El impacto psicológico del phishing con IA: más allá de la tasa de clic

Una tasa de clic baja en las simulaciones de phishing no significa necesariamente un riesgo humano bajo. El phishing con IA puede influir en cómo los colaboradores evalúan una petición, verifican una identidad, reportan una actividad sospechosa o confían en comunicaciones legítimas. Y eso genera riesgo de negocio incluso cuando no se comprometen credenciales.

La IA generativa está haciendo que las amenazas de phishing sean más contextuales, personalizadas y escalables. Para evaluar correctamente los riesgos del phishing con IA, los CISOs necesitan mirar más allá de resultados cuantitativos como los clics, la entrega de credenciales, la apertura de archivos adjuntos o los reportes.

El impacto psicológico de los ciberataques también se manifiesta en señales menos visibles: dudas, confianza mal depositada, estrés, hábitos de verificación, predisposición a reportar y seguridad a la hora de tomar decisiones sensibles.

Esta distinción importa porque el riesgo humano es riesgo de negocio. La probabilidad por sí sola no determina el riesgo; también importa el impacto potencial sobre la confidencialidad, integridad y disponibilidad. Una gestión del riesgo humano eficaz necesita, por tanto, métricas de cultura de ciberseguridad capaces de revelar comportamientos e impacto de negocio, no solo tasas de clic.

Por qué el phishing con IA tiene un impacto psicológico diferente

El phishing con IA no reinventa la ingeniería social; hace que los desencadenantes psicológicos tradicionales sean más difíciles de reconocer. Al generar mensajes más contextuales, personalizados y creíbles a gran escala, la IA puede reducir las señales que tradicionalmente ayudaban a detectar el engaño y aumentar el impacto psicológico de los ciberataques sobre la toma de decisiones.

La hiperpersonalización aumenta la percepción de legitimidad

La IA generativa puede reproducir el lenguaje de una organización, utilizar terminología específica de cada puesto y crear peticiones de negocio plausibles. Un mensaje fraudulento que hace referencia a un proyecto, proveedor o proceso real se parece mucho más a una comunicación cotidiana.

Esta evolución hacia la suplantación generada por IA no convierte el engaño en infalible. Hace que resulte más difícil determinar la legitimidad de una comunicación a partir de señales superficiales.

La autoridad, la urgencia y la familiaridad son más fáciles de reproducir

Los riesgos del phishing con IA aumentan cuando la personalización refuerza atajos mentales conocidos: autoridad, urgencia, familiaridad, prueba social o reciprocidad. Un atacante puede hacerse pasar por un directivo que solicita un pago urgente, un proveedor que cambia sus datos bancarios o un compañero que pide información sensible.

La consecuencia para la seguridad no es simplemente una mayor probabilidad de hacer clic. El atacante intenta manipular la propia decisión.

La carga cognitiva dificulta tomar buenas decisiones

Los colaboradores rara vez evalúan mensajes sospechosos de forma aislada. Lo hacen entre reuniones, plazos, notificaciones y otras tareas que compiten por su atención.

Las investigaciones de NIST sobre ciberseguridad centrada en las personas identifican la sobrecarga cognitiva, las limitaciones de la memoria de trabajo y la presión temporal como factores capaces de perjudicar la toma de decisiones en ciberseguridad. Esto refuerza el análisis de Kymatio sobre la relación entre estrés digital y errores en ciberseguridad.

Por tanto, la susceptibilidad al phishing con IA debe tratarse como una variable contextual de riesgo humano, no como un fallo individual.

El coste oculto del phishing con IA: la erosión de la confianza en la organización

El impacto psicológico del phishing con IA puede persistir incluso cuando no se produce una brecha de seguridad. La exposición repetida a engaños creíbles puede hacer que los colaboradores desconfíen de comunicaciones legítimas, duden antes de realizar acciones rutinarias o se vuelvan insensibles ante peticiones sospechosas. El resultado puede ser tanto fricción operativa como un aumento del riesgo humano.

Cuando los mensajes legítimos empiezan a parecer sospechosos

Un escepticismo saludable contribuye a la seguridad. La desconfianza generalizada, no.

Un colaborador que tiene dificultades para distinguir una comunicación legítima de una suplantación generada mediante IA puede retrasar una aprobación urgente, ignorar un mensaje de RR. HH. o generar cuellos de botella al verificar solicitudes de proveedores.

El riesgo aumenta cuando el fraude potenciado por IA se dirige contra la alta dirección, porque los atacantes pueden explotar voces conocidas, roles dentro de la organización y la autoridad percibida. Los ataques de vishing y fraude dirigido contra altos ejecutivos muestran por qué la identidad y la autoridad se han convertido en elementos especialmente sensibles.

Fatiga de seguridad y la sensación de que «todo podría ser falso»

Las investigaciones de NIST sobre la fatiga de seguridad han identificado consecuencias como resignación, pérdida de control, minimización del riesgo y evitación de decisiones.

Los procesos de seguridad deben favorecer una verificación fiable sin generar una sospecha generalizada. La ambigüedad constante, combinada con el estrés digital y los errores en ciberseguridad, puede aumentar la fatiga de seguridad y romper ese equilibrio.

La paradoja del reporte

Un engaño convincente genera un segundo problema después de la interacción inicial: la vergüenza o el miedo a ser culpabilizado pueden retrasar el reporte.

Las métricas de cultura de ciberseguridad deberían medir, por tanto, con qué rapidez reportan los colaboradores un posible error, no solo si consiguen evitarlo. Una cultura en la que sea seguro reportar un error cuanto antes proporciona a los equipos de seguridad más tiempo para contenerlo antes de que se convierta en un incidente con impacto para el negocio.

Por qué la tasa de clic no permite medir la cultura de ciberseguridad

¿Por qué la tasa de clic en phishing no es suficiente para medir la cultura de ciberseguridad? Porque mide una única acción observable. Las métricas de cultura de ciberseguridad también deben mostrar si los colaboradores reconocen la manipulación, verifican peticiones inusuales, reportan rápidamente las amenazas, reaccionan correctamente después de un error y mejoran su comportamiento con el tiempo.

Un clic es un evento, no un perfil de riesgo completo

Dos colaboradores pueden hacer clic en el mismo señuelo y representar niveles de riesgo de negocio muy diferentes. Piensa en un colaborador con acceso limitado que hace clic y reporta inmediatamente el mensaje frente a un directivo de finanzas que entrega sus credenciales y además tiene autoridad para aprobar pagos.

En la práctica, dos resultados idénticos de una simulación pueden representar niveles de riesgo humano muy distintos cuando se tienen en cuenta el rol, el nivel de acceso, el comportamiento de reporte y el impacto potencial para el negocio. El clic puede representar el mismo evento de probabilidad, pero no representa el mismo riesgo de negocio.

Las métricas de vanidad pueden ocultar el riesgo de comportamiento

Las tasas de clic, los porcentajes de finalización y los resultados de aprobado/suspenso de una campaña son fáciles de comunicar, pero pueden convertirse en métricas de vanidad cuando se separan de las métricas de comportamiento que muestran cómo responden realmente los colaboradores ante las amenazas.

Este enfoque coincide con la perspectiva conductual de ENISA sobre la cultura de ciberseguridad, que incorpora disciplinas como la psicología, la sociología y la economía del comportamiento.

Mide la evolución, no un resultado aislado

Los benchmarks de phishing por sector son referencias útiles para comparar tasas de clic, pero no permiten medir la cultura de ciberseguridad ni sustituir un modelo contextual de riesgo humano.

Los KPIs y cuadros de mando de riesgo humano deberían analizar cómo evolucionan las decisiones de seguridad: ¿se reportan antes los incidentes? ¿Mejoran los equipos con mayor impacto potencial? ¿Siguen funcionando repetidamente las mismas técnicas de manipulación?

Las métricas de cultura de ciberseguridad eficaces revelan cambios en la toma de decisiones y en la exposición del negocio, no simplemente si alguien hizo clic.

Métricas de cultura de ciberseguridad para detectar el riesgo del phishing con IA

Las métricas de cultura de ciberseguridad más útiles muestran si los colaboradores toman decisiones más seguras, no simplemente si evitan hacer clic. Combina el reporte, la verificación, la calidad de la detección y la mejora del comportamiento para determinar si tu organización está aumentando su resiliencia frente a los riesgos del phishing con IA.

1. Comportamiento de reporte

Mide la tasa de reporte de phishing y el tiempo transcurrido hasta el reporte, pero también si los colaboradores avisan antes o después de interactuar con un mensaje sospechoso. Los falsos positivos también aportan contexto útil.

Reportar rápidamente después de cometer un error no debería contabilizarse automáticamente como un fracaso. Una escalada rápida es en sí misma una señal de resiliencia, porque proporciona al equipo de seguridad una oportunidad más temprana para contener una posible exposición.

2. Comportamiento de verificación

Mide si los colaboradores verifican de manera independiente las peticiones inusuales relacionadas con pagos, credenciales, información sensible o privilegios de acceso.

La verificación por un canal alternativo —utilizando un medio de confianza en lugar de responder a la comunicación sospechosa— es una métrica de comportamiento especialmente valiosa y un indicador relevante de riesgo humano.

3. Calidad de la detección

No reduzcas la calidad de la detección a «hizo clic/no hizo clic». Identifica qué señales de manipulación reconocen los colaboradores y qué desencadenantes psicológicos siguen funcionando de manera repetida.

Esto proporciona información mucho más útil sobre el impacto psicológico de los ciberataques que una media global de toda la organización.

4. Recuperación y mejora del comportamiento

Las recomendaciones de ENISA sobre concienciación en ciberseguridad plantean la medición periódica del comportamiento en lugar de tratar la concienciación como una actividad puntual.

Analiza si los colaboradores toman decisiones más seguras después de las evaluaciones, las simulaciones de ataques y las acciones de concienciación dirigidas, y comprueba si esas mejoras se mantienen con el tiempo. Segmenta las tendencias por rol o departamento cuando el impacto potencial para el negocio lo justifique.

Una metodología práctica para calcular el riesgo humano puede conectar estas señales con su contexto de riesgo, mientras que un plan de simulaciones de phishing orientado a NIS2 y al retorno de la inversión permite convertir los resultados en información útil para la gestión. El objetivo es conseguir un cambio de comportamiento medible, no simplemente mejorar las estadísticas de una campaña.

De las métricas de phishing con IA a la gestión del riesgo humano bajo NIS2

Para las organizaciones incluidas en el ámbito de aplicación de NIS2, medir el comportamiento humano debería servir para tomar decisiones de gestión del riesgo de ciberseguridad y aportar evidencias de una supervisión continuada, no simplemente para generar mejores estadísticas de campaña.

El objetivo es convertir los riesgos del phishing con IA en riesgo de negocio medible que la dirección pueda priorizar, mitigar y revisar.

1. Mide: traduce el comportamiento a riesgo de negocio

Un señuelo de phishing con IA que funciona contra un colaborador con acceso privilegiado, autoridad para aprobar pagos o acceso a información sensible puede tener consecuencias para el negocio mucho más graves que la misma respuesta en un rol de menor riesgo.

Las métricas de cultura de ciberseguridad necesitan contexto de negocio además de probabilidad.

2. Prioriza: convierte las simulaciones en evidencias

Las evaluaciones periódicas, las simulaciones de ataques, las acciones específicas de concienciación, la remediación y el seguimiento de tendencias crean un proceso de gestión trazable.

En conjunto, estos registros pueden aportar evidencias preparadas para una auditoría NIS2 y conectar los resultados de cada simulación con la monitorización continua del riesgo humano y la rendición de cuentas.

3. Evidencia: integra a la dirección en el entorno de control

Los artículos 20 y 21 de la Directiva NIS2 vinculan la gestión del riesgo de ciberseguridad con la aprobación y supervisión por parte de los órganos de dirección. NIS2 no prescribe un KPI específico de phishing.

Las evidencias de comportamiento y las métricas de cultura de ciberseguridad pueden ayudar a demostrar que los riesgos de ciberseguridad relacionados con las personas se identifican, abordan, monitorizan y revisan.

Esto importa porque NIS2 convierte la gobernanza de la ciberseguridad en una responsabilidad de la dirección, con implicaciones directas para los altos cargos.

Conclusión: trata el phishing con IA como riesgo humano, no como un problema de tasa de clic

Los riesgos del phishing con IA ponen de manifiesto un problema de medición que no podemos ignorar: el resultado de una campaña no equivale a una evaluación completa del riesgo humano.

Las organizaciones necesitan medir los cambios de comportamiento y la confianza, interpretar esas señales según su impacto para el negocio y construir una cultura de ciberseguridad orientada a la gestión del riesgo humano en la que se recompensen la verificación y el reporte rápido.

Una evaluación fiable del riesgo humano necesita más que métricas aisladas. Utiliza KPIs de riesgo humano y métricas de comportamiento relevantes para identificar patrones, grupos vulnerables y mejoras a lo largo del tiempo.

El enfoque de gestión del riesgo humano de Kymatio combina evaluación continua, concienciación personalizada, monitorización de credenciales expuestas y simulaciones de ataques sociales para evaluar, medir y mitigar el riesgo humano de forma proactiva.

El objetivo no es simplemente conseguir menos clics. Es tomar mejores decisiones de seguridad y reducir el riesgo de negocio. Descubre cómo la gestión del riesgo humano permite afrontar las amenazas aceleradas por la IA.

‍