Cómo hacer una simulación de phishing en tu empresa: paso a paso y con qué herramientas

Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización: noviembre de 2026

Una simulación de phishing consiste en enviar a la plantilla un correo falso e inofensivo, medir quién cae y aprovechar ese momento para enseñarle a reconocer el engaño. Se puede hacer con herramientas gratuitas o con un servicio gestionado, pero los pasos son los mismos y casi todos los fallos vienen de saltarse alguno. Esta guía explica cómo hacerla bien desde la primera campaña y qué te da cada herramienta.

Antes de empezar: qué quieres medir

Decide primero qué cuenta como éxito. Las métricas habituales son la tasa de clic, la tasa de quien llega a introducir datos y la tasa de quien reporta el correo. Lo importante no es el número de la primera campaña, sino cómo evoluciona: una primera tasa de clic alta solo dice que había trabajo por hacer.

Si es la primera vez, plantéala como punto de partida y no como examen: sirve para saber dónde estás y elegir los escenarios de las siguientes campañas.

Paso 1: aviso a la plantilla y protección de datos

Una simulación trata datos personales de los empleados (quién recibió el correo y qué hizo), así que necesita una finalidad clara de formación y un tratamiento proporcionado. Lo recomendable es informar a la plantilla de que existe un programa de simulaciones, sin decir cuándo llega cada campaña, y no usar los resultados para sancionar.

Si usas un proveedor externo, firma con él un contrato de encargado del tratamiento y comprueba dónde se alojan los datos. En la guía sobre la legalidad de simular phishing a empleados está el detalle de la base jurídica y del marco laboral.

Paso 2: elegir el escenario

El mejor escenario es el que se parece al phishing que tu empresa recibe de verdad: una factura de un proveedor, un aviso de IT sobre la contraseña, un paquete retenido o un documento compartido. Empieza con algo reconocible y sube la dificultad en las siguientes campañas.

Evita los pretextos que juegan con lo sensible para la plantilla, como subidas de sueldo, despidos o salud: generan rechazo y pueden dar problemas laborales, y no enseñan más que un escenario normal.

Paso 3: preparar la entrega

Si el correo acaba en cuarentena, la campaña no mide nada. Con Microsoft 365, los mensajes de una herramienta de simulación de terceros se configuran en la política de entrega avanzada de Microsoft Defender, que indica qué dominios e IP de envío son de simulación para que no se filtren. Con otros proveedores de correo hay un mecanismo equivalente de lista blanca.

Antes de lanzarla a toda la plantilla, envía la campaña a un grupo pequeño de prueba para comprobar que llega a la bandeja, que la página de destino carga y que los resultados se registran.

Paso 4: lanzar y medir bien

Escalona el envío en lugar de mandarlo a todos a la vez: si cien personas reciben el mismo correo en el mismo minuto, se avisan entre ellas y la medición pierde valor.

Al leer los resultados, cuidado con los clics automáticos: los filtros de correo y los antivirus abren enlaces para analizarlos y pueden aparecer como clics de usuarios que no hicieron nada. Las herramientas serias los distinguen; si la tuya no, revisa los clics que se producen segundos después de la entrega.

Paso 5: formar a quien cae

El momento de más aprendizaje es justo después del clic. Quien cae debería ver al instante una página que le explique qué señal tenía que haber detectado, y recibir después un curso breve, de pocos minutos. Si no lo completa, un recordatorio. Un vídeo de una hora o un correo de reproche no enseñan nada.

Y repite: una campaña aislada mide, pero no cambia hábitos. Lo habitual es una campaña al mes o cada dos meses.

Con qué herramienta: gratuitas o gestionadas

Herramienta	Coste	Qué te da	Qué tienes que poner tú
GoPhish	Gratuita, de código abierto (licencia MIT)	Envío de campañas, páginas de destino y resultados	Servidor, dominio, plantillas, formación y seguimiento
Kit de concienciación de INCIBE	Material del organismo público	Ataques dirigidos simulados, pósteres y recursos formativos	Lanzar las campañas y medir por tu cuenta
Attack Simulation Training de Microsoft	Incluido en Microsoft 365 E5 o Defender for Office 365 Plan 2	Simulaciones, formación asignada e informes dentro de Microsoft 365	La licencia y alguien que gestione el programa
Simulador gestionado de QuantumSec	En torno a 15 € por usuario y año, orientativo	Campañas automáticas, altas desde Office 365, microcursos, recordatorios e informes	Nada: lo gestiona nuestro equipo

Las herramientas gratuitas sirven para una primera campaña o para un equipo de IT con tiempo. Lo que no traen es lo que más trabajo da después: incluir a las nuevas altas, asignar la formación y perseguir a quien no la termina.

Errores habituales

No avisar de que existe el programa, y descubrirlo la plantilla con la primera campaña.
Usar los resultados para señalar o sancionar: la gente deja de reportar y se esconde.
Olvidarse de la entrega y medir un correo que nadie recibió.
Contar como clics los de los filtros automáticos.
Hacer una campaña al año y esperar que cambie algo.
Dejar fuera a las nuevas incorporaciones, que son las más fáciles de engañar.

FAQ

¿Hay simuladores de phishing gratis?

Sí. GoPhish es una herramienta de código abierto con licencia MIT, e INCIBE publica un kit de concienciación con ataques dirigidos simulados. Microsoft ofrece una prueba de 90 días de su simulador. Lo que no incluyen es la gestión: el servidor, las plantillas, la formación de quien cae y el seguimiento corren de tu cuenta.

¿Sirve el test de phishing de Google?

El test de phishing de Jigsaw, de Google, es un cuestionario individual para aprender a distinguir correos falsos. Es útil como ejercicio, pero no es una simulación: no llega al buzón real de cada empleado ni mide cómo reacciona la plantilla.

¿Cada cuánto hay que repetir la simulación?

Lo habitual es una campaña al mes o cada dos meses, con dificultad creciente. Una campaña al año mide el punto de partida, pero el hábito se pierde entre una y otra.

¿Qué hago con los empleados que caen?

Formarlos, no sancionarlos: una página que les explique el engaño en ese momento, un curso breve y un recordatorio si no lo completan. Si alguien introdujo credenciales reales en un phishing de verdad, eso ya es un incidente, y la respuesta es otra.

¿Puedo hacer la simulación con Office 365?

Sí. Con Microsoft 365 E5 o Defender for Office 365 Plan 2 tienes el simulador de Microsoft. Si usas otra herramienta, configura la política de entrega avanzada de Defender para que sus correos no se filtren.