Solicitudes falsas difíciles de distinguir
Un correo de un proveedor, una llamada de soporte o un mensaje del jefe puede pedir un pago, un código o acceso urgente.
Seguridad ofensiva
Ingeniería social: compruebe cómo responde su empresa al engaño
Simulamos correos, llamadas y mensajes que suplantan a personas o entidades de confianza para medir cómo verifica y reporta su equipo.
Una campaña bien diseñada revela si los procesos de pago, acceso y comunicación resisten solicitudes falsas. Definimos con su empresa los perfiles, canales y escenarios autorizados; después entregamos resultados útiles para ajustar controles y formar al personal, sin culpar públicamente a las personas.
Respuesta directa
¿Qué evalúa una simulación de ingeniería social?
Evalúa, mediante campañas autorizadas, cómo responden las personas y los procesos ante intentos de engaño como phishing, vishing o smishing. Insylux presenta resultados agregados y recomendaciones para mejorar la verificación, el reporte y la formación.
Cuándo puede necesitarlo
Aumentan los mensajes que suplantan a proveedores y la empresa quiere comprobar si sus equipos verifican solicitudes y reportan el intento.
Qué recibe para decidir
Resultados agregados y medidas de refuerzo por escenario.
Ejemplo de entregable
Un resumen por escenario muestra el canal simulado, los comportamientos observados de forma agregada y las medidas de refuerzo, sin señalar públicamente a personas.
Para definir la propuesta
- Perfiles y procesos prioritarios: pagos, proveedores, acceso, soporte o dirección
- Canales y ubicaciones autorizados, avisos internos, exclusiones y tratamiento de datos
- Número de escenarios y campañas, métricas de reporte y refuerzo posterior
Resumen orientativo. Las actividades y los entregables incluidos se concretan en la propuesta.
Contexto
Qué problema resuelve
Verificación y reporte inconsistentes
Los equipos no siempre confirman la solicitud por un canal conocido ni saben a quién reportar el intento.
Formación sin evidencia de resultado
Completar un curso no indica si las personas reconocerán el engaño, evitarán la acción y lo comunicarán a tiempo.
Exposición humana
Del contexto público a una defensa específica
La simulación aporta valor cuando revela qué señales utiliza un atacante y qué controles deben impedir que el pretexto avance.
Señales disponibles
Roles y estructura públicaProveedores y procesos visiblesTecnologías y canales habituales+40%mediana de clics en simulaciones móvilesfrente a simulaciones por correo
Controles a reforzar
Verificación fuera de bandaReporte rápido y sin fricciónFormación continua en Insylux AcademyServicio
Opciones de alcance
La propuesta indicará qué actividades y activos quedan incluidos.
- Revisión de información pública relevante (OSINT) para diseñar escenarios, sin acceder a cuentas privadas
- Simulaciones de phishing por correo, genérico o dirigido a perfiles acordados
- Simulaciones de vishing mediante llamadas autorizadas y guion aprobado
- Simulaciones de smishing por SMS y de mensajería instantánea cuando el canal esté permitido
- Escenarios con enlaces o códigos QR controlados, sin malware ni captura de contraseñas válidas
- Suplantación simulada de directivos, proveedores o soporte en procesos de pagos, accesos y datos
- Pruebas presenciales de acceso físico solo si se pactan expresamente responsables, lugar y reglas
- Sesión de aprendizaje y nueva medición, si se incluyen en la propuesta
Resultado
Entregables posibles
Se seleccionan según el objetivo y el alcance acordados con su empresa.
- Plan de campaña con públicos, canales, pretextos, fechas, permisos y reglas de detención
- Informe de exposición pública relevante para los escenarios acordados
- Resultados agregados por campaña, canal y área, con denominadores y limitaciones
- Análisis de reporte, verificación por canales conocidos e interacciones observadas
- Recomendaciones para procesos de pagos, mesa de ayuda, autenticación y reporte
- Plan de refuerzo educativo y criterios para una nueva medición
Marcos de referencia
- NIST SP 800-115
- MITRE ATT&CK (T1566: Phishing)
- Guías CISA e INCIBE sobre reconocimiento y reporte
Canales y escenarios
Cómo se presenta el engaño y qué comprobamos
Los ejemplos ayudan a elegir un alcance. Cada canal y pretexto se incluye solo con autorización y reglas acordadas.
Correo electrónico
Phishing
Un proveedor pide revisar una factura o cambiar la cuenta de cobro desde un mensaje que aparenta ser legítimo.
Qué observamos: Si se verifica el remitente y la solicitud, se evita la acción y se reporta por el canal previsto.
Llamada de voz
Vishing
Una persona se presenta como soporte o directivo y solicita restablecer un acceso o compartir información.
Qué observamos: Si se confirma su identidad por un número conocido antes de continuar y se registra el intento.
SMS
Smishing
Un mensaje de texto anuncia una entrega o un bloqueo urgente e invita a abrir un enlace controlado.
Qué observamos: Si el equipo evita actuar desde el enlace y verifica la solicitud por el canal oficial.
Otros canales digitales
Mensajería y códigos QR
Un mensaje de chat o un código QR conduce a una página de simulación que aparenta ser un trámite interno.
Qué observamos: Si se revisa el contexto y el destino, se detiene la acción y se reporta.
Fraude de pagos y accesos
Suplantación dirigida
Un supuesto gerente o proveedor pide alterar una cuenta bancaria o aprobar una excepción de acceso.
Qué observamos: Si funcionan la doble validación, la separación de funciones y el contacto independiente.
Medidas que sí ayudan a decidir
- Tasa de reporte: reportes válidos divididos entre destinatarios alcanzados, con el periodo definido.
- Verificación independiente: solicitudes confirmadas mediante un contacto ya conocido, no el proporcionado en el mensaje.
- Interacciones observadas: respuesta, clic o avance en una página controlada, distinguiendo eventos automáticos de acciones humanas cuando sea posible.
- Tiempo de reporte y capacidad del equipo receptor para orientar la respuesta, si el canal ofrece marcas de tiempo fiables.
- Tendencia entre campañas comparables; una muestra pequeña o un único ejercicio no permite generalizar a toda la empresa.
Límites de una campaña responsable
- Autorización escrita, responsables, calendario, segmentos, canales y reglas de detención antes de ejecutar.
- Sin malware, pagos reales, extracción de información ni almacenamiento de contraseñas o códigos válidos.
- Recolección mínima de datos y resultados agregados; cualquier detalle individual requiere finalidad, acceso y conservación acordados.
- Coordinación con TI y el equipo de respuesta para no confundir una simulación con un incidente real.
Terminología y buenas prácticas: CISA: reconocer y reportar phishing (se abre en una ventana nueva) · NIST SP 800-115: planificación de pruebas (se abre en una ventana nueva).
Metodología
Cómo trabajamos
La ingeniería social aprovecha la confianza, la urgencia o la autoridad aparente. Evaluamos tanto la conducta como los controles de la organización: verificar por un contacto conocido, detener una solicitud inusual y reportarla. La propuesta define canales, muestra, número de campañas, datos tratados y entregables; una simulación aislada no prueba la conducta futura de toda la empresa.
- Paso 1
Acordar reglas
Definimos objetivo, participantes, autorizaciones, canales, exclusiones, tratamiento de datos y contactos de emergencia.
- Paso 2
Diseñar escenarios
Usamos procesos reales y exposición pública pertinente para preparar pretextos proporcionados, sin prometer que todos los canales se incluirán.
- Paso 3
Simular y observar
Ejecutamos ejercicios trazables con páginas y mensajes controlados. No instalamos malware ni almacenamos contraseñas reales.
- Paso 4
Mejorar y medir
Presentamos tendencias agregadas, barreras que funcionaron, fallos del proceso y acciones de formación o verificación.
Riesgo humano medible
Simulaciones para mejorar controles y hábitos de reporte
Phishing, spear phishing, vishing, smishing y suplantación de proveedores requieren controles distintos. Las simulaciones permiten medir qué escenarios funcionan contra la organización antes de que los utilice un atacante real.
Escenarios construidos con contexto real
La fase OSINT identifica estructuras, roles, proveedores, tecnologías y procesos públicos que pueden dar credibilidad a un engaño. Con esa información diseñamos campañas autorizadas y ajustadas a la operación del cliente.
Medición ética, agregada y no punitiva
Las campañas no almacenan contraseñas válidas y los resultados se presentan por escenarios y áreas. El objetivo es corregir procesos, canales de reporte y controles técnicos, no señalar a una persona por cometer un error.
Entrenamiento basado en los hallazgos
Los resultados alimentan un plan de refuerzo mediante HumanShield e Insylux Academy. Así, la formación responde a los pretextos y canales que sí consiguieron interacción.
Sectores
Dónde aplicamos este servicio
Adaptamos el alcance y las prioridades al contexto regulatorio y operativo de cada sector.
Banca y fintech
Entornos regulados con datos financieros y alta exposición al fraude.
Salud
Historias clínicas, dispositivos conectados y continuidad asistencial.
Industria y energía
Convergencia IT/OT y protección de infraestructuras críticas.
Retail y ecommerce
Pagos, datos de clientes y disponibilidad en campañas de alta demanda.
Sector público
Cumplimiento normativo, transparencia y protección del dato ciudadano.
Tecnología y SaaS
Ciclo de desarrollo seguro, APIs y confianza de clientes empresariales.
Para quién
Organizaciones que suelen contratarlo
- Equipos de compras, finanzas y tesorería que reciben cambios de cuenta o solicitudes de pago
- Mesa de ayuda y administradores que atienden restablecimientos de acceso
- Dirección y asistentes expuestos a suplantación de identidad
- Organizaciones que quieren comprobar si sus equipos reconocen y reportan intentos de engaño
Antes de la propuesta
Definamos una simulación pertinente
- Perfiles y procesos prioritarios: pagos, proveedores, acceso, soporte o dirección
- Canales y ubicaciones autorizados, avisos internos, exclusiones y tratamiento de datos
- Número de escenarios y campañas, métricas de reporte y refuerzo posterior
Comparta un contexto general en el formulario de contacto. Los accesos, credenciales y evidencias sensibles se coordinan posteriormente por un canal acordado.
Dudas frecuentes
Preguntas frecuentes
- ¿Qué diferencia hay entre phishing, vishing y smishing?
- Phishing suele referirse al engaño por correo electrónico; vishing utiliza una llamada de voz y smishing llega por SMS. También pueden usarse mensajería o códigos QR. La intención puede ser obtener información, inducir un pago o dirigir a una página falsa. Elegimos solo los canales autorizados para la campaña.
- ¿Pueden simular un cambio de cuenta bancaria o una petición del director?
- Sí, como escenario controlado y aprobado. Se comprueba si el personal confirma la solicitud mediante un número o contacto conocido, sigue el proceso de doble validación y reporta el intento. No se efectúan pagos reales.
- ¿Se informa a los empleados antes de la campaña?
- La dirección define el nivel de aviso y la comunicación del programa. Puede avisarse de la existencia de simulaciones sin revelar el momento o el pretexto; los límites y el tratamiento de datos quedan acordados antes de ejecutar.
- ¿Se recogen contraseñas, códigos de verificación o datos bancarios reales?
- No se almacenan credenciales válidas ni códigos de un solo uso. Las páginas de simulación registran el evento previsto sin solicitar secretos reales. Los datos y el plazo de conservación se definen en las reglas de la campaña.
- ¿Qué métricas recibiré?
- Según el canal y el alcance: destinatarios alcanzados, entrega confirmada cuando sea medible, interacciones, reporte y verificación por un canal independiente. Indicamos denominadores y limitaciones: por ejemplo, una apertura de correo puede ser poco fiable por filtros automáticos. No tratamos un clic aislado como medida completa del riesgo.
- ¿En qué se diferencia de HumanShield o Insylux Academy?
- Este servicio diseña y ejecuta ejercicios concretos para evaluar escenarios y controles. HumanShield es un programa continuado de reducción del riesgo humano; Insylux Academy es la plataforma de formación. La continuidad, la formación y las licencias se cotizan según la propuesta.
- ¿Incluye acceso físico o llamadas a cualquier empleado?
- No automáticamente. Las personas, ubicaciones, horarios y canales permitidos se pactan previamente. Las pruebas presenciales requieren autorización específica y reglas de seguridad; se detienen si aparece un riesgo no previsto.
Guía práctica
Simulaciones de phishing y controles de pago
Consulte criterios y ejemplos para preparar las decisiones de su empresa antes de definir el alcance del servicio.
Continuar
Servicios relacionados
HumanShield
Formación y simulaciones para que sus equipos reconozcan intentos de engaño, los reporten y mejoren con seguimiento.
Ver servicioEthical Hacking
Evalúe aplicaciones, APIs, redes, cloud e identidades mediante pentesting autorizado en caja negra, gris o blanca, con evidencia clara para decidir qué corregir primero.
Ver servicioCISO as a Service
Dirección de ciberseguridad para convertir riesgos en decisiones, responsables, métricas y una hoja de ruta que conecte a la gerencia con TI, cumplimiento y proveedores.
Ver servicio
Ingeniería Social
Conversemos sobre su alcance
Nuestros equipos en Colombia y España revisarán el contexto de su empresa para acordar objetivos, entregables y condiciones del servicio.
