Simulador de phishing para empresas: campañas automáticas y formación para quien cae
El phishing es el principal vector de acceso inicial en la UE: en torno al 60% de los casos observados por ENISA. Nuestra plataforma lanza campañas de phishing simulado durante todo el año, incorpora sola a cada nueva alta de tu Office 365 y asigna un curso breve a quien cae. La gestionamos nosotros, desde España y con los datos alojados en la UE: tú recibes los informes y ves cómo baja la tasa de clic.
Última actualización:
Dimensiona tu proyecto · Pedir propuesta del simulador
¿Prefieres hablarlo? Llámanos al +34 960 730 013
- Office 365 — Usuarios sincronizados y nuevas altas incluidas solas
- Datos en la UE — Plataforma propia de empresa española, con contrato RGPD
- Microcursos — Formación breve para quien cae, con recordatorios
- ~15 € — Por usuario y año, orientativo
Resumen para dirección
- Qué riesgo de negocio cubre: Que un empleado entregue su contraseña o abra un adjunto y por ahí entre un ransomware o un fraude de facturas: el phishing es la puerta de entrada más habitual y la tecnología no lo para todo.
- Qué podrás demostrar, y a quién: A dirección, al auditor de ISO 27001 o del ENS y a tu aseguradora: quién ha recibido campañas, quién ha completado la formación y cómo evoluciona la tasa de clic campaña a campaña.
- Plazo e inversión: Arranca en cuanto conectamos tu Office 365 y acordamos el calendario. Orientativo: unos 15 € por usuario y año, del orden de 7.500 € al año para 500 usuarios; cada caso se estudia antes de la propuesta.
Una charla al año no cambia hábitos; la práctica continua sí
La concienciación se olvida en semanas si no se practica. Una sesión anual deja buena intención y poco más, y en empresas con rotación alta las nuevas incorporaciones pasan meses sin haber visto nunca un phishing de prueba, justo cuando menos conocen los procesos internos y más fácil es engañarlas. A eso se suma un problema habitual: la herramienta de concienciación venía dentro de un servicio más amplio y, al terminar el contrato, la empresa se queda sin ella. Un simulador continuo resuelve las tres cosas: practica todo el año, incluye solo a quien entra nuevo y no depende de que alguien se acuerde de lanzar la siguiente campaña.
Y el coste de no hacerlo no es solo técnico. Si un phishing acaba en una brecha de datos personales, el RGPD obliga a notificarla a la AEPD en 72 horas, y la agencia valora qué medidas tenías: ya ha rechazado el «fallo humano aislado» como excusa. Las multas por falta de medidas de seguridad llegan hasta 10 millones de euros o el 2 % de la facturación mundial.
Qué incluye el simulador
- Integración con Office 365 y Entra ID: los usuarios se cargan solos y cada nueva alta con correo corporativo entra en el programa sin intervención
- Campañas de phishing por correo programadas durante todo el año, con escenarios realistas en español
- Página educativa al instante para quien hace clic: qué señal debía haber detectado
- Microcursos breves asignados automáticamente a quien cae en una simulación
- Seguimiento de la formación: quién la ha completado y recordatorios a quien no
- Informes por campaña: quién hace clic, quién introduce datos y cómo evoluciona la tasa de clic
- Gestión por nuestro equipo: calendario, escenarios, dificultad y revisión de resultados
- Empleados, colaboradores y asociados: cualquier usuario con correo corporativo
- Plataforma propia de una empresa española: datos alojados en la UE, sin pasar por plataformas de otros fabricantes, y devolución o borrado al terminar el contrato
Cómo funciona
- Conexión con Office 365: Conectamos la plataforma con tu Entra ID con los permisos que acordamos con IT, y configuramos la lista blanca para que los correos simulados lleguen a la bandeja de entrada.
- Calendario y escenarios: Fijamos contigo la frecuencia de campañas y los escenarios: facturas, avisos de IT, paquetería, RRHH. La dificultad sube a medida que la plantilla aprende.
- Campañas automáticas: Las campañas salen solas según el calendario. Cada nueva alta entra en el programa sin que nadie tenga que añadirla a mano.
- Formación para quien cae: Quien hace clic ve una página que le explica el engaño y recibe un microcurso. Si no lo completa, la plataforma le envía recordatorios.
- Informes y ajuste: Recibes los resultados de cada campaña y revisamos contigo la evolución para ajustar escenarios y dificultad.
Qué recibes
- Informe de cada campaña: tasa de clic, usuarios que introducen datos y evolución respecto a las anteriores
- Registro de formación por usuario: microcursos asignados, completados y pendientes
- Evidencia de concienciación continua para auditorías de ISO 27001 o del ENS y para la aseguradora
- Revisión periódica de resultados con nuestro equipo
- Recomendaciones técnicas sobre el correo: SPF, DKIM, DMARC y filtrado
¿Para quién es el simulador?
- Empresas con Office 365 que quieren concienciación continua sin tener que gestionarla
- Organizaciones con rotación alta, donde cada nueva incorporación debe entrar en el programa desde el primer día
- Empresas que se han quedado sin su herramienta de concienciación al terminar un contrato y buscan sustituta
- Organizaciones que preparan ISO 27001 o el ENS, que piden formación y concienciación con evidencia
- Empresas sin Microsoft 365 E5 ni Defender for Office 365 Plan 2, que no tienen el simulador de Microsoft
- Empresas que prefieren un proveedor español, con los datos de su plantilla en la UE y soporte en español
Programa continuo o ejercicio puntual
Son dos servicios distintos. El simulador entrena a toda la plantilla durante todo el año; el ejercicio de ingeniería social mide la resistencia de perfiles concretos frente a un ataque dirigido.
| Simulador de phishing | Ejercicio de ingeniería social | |
|---|---|---|
| Objetivo | Que toda la plantilla aprenda a reconocer el phishing | Medir hasta dónde llega un ataque dirigido |
| Frecuencia | Todo el año, automático | Puntual, por proyecto |
| Canales | Correo electrónico | Correo, teléfono, SMS y presencial |
| Quien cae | Microcurso asignado y recordatorios | Informe y sesión de resultados |
| Nuevas altas | Entran solas desde Office 365 | Fuera del alcance |
| Precio | Por usuario y año | Por proyecto |
Compara con
Preguntas frecuentes
¿Qué es un simulador de phishing?
Es una plataforma que envía a la plantilla correos de phishing falsos e inofensivos, mide quién cae y le enseña al momento a reconocer el engaño. En su versión gestionada, como la nuestra, las campañas salen solas durante todo el año, las nuevas altas entran automáticamente desde Office 365 y quien cae recibe un microcurso. Es la parte práctica de lo que el sector llama gestión del riesgo humano.
¿Cuánto cuesta el simulador de phishing?
Como referencia aproximada, en torno a 15 € por usuario y año, con campañas, microcursos, recordatorios e informes incluidos. Para unos 500 usuarios supone del orden de 7.500 € al año. Es una cifra orientativa: estudiamos cada caso (número de usuarios, frecuencia de campañas y necesidades de formación) y enviamos una propuesta cerrada.
¿Cómo se integra con Office 365?
Conectamos la plataforma con tu Office 365 (Entra ID) con los permisos que acordamos con tu equipo de IT. A partir de ahí la lista de usuarios se mantiene sola: cada nueva alta con correo corporativo entra en el programa sin que nadie tenga que añadirla a mano. También configuramos contigo la lista blanca para que los correos simulados lleguen a la bandeja de entrada y no a cuarentena.
¿Qué pasa cuando un empleado cae en la simulación?
Ve al momento una página que le explica qué señal debía haber detectado, y la plataforma le asigna un microcurso breve. Si no lo completa, recibe recordatorios. No se usa para sancionar ni se señala a nadie públicamente: el objetivo es que aprenda a reconocer el engaño la próxima vez.
¿Cómo entran en el programa las nuevas incorporaciones?
Solas. Como la plataforma está sincronizada con Office 365, quien recibe una cuenta de correo corporativo pasa a estar incluido en las campañas. En empresas con mucha rotación es lo más importante: los recién llegados son el blanco más fácil, porque aún no conocen los procesos internos ni quién suele escribirles.
¿Dónde se guardan los datos de mis empleados?
En la Unión Europea. La plataforma es nuestra, de una empresa española, y los datos de usuarios, campañas y formación no pasan por plataformas de otros fabricantes ni se usan para nada distinto del servicio. Firmamos con cada cliente el contrato de encargado del tratamiento que exige el artículo 28 del RGPD.
¿Qué pasa con los datos si terminamos el contrato?
Te los devolvemos o los borramos, como prefieras, y queda recogido en el contrato. Es un punto que conviene revisar con cualquier proveedor: muchas empresas pierden la herramienta y el histórico cuando termina el servicio más amplio en el que venía incluida.
¿Sirve para cumplir el RGPD, el ENS o la ISO 27001?
Ayuda a demostrarlo, que es lo que te van a pedir. El RGPD exige medidas técnicas y organizativas apropiadas (artículo 32), el ENS incluye la concienciación del personal como medida (mp.per.3) e ISO 27001 la recoge en su control A.6.3. El registro de campañas y de formación completada por usuario es la evidencia que piden el auditor, la AEPD tras una brecha o tu aseguradora.
¿Hay empresas españolas de simulación de phishing?
Sí. QuantumSec es una empresa española de ciberseguridad ofensiva, con sede en Valencia, que ofrece este simulador sobre plataforma propia, con los datos en la UE, soporte en español y gestión de las campañas por su equipo. Para ejercicios dirigidos (spear phishing, vishing o presencial) trabajamos por proyecto.
¿Necesito licencia E5 o Defender for Office 365 Plan 2?
No. El simulador de Microsoft (Attack Simulation Training) exige Microsoft 365 E5 o Defender for Office 365 Plan 2. Nuestra plataforma funciona con el Office 365 que ya tienes, sin licencias adicionales de Microsoft, e incluye la gestión de las campañas por nuestro equipo.
¿Los empleados sabrán que es una simulación?
No durante la campaña. El efecto de aprendizaje es mucho mayor cuando el empleado descubre, después de hacer clic, que era una prueba. Se hace con tacto: no se identifica públicamente a nadie ni se usa para sancionar, sino para formar. Lo recomendable es informar a la plantilla de que existe un programa de simulaciones, sin decir cuándo llega cada campaña.
¿Qué pasa con los datos de quién hizo clic?
Se tratan con estricta confidencialidad y solo para la finalidad de formación. Los informes pueden presentarse agregados, sin identificar a empleados concretos, y el registro individual se usa para asignar y seguir la formación de quien la necesita.
¿Con qué frecuencia se lanzan las campañas?
La fijamos contigo en el calendario. Lo habitual es una campaña al mes o cada dos meses, con dificultad creciente: espaciarlas más hace que el hábito se pierda entre una y otra.
¿Se puede combinar con simulaciones de vishing o spear phishing?
Sí. El simulador cubre el phishing por correo para toda la plantilla. Si además quieres poner a prueba a dirección, finanzas o RRHH con llamadas, SMS o correos personalizados, lo hacemos como un ejercicio de ingeniería social dirigido, por proyecto.
Recursos relacionados
- Precio de un simulador de phishing por usuario
- Cómo elegir un simulador de phishing: checklist
- Simulador de ataques de Microsoft 365: qué licencia exige
- Concienciación para nuevas incorporaciones y alta rotación
- Qué es el phishing as a service (PhaaS)
- Multas por phishing: qué exigen el RGPD, el ENS y la ISO 27001
- Cómo hacer una simulación de phishing paso a paso
- Métricas de una simulación de phishing: qué medir
- ¿Es legal simular phishing a tus empleados?
- Qué hacer si un empleado cae en un phishing
- Sesiones de concienciación en ciberseguridad para empleados
Fuentes
- ENISA Threat Landscape 2025 — fuente de que el phishing (incluidos vishing, malspam y malvertising) es el principal vector de acceso inicial, en torno al 60% de los casos observados
- NIST SP 800-50 Rev. 1, "Building a Cybersecurity and Privacy Learning Program" (2024) — el marco de la formación que se asigna tras cada simulación
- Microsoft Learn — Get started using Attack simulation training: requisitos de licencia (Microsoft 365 E5 o Defender for Office 365 Plan 2)
- Reglamento (UE) 2016/679, RGPD (BOE, copia oficial del DOUE) — artículos 28, 32, 33 y 83
- AEPD — PS/00493/2024: la Agencia no acepta el «fallo humano aislado» como excusa
¿Listo para proteger tu empresa?
Responde la ficha de alcance a tu ritmo y la usaremos para preparar tu propuesta. Si prefieres hablarlo antes, reserva una llamada gratuita de 30 minutos.