Campañas controladas de phishing, llamadas y mensajería que miden cómo responden las personas y los procesos, con resultados por grupo y nunca por nombre.
La mayoría de las intrusiones siguen empezando por una persona: un correo electrónico convincente, una llamada de alguien que dice ser del soporte informático, un mensaje de un directivo que supuestamente está en una reunión. Los controles técnicos filtran una parte. El resto depende de si las personas reconocen el intento y de si el proceso les da una forma de avisar de él.
Realizamos campañas construidas como las construyen los atacantes reales, con cada escenario aprobado por usted de antemano, y medimos lo que importa: no solo quién hizo clic, sino quién avisó, con qué rapidez llegó el aviso al equipo de seguridad y qué hizo el equipo con él.
01Alcance
Qué ponemos a prueba
Phishing por correo electrónico: captura de credenciales, archivos adjuntos, enlaces
Campañas dirigidas a cargos con accesos elevados
Llamadas telefónicas al servicio de asistencia y a los empleados
Aplicaciones de mensajería y plataformas de colaboración
Autenticación multifactor: phishing en tiempo real y fatiga de notificaciones push, cuando se acuerde
Procedimientos del servicio de asistencia: verificación de la identidad antes de restablecer una contraseña o la MFA
Canal de aviso: si un aviso llega al equipo de seguridad y con qué rapidez
02Enfoque
Cómo se realiza el trabajo
01
Diseño de escenarios
Los escenarios se redactan y se aprueban uno a uno. Ningún escenario recurre a amenazas, a dificultades personales ni a la salud, y ninguno se dirige a cuentas o dispositivos privados.
02
Preparación
Los dominios y la infraestructura se preparan para la campaña. Usted decide si la prueba mide solo a las personas o a las personas junto con los filtros de correo.
03
Campaña
Los mensajes y las llamadas se envían por oleadas. Se informa de cada oleada al grupo de control de su organización.
04
Análisis
Los resultados se agregan por grupo y por escenario. El informe no contiene nombres ni datos que identifiquen a una persona.
Planificación, reglas de enfrentamiento y ejecución de las pruebas técnicas.
NIST
06Preguntas
Preguntas sobre este servicio
¿Aparecerán los empleados con su nombre en el informe?
No. Los resultados se presentan por grupo y por escenario. El objetivo es mejorar el proceso, no encontrar un culpable. Señalar a las personas destruye su disposición a avisar, y el aviso es el control más valioso que existe.
¿Es legal enviar correos de phishing a nuestros propios empleados?
Con la autorización del empleador y dentro de la legislación laboral y de protección de datos de su jurisdicción. En algunos países hay que consultar a los representantes de los trabajadores. Planteamos la cuestión durante la definición del alcance; la valoración jurídica la hacen sus abogados.
¿Recogen contraseñas reales?
No. Las credenciales introducidas no se almacenan ni se usan; la campaña solo registra que se ha producido un envío. Cuando la elusión de la MFA está incluida en el alcance, se demuestra en cuentas de prueba creadas para ello.
Una simulación de un adversario real, orientada a objetivos, contra personas, procesos y tecnología, para comprobar si un ataque se detectaría y se detendría.