¿Qué funciona en la formación sobre concienciación contra el phishing? Evidencia sobre advertencias, retroalimentación y notificación

Las advertencias breves sobre phishing redujeron los clics en un estudio de campo de 15 meses

Lain, Kostiainen y Čapkun estudiaron el phishing simulado en una empresa durante 15 meses, desde julio de 2019 hasta octubre de 2020. El estudio incluyó a 14 733 empleados y 117 864 correos electrónicos de phishing simulados.

Las advertencias mostradas en correos sospechosos se asociaron con menos clics. Los investigadores registraron 3964 clics en la condición sin advertencia, frente a 1427 con una advertencia breve y 1289 con una detallada. Estas son cifras de clics en bruto, no porcentajes de clics, por lo que no deben interpretarse como una comparación directa del riesgo de cada empleado. El análisis estadístico del estudio determinó que las advertencias eran eficaces, pero que una advertencia detallada no era significativamente más eficaz que una breve.

Para los equipos de seguridad, la conclusión práctica es hacer que la advertencia sea útil de un vistazo. Debe indicar al empleado qué comprobar y dónde verificar una solicitud de forma segura. El estudio no establece la redacción ideal para todas las organizaciones, ni demuestra que una advertencia por correo electrónico funcione igual de bien para una llamada telefónica, un mensaje de texto o un chat.

Una página de formación mostrada tras una simulación fallida no mejoró la resiliencia

El mismo estudio puso a prueba la formación integrada voluntaria: tras fallar en un phishing simulado, se podía mostrar al empleado una página de formación. Los investigadores no hallaron que esta intervención mejorara la resiliencia ante el phishing posterior; sus resultados suscitaron la preocupación de que este formato específico pudiera hacer a los empleados más vulnerables.

Entre los encuestados que recordaban la página, el 43 % seleccionó la afirmación de que verla les hacía sentirse seguros. Ese hallazgo se refiere a una intervención concreta: una página voluntaria mostrada tras un fallo simulado. No es una prueba de que toda la formación en concienciación sobre seguridad sea ineficaz, ni de que la formación adaptada al comportamiento de una persona tenga el mismo resultado.

La distinción es importante. Una lección mostrada después del clic puede no ser suficiente por sí sola. Los equipos deben evaluar si el mensaje se entiende, si conduce a una acción posterior más segura y si el comportamiento cambia en una prueba posterior.

La retroalimentación inmediata sobre phishing redujo los errores en una segunda prueba

Bender, Horn, Loewenstein y Roberts estudiaron la retroalimentación justo a tiempo en una gran organización de soluciones sanitarias de EE. UU. Seleccionaron aleatoriamente a 11 802 empleados, y el flujo de participantes del estudio incluyó a 10 844 personas. Tras un correo electrónico de phishing simulado inicial, los empleados recibieron retroalimentación sobre su respuesta. Dos semanas después se envió un segundo correo simulado.

Entre los empleados que cayeron en la primera prueba, el 40 % de los que recibieron retroalimentación cayeron en la segunda, frente al 50 % del grupo sin retroalimentación. Entre los empleados que ignoraron el primer correo, las tasas de error en la segunda prueba fueron del 20 % con retroalimentación y del 22 % sin ella.

Para los empleados que ignoraron el primer correo, la intervención también incluyó un mensaje de seguimiento una semana después que fomentaba la notificación. Cuando llegó la segunda prueba, el 10 % de ese grupo la notificó, frente al 7 % del grupo de control.

Estos son resultados de correos simulados en una organización. Respaldan la realización de pruebas de retroalimentación oportuna y refuerzo positivo, pero no establecen el mismo efecto en todas las plantillas ni demuestran una reducción de los incidentes reales.

La tasa de notificación y el tiempo de respuesta muestran lo que hicieron los empleados

En el estudio de ETH Zurich, alrededor del 10 % de las notificaciones de correos de phishing simulados llegaron en menos de cinco minutos, y entre el 30 % y el 40 % en menos de 30 minutos. Los investigadores también descubrieron que la retroalimentación positiva fomentaba la notificación posterior.

Para un equipo de seguridad, la tasa de notificación y el tiempo de respuesta pueden ayudar a mostrar si los empleados utilizan la vía de notificación y con qué rapidez llega un mensaje sospechoso al equipo. Son medidas operativas, no una prueba por sí mismas de que una organización esté protegida. Analícelas junto con la entrega, los clics, la investigación y la respuesta, y compare simulaciones equivalentes a lo largo del tiempo.

Las tasas de finalización siguen describiendo si las personas terminaron un curso. No indican a un equipo si los empleados reconocieron una solicitud sospechosa, la notificaron o siguieron un proceso de verificación cuando hubo que tomar una decisión.

Qué significan estos estudios para un programa de riesgo humano

Las pruebas respaldan un enfoque centrado en la formación de concienciación sobre phishing:

• Utilice advertencias concisas y prácticas cuando el sistema detecte un correo electrónico sospechoso. Lain et al. no encontraron ninguna ventaja significativa en las advertencias detalladas frente a las breves.
• Ofrezca retroalimentación inmediatamente después de la decisión simulada. En el estudio de Bender et al., la retroalimentación oportuna se tradujo en menos errores en un segundo correo electrónico simulado entre las personas que hicieron clic inicialmente.
• Facilite la notificación y refuerce esta conducta. Bender et al. observaron una mayor tasa de notificación después de que un mensaje de seguimiento fomentara esta acción. Lain et al. también descubrieron que la retroalimentación positiva incentivaba futuras notificaciones.
• Mida tanto el comportamiento como la finalización de los cursos. Realice un seguimiento de la tasa de notificación, el tiempo de respuesta y la repetición de conductas en pruebas comparables, manteniendo claros los límites de cada métrica.
• Pruebe los canales que los empleados utilizan realmente. Ambos estudios de intervención analizados aquí probaron el correo electrónico. Sus resultados no establecen cómo funcionan las mismas técnicas en voz, mensajes de texto o herramientas de colaboración.
• Trate las simulaciones como evidencia sobre simulaciones. Confirme el efecto en su propio entorno y no describa un mejor resultado en una prueba como prueba de que se han detenido ataques reales.

En Zepo, vemos una implicación operativa: conectar las señales de amenazas reales con simulaciones, retroalimentación, informes y mediciones relevantes a lo largo del tiempo. Nuestra plataforma vincula la detección con simulaciones y formación adaptativas. Para una discusión relacionada sobre por qué los ejercicios de un solo canal dejan parte del riesgo sin probar, lea nuestro análisis de simulaciones de phishing multicanal.

Preguntas frecuentes

¿La formación en concienciación sobre phishing reduce los clics en correos de phishing?Depende de la intervención. En un estudio de campo de 15 meses, las advertencias mostradas junto a correos electrónicos simulados sospechosos se asociaron con menos clics. Una página de formación voluntaria mostrada tras un fallo simulado no mejoró la resiliencia posterior en ese estudio. Estos hallazgos no establecen que todos los formatos de formación tengan el mismo efecto.

¿Qué es la retroalimentación de phishing en tiempo real?La retroalimentación de phishing en tiempo real es una explicación que se muestra inmediatamente después de la respuesta de un empleado a un correo electrónico de phishing simulado. En un estudio con 10,844 participantes, los empleados que cayeron en un primer correo simulado y recibieron retroalimentación fallaron menos en una segunda prueba dos semanas después. El grupo de control no recibió retroalimentación.

¿Deberían los equipos de seguridad medir la notificación de phishing?Sí. La tasa de notificación y el tiempo de respuesta indican si los empleados utilizan el canal de notificación de la organización y con qué rapidez llegan los mensajes sospechosos al personal de seguridad. Estas métricas complementan las de clics y finalización de cursos, pero no prueban por sí solas que se hayan prevenido ataques reales.

¿Prueban estos estudios que la formación detiene los ataques de phishing reales?No. Ambos estudios probaron correos electrónicos de phishing simulados. Proporcionan evidencia sobre el comportamiento en esas pruebas, no una prueba directa de que las mismas intervenciones prevengan brechas en el mundo real o funcionen igual de bien en correo electrónico, voz, texto y chat.