19 de diciembre de 2024 • Phishing
Se calcula que los ciberdelincuentes envían cada día 3.400 millones de correos electrónicos a phishing .
Por eso las organizaciones invierten en tecnología y políticas para mantener sus datos a salvo de estos ataques. Sin embargo, lo que a menudo se olvida es el factor humano.
Para reducir las posibilidades de sufrir un ataque de phishing, es fundamental formar a los empleados para que sepan reconocerlo y lo comuniquen a las personas adecuadas dentro de la organización. Una excelente forma de desarrollar la resistencia al phishing es mediante una simulación de phishing.
Pero con la gran variedad de soluciones de software disponibles, ¿cómo saber qué simulador de phishing es el más adecuado para su empresa? En este artículo, le mostraremos las mejores opciones que hemos encontrado.
Las 17 mejores herramientas de software de simulación phishing :
- Guardey
- Amenaza de phishing de Sophos
- Gophish
- Formación en simulación de ataques de Microsoft
- Hoxhunt
- Cofense PhishMe
- Infoseq IQ
- Safetitan
- Gurú cibernético
- Phishingbox
- uPhish (por Usecure)
- Wizer
- Barracuda
- Lobo Ártico
- Phished
- Proofpoint
- Fortra Terranova Seguridad
1. Guardey
Guardey ofrece una combinación de security awareness y phishing .
Puede configurar fácilmente una simulación dephishing en cuestión de minutos:
- Elija una plantilla phishing de la biblioteca
- Decidir a qué empleados debe enviarse y cuándo.
- Lista blanca de su dominio
- Empezar a enviar
En un panel de control en tiempo real, puede controlar estadísticas importantes como cuántos correos electrónicos se han enviado y cuántas veces se ha abierto un correo, se ha hecho clic en un enlace y se han enviado datos.
Lo que diferencia a Guardey de las alternativas es que también ofrece security awareness gamificada security awareness . Los empleados se enfrentan a retos semanales, en los que aprenden sobre todo tipo de phishing y una amplia variedad de otros riesgos de seguridad. En una tabla de clasificación, pueden competir entre ellos, lo que ha demostrado aumentar el compromiso. Los usuarios pueden sumar puntos si obtienen buenos resultados durante la formación y si denuncian phishing simulaciones).
Guardey cree que la mejor forma de concienciar sobre el phishing es formarse semanalmente y realizar periódicamente un simulacro de phishing para comprobar la eficacia de la formación.
Pros
- Plataforma fácil de usar (crear una campaña en cuestión de minutos)
- Gamificación para motivar a los usuarios
- Prueba gratuita
- Precios transparentes
Contras
- La plataforma de formación no utiliza contenidos de vídeo, lo que puede ser una desventaja para algunas organizaciones.
Consulte
"Los resultados de phishing dejaron claro que había trabajo por hacer para mejorar la concienciación sobre phishing . Si conseguimos que nuestro personal reconozca y notifique más incidentes phishing , podremos tomar medidas y reducir los daños al mínimo. A partir de ahora, queremos realizar un simulacro de phishing dos veces al año con Guardey, para ver si esto mejora." - Fuente
💡 Planifica una demostración con un especialista de Guardey para saber más
2. Amenaza de phishing de Sophos
Sophos ofrece una combinación de simulaciones en phishing y formación en security awareness en una sola plataforma. La plataforma ofrece una prueba gratuita, así que nos registramos y echamos un vistazo.
Puede configurar una campaña utilizando una de las 500 plantillas de phishing de la biblioteca de Sophos. Hay una amplia gama de temas disponibles, como un correo electrónico que contiene un servicio de compromiso de los empleados y un correo electrónico sobre las nuevas normas de aparcamiento. Nos gusta su especificidad. También puede personalizar estas plantillas para que se adapten a sus necesidades.
Además de las simulaciones de phishing , la plataforma permite formar a los empleados en el reconocimiento de phishing. Está disponible en 10 idiomas y viene con algunos vídeos animados, como puedes ver en el vídeo de arriba.
Pros
- Viene con una versión de prueba gratuita para que pueda probar antes de comprar
- Combinación de simulaciones y formación
- Amplia gama de plantillas
- Ofrece un botón de informe en Outlook
Contras
- La formación es un poco unidimensional (sólo se centra en phishing)
- El contenido del vídeo parece prolijo y anticuado
Consulte
"La facilidad de configuración de las campañas de concienciación de phishing , el botón integrado "Report Message" de Outlook y los informes son los puntos fuertes del producto. Aparentemente, debido a algunos desafíos legales por parte de Microsoft, Sophos retiró todas sus campañas diseñadas para parecerse a Microsoft phishing y los ataques de recolección de credenciales. Esto es lamentable, ya que muchos ataques de la vida real imitan la experiencia de autenticación de usuarios de Microsoft y son muy eficaces para engañar al personal para que facilite sus nombres de usuario y contraseñas." - G2
3. Gophish
GoPhish es un framework de código abierto phishing que permite copiar correos electrónicos existentes para utilizarlos en campañas de phishing . Los enlaces se sustituyen automáticamente y los valores de entrada se registran, para que pueda ver exactamente quién hizo clic y rellenó datos valiosos.
La instalación de GoPhish requiere cierta habilidad técnica. Puedes usar la guía de instalación en Github o usar otra plataforma para que funcione. Pero una vez que lo hace, es una potente herramienta para configurar tus propias campañas personalizadas de phishing .
Pros
- Uso gratuito
- Código abierto
- Utilice fácilmente los correos electrónicos existentes
Contras
- Requiere conocimientos técnicos
- No incluye módulo de formación
Consulte
"Configuramos nuestro propio servidor GoPhish utilizando una instancia de AWS, y nos costó bastante trabajo ponerlo en marcha. Una de las partes más difíciles fue conseguir que Gmail no marcara automáticamente los correos electrónicos de prueba como phishing/scam y anular toda la parte de probar a nuestros usuarios." - Reddit
4. Formación en simulación de ataques de Microsoft
Outlook de Microsoft es el cliente de correo electrónico más utilizado que existe, así que es lógico que hayan creado su propio simulador phishing . Lo llaman Attack Simulation Training, y forma parte de su producto Microsoft Defender.
La formación en simulación de ataques le permite elegir entre diferentes técnicas de ingeniería social:
- Recogida de credenciales
- Malware adjunto
- Enlace adjunto
- Enlace al malware
- URL no autorizada
En el panel de informes del producto, puede ver cuántos usuarios han realizado un simulacro, cuántos han completado la formación tras suspender una prueba phishing e incluso cuántos "infractores" reincidentes están activos en su organización.
Pros
- Parte del ecosistema Microsoft 365
- Buenos informes
- Múltiples técnicas de ingeniería social para elegir
Contras
- Los usuarios mencionan que el producto de formación no está a la altura
- Los usuarios mencionan que el producto es caro en comparación con otras alternativas
Consulte
"Los módulos de formación parecen sólidos, definitivamente no tantos como KnowBe4 u otros, pero lo que tienen parece adecuado. Más caro que la competencia, al menos si se evalúa estrictamente para pruebas de phishing y formación infosec." - Reddit
5. Hoxhunt
Hoxhunt ofrece lo que denomina una plataforma de gestión de riesgos humanos. No ofrece una prueba gratuita, así que tendrás que ponerte en contacto con el departamento de ventas para conocer mejor su funcionamiento.
En resumen, así es como funciona:
- Configure phishing simulaciones
- En función de cómo interactúen sus empleados con esas simulaciones, se les asigna material de formación.
- Los usuarios pueden obtener puntos por su buen rendimiento durante la formación y por reconocer e informar de sus resultados. phishing
Hoxhunt ofrece una gran y completa solución para phishing, sin embargo, es considerado por muchos como caro y sobre todo adecuado para las organizaciones empresariales.
Pros
- Gamificación
- Panel de control fácil de usar para los administradores
Contras
- Sin prueba gratuita
- Centrado sobre todo en organizaciones empresariales
- Algunas plantillas de phishing son fáciles de reconocer como falsas
Consulte
"La idea de los correos electrónicos que parecen reales es genial. Creo que ayuda a la gente a darse cuenta de lo sencillo que es atraer a alguien para que haga clic en un enlace o abra un archivo adjunto. Es fácil navegar cuando se está en el panel de control, la puntuación entre otros dentro de la empresa es interesante. La interactividad en el cuadro de mandos es genial e invita a completar más. Los correos electrónicos, sin embargo, son muy fáciles y se puede detectar a primera vista que pertenece a un Hoxhunt. Cuando se está suscrito a la modalidad picante, esos correos tampoco son muy sofisticados." - G2
6. Cofense PhishMe
El producto phishing de Cofense se llama PhishMe. Una cita de su vídeo: el programa de simulación phishing que transforma a los cazados en cazadores. Y con eso, quieren decir que sus empleados estarán a la caza de los correos electrónicos de phishing . Agradecemos el ingenio.
La plataforma ofrece una combinación de tres pilares:
- Security awareness formación: una combinación de simulaciones y formación correctiva
- Denuncia de correo electrónico malicioso: posibilidad de denunciar un correo electrónico desde el propio cliente de correo electrónico.
- Validación del riesgo: posibilidad de conocer el perfil de riesgo de cada empleado.
Pros
- Producto completo con simulaciones y formación
- Informes detallados sobre el rendimiento individual
- Un ingenioso guionista de vídeos 😉
Contras
- Requiere un mantenimiento continuo
- Los usuarios se cansan tras las repetitivas simulaciones
- Los usuarios suelen decir que la gestión de las iniciativas de formación consume tiempo y recursos.
Consulte
"La característica más beneficiosa de Cofense PhishMe es su capacidad para mejorar la ciberseguridad de forma proactiva. Lo consigue mediante simulaciones realistas y personalizables en phishing que permiten a los usuarios identificar y contrarrestar eficazmente las amenazas de phishing . Los inconvenientes de Cofense PhishMe pueden ser la necesidad de un mantenimiento continuo, el posible cansancio de los usuarios debido a las repetitivas phishing simulaciones y la tarea intensiva en recursos que supone administrar las iniciativas de formación." - G2
7. Infoseq IQ
Infoseq IQ ofrece formación de concienciación personalizada basada en el perfil de riesgo único de cada empleado. Lo hace de forma similar a como lo hace Hoxhunt:
- Envíe simulaciones a phishing
- Analizar automáticamente la reacción del usuario
- Asignar formación en función del rendimiento
Muchos críticos están entusiasmados con la plataforma, pero mencionan que la capacidad de elaboración de informes podría mejorarse.
Pros
- Campañas fáciles de organizar
- Formación basada en el perfil de riesgo individual
Contras
- La funcionalidad de los informes podría mejorarse
- Sin prueba gratuita
Consulte
"La interfaz de la herramienta evoluciona constantemente para mejorarla para sus clientes. Llevo un año trabajando con la herramienta y veo muchas mejoras en la interfaz de usuario. Los informes y las métricas pueden ser mejores. A veces es difícil averiguar las métricas manualmente. Además, debería haber una forma de eliminar automáticamente las cuentas obsoletas". - G2
8. Safetitan
Crear una campaña phishing en Safetitan es sencillo. Puede configurar campañas continuas para simulaciones que nunca terminan. Al igual que otras soluciones, las sesiones de formación se activan en función de cómo interactúan los usuarios con los correos electrónicos de phishing que se envían.
Pros
- Montaje sencillo
- Utilice plantillas de correos electrónicos y contenidos de formación en phishing
- Cada mes se envía un informe automatizado
Contras
- Sin prueba gratuita
- El panel de administración podría mejorarse
Consulte
"El enfoque automatizado de SafeTitan para el modelo de formación de los empleados basado en comportamientos específicos es una característica eficaz. Esto significa que no tengo que configurar yo solo la formación general de security awareness para todo el equipo." - G2
9. Gurú cibernético
Cyber Guru es una plataforma con sede en Italia que ofrece tanto un programa de formación como simulaciones phishing . He aquí cómo lo han organizado:
- Sensibilización: un programa basado en el aprendizaje electrónico
- Formación en canales: una serie de vídeos
- Phishing formación: formación adaptativa antiphishing (incluidos simulacros)
Si un usuario "falla" una simulación, tiene que hacer una micro sesión de formación. Esta sesión se adapta específicamente al correo electrónico phishing en el que acaban de hacer clic. Muchos expertos lo desaconsejan, ya que esta forma de formación puede percibirse fácilmente como un castigo.
Pros
- Plataforma completa con formación y simulaciones
- Incluye contenidos en vídeo (aunque estos vídeos son algo prolijos, algunas organizaciones lo prefieren).
Contras
- No hay versión de prueba gratuita
- Las sesiones de entrenamiento tras suspender un simulacro de phishing pueden parecer un castigo.
- La plataforma no utiliza la gamificación para motivar a los usuarios
Consulte
"Sólo hemos probado la función phishing ; experiencia de formación en el puesto de trabajo sin que los usuarios tengan que hacer cursos, sencilla de implantar y fácil de entender. Los resultados son visibles con el tiempo, pero hacen falta incentivos por parte de la empresa." - Gartner
10. Phishingbox
Phishingbox puede no venir con una prueba gratuita, pero aún así no tiene miedo de mostrar su plataforma. En el vídeo anterior, puedes hacerte una idea clara de lo que puedes hacer con su plataforma.
Para configurar una simulación en Phishingbox, puede elegir entre una amplia variedad de plantillas de phishing en su biblioteca. Los correos electrónicos rellenan algunas variables, de modo que se personalizan para cada usuario individual.
Phishingbox ofrece mucho margen de personalización. Por ejemplo, puede decidir qué acciones de la página de destino se rastrean (rellenar datos, hacer clic en un botón de inicio de sesión, etc.).
Cuando el usuario "suspende" una simulación de phishing , se le envía a una sesión de formación. Una vez más, se trata de una práctica desaconsejada por los pedagogos, ya que puede percibirse como un castigo.
Pros
- Amplia biblioteca de plantillas
- Mucho margen para personalizar las campañas
Contras
- La interfaz de usuario parece un poco anticuada
- Las sesiones de entrenamiento tras "suspender" un simulacro pueden parecer un castigo
Consulte
"Una experiencia de producto sencilla, más que suficiente para el trabajo de las PYME. Digan lo que digan sobre la eficacia de las campañas de Phishing , pero en muchos casos son necesarias para los seguros cibernéticos y similares. La interfaz de usuario puede ser un poco confusa, sobre todo en lo que respecta a la programación de campañas, pero sin duda es factible y espero que siga mejorando a medida que el producto madure". - G2
11. uPhish (por usecure)
usecure es una conocida plataforma de formación security awareness con un producto especial para phishing: uPhish. Con uPhish, puede configurar simulaciones de phishing y realizar un seguimiento de cuándo las personas han abierto un correo electrónico, visitado el enlace que contiene y cuándo sus datos se han visto comprometidos. También puede saber si el usuario informa del incidente, lo que le da una visión completa de sus vulnerabilidades actuales.
La interfaz de usuario de uPhish es limpia y fácil de usar. Puede seleccionar entre una amplia variedad de plantillas de phishing , incluidas páginas de destino, adjuntos y una combinación de ambos.
Pros
- Amplia biblioteca de plantillas
- Plataforma fácil de usar
- Interfaz de usuario limpia
Contras
- No hay versión de prueba gratuita
- El proceso de personalización puede llevar algo de tiempo
Consulte
"La plataforma es muy fácil de usar y de navegar. Los tiempos de carga también han sido rápidos para mí. Los ejercicios de formación de nivel inferior son a veces demasiado bajos, y aún podría incluirse más información." - G2
12. Wizer
Wizer es una plataforma que ofrece simulaciones 'smart phishing'. Tienen una biblioteca de plantillas organizadas por fechas del calendario. Durante las vacaciones, verás plantillas relacionadas con las vacaciones, y a finales de enero verás una plantilla de "Impuestos de fin de año". Así es más fácil encontrar plantillas que sean relevantes para tu organización en este momento.
Puedes decidir fácilmente a quién quieres que se envíen los correos de phishing :
- Todos los usuarios
- Departamentos
- O usuarios específicos
Wizer tiene una interfaz atractiva y es fácil de gestionar para los administradores.
Pros
- Fácil de encontrar plantillas relevantes phishing
- Fácil de mantener para los administradores
Contras
- Sin prueba gratuita
- Los vídeos del contenido de la formación pueden ser un poco largos
Consulte
"Wizer es mucho más fácil de configurar y gestionar que nuestra plataforma anterior. La formación consiste en vídeos de tamaño reducido que cubren bien el tema sin aburrir. Nuestro proveedor de formación anterior ofrecía más herramientas e informes, pero esto también hacía que la consola de administración fuera más desordenada y difícil de navegar." - G2
13. Barracuda
Barracuda es bien conocido por ser un producto de seguridad de correo electrónico, que impide que un gran número de correos electrónicos phishing lleguen a su bandeja de entrada en primer lugar. Sin embargo, también han creado un producto security awareness para complementarlo.
Con este producto, puede simular amenazas de correo electrónico, analizar el comportamiento de los usuarios y elegir entre una gran variedad de contenidos de formación para que los usuarios puedan reconocer phishing desde lejos.
Pros
- Opción interesante si también buscas una solución técnica de bloqueo phishing
- Amplia variedad de plantillas phishing
Contras
- Crear módulos de formación puede llevar mucho tiempo
- Algunos usuarios afirman que no es tan fácil de usar
Consulte
"Creo que en el entorno actual phishing y la protección contra el spam son más críticas que cualquier protección de puntos finales. Los usuarios son el eslabón más débil en cyber security y la protección de cualquier organización. Barracuda SAT cumple la función de formar a los usuarios finales y concienciarlos de lo que deben buscar. Puede ser difícil de gestionar y sin la participación de los ejecutivos para forzar el cumplimiento puede ser una pérdida de tiempo. Hay otros productos más fáciles de usar y gestionar". - G2
14. Lobo Ártico
Arctic Wolf es similar a Barracuda, ya que ofrece una amplia plataforma de seguridad. Security awareness no es su enfoque principal, pero lo ofrecen como producto.
El producto security awareness , que ellos denominan "Managed Security Awareness', combina una plataforma de formación y un simulador phishing .
La plataforma de formación ofrece microlecciones breves que no ocupan demasiado tiempo a los empleados. Cada mes se añaden nuevos contenidos a la plataforma, incluida la denominada "formación de respuesta rápida" sobre amenazas emergentes.
Si un usuario "falla" una de las simulaciones de phishing , se le envía a una sesión de microformación. En ella, aprenden la importancia de informar sobre un correo electrónico de phishing la próxima vez. Como hemos dicho antes, esta táctica cuenta con algunos partidarios, pero muchos pedagogos se oponen a ella por considerarla un castigo.
Pros
- Una solución combinada de formación y simulación phishing
- Interesante si busca una solución de seguridad todo en uno
Contras
- Sin prueba gratuita
- No hay precios transparentes en el sitio web
Consulte
" security awareness es breve, directo y eficaz. Las formaciones han dado lugar a debates sobre el contenido y la relevancia para nuestra organización, así como sobre algunas de las partes más divertidas. Las formaciones con el representante y la formación sobre la fatiga del AMF han sido las favoritas de los fans." - Gartner
15. Phished
Phished(me quito el sombrero ante la inteligente elección del nombre de la marca) también ofrece una combinación de formación y simulaciones phishing .
Con Phished, puede automatizar todo el proceso de envío de simulaciones a phishing , liberando a su equipo informático de parte de su tiempo. El contenido se adapta a la ubicación de su organización, al contexto de la empresa y a los acontecimientos actuales. También puede personalizar el contenido a los individuos, para asegurarse de que se les somete a las pruebas de la manera que tenga más sentido. Es difícil decir hasta qué punto es realmente bueno el nivel de automatización. No hay ninguna prueba gratuita del producto disponible.
Pros
- Campañas totalmente automatizadas en phishing
- Campañas personalizadas para particulares
Contras
- No hay precios transparentes en el sitio web
- Sin prueba gratuita
Consulte
"Phished" permite una configuración y gestión sin esfuerzo de la simulación de correos electrónicos phishing . El panel de control está muy poco documentado. El tablero de control es extenso, pero la lógica de sus estructuras no siempre está clara (apuesto a que sí para los desarrolladores)." - G2
16. Proofpoint
El producto security awareness de Proofpoint se centra principalmente en la identificación de personas de alto riesgo en las organizaciones. Para ello, evalúan las funciones, las vulnerabilidades, el riesgo de ataque y los privilegios empresariales.
Miden el riesgo humano en función de los siguientes aspectos:
- Opciones de comportamiento
- Contexto de amenaza
- Funciones y privilegios empresariales
- Competencias y actitudes culturales
- Phishing/Simulaciones USB/SMS basadas en ataques reales
La plataforma no incluye una versión de prueba gratuita y los precios no se comunican de forma transparente en el sitio web. Para ver el producto en acción, tendrás que ponerte en contacto con su departamento de ventas.
Pros
- Muestra el riesgo humano a nivel individual
- También ofrece simulaciones de SMS (smishing)
Contras
- Centrado sobre todo en organizaciones empresariales
- Precios poco transparentes
- Sin prueba gratuita
Consulte
"Desde una perspectiva de administrador, está diseñado para "marcar una casilla" para el cumplimiento, en lugar de realmente educar a su base de usuarios. El producto es torpe y mal integrado en el resto de la plataforma/servicios de Proofpoint." - G2
17. Seguridad Fortra Terranova
Fortra Terranova ofrece una amplia gama de soluciones de seguridad. Esto significa que security awareness (y las simulaciones de phishing ) no es necesariamente su especialidad, pero lo ofrecen como producto.
Ofrecen una mezcla de contenidos gamificados para que la experiencia de formación resulte atractiva, al tiempo que mezclan "simulaciones del mundo real phishing ", lo que debe significar que las plantillas pretenden ser muy convincentes.
Pros
- Podría ser interesante para organizaciones que buscan un producto "todo en uno".
- Ofrece tanto formación como simulaciones phishing
- Prueba gratuita
Contras
- Precios poco transparentes
- No centrarse sólo en security awareness
Consulte
"Utilizo sobre todo las funciones de simulación y estoy bastante satisfecho. Me gusta la forma en que se construye una simulación mediante un enfoque paso a paso visualizado con pestañas. Ayuda a entender exactamente lo que queda por completar. La interfaz es fácil de usar. No me gusta que no haya una manera fácil de copiar y reutilizar una plantilla existente que he construido. Básicamente tengo que copiar y pegar las plantillas de correo electrónico y comentarios, lo cual es innecesario. También hay una especie de error relacionado con la configuración de correo electrónico y la posibilidad de probar el envío de correos electrónicos. No está claro cómo funciona exactamente la funcionalidad de prueba". - G2
Conclusión
En el mercado existe una amplia variedad de herramientas de software para la simulación de phishing. Si echas un vistazo a la lista anterior, descubrirás qué solución se adapta mejor a tu organización.
Para un simulador de phishing que persiga un cambio de comportamiento duradero entre los empleados, considere la posibilidad de utilizar Guardey.
Más información sobre Guardey en una demostración
Hable de sus retos y vea a Guardey en acción.
Planificar una demostración
