Cómo elegir un simulador de phishing: la checklist antes de firmar

Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización: noviembre de 2026

La mayoría de los simuladores de phishing hacen lo mismo en la demostración: envían un correo falso y cuentan quién hace clic. Las diferencias aparecen a los tres meses, cuando entran empleados nuevos, alguien no termina la formación o hay que justificar el programa ante un auditor. Esta checklist recoge lo que conviene comprobar antes de firmar, y es casi literalmente la lista de requisitos que nos plantean los responsables de IT.

Empieza por el objetivo

Antes de comparar funciones, decide para qué quieres la herramienta. Si el objetivo es que toda la plantilla aprenda a reconocer el phishing y no caiga, lo que importa es la continuidad: campañas frecuentes, formación inmediata para quien falla y que nadie se quede fuera. Si el objetivo es medir hasta dónde llega un ataque dirigido contra dirección o finanzas, eso no es un simulador: es un ejercicio de ingeniería social por proyecto.

Tener el objetivo claro evita pagar por segmentaciones complejas o paneles que nadie va a usar.

La checklist

Criterio	Qué preguntar	Por qué importa
Integración con Office 365 / Entra ID	¿Los usuarios se cargan solos desde el directorio?	Mantener la lista a mano no escala
Nuevas altas	¿Quien recibe un correo corporativo entra solo en el programa?	Con rotación alta es el punto crítico
Escenarios	¿Están en español y se parecen al phishing que recibe tu empresa?	Plantillas genéricas en inglés enseñan poco
Quien hace clic	¿Ve al momento una explicación del engaño?	Es el momento de más aprendizaje
Formación	¿Se asigna sola a quien cae? ¿Son cursos breves?	Un curso de una hora no se termina
Seguimiento	¿Hay recordatorios a quien no completa la formación?	Sin seguimiento, queda pendiente para siempre
Informes	¿Muestran la evolución entre campañas, no solo la tasa de clic?	Lo importante es la tendencia
Entrega	¿Ayudan a configurar la lista blanca para que los correos lleguen?	Si van a cuarentena, la campaña no mide nada
Gestión	¿Quién diseña el calendario y revisa resultados?	Una herramienta sin dueño se abandona
Protección de datos	¿Firman contrato de encargado del tratamiento? ¿Cuánto tiempo guardan los datos?	El RGPD lo exige al tratar datos de empleados
Ubicación de los datos	¿Se alojan en la UE? ¿Pasan por plataformas de otros fabricantes?	Sacar datos de la UE es una transferencia internacional y exige garantías adicionales
Salida	¿Qué historial te llevas si terminas el contrato?	Evita quedarte sin nada al cambiar

Señales de alerta

Altas manuales: si cada incorporación hay que añadirla a mano, en seis meses habrá empleados que nunca recibieron una campaña.
Solo tasa de clic: un informe que no muestra la evolución ni quién completó la formación no sirve para demostrar nada.
Plantillas solo en inglés o con marcas que tu plantilla no usa.
Herramienta atada a otro servicio: si va dentro de un contrato más amplio, al terminarlo te quedas sin herramienta y sin histórico. Es más habitual de lo que parece.
Formación larga y genérica: un vídeo de 45 minutos para quien hizo un clic acaba sin verse.

Lo que no siempre hace falta

Muchas plataformas venden segmentación por departamentos, perfiles de riesgo o campañas distintas por grupo. Si tu objetivo es que toda la plantilla sepa identificar el phishing, una campaña común con dificultad creciente suele bastar, y simplifica la gestión. Paga por segmentación cuando haya un motivo concreto, por ejemplo un departamento de finanzas que recibe ataques muy distintos al resto.

Pide una prueba antes de decidir

Una campaña piloto con un grupo reducido responde en pocas semanas a casi todas las preguntas de la checklist: si los correos llegan a la bandeja, si la página educativa se entiende, si la formación se completa y si el informe sirve. Es mejor descubrir los problemas en un piloto que con toda la plantilla.

FAQ

¿Es mejor una herramienta de autoservicio o un servicio gestionado?

Depende de quién vaya a llevarlo. Si tu equipo de IT tiene tiempo todos los meses para diseñar campañas y perseguir la formación, el autoservicio funciona. Si no, un servicio gestionado evita que la herramienta acabe sin usarse.

¿Hace falta segmentar por departamentos?

No necesariamente. Para que la plantilla aprenda a reconocer el phishing basta con campañas comunes y dificultad creciente. La segmentación tiene sentido cuando un grupo recibe ataques muy distintos al resto.

¿Qué datos de los empleados trata un simulador?

Como mínimo, el nombre y el correo de cada usuario y lo que hizo en cada campaña. Por eso el proveedor debe firmar un contrato de encargado del tratamiento, como exige el artículo 28 del RGPD, y los resultados deben usarse para formar, no para sancionar.

¿Importa que el proveedor sea español?

Lo que más importa es dónde están los datos y con qué contrato: si se quedan en la UE, con un contrato de encargado del tratamiento, no hay transferencias internacionales que justificar. Un proveedor español añade soporte en español, contratos bajo ley española y escenarios que imitan el phishing que de verdad llega a las empresas de aquí.

¿Es legal hacer simulaciones de phishing a la plantilla?

Sí, con condiciones: finalidad formativa, información previa de que existe el programa y un tratamiento de datos proporcionado. Lo explicamos en detalle en la guía sobre la legalidad de simular phishing a empleados.