Simulador de phishing de Office 365 y Microsoft 365: qué licencia exige y qué alternativas tienes
Por Kike Gandia · Co-Fundador y CEO, OSCP · Última actualización:
Microsoft 365 trae su propio simulador de phishing, Attack Simulation Training, y muchas empresas descubren que no lo tienen justo cuando lo buscan. La razón es la licencia: no viene en todos los planes. Esta guía explica qué licencia exige según la documentación de Microsoft, qué incluye, qué ocurre con Business Premium y E3, y cuándo compensa usarlo o recurrir a un simulador gestionado.
La respuesta corta: E5 o Defender for Office 365 Plan 2
Según la documentación oficial de Microsoft, Attack Simulation Training requiere una licencia de Microsoft 365 E5 o de Microsoft Defender for Office 365 Plan 2. El Plan 2 viene incluido en suscripciones como E5 o se puede añadir como complemento a otras.
Eso deja fuera a la mayoría de las pymes y empresas medianas, que suelen trabajar con Microsoft 365 Business Premium o con E3. Business Premium incluye Defender for Office 365 Plan 1, no el Plan 2, y el simulador es una función del Plan 2.
Qué licencia tienes y qué simulador te da
| Licencia | ¿Incluye Attack Simulation Training? |
|---|---|
| Microsoft 365 E5 | Sí |
| Defender for Office 365 Plan 2 (complemento) | Sí |
| Microsoft 365 E3 | No |
| Microsoft 365 Business Premium (con Defender for Office 365 Plan 1) | No |
Desde el 1 de julio de 2026, E3 incluye Defender for Office 365 Plan 1, que tampoco trae el simulador: los clientes de E3 solo tienen una prueba limitada, con un tipo de ataque (robo de credenciales) y dos formaciones.
Microsoft ofrece además una prueba gratuita de 90 días de Defender for Office 365 Plan 2 desde el portal de Defender. Sirve para conocer la herramienta, pero no resuelve el programa de todo el año: al terminar la prueba vuelve la pregunta de la licencia.
Qué incluye el simulador de Microsoft
Para quien sí tiene la licencia, la herramienta es completa. Según su documentación permite:
- Simulaciones con varias técnicas: robo de credenciales, adjunto con malware, enlace dentro de un adjunto, enlace a malware, descarga al visitar una web y abuso del consentimiento OAuth. Los enlaces pueden ser URL o códigos QR.
- Automatizaciones que programan simulaciones de forma recurrente y combinan varias técnicas.
- Formación asignada según lo que haga el usuario ante el correo, con notificaciones y recordatorios.
- Informes de quién recibió la simulación, qué hizo cada uno y quién completó la formación.
- Campañas de solo formación, sin simulación previa.
Está disponible en la región europea y en España, y funciona también con buzones locales, aunque con informes más limitados.
Lo que la licencia no resuelve: alguien tiene que llevarlo
La licencia da la herramienta, no el programa. Alguien del equipo de IT tiene que diseñar el calendario de campañas, adaptar los correos a la empresa y al idioma, revisar los resultados, ajustar la dificultad y perseguir a quien no termina la formación. En una plantilla de varios cientos de personas, con altas y bajas constantes, eso es trabajo de todos los meses.
Es la razón más habitual por la que el simulador de Microsoft se queda sin usar en empresas que sí lo tienen: no falta la herramienta, falta el tiempo.
Cuándo compensa cada opción
| Situación | Opción razonable |
|---|---|
| Tienes E5 y alguien en IT con tiempo para llevar el programa | Usar Attack Simulation Training |
| Tienes E5 pero nadie puede dedicarle horas | Un servicio gestionado sobre tu herramienta o sobre otra |
| Tienes Business Premium o E3 | Comparar el coste anual de subir a todos al Plan 2 con el de un simulador gestionado |
| Necesitas que las altas entren solas y que alguien persiga la formación pendiente | Un simulador gestionado |
La comparación honesta no es solo de licencia contra licencia: hay que sumar las horas internas que cuesta mantener el programa vivo.
Cómo lo resolvemos en QuantumSec
Nuestro simulador de phishing funciona con el Office 365 que ya tienes, sin licencias adicionales de Microsoft. Se conecta a tu Entra ID, incluye sola a cada nueva alta con correo corporativo, lanza campañas automáticas todo el año, asigna microcursos a quien cae y envía recordatorios a quien no los completa. Nuestro equipo gestiona el calendario y los escenarios, y tú recibes los informes.
Como referencia aproximada, en torno a 15 € por usuario y año; cada caso se estudia antes de la propuesta.
FAQ
¿Microsoft 365 Business Premium incluye el simulador de phishing?
No. Business Premium incluye Defender for Office 365 Plan 1, y Attack Simulation Training es una función del Plan 2. Para tenerlo hace falta Microsoft 365 E5 o añadir Defender for Office 365 Plan 2.
¿Se puede probar gratis?
Sí. Microsoft ofrece una prueba de 90 días de Defender for Office 365 Plan 2 desde el portal de Defender. Además, los clientes de E3 tienen una prueba limitada del simulador, con un solo tipo de ataque y dos formaciones.
¿Tienen que tener licencia todos los usuarios de la simulación?
La documentación de Microsoft remite a sus condiciones de licencia de Defender for Office 365. Antes de planificar el programa, revisa con tu proveedor de licencias que todos los buzones que quieres incluir están cubiertos.
¿Funciona con buzones de Exchange local?
Sí, según Microsoft, aunque con funciones de informe reducidas respecto a los buzones en la nube.
¿Puedo usar vuestro simulador aunque tenga E5?
Sí. Hay empresas con E5 que prefieren un servicio gestionado porque no tienen a nadie para llevar el programa. Nuestro simulador funciona con cualquier Office 365 e incluye la gestión de las campañas.
Servicio relacionado
simulador de phishing gestionado para Office 365
Contenido relacionado
- Precio de un simulador de phishing por usuario
- Cómo elegir un simulador de phishing
- Auditoría de seguridad de Microsoft 365
Fuentes
- Microsoft Learn — Get started using Attack simulation training: requisitos de licencia, prueba para E3 y funciones
- Microsoft Learn — Descripción del servicio Microsoft Defender for Office 365 (planes y condiciones de licencia)
- Microsoft Learn — Try Microsoft Defender for Office 365 (prueba de 90 días)