Phishing dirigido
Campañas de correo que simulan escenarios realistas y miden clics, envío de credenciales y tasa de reporte por parte de los colaboradores.
Pentest de ingeniería social
El control técnico más fuerte falla cuando alguien es convencido de abrirle la puerta al atacante.
Simulaciones controladas de phishing, vishing e ingeniería social física para medir cuánto resisten las personas y los procesos a los intentos de manipulación, en general combinadas con programas de concientización.
Phishing y vishing Simulación física controlada Métricas para concientización
Cuándo esto importa
Las personas también forman parte de la superficie de ataque.
Los firewalls, el MFA y los controles de acceso no impiden que un colaborador haga clic en un enlace malicioso, entregue una contraseña por teléfono o abra una puerta a alguien con un pretexto convincente. La evaluación simula esos vectores — correo, teléfono y presencia física — bajo autorización formal, midiendo el comportamiento real en lugar de la percepción declarada en las capacitaciones.
01
Antes o después de programas de concientización
02
Sectores con alta exposición al fraude
03
Áreas con acceso físico sensible
04
Validación de procesos de mesa de ayuda y recepción
Vectores evaluados
Cómo simulamos intentos reales de manipulación.
El alcance y los pretextos utilizados se definen y aprueban formalmente antes de la ejecución.
Vishing
Llamadas con pretexto controlado que prueban si la mesa de ayuda, la recepción u otras funciones liberan información o restablecen accesos de forma indebida.
Ingeniería social física
Intentos de acceso a las instalaciones mediante tailgating, un pretexto presencial o dispositivos dejados a propósito, evaluando controles físicos y vigilancia.
Métricas para concientización
Indicadores agregados de exposición conductual que alimentan programas de capacitación y campañas futuras.
Por dentro de la entrega
Vea cómo toma forma este trabajo.
Desde la alineación técnica hasta la entrega, el trabajo debe dejar el contexto, la evidencia y los siguientes pasos visibles para todos los involucrados.
01 / 04
Proceso
Una simulación con límites éticos y legales claros.
La ejecución sigue reglas definidas con la empresa para evitar daños, incomodidad innecesaria o riesgo para la operación.
Definición del pretexto y del público
Elegimos escenarios realistas y el alcance de colaboradores, áreas o funciones que se evaluarán.
Autorización y contactos de emergencia
Formalizamos los límites, los responsables internos y un contacto para interrumpir la simulación si es necesario.
Ejecución controlada
Realizamos los intentos de phishing, vishing o acceso físico dentro de los límites acordados.
Devolución y recomendaciones
Presentamos métricas agregadas y sugerencias de refuerzo para procesos y capacitaciones, sin exponer a las personas de forma punitiva.
Entregables
Un resultado orientado a procesos y cultura, no a culpar personas.
La entrega prioriza lo que la empresa puede ajustar en procesos, controles y capacitación.
Visión real de la exposición conductual
Métricas objetivas sobre cómo responden las personas y los procesos a los intentos de manipulación.
Vacíos en controles de acceso y atención
Puntos de refuerzo en recepción, portería, mesa de ayuda y procesos de verificación de identidad.
Insumo para capacitaciones dirigidas
Escenarios reales usados para hacer más relevantes las campañas de concientización.
Preguntas frecuentes
Respuestas concretas para planificar la evaluación.
Si su duda no está aquí, hable directamente con el equipo.
Preguntar por WhatsApp¿Es poco ético simular phishing con los propios empleados?+
Cuando se realiza con autorización formal, participación de RR. HH. y foco en la capacitación — no en el castigo individual —, la simulación es una práctica reconocida para medir y mejorar la respuesta humana ante ataques reales.
¿Qué pasa con quien 'cae' en la simulación?+
El objetivo no es identificar culpables. Los resultados suelen reportarse de forma agregada y se usan para dirigir capacitaciones, salvo que la empresa solicite explícitamente un seguimiento individual.
¿Las pruebas de ingeniería social física pueden generar problemas con la seguridad del edificio?+
Por eso formalizamos de antemano los límites, los responsables internos y un contacto de emergencia, incluida una carta de autorización que se puede presentar si el equipo es abordado durante la simulación.
¿Esto reemplaza la capacitación en concientización de seguridad?+
No. La simulación normalmente se contrata junto con programas de concientización y sirve como medición inicial, refuerzo o validación de resultados a lo largo del tiempo.
Siguiente paso
¿Quiere medir la resistencia real de su empresa a la manipulación?
Indique los vectores de interés (phishing, vishing, físico), el público objetivo y si ya existe un programa de concientización en curso.