Calendario Anual de Campañas: Phishing, Smishing, Vishing y QRishing

Estamos en julio de 2025 y la fecha límite para la transposición de la Directiva NIS2 ya es historia. Con la responsabilidad de la alta dirección formalmente sobre la mesa, la gestión del riesgo humano digital ha dejado de ser una opción para convertirse en un imperativo estratégico. Las campañas de phishing aisladas y reactivas son una táctica del pasado, insuficientes para combatir un ecosistema de ataques de ingeniería social que evoluciona a diario.

La pregunta ya no es si necesitas un programa de concienciación, sino cómo hacerlo efectivo, medible y continuo. La solución reside en abandonar la improvisación para adoptar una arquitectura de defensa planificada.

Aquí es donde un calendario de phishing se convierte en tu mejor aliado. Este documento transforma tus campañas mensuales en un programa de entrenamiento dinámico y predecible contra ataques de ingeniería social. Este calendario es una hoja de ruta diseñada no solo para ayudarte a comprender el ciclo de tus campañas mensuales de simulación, sino también para anticipar y neutralizar amenazas tan avanzadas como el AI-phishing y el QRishing. Adoptar este enfoque proactivo es el primer paso para construir una cultura de ciberseguridad resiliente y demostrable.

Más Allá del Click: Beneficios de un Calendario Anual de Campañas de Phishing

Adoptar un calendario para tus campañas mensuales de phishing va mucho más allá de programar simulaciones. Planificar estas campañas mensuales es una decisión estratégica que aporta beneficios medibles y alinea la ciberseguridad con la dirección de la empresa.

Supera la «fatiga de la formación»

Los empleados se desconectan cuando reciben siempre el mismo tipo de charlas o cuestionarios generales. Un calendario te permite planificar la variedad: hoy un phishing clásico, el mes que viene una simulación de smishing (SMS) sobre paquetería, y el siguiente un intento de vishing (voz) suplantando al soporte técnico. Esta diversidad planificada en tus campañas mensuales es el antídoto contra la apatía, manteniendo la alerta activa frente a ataques de ingeniería social.

Mide la madurez, no solo el fallo

El éxito de un programa no reside en una tasa de clics baja, sino en una tasa de reporte alta. El objetivo no es cazar el error, sino cultivar y medir la madurez de tu organización. Un calendario anual te permite observar tendencias, identificar qué departamentos mejoran más rápido y demostrar un progreso tangible, alineado con las guías de prácticas de ciberhigiene y formación en seguridad que soportan NIS2.

Alinea la ciberseguridad con los objetivos de negocio

Una planificación de seguridad acertada se integra con la operativa y los objetivos del negocio. Simula amenazas de fraude al CEO justo antes de periodos vacacionales o campañas sobre facturas falsas durante el cierre fiscal del trimestre. Al conectar estos ejercicios de ataques de ingeniería social con el contexto real del departamento, la formación se vuelve relevante, práctica y mucho más efectiva.

Estructura de tu Calendario de Campañas Mensuales: Temario y Estacionalidad

Un calendario de phishing efectivo para tus campañas mensuales no es una lista aleatoria de ideas, sino un plan que aprovecha la estacionalidad para que las simulaciones de ataques de ingeniería social sean creíbles y pertinentes. La relevancia de la plantilla es directamente proporcional a su impacto formativo.

A continuación, te ofrecemos un modelo trimestral para estructurar tus campañas mensuales. Recuerda que estos son puntos de partida; la clave del éxito es adaptarlos a tu sector y cultura con un masterplan de simulación bien segmentado que defina objetivos claros para cada departamento.

Q1 (Ene-Mar): Impuestos, Revisiones Anuales y «Limpieza» Digital

El inicio del año está marcado por procesos administrativos y financieros, un momento ideal para lanzar campañas mensuales que pongan a prueba la cautela de tus equipos frente a ataques de ingeniería social.

• Temario y plantillas de phishing sugeridas:
  • Finanzas: Email falso de la Agencia Tributaria sobre una próxima inspección o una devolución de impuestos.
  • RRHH: Notificación para acceder a la nueva plataforma de evaluación de desempeño o para revisar los objetivos anuales.
  • IT: Alerta de seguridad que urge a un cambio inmediato de contraseña debido a una supuesta brecha.

Q2 (Abr-Jun): Cumplimiento, Viajes y Nuevas Herramientas

La primavera suele traer consigo la planificación de viajes de verano y la implementación de nuevos proyectos, creando nuevas oportunidades para los atacantes.

• Temario y plantillas de phishing sugeridas:
  • Legal/Todos: Comunicado sobre una actualización crítica de la política de privacidad (gancho GDPR y otras normativas) que requiere validación.
  • General: Falsa confirmación de una reserva de hotel o vuelo para un próximo viaje de empresa.
  • Departamentos específicos: Invitación del equipo de IT para ser de los primeros en probar un nuevo software corporativo.

Q3 (Jul-Sep): Periodo Estival y Baja Guardia

Con gran parte de la plantilla de vacaciones, los atacantes explotan la menor supervisión y la mayor urgencia en las comunicaciones.

• Temario y plantillas de phishing sugeridas:
  • Suplantación del CEO (CEO Fraud): Un email urgente del director (supuestamente desde su móvil en vacaciones) pidiendo una transferencia inmediata.
  • Smishing: Un SMS sobre un problema con la entrega de un paquete de compras personales realizadas en verano.
  • Vishing: Una llamada del «soporte técnico» ofreciendo ayuda proactiva a un empleado que trabaja en jornada intensiva.

Q4 (Oct-Dic): Cierre Fiscal, Consumo y Reportes

El final de año fusiona los picos de consumo con la presión de los cierres financieros, creando un escenario ideal para los ataques de ingeniería social que tu calendario de phishing debe anticipar.

• Temario y plantillas de phishing sugeridas:
  • QRishing: Un cartel en la zona de descanso de la oficina con un código QR que promete un descuento exclusivo para el Black Friday.
  • RRHH/Finanzas: Email con información sobre el bonus de fin de año, enlazando a un portal falso para «consultar los detalles».
  • Dirección: Solicitud de acceso compartido a una carpeta en la nube con los «resultados preliminares del cierre anual».

Todas estas tácticas son ejemplos de ataques de ingeniería social. Incluirlas en tus campañas mensuales y enmarcarlas en técnicas como Phishing (T1566) del framework MITRE ATT&CK permite a los equipos técnicos clasificar y reportar las simulaciones con un estándar reconocido.

Cómo Integrar Smishing, Vishing y QRishing en tus Campañas Mensuales

Un calendario de phishing moderno debe reflejar la realidad del panorama de amenazas: los atacantes ya no operan solo en la bandeja de entrada. Integrar campañas mensuales con diferentes vectores es fundamental para entrenar una respuesta robusta ante todo tipo de ataques de ingeniería social.

Smishing (SMS): La Urgencia en el Bolsillo

El SMS transmite una sensación de inmediatez y confianza que los atacantes aprovechan con gran eficacia. Su alta tasa de apertura lo convierte en el canal perfecto para simular alertas urgentes sobre entregas de paquetes, códigos de doble factor o avisos bancarios, una amenaza reconocida por autoridades como el INCIBE. El perímetro de seguridad ahora está en el bolsillo de cada empleado.

Vishing (Voz): El Poder de la Suplantación Humana

Una llamada telefónica puede saltarse cualquier filtro técnico de correo. El vishing, un sofisticado tipo de ataque de ingeniería social a menudo potenciado con IA para clonar voces, pone a prueba la capacidad del empleado para verificar la identidad antes de compartir información. Es ideal para simular llamadas del soporte de IT, de RRHH para confirmar datos o incluso de un proveedor clave pidiendo un cambio en la cuenta de pago. El vishing no prueba la agudeza visual, sino el escepticismo y la adhesión a los protocolos.

QRishing (QR): El Nuevo Vector Silencioso

El QRishing (fraude a través de códigos QR) conecta el mundo físico y el digital, aprovechando la confianza depositada en el entorno de la oficina o en eventos. Simula accesos a la red Wi-Fi de invitados, menús de cafetería fraudulentos o códigos de registro a un evento corporativo. Comprender las defensas contra estos ataques de ingeniería social avanzados es crucial para protegerse, y tu calendario debe incluirlos.

El Siguiente Paso: De la Planificación a la Ejecución y Medición

Un calendario de phishing es tu plano estratégico, pero el éxito depende directamente de la ejecución. Para que tus campañas mensuales generen un impacto real, necesitas una herramienta de simulación potente y, más importante aún, un partner tecnológico que te acompañe en el proceso.

La clave de tu calendario es pasar de la simple actividad a medir el comportamiento real frente a ataques de ingeniería social. Esto significa ir más allá de la tasa de clics y empezar a definir los KPIs correctos y medir el ROI de tu programa, como la tasa de reporte y el tiempo de detección. La elección del proveedor de phishing adecuado es una decisión crítica, por lo que es vital saber cómo validar a los proveedores de simulación de phishing en base a criterios técnicos y de servicio.

Entrena a tu equipo contra los ataques de ingeniería social más avanzados.