Simulaciones de phishing: mejor que la teoría

5 min. de lectura

El phishing causa daños millonarios a las empresas cada año. Según Bitkom, los daños totales por ciberataques a empresas alemanas en 2022 ascendieron a 203.000 millones de euros. En 2024, el 94% de las empresas fue víctima de al menos un ataque de phishing. Las formaciones tradicionales tienen escasa eficacia. Una alternativa es msecure, una filial del grupo synaforce, que simula escenarios reales de phishing durante la operación diaria.

SecurityToday

Lo más importante en resumen

• El 94 por ciento de las empresas fueron víctimas de ataques de phishing en 2024 (Keepnet Labs, 2025).
• Los correos de phishing generados por IA alcanzan una tasa de clics del 54 por ciento, frente al 12 por ciento de los enviados manualmente.
• En marzo de 2024, synaforce obtuvo la certificación BSI C5 para servicios en la nube, especialmente destinada a clientes de infraestructuras críticas.
• La Ley de Implementación de NIS2 es de cumplimiento obligatorio en Alemania desde el 6 de diciembre de 2025. La obligación de registro ante el BSI entró en vigor en enero de 2026.
• La asociación estratégica con TEHTRIS ofrece una plataforma XDR impulsada por IA, dirigida tanto a proveedores de servicios gestionados como a empresas.

¿Qué es Simulaciones de phishing?

Simulaciones de phishing es una prioridad concreta para las empresas en 2025, porque influye directamente en la capacidad de datacenter, la eficiencia energética y el cumplimiento. Este artículo utiliza el ejemplo de synaforce para mostrar qué requisitos, cifras y pasos operativos importan en la práctica.

Preguntas frecuentes

¿Qué es el phishing y por qué representa una amenaza tan grande?

El phishing es una técnica de ciberataque que consiste en engañar a las personas para que revelen información confidencial, como contraseñas o datos bancarios, haciéndose pasar por entidades legítimas. En 2024, el 94 por ciento de las empresas sufrieron este tipo de ataques, lo que subraya su prevalencia y peligrosidad. Con el avance de la inteligencia artificial, estas campañas se han vuelto aún más sofisticadas, aumentando significativamente su efectividad.

¿Qué significa la certificación BSI C5 y por qué es relevante para las organizaciones de infraestructuras críticas?

La certificación BSI C5 es un estándar emitido por la Agencia Federal Alemana de Seguridad en la Información. Este sello garantiza que los servicios en la nube cumplen con estrictos requisitos de seguridad, especialmente diseñados para proteger a las organizaciones que operan infraestructuras críticas, como hospitales, compañías energéticas o sistemas financieros. Obtener esta certificación refuerza la confianza de los clientes en la capacidad de una empresa para manejar datos sensibles de manera segura.

¿Qué implica la Ley de Implementación de NIS2 y cómo afecta a las empresas en Alemania?

La Ley de Implementación de NIS2 establece normas más rigurosas para la protección de infraestructuras críticas frente a ciberamenazas. Desde diciembre de 2025, todas las empresas incluidas en el ámbito de aplicación de esta ley deben cumplir con nuevas obligaciones, como la notificación de incidentes graves al BSI. Además, a partir de enero de 2026, existe la obligación de registrarse oficialmente ante la agencia, lo que permite un monitoreo más estrecho de las medidas de ciberseguridad implementadas.

¿Cómo puede una plataforma XDR impulsada por IA beneficiar a MSPs y empresas?

Una plataforma XDR (Extended Detection and Response) basada en inteligencia artificial integra múltiples capas de defensa, permitiendo detectar, analizar y responder automáticamente a amenazas avanzadas en tiempo real. Para los proveedores de servicios gestionados (MSPs), esto simplifica la gestión de la seguridad para sus clientes, mientras que las empresas pueden mejorar su postura de ciberseguridad sin necesidad de recursos humanos especializados en grandes cantidades. Esta solución ayuda a cerrar brechas de seguridad y a reducir el tiempo de respuesta ante incidentes.

¿Por qué sigue siendo peligroso el phishing?

La obtención fraudulenta de credenciales de acceso mediante correos electrónicos falsificados sigue siendo uno de los principales puntos de entrada para los hackers criminales en las empresas alemanas. Aproximadamente el 20 por ciento de todos los correos electrónicos enviados a nivel mundial contenía, en 2024, contenido de phishing o spam. Cada día se envían entre tres y cuatro mil millones de correos de phishing. En relación con las consecuencias típicas, como el robo de contraseñas y el ransomware, los daños totales causados por ciberataques a empresas alemanas ascendieron, según Bitkom, a 203 mil millones de euros en 2022.

De manera similar al spam, el phishing tiene como objetivo el fraude: correos electrónicos, mensajes, llamadas generadas por inteligencia artificial o sitios web aparentemente auténticos engañan a los destinatarios para que revelen información personal y bancaria.

Antiguamente, los correos de phishing se delataban por su redacción torpe o por errores en el asunto. Sin embargo, esto ya no ocurre desde la aparición de modelos de IA entrenables como ChatGPT. Según estudios recientes, los correos de phishing generados por IA alcanzan una tasa de clics del 54 por ciento, frente al 12 por ciento de los escritos manualmente. Además, reconocerlos por medio de URLs poco claras también se ha vuelto más complicado: ¿quién presta atención a un dominio .co, propio de Colombia, en lugar de .com, o detecta un «r n» en lugar de una «m» en «rnicrosoft.com»?

Precisamente esta capacidad de detección es lo que los empleados deben entrenar, subraya Götz Blechschmidt, director ejecutivo de la consultora de seguridad informática msecure, una filial del grupo synaforce.

«La situación de amenazas ya era enorme en 2024 y, según las previsiones, no mejorará en 2025. Nuestra resiliencia colectiva será clave para hacer frente a riesgos cada vez más complejos.»
Andreas Braidt, CEO de synaforce GmbH

SECURITY TODAY

Complementar eficazmente la formación tradicional

El objetivo de las formaciones en protección de datos, como las que ofrece msecure, es concienciar a los empleados para que actúen con cautela al manejar correos electrónicos. Los participantes aprenden qué aspectos deben vigilar y qué enlaces no deben clicar bajo ninguna circunstancia. Sin embargo, dada la avalancha de información que reciben los trabajadores en su día a día laboral, las medidas formativas convencionales solo tienen un efecto a corto plazo.

Por ello, msecure apuesta por la simulación de escenarios reales de phishing durante la operativa diaria. En lugar de recibir instrucción teórica, los empleados experimentan ataques verosímiles en su propio entorno de trabajo. Quien hace clic en un correo de phishing simulado recibe inmediatamente una explicación sobre cómo podría haber identificado la falsificación. Este entrenamiento práctico promete una concienciación más directa y duradera que los formatos de formación clásicos.

synaforce 2024: Nuevos estándares en la seguridad de la información

synaforce ha dado pasos decisivos en 2024 para reforzar su posición como proveedor de soluciones avanzadas de seguridad informática. Un hito central fue la certificación C5 otorgada por el BSI en marzo de 2024. Esto confirma que los servicios en la nube de synaforce cumplen con los más altos estándares de seguridad y son especialmente adecuados para clientes de KRITIS.

Además, synaforce se preparó específicamente para la implementación de la directiva NIS2. La base existente de certificaciones, incluida ISO/IEC 27001, ISAE 3402 y EN 50600, se fortaleció aún más con la certificación C5. Desde el 6 de diciembre de 2025, la ley de transposición de la NIS2 es vinculante en Alemania. Desde enero de 2026 existe una obligación de registro ante el BSI para las instituciones afectadas.

Tobias Lehner, CTO de la empresa synaforce. Fuente de la imagen: synaforce GmbH.

„Estamos orgullosos de lo que logramos en 2024. Sin embargo, la situación de amenazas muestra cuán importante es seguir desarrollando nuestra posición de forma constante. 2025 será otro año de progreso para nosotros, en el que intensificaremos aún más nuestro compromiso en el ámbito de la ciberseguridad», afirma Tobias Lehner, CTO de synaforce.

Alianza estratégica con TEHTRIS

Otro hito fue la alianza estratégica con TEHTRIS. Ambas empresas presentan conjuntamente la plataforma de seguridad TEHTRIS XDR AI, una solución de seguridad respaldada por inteligencia artificial. Esta supervisa todos los puntos finales, redes y servicios en la nube en tiempo real y gestiona todas las medidas de seguridad desde un único panel de control. Las empresas se benefician de una protección integral, seguridad de cumplimiento y la modularidad de la solución. Los proveedores de servicios gestionados pueden mejorar la eficiencia de sus medidas de seguridad y ampliar su cartera con detección y respuesta proactiva gestionada (MDR), sin necesidad de invertir en infraestructuras costosas.

Lo que les espera a las empresas en 2025 y 2026

La situación de seguridad informática plantea desafíos crecientes para las empresas. Los criminales cibernéticos recurren cada vez más a tecnologías de deepfake para evitar sistemas de reconocimiento de voz en procesos de verificación. Los ataques de identidad se convierten en la metodología preferida: en lugar de hackear sistemas, los atacantes simplemente se registran.

Además, las Advanced Persistent Threats (APTs) regresan con fuerza a la conciencia. Se caracterizan por su duración y precisión, permitiendo a los atacantes un acceso prolongado a información valiosa. Los objetivos son ahora empresas KRITIS, que están expuestas adicionalmente debido a la creciente superficie de ataque OT.

Andreas Braidt, CEO de la empresa synaforce GmbH. Fuente de la imagen: synaforce GmbH.

«La implementación de la directiva NIS2 juega un papel fundamental. synaforce apoya activamente a las empresas con asesoramiento integral, así como con la planificación e implementación de medidas específicas para minimizar los riesgos cibernéticos y establecer estrategias sostenibles de seguridad», afirma Andreas Braidt, CEO de synaforce.

Lectura recomendada

• Phishing generado con inteligencia artificial: por qué el 82 % de los correos de ataque ahora provienen de máquinas
• Ataques de identidad en 2026: por qué los ciberdelincuentes ya no forzan accesos, sino que se identifican como usuarios legítimos
• Seguridad de sistemas operativos (OT) en 2026: 119 grupos de ransomware atacan de forma selectiva instalaciones industriales

Más de la red de MBF Media

• → Auge del ciberseguridad: Por qué NIS2 convierte a la industria de la seguridad de Alemania en un motor de crecimiento (MyBusinessFuture)
• → Ciberseguridad 2024: synaforce echa una mirada atrás (cloudmagazin)

Fuente de la imagen de portada: Pixabay / AhmedAlMaslamani

Sobre el autor: Sonja

Más artículos de Sonja