Ingeniería social y simulación de phishing
Las personas son el objetivo más atacado, y la mayoría de las brechas empiezan cuando alguien se deja convencer para hacer clic, devolver una llamada o entregar un código. Realizamos campañas autorizadas de phishing, spear-phishing, vishing y smishing para medir ese riesgo humano y comprobar si tu detección y tus canales de notificación funcionan de verdad. Es un ejercicio de aprendizaje, pensado para reforzar la resiliencia, no para pillar a nadie.
La superficie de ataque humana
La ingeniería social se dirige a las personas a través de los canales que los atacantes usan de verdad. Como haría un atacante real, nos apoyamos en OSINT para diseñar escenarios realistas y autorizados por correo, teléfono y SMS. Medimos tanto la facilidad con que se cae en el engaño como la solidez de tu proceso de detección y respuesta.
- Phishing: campañas de correo amplias y realistas que miden las tasas de clic y de envío
- Spear-phishing: señuelos dirigidos e informados por OSINT contra roles concretos
- Vishing: llamadas con pretexto de voz (p. ej., escenarios de help-desk y de restablecimiento de MFA)
- Smishing: pretextos por SMS y entrega de enlaces maliciosos
- Realismo del payload y de la página de aterrizaje (captura de credenciales, adjunto, prompt de MFA)
- Detección y notificación: ¿respondieron los controles y las personas?
Realista, autorizado, mapeado a ATT&CK
Cada campaña está explícitamente autorizada y se ejecuta dentro de unas reglas de actuación acordadas. Usamos OSINT para diseñar pretextos creíbles y asignamos las técnicas a las tácticas Initial Access y Reconnaissance de MITRE ATT&CK. El objetivo es aprender: informamos sobre patrones y procesos para mejorar la concienciación y la respuesta, nunca para señalar a personas concretas.
- 1
Alcance y autorización
Acordamos los objetivos, los canales, los grupos objetivo y las reglas de actuación, con autorización escrita explícita y un NDA.
- 2
OSINT y diseño de pretextos
Recopilamos inteligencia de fuentes abiertas y diseñamos escenarios creíbles y dentro del alcance para cada canal.
- 3
Ejecución de la campaña
Ejecutamos las campañas de phishing, vishing y smishing dentro de la ventana y las reglas acordadas.
- 4
Medición de la respuesta
Medimos la susceptibilidad y si la detección, el bloqueo y la notificación de los usuarios realmente se activaron.
- 5
Informe y concienciación
Entregamos resultados agregados y recomendaciones enmarcadas para la concienciación y la mejora de procesos.
Qué recibes
Una imagen clara y agregada del riesgo humano y de la respuesta, con los datos y las recomendaciones para mejorar la formación y la detección. Todo se presenta para reforzar la resiliencia, no para buscar culpables.
- Resumen ejecutivo del riesgo humano y la postura de respuesta
- Métricas agregadas de la campaña: tasas de clic, de envío y de notificación por canal
- Resultados de detección y notificación: ¿respondieron los controles y las personas?
- Técnicas mapeadas a MITRE ATT&CK (Initial Access, Reconnaissance)
- Recomendaciones priorizadas para la formación en concienciación y los controles
- Informe agregado y no punitivo (sin culpas individuales)
Fundamentado en MITRE ATT&CK y pruebas autorizadas
Las campañas se alinean con MITRE ATT&CK (tácticas Initial Access y Reconnaissance) y solo se ejecutan con autorización escrita explícita y unas reglas de actuación acordadas. La ingeniería social es un ejercicio de aprendizaje: los resultados se comunican de forma agregada para mejorar la concienciación, los controles y la respuesta, nunca para señalar a personas concretas. Los escenarios se diseñan con OSINT para que sean realistas sin salirse del alcance acordado.
Pon a prueba tu superficie de ataque humana.
Cuéntanos qué equipos y canales entran en el alcance y qué quieres averiguar. Diseñaremos campañas realistas y autorizadas, las ejecutaremos dentro de las reglas acordadas e informaremos de forma que se refuerce la resiliencia, bajo NDA. La primera consulta es gratuita.