El 85% de los ciberataques a empresas tienen su origen en el phishing. Es un dato que se lleva años citando en informes de seguridad y que, pese a toda la concienciación que ha habido sobre el tema, no deja de crecer. La pregunta pertinente no es por qué ocurre, sino por qué, después de todo lo que se ha invertido en tecnología y formación, el phishing sigue siendo el punto de entrada preferido de los atacantes.
La respuesta es incómoda: porque funciona. Y porque se ha vuelto considerablemente más sofisticado.
El phishing ya no es el correo con errores ortográficos
Existe una imagen mental del phishing que ya no corresponde a la realidad actual: el email mal redactado, con logos pixelados, que te avisa de que tu cuenta ha sido bloqueada y te pide que hagas clic en un enlace sospechoso. Ese tipo de phishing sigue existiendo, pero los ataques que realmente comprometen organizaciones son muy diferentes.
Hoy, un atacante puede utilizar herramientas legítimas de Microsoft, como Forms, OneNote o páginas de SharePoint, para construir una trampa que pasa todos los filtros del correo corporativo, porque técnicamente el enlace lleva a un dominio de Microsoft. El usuario llega a una página que simula un proceso interno, introduce sus credenciales, y en ese momento el atacante tiene acceso.
También ha crecido de forma significativa el spear phishing: ataques personalizados que utilizan información real sobre la empresa, el nombre del remitente, referencias a proyectos en curso o a relaciones con proveedores. El mensaje no parece genérico porque no lo es: ha sido construido específicamente para esa persona.
El factor humano no es una debilidad, es el objetivo
Cuando se habla del factor humano como el eslabón más débil de la cadena de seguridad, se suele plantear como una limitación. Pero desde el punto de vista del atacante, el factor humano es el objetivo principal de la estrategia.
La razón es sencilla: comprometer a un usuario es mucho más fácil que comprometer la infraestructura técnica. No hace falta buscar vulnerabilidades en el software ni desarrollar malware sofisticado. Basta con conseguir que alguien haga clic en un enlace, conceda permisos a una aplicación aparentemente legítima o responda a un correo que parece venir de un compañero de trabajo.
Y una vez que el atacante tiene unas credenciales válidas, puede operar dentro del entorno corporativo con los mismos permisos que el usuario comprometido, sin que haya ningún evento de intrusión detectable, sin alertas inmediatas, sin rastros evidentes. La sesión es legítima porque las credenciales son reales.
Por qué la tecnología sola no es suficiente
Invertir en tecnología de seguridad es necesario. Pero la tecnología tiene un límite cuando el atacante entra con credenciales válidas y actúa como un usuario más. El sistema no puede distinguir entre el comportamiento legítimo del usuario y el del atacante que ha tomado el control de su cuenta, al menos no de forma inmediata.
La concienciación de usuarios es una capa de protección imprescindible. Un usuario que sabe reconocer un intento de phishing, que cuestiona una solicitud inusual aunque parezca legítima, o que tiene el hábito de verificar antes de hacer clic, reduce de forma significativa la superficie de ataque de la organización.
El problema con los programas de concienciación tradicionales (una sesión formativa al año, o un correo con recomendaciones genéricas) es que no generan un cambio de comportamiento real. El conocimiento teórico no se traduce automáticamente en mejores hábitos.
Cómo funciona la concienciación real
El servicio de concienciación de Colaboratic parte de una premisa diferente: antes de formar, hay que saber cuál es el punto de partida real. Por eso el proceso comienza con un ataque de phishing simulado dirigido a los usuarios de la organización, sin previo aviso. Los resultados (quién hizo clic, quién introdujo credenciales, quién ignoró el mensaje) definen el nivel de riesgo real y los perfiles que necesitan más atención.
A partir de ahí se diseña una sesión de formación adaptada a los patrones detectados, no una presentación genérica sobre ciberseguridad. Y el proceso se cierra con un segundo ataque simulado posterior a la formación, que permite medir si el comportamiento ha cambiado y cuantificar la mejora.
El resultado no es un certificado de haber completado un curso. Es una organización en la que los usuarios entienden el riesgo real, saben cómo actuar ante él y han demostrado en la práctica que pueden reconocer un intento de engaño.
¿Quieres saber cuántos usuarios de tu empresa harían clic en un phishing bien elaborado?
En Colaboratic podemos ayudarte a hacerlo de forma controlada y con un plan de acción claro a partir de los resultados. Contacta con nuestro equipo aquí.
