Una investigación con 2.47 millones de simulacros cuestiona cómo medimos la concienciación en phishing
La tasa de clics, el indicador que casi todos reportan a la junta, resulta el menos informativo de los tres que importan. El estudio cubrió 123,000 empleados en 1,200 organizaciones.
La plataforma noruega de formación en seguridad Pistachio analizó 2.47 millones de intentos de phishing simulado enviados a más de 123,000 empleados en más de 1,200 organizaciones, entre el 1 de junio de 2025 y el 31 de mayo de 2026.
Las tres conductas
El estudio midió tres comportamientos distintos frente al correo simulado:
- Hacer clic en el enlace del phishing
- Entregar credenciales después de hacer clic
- Reportar el correo sospechoso
La mayoría de los programas de concienciación reporta solo el primero.
El hallazgo
Una tasa baja de clics produce falsa sensación de seguridad. El clic por sí solo indica curiosidad; lo determinante ocurre después.
Un empleado que hace clic, reconoce la página falsa y cierra la ventana sin escribir nada tuvo un desenlace favorable. Uno que hace clic y entrega la credencial entregó la cuenta. Ambos aparecen igual en la métrica de clics.
La tercera conducta, el reporte, es la que el estudio identifica como más valiosa y la que menos se mide. Un empleado que reporta convierte un intento individual en alerta para toda la organización, y da al equipo de seguridad la oportunidad de bloquear el dominio antes de que otro compañero caiga.
La recomendación es evaluar la resiliencia por el cambio en las tres conductas de forma sostenida: menos clics, menos entregas de credenciales, más reportes.
Qué significa para los programas de concienciación
La conclusión tiene aplicación directa en cualquier organización dominicana que corra simulacros de phishing, por obligación regulatoria o por iniciativa propia.
El indicador que se lleva a la junta directiva —porcentaje de clics, con su gráfico descendente— es el menos informativo de los tres. Y su mejora admite lecturas engañosas: una tasa que baja puede reflejar aprendizaje real, o puede reflejar que los empleados aprendieron a reconocer los simulacros internos sin mejorar frente al phishing verdadero.
Tres ajustes prácticos al programa. Instrumentar la medición de entrega de credenciales, que exige que la página simulada registre el intento de escritura. Habilitar y promover un botón de reporte de un clic en el cliente de correo, porque la fricción mata la conducta que más importa. Y establecer la tasa de reporte como indicador principal ante la dirección, con el clic como contexto.
El cambio cultural que sostiene todo esto es dejar de tratar el clic como falta. Un programa que castiga al que cae produce empleados que ocultan el error, y el silencio es exactamente lo contrario de lo que la organización necesita.
Fuentes
- SecurityWeek — Phishing research challenges conventional security awareness testing (11 de septiembre de 2026)