Métricas de una simulación de phishing: qué medir, cómo leerlas y qué objetivos fijar

Por Kike Gandia · Co-Fundador y CEO, OSCP

Las métricas que de verdad dicen si una simulación de phishing funciona son la tasa de reporte, el tiempo hasta el primer reporte y la tasa de acción —quién llega a entregar credenciales o abrir el adjunto—, siempre leídas junto a la dificultad del correo enviado. La tasa de clic aislada dice poco: depende del pretexto, se infla con los escáneres de seguridad que siguen los enlaces y no se puede comparar con la de otra empresa. Esta guía repasa cada métrica y sus trampas, cómo clasificar la dificultad con la NIST Phish Scale y cómo montar un cuadro de mando para dirección.

Las métricas de una campaña de phishing, de un vistazo

Una plataforma de simulación devuelve muchos números. No todos valen lo mismo, y casi todos tienen una trampa que conviene conocer antes de enseñarlos a dirección:

Apertura y clic: cómo filtrar los datos falsos

La tasa de apertura se mide con un píxel invisible que se descarga al mostrar el correo, y por eso es la métrica menos fiable de todas. Muchos clientes de correo corporativos bloquean por defecto las imágenes externas, así que una persona puede leer el mensaje sin que conste como apertura. Y ocurre lo contrario: Apple indica que la protección de la actividad de Mail descarga el contenido remoto en segundo plano por defecto, aunque el usuario no llegue a abrir el correo. Una apertura registrada no prueba que alguien lo haya leído, ni su ausencia que no lo haya hecho. Lo prudente es no usarla como KPI.

La tasa de clic tiene un problema parecido: las pasarelas de correo y los sandboxes de seguridad siguen los enlaces de los mensajes entrantes para analizarlos, y la plataforma de simulación registra esas visitas como clics. Una campaña puede acumular decenas de «clics» que no ha hecho ninguna persona. Señales que delatan un clic automático:

• Llega a los pocos segundos de la entrega, antes de que nadie haya podido leer el correo.
• Se pulsan a la vez todos los enlaces del mensaje, incluido uno oculto que ningún humano vería.
• Procede de rangos IP o de un user-agent asociados a proveedores de seguridad, no de la red ni de los dispositivos de la empresa.
• No va seguido de ninguna interacción en la página de destino.

Para limpiar los datos: incluye un enlace trampa invisible y descarta a quien lo visite, excluye las IP de los proveedores de seguridad, exige una interacción mínima en la página de destino para contar el clic y, sobre todo, configura la excepción que tu plataforma de correo prevé para simulaciones. En Microsoft 365, por ejemplo, la política de entrega avanzada hace que Safe Links no bloquee ni detone las URL de los mensajes de simulación de terceros. En el informe, separa siempre los clics brutos de los depurados y explica el criterio: así la cifra se puede auditar y comparar con la de la campaña siguiente.

Clic, acción y reporte: tres preguntas distintas

Cada una de las tres métricas centrales responde a una pregunta diferente, y confundirlas lleva a conclusiones equivocadas:

• Tasa de clic: ¿cuánta gente cae en el primer paso del engaño? Mide exposición, no daño. Un clic en el enlace de una campaña de robo de credenciales no compromete nada por sí solo.
• Tasa de acción: ¿cuánta gente completa lo que el atacante quería —escribir la contraseña en una página falsa, abrir el adjunto, habilitar macros, responder con datos—? Es la métrica más cercana al riesgo real y la que hay que vigilar en los perfiles que autorizan pagos o administran sistemas.
• Tasa de reporte: ¿cuánta gente avisa al equipo de seguridad por el canal oficial? Mide la cultura de defensa, y es la única de las tres que convierte a los empleados en sensores.

Los datos publicados apuntan en la misma dirección. El Verizon Data Breach Investigations Report de 2025, a partir de más de 100.000 campañas de simulación, observó que los usuarios con formación reciente reportaban los correos simulados en torno al 21 % de las veces, frente a una tasa base del 5 %. Su tasa de clic, en cambio, apenas mejoraba —un 5 % en términos relativos— y la mediana de clic seguía en el 1,5 % incluso después de formarse. La formación mueve mucho más el reporte que el clic.

Por eso conviene contar como positivo a quien hizo clic y después avisó: es justo el comportamiento que permite contener un ataque real a tiempo. Un ratio reporte/clic por encima de 1 indica que la organización avisa más de lo que cae.

Tiempo hasta el primer reporte y tiempo de respuesta

Un reporte solo sirve si llega pronto y alguien actúa. Por eso las dos métricas de tiempo son las que mejor miden la capacidad real de defensa:

• Tiempo hasta el primer reporte: minutos desde que el correo llega a las bandejas hasta el primer aviso por el canal oficial. En un ataque real, ese primer aviso es lo que permite retirar el mensaje del resto de buzones antes de que caiga más gente. Conviene registrar también la mediana del tiempo de reporte, para ver si los avisos se concentran en los primeros minutos o se dispersan a lo largo del día.
• Tiempo de respuesta tras el reporte: desde el primer aviso hasta que el SOC o el equipo de IT lo clasifica, retira el correo de los buzones y bloquea el dominio o la URL. Es la métrica que conecta la concienciación con la respuesta a incidentes.

Medir la segunda exige una decisión de diseño. Si el equipo de seguridad sabe que hay una simulación en curso, su tiempo de respuesta no significa nada; si no lo sabe, hace falta un responsable enterado que evite una escalada innecesaria. Además, las plataformas suelen tratar los reportes de simulaciones de forma especial: en Microsoft 365, cuando alguien reporta con el botón integrado de Outlook un mensaje identificado como simulación en la política de entrega avanzada, no se genera alerta, investigación ni incidente. Si quieres medir la respuesta del SOC, hay que prever cómo llega ese aviso a su cola de trabajo.

Una organización con algunos clics, pero con un primer reporte en minutos y el correo retirado poco después, está en mejor posición que otra sin clics y sin ningún aviso.

Por qué la tasa de clic sola engaña: la NIST Phish Scale

Dos campañas con la misma tasa de clic pueden significar cosas opuestas. Un 10 % de clics con un correo genérico lleno de errores es una mala noticia; un 10 % con un correo que imita un proceso interno real, la semana en que ese proceso ocurre, puede ser un buen resultado. Sin una medida de la dificultad del correo, la tasa de clic no se puede interpretar ni comparar.

Esa medida existe. El NIST desarrolló la Phish Scale a partir de datos reales de simulaciones, la publicó como investigación en 2019 y 2020 y en noviembre de 2023 la convirtió en una guía práctica, la NIST Technical Note 2276. Valora la dificultad de detección de un correo con dos componentes:

• Señales (cues): los indicios observables de que el correo es fraudulento, en cinco tipos: errores, indicadores técnicos (remitente, enlaces, dominios parecidos), presentación visual, lenguaje y contenido (urgencia, amenazas, petición de datos) y tácticas habituales. Se cuentan: de 1 a 8 señales son pocas (más difícil), de 9 a 14 algunas y de 15 en adelante muchas (más fácil).
• Alineación de la premisa: cuánto encaja el pretexto con el trabajo y el contexto de quien lo recibe. Se puntúan de 0 a 8 cinco elementos: si imita un proceso real, si es relevante para el puesto, si coincide con algún acontecimiento del momento, si genera miedo a las consecuencias de no actuar y, restando, si el grupo ha recibido formación o avisos sobre ese tipo de engaño. Con 10 puntos o menos la alineación es débil, de 11 a 17 media y de 18 en adelante fuerte.

Ambos componentes se cruzan en una matriz de dificultad de detección:

La regla práctica es sencilla: clasifica cada plantilla antes de enviarla, publica la tasa de clic siempre junto a su dificultad y compara solo campañas de la misma categoría. La propia guía del NIST señala que un resultado inesperado —muchos clics en un correo poco difícil— indica que ese grupo necesita una formación distinta o adicional. Un detalle práctico: el NIST indica que la Phish Scale es de uso libre con fines académicos y que el uso comercial requiere pedirle una licencia.

Benchmarks del sector: contexto, no objetivo

La pregunta «¿qué tasa de clic es normal?» tiene respuestas publicadas, pero muy distintas entre sí, porque cada informe mide otra cosa:

La distancia entre un 33 % y un 1,5 % no es una contradicción: una cifra describe a los usuarios de un proveedor antes de empezar a formarse y la otra, la mediana de campañas de organizaciones que ya simulan. Antes de comparar tu resultado con un benchmark, comprueba al menos:

• La población: ¿empleados sin formar o con años de programa?
• La unidad y el estadístico: ¿personas o campañas?, ¿media o mediana?
• Qué cuenta como fallo: solo el clic o cualquier interacción con el correo.
• La dificultad de las plantillas, que ningún informe publica en una escala común.
• El filtrado de clics automáticos, que puede mover el resultado varios puntos.

Los benchmarks sirven para situar el orden de magnitud y para explicar a dirección que el riesgo no es cero en ninguna organización. La vara de medir útil es tu propia línea base, medida con dificultad comparable a lo largo del tiempo.

Cómo montar un cuadro de mando para dirección

A un comité de dirección no le sirve la exportación de la plataforma de simulación. Le sirven entre tres y cinco indicadores, con su tendencia y una frase que diga qué significan. Una selección que funciona:

• Tasa de reporte, como indicador principal.
• Tiempo hasta el primer reporte y tiempo de contención tras el reporte.
• Tasa de acción (credenciales o adjuntos), con los perfiles críticos aparte: finanzas, administración de sistemas y dirección.
• Reincidencia: porcentaje de personas que han fallado en dos o más de las últimas campañas, sin nombres.
• Dificultad de cada campaña según la Phish Scale, como contexto obligatorio de todo lo anterior.

Ejemplo ilustrativo de presentación trimestral (las cifras son inventadas para mostrar el formato; no son valores de referencia):

Tres reglas para que el cuadro diga la verdad: mostrar siempre la tendencia y no una foto fija, explicar cualquier salto por un cambio de dificultad antes de que alguien lo lea como un retroceso, y dar los datos por departamento solo en grupos lo bastante grandes como para que nadie sea identificable.

Qué objetivos fijar (y cuáles no)

El objetivo de «0 % de clics» queda bien en una presentación y es malo para la seguridad. Con pretextos lo bastante difíciles alguien siempre hace clic —el DBIR sitúa la mediana en el 1,5 % incluso después de la formación—, y perseguir el cero empuja a enviar correos cada vez más fáciles para que la cifra cuadre. Objetivos que sí tienen sentido:

• Subir la tasa de reporte campaña a campaña, con dificultad igual o mayor.
• Reducir el tiempo hasta el primer reporte y el tiempo de contención, que son los que limitan el daño de un ataque real.
• Bajar la tasa de acción en los perfiles críticos, porque es la que se traduce en credenciales robadas o transferencias fraudulentas.
• Reducir la reincidencia con formación específica y acompañamiento, no con sanciones.
• Subir la dificultad cuando los resultados mejoran, avisando antes a dirección de que la tasa de clic puede repuntar.

Formula los objetivos respecto a tu propia línea base —por ejemplo, «duplicar la tasa de reporte en un año» o «primer reporte en menos de 15 minutos»— y no respecto a la media de un informe que mide otra población con otras plantillas.

Errores que invalidan las métricas

La mayoría de los programas que «no mejoran», o que mejoran sospechosamente rápido, tienen alguno de estos problemas de medición:

• Comparar campañas de dificultad distinta: una bajada de clics tras pasar de un correo difícil a uno fácil no es una mejora.
• Premiar el «0 clics» con pretextos fáciles o con la misma plantilla repetida, que los empleados ya reconocen.
• Señalar a personas: rankings nominales, avisos al responsable o sanciones. La gente deja de reportar por miedo, y el reporte es precisamente lo que se quería medir.
• Contar como clics los escáneres automáticos, que inflan la tasa y esconden cualquier mejora real.
• Medir una vez al año: una campaña anual da una foto, no una tendencia, y cualquier variación puede deberse al pretexto o al momento elegidos.
• Enviar a todos el mismo correo a la vez: el aviso entre compañeros, deseable en un ataque real, distorsiona el resultado de la simulación. Escalonar los envíos y variar las plantillas lo reduce.
• Cambiar el denominador: calcular unas veces sobre los enviados y otras sobre los entregados, o no descontar los buzones inactivos.
• Anunciar la campaña: avisar de que «esta semana hay simulación» mide la memoria de la plantilla, no su criterio.

Las métricas como evidencia para ISO 27001 y NIS2

Las métricas de simulación también son evidencia de cumplimiento, siempre que se presenten como parte de un programa y no como una cifra suelta:

• ISO/IEC 27001:2022 exige concienciación en su cláusula 7.3 e incluye en el anexo A el control 6.3, de concienciación, educación y formación en seguridad de la información. La cláusula 9.1 pide además seguimiento, medición, análisis y evaluación. Un auditor espera ver un plan de concienciación, registros de las campañas, resultados agregados con su tendencia y las acciones que se tomaron a partir de ellos.
• NIS2 incluye entre las medidas de gestión de riesgos de su artículo 21.2.g las prácticas básicas de ciberhigiene y la formación en ciberseguridad, y su artículo 20.2 prevé que los miembros de los órganos de dirección estén obligados a formarse. Un cuadro de mando con tendencia es una forma directa de demostrar que la formación se hace y que se evalúa.

Para estos fines bastan los resultados agregados: ni la norma ni la directiva piden listas de quién hizo clic. Cómo tratar los datos individuales sin chocar con el RGPD ni con el derecho laboral lo explicamos en el artículo sobre la legalidad de las simulaciones de phishing.

FAQ

¿Qué tasa de clic es aceptable en una simulación de phishing?

No hay una cifra universal, porque la tasa de clic depende sobre todo de la dificultad del pretexto. Los informes publicados van desde una mediana del 1,5 % por campaña (Verizon DBIR 2025) hasta un 33,1 % de partida antes de formar (KnowBe4 2025), porque miden cosas distintas. Lo útil es compararte con tu propia línea base en campañas de dificultad similar y fijarte antes en la tasa de reporte y en el tiempo hasta el primer reporte.

¿Qué es una buena tasa de reporte?

Tampoco hay un umbral oficial: lo importante es que suba de forma sostenida. Como referencia, el Verizon DBIR 2025 observó en torno a un 21 % de reporte entre usuarios con formación reciente, frente a un 5 % de base. Si tu tasa de reporte supera a la de clics, la organización avisa más de lo que cae, que es la señal que buscas.

¿Cómo distingo un clic real de un escáner de seguridad?

Los clics automáticos suelen llegar a los pocos segundos de la entrega, pulsan todos los enlaces a la vez —incluido uno oculto— y proceden de IP o user-agents de proveedores de seguridad. Se filtran con un enlace trampa invisible, la exclusión de esas IP, una interacción mínima en la página de destino y la excepción para simulaciones de tu plataforma de correo. En el informe, separa los clics brutos de los depurados.

¿Cada cuánto hay que medir?

Con la frecuencia suficiente para ver una tendencia: al menos dos o tres campañas al año, y mejor trimestrales. Una sola campaña anual da una foto que depende demasiado del pretexto y del momento elegidos, y no permite saber si el programa mejora.

¿Hay que dar los resultados por persona?

A dirección, no: el cuadro de mando debe ser agregado, por departamento o perfil y en grupos lo bastante grandes como para no identificar a nadie. El dato individual solo tiene sentido para ofrecer formación específica, con acceso restringido. Los límites legales los desarrollamos en el artículo sobre si es legal simular phishing a los empleados.

¿Qué es la NIST Phish Scale?

Es un método del NIST para valorar lo difícil que es detectar un correo de phishing, combinando el número de señales sospechosas que contiene con lo bien que encaja su pretexto con el trabajo de quien lo recibe. Clasifica cada correo de poco a muy difícil y permite comparar campañas de forma justa. Su guía de uso es la NIST Technical Note 2276, de 2023, y el NIST indica que el uso comercial requiere licencia.

¿Qué es el «phish-prone percentage»?

Es el nombre que da KnowBe4 al porcentaje de empleados propensos a caer en un phishing simulado, calculado en su plataforma. Su informe de 2025 sitúa la cifra de partida en el 33,1 % antes de la formación y en el 4,1 % tras un año. Sirve como referencia de orden de magnitud, pero no es directamente comparable con la tasa de clic de una campaña hecha con otras plantillas y otro criterio de fallo.

Servicio relacionado

simulaciones de phishing para empresas: diseño, ejecución e informe de métricas

Contenido relacionado

• Cómo diseñar un programa de concienciación para empleados
• Es legal simular phishing a los empleados: RGPD y resultados agregados
• Qué hacer si un empleado cae en un phishing
• Sesiones de concienciación en ciberseguridad para empleados
• Implantación y certificación ISO 27001
• Adecuación a NIS2

Fuentes

• NIST — Phish Scale User Guide (Technical Note 2276, noviembre de 2023)
• Verizon — 2025 Data Breach Investigations Report: reporte y clic en simulaciones de phishing
• KnowBe4 — 2025 Phishing by Industry Benchmarking Report
• Microsoft Learn — Política de entrega avanzada para simulaciones de phishing de terceros

Diseñar una campaña de phishing con métricas comparables