El phishing simulado o una prueba de phishing es un método mediante el cual una organización envía correos electrónicos engañosos, similares a correos electrónicos maliciosos, a su propio personal para evaluar su respuesta al phishing y otros ataques de correo electrónico similares. Los correos electrónicos en sí mismos suelen ser una forma de capacitación, pero dichas pruebas normalmente se realizan junto con una capacitación previa y, a menudo, se complementan con más elementos de capacitación. Este es especialmente el caso de aquellos que "fallan" al abrir archivos adjuntos de correo electrónico, hacer clic en enlaces web incluidos o ingresar credenciales.
En el campo de la seguridad informática existe una amplia aceptación de que las medidas técnicas por sí solas no pueden detener todos los ataques maliciosos por correo electrónico, y que es necesaria una buena formación del personal. [ cita requerida ] [1] La simulación de phishing permite la medición directa del cumplimiento del personal y, cuando se realiza con regularidad, puede medir el progreso en el comportamiento del usuario. Varias agencias oficiales recomiendan la simulación de phishing y suelen proporcionar directrices para diseñar dichas políticas. [2] Las simulaciones de phishing a veces se comparan con los simulacros de incendio, ya que permiten al personal practicar regularmente el comportamiento correcto. [3]
Estas campañas deben estar autorizadas a un nivel apropiado [4] y llevarse a cabo de manera profesional. [5] Si una técnica de este tipo se utiliza sin cuidado, puede infringir las leyes, generar demandas judiciales y antagonizar o traumatizar al personal.
Sin embargo, si se informa a los empleados de un cambio en la política, de modo que "la empresa se reserva el derecho de enviar correos electrónicos engañosos de 'phishing simulado' al personal de vez en cuando para evaluar la conciencia y el cumplimiento de la normativa de seguridad del personal", y se ha impartido formación y orientación con antelación, no deberían producirse esos problemas. Algunas organizaciones pueden optar por exigir a los usuarios que den su consentimiento optando por participar [6], y otras pueden permitir al personal la opción de optar por no participar [7] .
El consejo estándar es que no se avergüence de ninguna manera al personal que “falla”, pero es apropiado y razonable brindar capacitación de seguimiento de apoyo. [8] [9] [10]
Algunas técnicas que podrían resultar eficaces y que los actores maliciosos utilizan normalmente se evitan en el phishing simulado por razones éticas o legales. Entre ellas se incluyen los correos electrónicos con contenido que pueda causar problemas al destinatario o el uso de marcas comerciales de terceros, [5] [8] aunque a veces también se argumenta que esto está contemplado en el uso legítimo . [11]
Estas pruebas pueden realizarse de varias maneras.
Debido a que las organizaciones generalmente tienen un conjunto de defensas de varias capas implementadas para prevenir el phishing malicioso real, las simulaciones a menudo requieren que se implementen algunas listas blancas en las puertas de enlace de correo electrónico, software antivirus y servidores proxy web para permitir que el correo electrónico llegue a los escritorios y dispositivos de los usuarios y se tomen medidas al respecto.
La mayoría de los consejos indican que se deben realizar pruebas varias veces al año para brindarle al personal práctica para responder correctamente y para proporcionar retroalimentación a la gerencia sobre el progreso del personal en la identificación y denuncia de correos electrónicos potencialmente peligrosos.