suplantación
Pretexto telefónico contra soporte y usuarios: restablecimiento de contraseña, alta de dispositivo y desvío de segundo factor. Es el vector con mayor tasa de éxito y el peor cubierto por procedimiento.
Físico
Acceso a instalaciones
Seguimiento en accesos controlados, suplantación de proveedor o mantenimiento, evaluación de la recepción y de la reacción del personal, y comprobación de qué se alcanza una vez dentro.
Ejecución
Qué se mide
Cinco indicadores, comparables entre campañas sucesivas. Son la única forma de saber si la inversión en concienciación cambia algo.
01
Apertura
Porcentaje de destinatarios que abren el señuelo. Mide alcance, no vulnerabilidad.
02
Clic
Interacción con el enlace o el adjunto. El indicador que todo el mundo publica y el menos útil.
03
Credencial
Porcentaje que introduce credenciales o segundo factor. Aquí empieza el compromiso real.
04
Reporte
Porcentaje que lo comunica y tiempo hasta el primer aviso. El indicador que de verdad importa.
05
Contención
Tiempo desde el primer reporte hasta que su equipo bloquea la campaña.
FAQ
Preguntas frecuentes
¿Es legal simular un phishing a mis propios empleados?
Sí, siendo la empresa la titular de los sistemas y del correo corporativo, y siempre que el tratamiento de datos se limite a lo necesario, se documente en el registro de actividades y se informe adecuadamente. En organizaciones con representación legal de los trabajadores conviene resolver la comunicación previa antes de lanzar. Nada de esto compromete el ejercicio: no hace falta anunciar la fecha ni el contenido para que la campaña sea válida.
¿Se sabrá quién ha picado?
El informe no identifica a personas. Los datos se agregan por departamento, por perfil y por franja horaria, que es lo que permite tomar decisiones sobre procesos y formación. Si su organización quiere el detalle individual para acciones internas, es una decisión suya que debe estar prevista en su normativa interna y en la información a los trabajadores; yo no la incluyo por defecto.
¿Incluye la intrusión física?
Solo si el alcance lo contempla expresamente y con una carta de autorización firmada que llevo encima durante toda la actuación, con teléfono de verificación disponible para el personal de seguridad. Es el vector más delicado por la posibilidad de reacción del personal y por las implicaciones penales de actuar sin cobertura documental, y por eso no se improvisa nunca.
¿Cuál encaja con su caso?
Describa el entorno y el motivo del encargo. Le respondo con la modalidad recomendada y el orden de esfuerzo estimado.