PhishGun: simulación de phishing y concienciación para tu plantilla

Sí, y es el punto que más campañas retrasa. El art. 87.3 de la LOPDGDD obliga a que los representantes de los trabajadores participen en la elaboración de los criterios de utilización de los dispositivos digitales, y el Tribunal Supremo, en sentencia de 6 de febrero de 2024, declaró que ese mandato tiene carácter imperativo y que esa participación es indispensable también cuando los criterios se modifican. A ello se suma el informe previo del comité del art. 64.5.f) del Estatuto de los Trabajadores sobre la implantación y revisión de sistemas de organización y control del trabajo. El trámite corresponde al empleador; nosotros aportamos la descripción técnica del dispositivo y un modelo de aviso interno. Si en tu empresa no hay representación legal, se documenta esa circunstancia y se refuerzan la información previa y la política de uso.

Que te quedas con una medición que no puedes usar. Una simulación ejecutada sin participación de la representación de los trabajadores produce evidencia discutible: no sostiene ninguna medida disciplinaria, se impugna con facilidad y, delante de quien te audita, es un registro cuya licitud tendrás que defender en lugar de un registro que te defiende. El trámite cuesta unas semanas; rehacer la campaña cuesta la campaña entera. Lo desarrollamos en simulación de phishing y derechos de los trabajadores.

No. Lo que se anuncia es que este tipo de ejercicios puede realizarse y con qué finalidad, no la fecha, ni el remitente, ni el escenario. La simulación no puede ser una sorpresa para la organización, solo para la persona en el momento en que le llega el mensaje. Y hay un efecto secundario que compensa de sobra: una plantilla que sabe que la campaña existe y que nadie va a ser sancionado avisa antes, que es justo la cifra que quieres ver subir.

No, y conviene que esa frase esté por escrito en el aviso interno. Los resultados que se entregan van agregados por área, con un tamaño mínimo de grupo: sin nombres, sin clasificaciones y sin remisión individual a los mandos. Además, el régimen disciplinario del art. 58 del Estatuto de los Trabajadores exige incumplimientos laborales graduados en las disposiciones legales o en el convenio colectivo aplicable, y un ejercicio de concienciación no lo es. Hay también una razón operativa: un dispositivo que castiga enseña a la gente a callarse, y entonces pierdes la señal que más vale.

Sí, con condiciones. El tratamiento se apoya en el interés legítimo del responsable, art. 6.1.f), por la seguridad del sistema de información, con su análisis de ponderación documentado. Tiene que figurar en el registro de actividades de tratamiento del art. 30, la plantilla debe haber sido informada previamente de la existencia del dispositivo conforme al art. 13, y los datos recogidos han de limitarse a lo necesario por el art. 5.1.c), con un plazo de conservación fijado en el contrato por el art. 5.1.e). Nosotros intervenimos como encargado del tratamiento en el sentido del art. 28 y firmamos el contrato antes del primer envío.

En la Unión Europea. Haxoris es una empresa establecida en la Unión Europea, con oficinas en Bratislava y Praga; el equipo interviene desde la Unión Europea y los datos de campaña se tratan, se almacenan y se respaldan allí, de modo que no hay transferencia internacional del capítulo V del RGPD que justificar ni cláusulas contractuales tipo que negociar. La relación de subencargados y sus países se te comunica antes de firmar. Los datos nominativos de clic se conservan mientras hacen falta para abrir la lección y leer la campaña, y se borran en el plazo pactado, por defecto al cerrar la campaña de control; lo que queda después son las cifras agregadas por área, que ya no identifican a nadie.

Son dos líneas distintas y el presupuesto las separa siempre. La suscripción a PhishGun se factura por persona y año, y las modalidades y tarifas están publicadas en phishgun.com. Cuando la campaña la conduce nuestro equipo, el presupuesto se hace en jornadas y en euros sin IVA. Las horquillas de nuestros proyectos están publicadas en cuánto cuesta un pentest en España.

Para una primera campaña acotada, con escenario escrito a medida, informe y sesión de resultados, cuenta en general entre 2 y 5 jornadas; una campaña en caja negra, con reconocimiento en fuentes abiertas, se sitúa en la parte alta de la horquilla. En calendario, prevé entre dos y tres semanas desde la petición hasta el primer envío, que es lo que tardan la información previa y el trámite con la representación de los trabajadores.

Caja gris. Nos pasas la lista de destinatarios y el dominio emisor se añade a la lista de permitidos de tu pasarela: así aíslas el comportamiento humano del rendimiento de tu filtrado y obtienes una línea base limpia. Reserva la caja negra para una campaña anual más realista y la caja blanca para escenarios internos que nadie puede reconstruir desde fuera.

No existe una cifra de referencia que puedas usar tal cual: depende del escenario, del área, de la época del año, del filtrado y del enfoque contratado. La primera cifra solo vale como línea base. Lo que se pilota es la diferencia entre dos campañas comparables y, sobre todo, la subida de la tasa de aviso. Desconfía de quien te ofrezca una media del sector como objetivo.

Un ritmo trimestral le sirve a la mayoría de las organizaciones: lo bastante frecuente para mantener la atención, lo bastante espaciado para que la concienciación produzca efecto entre dos mediciones. Añade una campaña dirigida después de un cambio relevante: una cadena de pagos nueva, una integración de empresas o una oleada de ataques en tu sector.

Un test de ingeniería social es un proyecto: pretextos a medida, phishing junto a vishing y smishing, ejecutado por nuestro equipo dentro de un alcance acordado y terminado en un informe sobre hasta dónde llegó un atacante y por qué. PhishGun es una plataforma que llevas tú, de forma continua, para mover la línea base entre esos proyectos. El proyecto te dice qué funciona contra tu gente; la plataforma es cómo lo corriges y cómo demuestras que lo has corregido.

Sí. Una simulación está construida para medir una reacción, no para comprometer nada: no hay software malicioso ni carga activa, y las páginas de recogida no almacenan contraseñas, solo el hecho de que hubo una introducción de credenciales. Las campañas llevan salvaguardas y cadencia de envío limitada para no interrumpir la actividad ni saturar tu cadena de detección, y el alcance, la ventana y la lista de lo que se registra quedan acordados antes del primer mensaje.

No. Ninguna herramienta pone a una organización en conformidad, y conviene desconfiar de quien lo afirme. Lo que PhishGun produce es la evidencia de una obligación concreta dentro de cada uno de esos textos: que la concienciación ocurre, que llega a las personas adecuadas —dirección incluida— y que se repite. Es un control entre muchos, y resulta ser uno de los más difíciles de acreditar por otras vías. Haxoris no está acreditada por ENAC, no es entidad de certificación y no expide certificaciones de conformidad con el ENS ni certificados ISO 27001: emitimos un informe técnico que sirve de evidencia ante quien sí lo hace.