Para quienes les importa saber y leer: Realicé una simulación de phishing para un cliente el mes pasado. Un correo electrónico sencillo. Nada elaborado. “Su cuenta será suspendida en 24 horas. Haga clic aquí para verificar.” El 40 % del personal hizo clic en él. Cuando me senté con el equipo después, una persona dijo algo que me quedó grabado: Dijo: “Parecía exactamente como los reales que recibimos cada semana”. Ese es el problema real. No es que la gente sea descuidada. Es que los atacantes se han vuelto excelentes para parecer legítimos, y la mayoría de los programas de concientización en seguridad aún enseñan a las personas a identificar las falsificaciones obvias. Rediseñamos el entrenamiento en torno a eso. Menos ejercicios de “encuentra la mala gramática”. Ahora más de: “aquí tienes lo que parece un intento genuinamente convincente, y aquí está la única cosa que aún lo delata”. Segunda simulación, realizada cuatro semanas después: 12 %. Ese es el número que importa. No si la gente cayó una vez. Sino si el entrenamiento realmente cambió el comportamiento. Las simulaciones de phishing no deberían ser aburridas, porque los atacantes no lo son, créeme.