Menos empleados abrieron el enlace falso tras informarse o practicar
En un ministerio de Países Bajos, visitó el enlace de ensayo cerca de un tercio sin intervención. Informados o con práctica, entre 7 y 9 puntos menos.
Cómo elaboramos estas lecturas
La idea clave
Con información o con simulación hubo menos visitas a la página falsa y menos contraseñas completadas. Sumar las dos no mostró mejora en las visitas.
El estudio, en palabras claras
Un correo de prueba permite ver qué hacen los empleados cuando una invitación parece legítima pero lleva a una página fraudulenta. En un ministerio neerlandés, distintos equipos recibieron información sobre phishing, una simulación previa con devolución, ambas cosas o ninguna.
Después, todos recibieron el mismo correo de ensayo. Quienes habían recibido información o participado en la simulación visitaron menos la página falsa y completaron menos veces el campo de contraseña. La combinación también tuvo menos respuestas de riesgo.
La simulación sola quedó cerca del resultado de la combinación, así que sumar las dos intervenciones no mostró una mejora sobre practicar con el mensaje.
Qué encontraron
- Menos empleados visitaron la página falsa tras recibir información o participar en una simulación.
- También fue menor la proporción que completó el campo de contraseña del sitio de prueba.
- Combinar información y práctica no mostró menos visitas que la simulación sola.
Para pensar
Un correo que parece legítimo juega con el apuro. Si recibís uno con una invitación que no esperabas, ¿qué detalle te haría detenerte antes de abrir el enlace?
Cómo lo investigaron
Experimento de campo con 10.929 empleados de un solo ministerio de Países Bajos. Repartieron las 184 unidades de trabajo para recibir información, una simulación de phishing, ambas cosas o ninguna antes del mismo correo de ensayo. El resultado corresponde a ese señuelo y contexto, no a todas las campañas u organizaciones.
Qué no permite concluir
- Hubo difusión accidental de que el primer correo era falso dentro de una división, por lo que los autores presentan análisis con y sin ella. No pudieron comprobar si los empleados leyeron los correos y no registraron contraseñas reales; además, una sola organización y un tipo de phishing limitan la generalización.
- Que cualquier curso antiphishing funcione igual, que el efecto dure a largo plazo, que una estrategia sea óptima en otras organizaciones, o que la simulación mejore todas las dimensiones de seguridad.
El estudio original
Informing, simulating experience, or both: A field experiment on phishing risks
Fuente bajo CC BY 4.0. Adaptación y explicación en español de PaperFlow, con asistencia de IA. El texto se reorganizó para divulgación; no es el artículo íntegro ni implica aval de sus autores.
Una investigación no representa por sí sola el consenso de un área. Contenido educativo: no sustituye asesoramiento profesional. Informar un posible error.
