Resumen
La IA ha hecho que la ingeniería social sea adaptable, personalizada y multicanal. La mayoría de los programas de simulación de phishing fueron diseñados para una amenaza distinta. Esta publicación explica qué ha cambiado, qué debe evaluar una simulación moderna de ingeniería social basada en IA y qué métricas ofrecen una imagen más precisa de la exposición real.
La mayoría de los programas de simulación de phishing funcionan con una biblioteca de plantillas de correo electrónico. Un proveedor crea escenarios basados en ataques que funcionaron hace meses, usted elige algunos, los envía según un calendario y mide quién hizo clic. La tasa de clics va al informe. El informe va a la junta directiva. El ciclo se repite.
Ese modelo funcionaba cuando la ingeniería social se basaba principalmente en el correo electrónico y los recursos de los atacantes eran escasos. En 2026, mide lo incorrecto.
La IA ha cambiado la economía de la ingeniería social. Crear un ataque creíble y personalizado ya no requiere que un atacante experto pase horas investigando. Solo necesita el prompt adecuado y unos minutos. El resultado es una categoría de amenaza diferente: adaptable, multicanal y calibrada para el objetivo individual en tiempo real.
Un programa de formación basado en las plantillas del año pasado no es incorrecto porque las plantillas sean antiguas. Es incorrecto porque la amenaza que modela ya no existe a gran escala.
Durante la mayor parte de la última década, la ingeniería social a gran escala significaba phishing: campañas de correo electrónico distribuidas masivamente mediante plantillas diseñadas para atrapar a tantas personas como fuera posible. Los ataques dirigidos existían, pero requerían un esfuerzo considerable por parte del atacante. La limitación de recursos creaba un techo natural.
La IA ha eliminado ese techo.
Los ataques modernos de ingeniería social utilizan IA para personalizar a gran escala. Un sistema extrae datos disponibles públicamente de LinkedIn, sitios web corporativos y otras fuentes para crear un perfil detallado del objetivo, y luego genera un mensaje que coincide con el contexto, el estilo de comunicación y la actividad reciente de esa persona. Lo que antes requería horas de trabajo manual ahora toma segundos.
La superficie de ataque también se ha expandido más allá del correo electrónico. La clonación de voz puede replicar la voz de un colega o ejecutivo de forma lo suficientemente convincente como para superar un escrutinio casual. El video deepfake es cada vez más accesible. SMS, Teams, Slack y WhatsApp son canales de ataque junto con el correo electrónico. Los atacantes sofisticados secuencian estos métodos: un correo electrónico establece un contexto falso, una llamada de seguimiento con una voz clonada crea urgencia y un mensaje de Teams cierra el círculo.
Esta secuenciación multicanal y de varios pasos es la forma en que operan los atacantes en 2026. Un programa de simulación que solo prueba clics en correos electrónicos no está evaluando esta amenaza.
Las simulaciones de phishing tradicionales responden a una pregunta: ¿hizo este empleado clic en un enlace dentro de un correo electrónico de phishing simulado?
Es un dato útil, pero es una porción limitada del comportamiento, capturada en un contexto restringido y utilizando escenarios que pueden no reflejar lo que los atacantes están haciendo actualmente.
Los proveedores de simulación crean bibliotecas de escenarios basadas en patrones de ataque observados. Para cuando una plantilla se crea, revisa, aprueba y despliega, el ataque que modela puede tener entre seis y doce meses de antigüedad. Los atacantes que utilizan IA no operan bajo ese cronograma. Generan nuevas variantes continuamente, adaptándose a lo que funciona en el momento.
Entrenar a los empleados para reconocer los patrones de ataque de ayer genera una forma de reconocimiento específica y frágil. No construye la resiliencia conductual más amplia que requiere una amenaza en continua adaptación.
Las simulaciones tradicionales también tienden a medir métricas de la plataforma en lugar de riesgos. Una tasa de finalización de la formación del 72% y una tasa de clics del 15% en las simulaciones son cifras reales. Pero miden el rendimiento dentro del entorno de formación, no el cambio de comportamiento en situaciones de riesgo reales. Ambas cosas están relacionadas, pero no son lo mismo.
El 68% de las brechas de seguridad involucraron el factor humano en 2024, según el Informe de Investigaciones de Brechas de Datos de Verizon (Verizon, 2024, verizon.com/dbir). Esa cifra no ha mejorado sustancialmente a pesar de la adopción generalizada de programas de simulación de phishing. Esa brecha merece atención.
Una simulación de ingeniería social con IA diseñada para el entorno de amenazas actual difiere del phishing basado en plantillas en tres aspectos importantes.
Primero, el realismo. Los escenarios deben reflejar cómo se construyen realmente los ataques, lo que cada vez implica más contenido personalizado en lugar de plantillas genéricas. Una simulación que genera escenarios utilizando el rol, el contexto y los patrones de comunicación del objetivo evalúa una respuesta conductual diferente a la de una que envía el mismo correo electrónico a todo el departamento.
Segundo, cobertura multivectorial.
Los ataques reales no llegan a través de un único canal. Un empleado podría recibir un correo electrónico suplantado, un SMS de seguimiento y un mensaje de voz de un ejecutivo clonado en la misma hora. Cada punto de contacto está diseñado para reforzar a los demás. La amenaza no es el correo electrónico o la llamada de forma aislada. Es la combinación.
Una simulación que solo evalúa el correo electrónico no ofrece a los empleados ninguna exposición a esto. La simulación de ingeniería social multivectorial coloca a los empleados en escenarios que combinan canales simultáneamente: correo electrónico junto con voz, SMS junto con un mensaje de Teams, una llamada deepfake reforzada por una invitación de calendario. La pregunta que responde no es "¿hicieron clic en el enlace de phishing?", sino "¿reconocieron el patrón cuando la presión vino de múltiples direcciones a la vez?".
Tercero, señales conductuales en lugar de métricas de clics. Una simulación debe capturar lo que sucede antes y después del clic, no solo si este ocurrió. ¿El empleado informó sobre el mensaje sospechoso? ¿Con qué rapidez? ¿Verificó a través de un canal secundario antes de actuar? Estos indicadores conductuales son más predictivos del riesgo real que un resultado binario de clic/no clic.
La pregunta que un CISO necesita responder no es "¿qué porcentaje de nuestros empleados hizo clic el trimestre pasado?", sino "¿qué tan expuesta está esta organización a la ingeniería social en este momento?".
Esas son preguntas diferentes y requieren datos diferentes.
Una puntuación de susceptibilidad a la ingeniería social agrega señales conductuales a través de múltiples canales y escenarios para ofrecer una imagen más completa de la exposición organizacional. Tiene en cuenta cómo responden los empleados a diferentes tipos de ataques, qué tan consistente es su juicio a través de los canales y si las intervenciones de formación producen un cambio de comportamiento duradero o solo una conciencia temporal.
Las tasas de finalización y las tasas de clics son métricas de plataforma. Una puntuación de susceptibilidad es una métrica de riesgo. La distinción es importante porque cambia lo que se informa a la junta directiva, lo que se prioriza en el programa y lo que se puede afirmar honestamente sobre la postura de riesgo real.
Si su programa de simulación actual es solo de correo electrónico y basado en plantillas, eso no significa que no tenga valor. Significa que tiene una medida precisa de un comportamiento limitado en un contexto limitado. Se está perdiendo la visión general.
Estas son las preguntas que debe hacerse al revisar su programa:
➡️ ¿Su simulación incluye canales de voz, SMS y mensajería además del correo electrónico? Si no es así, no está evaluando la superficie de ataque completa a la que se enfrentan realmente sus empleados.
➡️ ¿El contenido de sus escenarios refleja la sofisticación de los ataques actuales o se basa en plantillas del año pasado? La brecha entre el realismo de la simulación y la capacidad real de los atacantes constituye un riesgo en sí mismo.
➡️ ¿Está midiendo el cambio de comportamiento a lo largo del tiempo o las tasas de clics en campañas aisladas? Un programa diseñado para reducir el riesgo debe mostrar una mejora conductual medible, no solo fluctuaciones en las cifras de clics.
➡️ ¿Tiene incluida la simulación de vishing mediante IA? Los ataques basados en voz representan uno de los vectores de mayor crecimiento y una brecha significativa en la mayoría de los programas de simulación.
Estas no son preguntas que exijan un cambio inmediato de proveedor. Son preguntas que ayudan a identificar dónde tiene puntos ciegos su programa actual.
El problema fundamental no es que las simulaciones de phishing sean inútiles. Es que fueron diseñadas para un entorno de amenazas que ya no existe a gran escala. Cuando la brecha entre la sofisticación de la simulación y la sofisticación real del ataque se amplía, los empleados se enfrentan a ataques para los que nunca han sido entrenados.
Esa brecha es el riesgo. Cerrarla requiere actualizar tanto lo que se simula como la forma en que se mide.
La capa humana nunca ha sido tan importante de proteger, y nunca ha sido tan difícil hacerlo bien. Las herramientas que la miden deben reflejar esa realidad.
Las simulaciones de phishing siguen siendo una herramienta útil. Pero las organizaciones que gestionan el riesgo humano de forma más eficaz en 2026 no son las que tienen las tasas de finalización más altas. Son aquellas que han actualizado su enfoque de simulación para que coincida con la forma en que funcionan los ataques hoy en día.
Eso significa multicanal. Significa señales conductuales, no solo métricas de clics. Y significa entender lo que se está midiendo lo suficientemente bien como para explicar la brecha a quienes necesitan cerrarla.
Hemos construido el enfoque de simulación de Zepo basándonos en estos principios.
Cómo Zepo ayuda a las empresas
Paula Pereira
Gerente de Seguridad de la Información Digital
“Recomendaría Zepo a colegas de otras empresas porque creo que ha satisfecho todas nuestras necesidades. Nos ha permitido ejecutar tres tipos de campañas que otras herramientas que hemos probado simplemente no pueden hacer. Y más allá del producto en sí, el apoyo de todo el equipo nos ha ayudado a sacarle mucho más partido.”
+9K
Empleados Protegidos
–10%
Tasa de clics en ataques
+18%
Tasa de finalización de la capacitación
Ramon Fernandez Blanco
Ciberseguridad y Gerente de Producto Digital
“Desde la implementación de Zepo, la concienciación de los empleados ha aumentado significativamente. Los empleados ahora debaten activamente sobre ciberseguridad y campañas de phishing, y los correos electrónicos sospechosos se reportan rápidamente en lugar de ser ignorados.”
+600
Empleados Protegidos
–15%
Credenciales enviadas
+26%
Tasa de finalización de la capacitación
Jonathan Nelson
Director de Inteligencia de Riesgos
“La visión de Zepo para una solución de ciberseguridad en tiempo real, hiperpersonalizada y multiplataforma es verdaderamente única y está muy por encima de la competencia”
+100
Empleados Protegidos
Anticípate antes de que ataquen.
.png)
