Hicimos una prueba de phishing a los empleados, el resultado fue peor de lo esperado

La idea de la tasa de reporte nos vino genial, gracias. En nuestro caso solo tres personas reportaron, y dos de ellas eran del mismo equipo.

Otra pregunta: ¿qué recomiendan para facilitar los reportes? Ahora la gente tiene que mandar un mail a una dirección aparte al equipo de seguridad y creo que nadie se molesta.

Ahí es justo donde pierden. Cuanto más largo sea el camino para reportar, menos reportes van a recibir.

La solución técnica es simple: agreguen un botón de "reportar sospechoso" con un solo clic en el cliente de correo. En la mayoría de los sistemas corporativos esto ya existe como complemento. El usuario presiona el botón, el mensaje va al equipo de seguridad y desaparece de su bandeja de entrada.

El proceso también importa: siempre respondan a quien reporta. La frase "Revisado, era inofensivo, gracias por reportarlo igual" es lo que trae el siguiente reporte. Un reporte sin respuesta es el último reporte.

Y nunca regañen por una falsa alarma. Cien falsas alarmas son más baratas que un incidente real no detectado.

Quisiera agregar un punto desde la comunicación corporativa, porque si la comunicación de estos simulacros se arma mal, puede dañar la confianza en la institución.

Al comunicar el resultado del simulacro, recomiendo prestar atención a tres principios. El resultado debe compartirse con toda la empresa, no por unidad o persona. El lenguaje no debe ser acusatorio, sino explicativo; en vez de "X personas hicieron clic", hay que explicar "qué características de este correo lo hicieron convincente". Por último, se debe mostrar concretamente qué hacer si un atacante real enviara ese mismo correo.

Cuando aplicamos estos tres puntos, la participación aumentó y la actitud defensiva disminuyó.

Chicos, yo soy plomero, estos temas me quedan lejos pero les cuento algo que tal vez sirva, el mes pasado me llegó un mensaje así, justo ese día esperaba un paquete, casi hago clic en el link.

Lo que me salvó fue esto: el nombre de la empresa de paquetería era correcto, pero la dirección en el mensaje era totalmente distinta, me llamó la atención, después llamé a la empresa y resulta que no tenía nada que ver con mi envío.

O sea, lo que quiero decir es que no recibí ninguna capacitación pero como estaba esperando algo, casi caigo, creo que a sus empleados les pasó igual, la culpa no es de ellos.

La situación que contó Recep Bey resume muy bien el tema: el phishing explota más la expectativa que la descuido.

Dejemos un orden práctico para quienes planean trabajos de concientización:

Primero, establezcan el canal de reporte. Antes de la capacitación, que haya una sola vía donde puedan decirles a la gente "si sospechas, presiona aquí".

Después, hagan capacitaciones cortas y frecuentes. En vez de dos horas una vez al año, quince minutos cada tres meses da mucho mejores resultados.

Luego, repitan el simulacro y midan la tasa de reporte y el tiempo hasta el primer reporte, en lugar de la tasa de clics.

Por último, no olviden las medidas técnicas: la concientización por sí sola no es suficiente. Cuando la verificación en dos pasos está activa, una contraseña robada no sirve de nada. No pueden eliminar el error humano, pero sí pueden neutralizar sus consecuencias.

Si quieren hablarlo en detalle, pueden abrir un hilo de soporte, los ayudamos.

tiene razón.

Hay que ir paso a paso. Si decidimos sin medir siempre acabamos en el mismo punto.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción. Yo seguiría por ese camino.

A nosotros también nos pasa.

Le agradecería que compartiera el resultado.

Tema muy oportuno.

Estoy de acuerdo.

Yo también estaba pensando en lo mismo. No tengáis miedo de preguntar quien no pregunta siempre paga más caro.

Si intentas cambiarlo todo a la vez nada termina de asentarse. Si tenéis dudas escribid os responderé en la medida de lo posible.

Le agradecería que compartiera el resultado. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Si no lo pones por escrito desde el principio, luego surgen discusiones.

Tengo una pregunta, no quiero desviarme del tema, pero... Si no lo pones por escrito desde el principio, luego surgen discusiones.

Comprobado por experiencia.

Exactamente así. Intentar hacerlo solo es la vía más cara.

Sí, la situación con phishing es exactamente así. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Lo que voy a preguntar sonará un poco novato perdonadme. en fin una copia de seguridad no probada no es una copia de seguridad.

Si escribís el resultado aquí también servirá de ayuda a otros.