Simulación de phishing para bancos y fintech en Honduras, El Salvador, Guatemala y Costa Rica

Los reguladores piden capacitación y, cada vez más, medición. La Circular CNBS 025/2022 (Art. 23) pide en Honduras un programa de capacitación y concientización para colaboradores y para el Órgano de Administración. En El Salvador, la NRP-23 lo pide al menos una vez al año y la NRP-32 (Art. 8) pide capacitación constante sobre phishing, con énfasis en quien atiende al cliente. La JM-98-2025 de Guatemala (Art. 23) pide un programa continuo con registro. El CONASSIF 5-24 de Costa Rica (Art. 35) pide planes anuales con indicadores de medición.

Una lista de asistencia muestra que alguien vio un curso. Una tasa de reporte medida antes y después muestra si el curso cambió algo. Esa segunda cifra es la que un comité de riesgos o un supervisor entiende sin explicación.

Hay compradores que ya lo piden por nombre. En 2024, el Banco Central de Honduras respondió en las aclaraciones de un concurso público que las pruebas de ingeniería social debían incluir phishing y vishing.

El alcance se fija en una llamada y queda por escrito antes de enviar el primer correo. Estos son los puntos que acordamos:

El precio se fija después de esa llamada, porque depende del número de personas, de los canales y de cuántas rondas quiera medir. No publicamos una tarifa porque una campaña para 80 personas por correo y otra para 1,500 con llamadas no se parecen.

• Población: toda la institución o áreas concretas, como operaciones, tesorería, atención al cliente, alta gerencia o TI.
• Canales: correo siempre. SMS o llamadas solo si Recursos Humanos y legal lo aprueban por escrito.
• Número de rondas: una línea base sola, o línea base, capacitación y segunda medición.
• Señuelos: temas y nivel de dificultad aprobados por usted antes del envío.
• Ventana: fechas y horas de envío, con un contacto que puede detener la campaña.
• Lista de exclusiones: personas de licencia, casos sensibles y cualquier buzón que no deba recibir pruebas.

Una simulación mal hecha rompe la confianza que el programa necesita. Seguimos las condiciones que NIST SP 800-50r1 pone a los ejercicios de phishing y agregamos algunas propias:

Estas reglas no son negociables. Si una institución quiere usar la simulación para sancionar a empleados, no es el servicio que ofrecemos.

• Autorización escrita de la gerencia general o de quien tenga esa facultad, con el alcance firmado.
• Revisión y visto bueno de Recursos Humanos y del área legal antes del primer envío.
• Aviso general al personal de que la institución hace ejercicios de phishing en fechas al azar y de que los resultados guían la capacitación.
• La página de destino registra solo el evento: que alguien hizo clic o que intentó enviar el formulario. Lo que la persona escribe no se transmite ni se guarda.
• No suplantamos marcas reales, entidades de gobierno ni a la propia autoridad supervisora sin revisión legal expresa.
• No usamos temas que causen angustia real: despidos, salud, salarios, familia.
• Los resultados se entregan por área. Los datos por persona, si legal los autoriza, van solo al responsable del programa y se borran al cerrar el servicio.
• Nadie es señalado ni sancionado por su respuesta.

Primero acordamos el alcance y las aprobaciones. Después preparamos los señuelos y los dominios de envío, y coordinamos con su área de TI las reglas del filtro de correo para que la prueba llegue sin desactivar ninguna protección para el resto del tráfico. Antes de enviar a toda la población, hacemos un envío de control a un grupo pequeño que usted elige.

Los señuelos se basan en los tipos de engaño que la guía de CISA describe y que se ven en la región: un aviso de cambio de contraseña, una orden de pago urgente del supuesto jefe, un comprobante adjunto, un cambio de cuenta de un proveedor. Clasificamos la dificultad de cada uno con la NIST Phish Scale, para que el informe compare campañas de dificultad similar.

Los envíos se reparten en varios días y horas. Medimos quién abrió el enlace, quién intentó enviar el formulario, quién reportó el correo por el canal oficial y cuánto tardó el primer reporte. Al terminar, todos los que hicieron clic ven una página corta que explica la prueba y qué señales debieron notar.

Lo que recibe al final está pensado para dos lectores: el comité que decide y el supervisor que revisa el programa. La institución presenta la evidencia. Toukan documenta lo que se midió.

• Plan de campaña firmado, con alcance, aprobaciones y señuelos usados.
• Informe ejecutivo de una página con la tasa de clics, la tasa de reporte y el tiempo al primer reporte, por área.
• Informe técnico con la dificultad de cada señuelo, la cronología de envíos y la revisión de controles de correo: DMARC, SPF, DKIM, botón de reporte y MFA.
• Comparación entre línea base y segunda medición, si contrató dos rondas.
• Una sesión corta de concientización para el personal, presencial o en línea, con los ejemplos de la campaña.
• Recomendaciones priorizadas para la capacitación del año siguiente.

Una campaña de una sola ronda, por correo, para una población definida, toma unas 2 semanas desde la aprobación hasta el informe. Con dos rondas, capacitación en medio y llamadas o SMS, el servicio se extiende hasta 6 semanas. El calendario exacto sale de la llamada de alcance y de los tiempos de aprobación de Recursos Humanos y legal, que suelen ser lo que más tarda.

La primera semana es de alcance, aprobaciones y preparación técnica. La campaña corre entre una y dos semanas. El informe llega en la semana siguiente al cierre de la última ronda.

Antes de firmar con cualquier proveedor, conviene tener resuelto lo siguiente:

• Quién autoriza la simulación por escrito.
• Si Recursos Humanos y legal ya revisaron el concepto.
• Si el personal sabe que la institución hace ejercicios de phishing.
• Qué áreas entran y cuáles quedan fuera.
• Si se miden solo correos o también llamadas y SMS.
• Qué canal de reporte deben usar los empleados y quién lo atiende.
• Qué datos por persona, si alguno, se pueden conservar y por cuánto tiempo.
• Cómo se presentarán los resultados al comité y en qué formato los pide su norma.
• Si el proveedor confirma por escrito que no guarda contraseñas.