- El entrenamiento embebido contra phishing redujo el clic apenas 2% en un experimento de ocho meses con 19.500 empleados (IEEE S&P, Oakland 2025).
- Incluso después de más de diez simulacros previos, la probabilidad de caer bajó cerca de dos tercios, pero nunca desapareció (JAMA Network Open, 2019).
- Según el Phish Scale del NIST, cuanto más se parece un pretexto al contexto real de la víctima, menos atención presta a las señales de alerta.
- CISA llama a la autenticación resistente a phishing (FIDO/WebAuthn) el "gold standard", porque no depende de que la persona detecte el engaño a tiempo.
En 2025, un equipo de investigadores midió en UC San Diego Health lo que la industria de la capacitación rara vez mide: cuánto cambia el comportamiento real después de entrenar. El módulo que aparece tras hacer clic en un correo trampa redujo apenas 2% la probabilidad de volver a caer, y completar la capacitación anual no tuvo relación significativa con el riesgo.
Vengo escuchando la misma promesa en discursos de venta ajenos hace años: capacitá a tu gente y el riesgo baja. Baja, es cierto, pero esa frase nunca dice cuánto riesgo queda después, y la evidencia dice que nunca es cero.
Esta pieza no cataloga las técnicas puntuales: discute por qué conocerlas no alcanza.
El entrenamiento reduce el riesgo, pero nunca a cero
El entrenamiento baja el riesgo de caer, pero ninguno de los dos estudios que cito acá lo llevó a cero. El de UC San Diego Health, de Grant Ho y su equipo, salió en el IEEE Symposium on Security and Privacy, una de las conferencias académicas de seguridad de primer nivel.
Siguió durante ocho meses a más de 19.500 empleados con diez campañas simuladas y midió el módulo que aparece tras el clic: bajó 2% la probabilidad de volver a caer. Tres cuartas partes de la gente interactuó con él un minuto o menos; un tercio cerró la página sin leer.
Un estudio de JAMA Network Open de 2019, con casi tres millones de correos simulados en seis instituciones de salud de Estados Unidos, midió otra cosa: la exposición repetida a simulacros de phishing y smishing. Tras más de diez campañas previas, la probabilidad de hacer clic bajó cerca de 67% frente a quien nunca vio un simulacro, pero no llegó a cero: la cohorte más entrenada seguía haciendo clic.
Los dos miden intervenciones distintas, un módulo puntual y la habituación por repetición, y no se contradicen.
El motivo no es falta de conocimiento: es que el contexto apaga el chequeo
El Phish Scale del NIST lo explica. Además de contar las señales de alerta de un correo (errores, remitente raro, urgencia mal ejecutada), mide qué tan bien encaja el pretexto con el rol y el contexto de quien lo recibe. Cuanto mayor esa alineación, dice el NIST, menos probable es que la persona note, atienda o piense en las señales sospechosas.
Conocer una técnica es saber de señales genéricas, y ahí está el límite. El correo que imita al proveedor de nómina, enviado el día de pago, no engaña porque la víctima no sepa qué es el phishing: engaña porque el contexto apaga el chequeo antes de que las señales se procesen.
El mecanismo de fondo es carga cognitiva: con presión de tiempo o estrés, la persona procesa el correo de forma rápida y heurística en vez de analítica. Un experimento de 2025 publicado en Information & Computer Security lo midió con 200 personas que clasificaban correos con 15 o 7 segundos por mensaje. Bajo presión, la sensibilidad de detección cayó de 1,07 a 0,45 (p < 0,001).
La autoridad y la reciprocidad engañan más que la escasez
En ese mismo experimento, los principios de persuasión que peor se detectaron fueron la reciprocidad y la autoridad: el favor a devolver y el pedido de un superior. La escasez y la prueba social, contra lo esperado, fueron las que la gente detectó mejor.
La presión degradó la detección en general, sin importar el tipo de señuelo. La muestra fue mayormente universitaria: que el mecanismo persista en gente ya entrenada lo sostienen los dos estudios anteriores, hechos en organizaciones reales.
Lo que sí resiste: un diseño donde la credencial robada no sirve
Una guía conjunta de CISA, NSA, FBI y MS-ISAC de 2023 pone el entrenamiento primero en una lista de seis controles, junto al DMARC, el monitoreo de mensajería interna y las credenciales con autenticación multifactor resistente a phishing. Y aclara que ni el MFA común alcanza si el segundo factor es del tipo equivocado.
CISA llama a la autenticación FIDO/WebAuthn el "gold standard" y pide priorizar la migración. El protocolo verifica criptográficamente el dominio antes de completar el login: aunque la víctima haga clic y escriba su contraseña en un sitio falso, el segundo factor no se completa contra un dominio que no es el legítimo, a diferencia de un MFA tradicional por SMS o código.
Por eso la ingeniería social se vence con un diseño donde el engaño exitoso deje de importar, más que enseñando a reconocerlo mejor.
Qué hace VU
En VU trabajamos autenticación pensada para este problema puntual: que el segundo factor no dependa de que la persona detecte el engaño en el momento exacto del ataque. Conocé la autenticación de VU.
El entrenamiento reduce el riesgo. El diseño del sistema es lo único que lo hace irrelevante.
Hablemos de tu autenticación.
