Phishing e ingeniería social
La tasa de clics es la métrica equivocada. Siempre habrá alguien que haga clic, y publicar una lista de quién lo hizo enseña a su plantilla a ocultarlo. El número que predice cómo irá un incidente real es cuánto tarda la primera persona en reportar el mensaje, y si ocurre algo cuando lo hace.
Qué incluye
- Elaboración de pretextos a partir de lo que es públicamente descubrible sobre usted
- Una lista de objetivos acordada, con exclusión de quien usted indique
- Infraestructura montada para el ejercicio y desmontada después
- Medición de entrega, interacción, envío de credenciales y reporte
- Página de destino sin carga útil, opcional, para concienciación en lugar de acceso
Qué recibe
- Tiempo hasta el primer reporte, que es la cifra principal
- Tasas de entrega e interacción en agregado, nunca una lista con nombres
- Qué detuvo su filtrado de correo y qué dejó pasar
- Qué pasó en la cola de seguridad cuando alguien sí lo reportó
- Recomendaciones de concienciación dirigidas al proceso, no a las personas
- Carta de atestación para auditores y clientes, a petición
- Atestación de corrección tras la reprueba, como documento independiente
Forma del proyecto
- Acotado caso por casoFijado por escrito antes de que empiecen las pruebas. De 1 a 3 semanas, incluida la ventana de reporteVentana habitual. Construida en torno a su fecha límite si la tiene. Cómo funcionan los precios
Reportado, no clicado
Le damos cifras agregadas y no entregamos una lista de quién hizo clic. Es una restricción deliberada y solo es negociable en la dirección de más privacidad, no de menos. La razón es práctica más que de principio: un ejercicio que produce una lista disciplinaria produce una plantilla que oculta el siguiente phishing real, que es exactamente el modo de fallo que usted intenta evitar.
Lo que sí medimos con precisión es la ruta de reporte. Cuánto tarda el primer aviso, por qué canal y qué pasó después. Una organización donde el cuarenta por ciento hace clic pero el primer reporte llega en noventa segundos y dispara una respuesta está mucho mejor que otra donde hace clic el cinco por ciento y nadie se lo cuenta a nadie.
Autorización y límites
Autorización por escrito de alguien que pueda concederla para las personas que se van a probar, una lista explícita de objetivos, una lista explícita de exclusiones y una ventana definida. Nada de pretextos que suplanten a un empleado real con nombre propio, a un regulador, a un proveedor médico ni nada que roce una emergencia personal auténtica. Ninguna recogida de credenciales más allá del hecho de que se envió una credencial: registramos que ocurrió, no cuál era.
De dónde sale la investigación
La calidad del pretexto marca la diferencia entre un ejercicio que enseña algo y uno que todo el mundo detecta. Construimos los pretextos a partir de lo que de verdad es descubrible sobre su organización, las mismas fuentes abiertas que usaría un atacante, lo cual es además un hallazgo en sí mismo cuando la superficie descubrible resulta ser mayor de lo esperado. Detrás de este trabajo hay investigación publicada sobre técnicas de phishing y abuso de infraestructura de confianza.
Preguntas
No, y es deliberado. Recibe tasas agregadas y una imagen detallada de la ruta de reporte. Nombrar a personas produce de forma fiable una plantilla que esconde el siguiente correo de phishing real, lo que le cuesta más de lo que el ejercicio aporta.
Pretextos realistas construidos con información abiertamente descubrible sobre su organización. Nunca suplantando a un empleado real con nombre propio, a un regulador, a un proveedor sanitario ni a una emergencia personal. Los límites quedan escritos en las reglas de enfrentamiento antes de que se envíe nada.
Registramos que se envió una credencial. No almacenamos la credencial en sí. La página de destino también puede configurarse sin ningún campo de credencial si el objetivo es la concienciación.
El pretexto telefónico puede acotarse allí donde sea legal en las jurisdicciones pertinentes y esté autorizado por escrito. La intrusión física no forma parte de este proyecto.
De forma individual, según el tamaño de la lista de objetivos, el número de pretextos y la duración de la ventana.
Acótela bien antes de comprarla.
Treinta minutos de llamada, un precio cerrado por escrito en 24 horas y una respuesta honesta si este no es el proyecto que necesita.