El caso de BigBear 2.0 ha vuelto a poner el phishing sobre la mesa. Según la investigación publicada por BleepingComputer, este servicio llegó a afectar a cientos de organizaciones y permitió capturar miles de credenciales vinculadas a Microsoft 365.
Podríamos dedicar muchas páginas a explicar cómo funciona técnicamente el ataque, qué controles consigue esquivar o qué mecanismos ayudan a reducir su impacto. Todo eso importa. Pero antes hay una pregunta que muchas organizaciones siguen dejando para más tarde:
¿Está nuestra gente preparada para reconocer un ataque cuando lo tiene delante?
Porque, al final, la mayoría de campañas de phishing siguen necesitando algo muy simple: que una persona confíe en el mensaje, pulse un enlace, abra un archivo, introduzca sus credenciales o complete una acción.
Y esa parte del ataque no se soluciona solo añadiendo más tecnología.
El phishing ha cambiado, pero también debería cambiar nuestra forma de entrenar
Durante mucho tiempo, la concienciación en ciberseguridad se ha tratado casi como un trámite: una formación anual, un cuestionario, unas diapositivas sobre contraseñas y algún recordatorio puntual sobre correos sospechosos.
El problema es que los atacantes no trabajan así.
No envían un examen teórico. Crean presión, urgencia y contexto. Suplantan a personas conocidas, usan herramientas corporativas, copian estilos de comunicación y adaptan los mensajes al día a día de sus víctimas.
Una persona puede saber perfectamente qué es el phishing y, aun así, caer en un mensaje bien construido si lo recibe a primera hora, entre reuniones y con una petición aparentemente urgente de su responsable.
Por eso existe una diferencia importante entre formar y entrenar.
La formación explica qué es el phishing.
El entrenamiento permite enfrentarse a él.
La concienciación debe parecerse al ataque real
Si queremos saber cómo reaccionaría una organización ante una campaña real, tenemos que poner a sus empleados frente a escenarios que resulten creíbles.
No basta con enviar el mismo correo falso a toda la compañía y medir quién hace clic.
El riesgo no es igual para todos.
El equipo financiero puede recibir intentos de fraude relacionados con facturas, transferencias o cambios de cuenta bancaria. Recursos Humanos está acostumbrado a recibir documentación externa. Un equipo comercial puede enfrentarse a falsas oportunidades de negocio. Los perfiles técnicos pueden recibir avisos de seguridad o accesos simulados. Y la dirección puede ser objetivo de ataques mucho más personalizados.
Un buen ejercicio de phishing debe tener en cuenta ese contexto.
Cuanto más se parezca la simulación a la realidad de cada equipo, más útil será el aprendizaje.
La idea no es engañar mejor al empleado. La idea es entrenarlo con situaciones que realmente podrían ocurrir.
El usuario no debería ser tratado como el problema
Existe una frase que se repite demasiado en seguridad: “el usuario es el eslabón más débil”.
Ese enfoque tiene un problema claro: si tratamos a las personas como culpables potenciales, difícilmente conseguiremos que se impliquen de verdad en la defensa.
Cuando alguien piensa que reportar un error puede traerle consecuencias negativas, es más probable que lo oculte. Y en ciberseguridad, perder minutos u horas antes de detectar un incidente puede marcar una diferencia enorme.
Un buen programa de concienciación debería buscar justo lo contrario: que cada empleado entienda que forma parte del sistema de defensa.
Una persona entrenada puede notar antes que cualquier herramienta que un mensaje no encaja. Puede detectar una petición fuera de contexto, un cambio en el tono habitual de un compañero o una autenticación que no esperaba recibir.
Y, sobre todo, puede reportarlo.
Ese reporte puede convertirse en la primera alerta real de una campaña activa.
Hacer clic no debería ser el único indicador
Uno de los errores más habituales en las simulaciones de phishing es reducir toda la evaluación a una sola métrica: el porcentaje de clics.
Es una cifra útil, pero insuficiente.
Una organización con un 3 % de clics y ningún reporte podría estar menos preparada que otra con un 5 % de clics y una capacidad de detección temprana muy alta.
Si queremos medir de verdad la resiliencia de una organización, también tenemos que mirar otros comportamientos.
Por ejemplo: cuánto tarda alguien en reportar una campaña, cuántas personas usan correctamente el canal de aviso, qué departamentos detectan mejor los ataques o qué tipos de señuelos generan más interacción.
También es importante saber qué ocurre después del error.
¿La persona que ha introducido sus credenciales sabe avisar inmediatamente? ¿Entiende que reportar sigue siendo útil aunque ya haya hecho clic? ¿Tiene claro qué proceso debe seguir?
En un entorno real, esa capacidad de reacción puede ser mucho más importante que conseguir una estadística perfecta.
El objetivo es crear hábitos
La concienciación funciona cuando deja de ser teoría y se convierte en hábito.
Queremos que una persona se pare unos segundos antes de abrir un enlace inesperado. Que cuestione una petición urgente. Que confirme por otro canal una solicitud sensible. Que sepa identificar cuándo una página de autenticación no encaja con lo habitual.
Y queremos, sobre todo, que reportar un mensaje sospechoso sea algo natural.
Eso no se consigue con una única formación.
Se consigue mediante repetición, exposición y feedback.
Los ejercicios de phishing ayudan precisamente a eso: entrenar la toma de decisiones en un entorno controlado y convertir, poco a poco, determinadas respuestas en hábitos.
Simular para aprender, no para castigar
La forma en la que se plantea una campaña también importa.
Si los ejercicios se viven como una prueba diseñada para pillar al empleado, el efecto puede ser justo el contrario al que buscamos.
Las simulaciones deberían entenderse como una herramienta de aprendizaje.
Cuando alguien cae en un ejercicio, tenemos una oportunidad muy valiosa para enseñar: qué señales podía haber visto, qué debería haber hecho y cómo podría reconocer una situación parecida la próxima vez.
El error simulado no genera un incidente real, pero sí genera aprendizaje.
Ese es precisamente el valor del entrenamiento.
Permite equivocarse cuando el error todavía no cuesta dinero, datos o reputación.
No todas las campañas deben ser iguales
Otro punto importante es evitar que los ejercicios se conviertan en algo predecible.
Si una organización envía siempre el mismo tipo de phishing, los empleados terminan aprendiendo a reconocer la simulación, no el ataque.
Un programa maduro debería evolucionar.
Las campañas genéricas pueden servir como punto de partida. Después deberían aparecer escenarios más contextualizados: ataques dirigidos a departamentos concretos, suplantaciones internas, falsas herramientas corporativas, comunicaciones de proveedores o situaciones ligadas a procesos habituales.
También debería variar la dificultad.
El objetivo no es conseguir más víctimas. Es entender el nivel real de preparación de la organización y acompañar su evolución.
Medir la evolución, no solo la fotografía
Un único ejercicio nos dice poco.
Lo realmente útil aparece cuando observamos la evolución durante varios meses.
¿Está aumentando la tasa de reporte? ¿Se reduce el tiempo hasta la primera alerta? ¿Los usuarios que habían caído en campañas anteriores reaccionan mejor? ¿Existen departamentos que requieren un entrenamiento específico?
Estas tendencias permiten tomar decisiones.
La concienciación deja de ser una actividad genérica y empieza a convertirse en un programa basado en el riesgo real.
Ese cambio es fundamental.
Porque no estamos buscando demostrar que las personas cometen errores. Eso ya lo sabemos.
Queremos saber si están aprendiendo a cometer menos errores y, sobre todo, a reaccionar mejor cuando ocurren.
De empleados a primera línea de defensa
BigBear 2.0 es solo uno de los muchos ejemplos que veremos en los próximos años.
Las herramientas de los atacantes seguirán evolucionando. Los correos serán más creíbles. La inteligencia artificial facilitará mensajes más personalizados y las plataformas de phishing harán cada vez más sencillo lanzar campañas sofisticadas.
En ese escenario, la tecnología continuará siendo imprescindible.
Pero habrá algo que seguirá siendo igual de importante: la capacidad de una persona para detectar que algo no encaja.
En RAONA entendemos la concienciación desde esa perspectiva. Un programa de phishing no debería servir para demostrar que el usuario puede fallar, sino para entrenarlo y ayudarle a identificar, reportar y reaccionar ante una amenaza real.
Por eso trabajamos con ejercicios de phishing controlados, adaptados al contexto de cada organización y pensados para medir no solo quién interactúa con el ataque, sino cómo evoluciona el comportamiento de los usuarios.
Con esos resultados es posible identificar áreas de riesgo, diseñar acciones de mejora y comprobar, con datos, si la organización está aumentando su capacidad de respuesta.
Porque una plantilla formada conoce el riesgo.
Una plantilla entrenada sabe qué hacer cuando el ataque llega.
Y esa diferencia puede ser decisiva.
¿Sabes cómo reaccionaría hoy tu organización ante un phishing real?
En RAONA podemos ayudarte a comprobarlo mediante campañas controladas de simulación y entrenamiento frente al phishing, diseñadas para evaluar el comportamiento real de los usuarios y convertir los resultados en acciones concretas de mejora.
No se trata de atrapar a nadie haciendo clic.
Se trata de entrenar hoy para no aprender mañana durante un incidente real.
