Durante años, las organizaciones han recurrido a simulaciones de phishing por correo electrónico para medir la resistencia de sus empleados ante este tipo de ataques. Pero, ¿y si las mismas herramientas que utilizamos para capacitar a nuestros equipos resultan contraproducentes?
Una nueva investigación presentada en Black Hat USA 2025 por expertos en seguridad de la Universidad de Chicago (UC) y la Universidad de San Diego (USD) transmite un mensaje claro: "La formación en phishing no funciona", al menos no de la forma en que la mayoría de las empresas lo hacen hoy en día.
El último informe técnico de CyberHoot sobre phishing retoma el tema donde lo deja esta investigación, mostrando cómo nuestro producto HootPhish da un giro radical al enfoque convencional, aprovechando el refuerzo positivo para aumentar la participación de los empleados y generar un cambio de comportamiento duradero.
El estudio empírico, resumido aquí en la presentación de Black Hat (diapositivas disponibles para descargar) , examinó la eficacia a largo plazo de la formación en concienciación sobre el phishing y llegó a una conclusión desalentadora:
“Las simulaciones de phishing tradicionales, especialmente aquellas que se basan en la vergüenza y las medidas punitivas, en realidad no reducen la vulnerabilidad al phishing”.
En cambio, estas pruebas a menudo conducen a:
En otras palabras, la estrategia del “te pillé” puede hacer que los usuarios se sientan más ansiosos y temerosos, y eso los lleva a abandonar o desvincularse del proceso de aprendizaje.
👉 Lee el artículo completo en Dark Reading.
En CyberHoot, siempre hemos creído que existe una mejor manera, basada en 75 años de investigación psicológica. Por eso creamos HootPhish , una plataforma de simulación de phishing de última generación que elimina el castigo y, en cambio, se centra en el refuerzo positivo y las recompensas dentro de los ejercicios de capacitación. Esto, a su vez, conduce a la participación y el empoderamiento de los empleados y, en última instancia, a lo que todos deseamos: un cambio de comportamiento intrínseco.
Así es como HootPhish resuelve los problemas expuestos por los investigadores de Black Hat de la USD y la UC:
En lugar de avergonzar a los usuarios que fallan, HootPhish los aprueba proporcionándoles una educación inmediata y amigable, en el momento, que refuerza lo que los usuarios necesitan saber, convirtiéndolo en una experiencia positiva y un momento de aprendizaje, no un evento disciplinario.
A diferencia de las pruebas tradicionales, que solo registran las aperturas y clics de correo electrónico de los usuarios, HootPhish incluye a todos los usuarios en sus resultados. Se realiza un seguimiento de cada usuario hasta que completa su capacitación sobre phishing. Esto permite a los equipos de seguridad y a la dirección comprender el panorama completo, incluyendo quiénes podrían tener un rendimiento inferior al óptimo.
Con nuestro desafío opcional HootPhish , los usuarios reciben simulaciones de phishing aleatorias y puntuaciones basadas en una tabla de clasificación, lo que fomenta una participación real a través de una competencia sana , no del miedo.
Además del Desafío HootPhish, ofrecemos avatares que representan el conocimiento y el progreso en ciberalfabetización. Esto puede generar una competencia amistosa y mejorar la experiencia y la participación en las tareas de ciberseguridad, a medida que los usuarios pasan de ser crías de búho a sabios.
No solo evaluamos a los usuarios, sino que los capacitamos . Además, hacemos un seguimiento de su progreso a lo largo del tiempo, ayudando a las organizaciones a demostrar el retorno de la inversión y a cumplir con las normativas vigentes.
Beneficio de Pro HootPhish: Las asignaciones de HootPhish se eligen para usted (sin necesidad de configuración ni lista blanca), lo que la convierte en una de las soluciones más automatizadas del mercado para administradores.
Descarga el informe técnico: Por qué fallan las pruebas de phishing tradicionales y cómo HootPhish tiene éxito.
Hemos recopilado todo lo que necesita saber en un único documento técnico fácil de leer.
En su interior aprenderás:
La evidencia es clara: las simulaciones de phishing por correo electrónico se basan en el miedo y el castigo, y provocan la desmotivación de los empleados. Simplemente no funcionan . La investigación de Black Hat lo confirmó. Nuestro enfoque, pendiente de patente, representa una nueva y mejor manera de proceder, basada en 75 años de estudios de investigación psicológica sobre el cambio de comportamiento.
Si está listo para ir más allá de las pruebas de la vieja escuela y avanzar hacia una defensa contra el phishing más inteligente y efectiva, estamos aquí para ayudarlo.
👉 Obtén más información sobre HootPhish en cyberhoot.com
Fuentes y lecturas adicionales:
Descubra y comparta las últimas tendencias, consejos y mejores prácticas en ciberseguridad, junto con nuevas amenazas a las que debe prestar atención.
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Incluso antes de que Claude Code hiciera...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Lo sabemos desde hace tiempo...
LEER MÁS
Autora: Katie Boquetti | Editorial: Craig Taylor Editorial de Craig Taylor: Un CAPTCHA debería comprobar si...
LEER MÁSObtenga una visión más clara de los riesgos humanos, con un enfoque positivo que supera las pruebas de phishing tradicionales.
