Por 
Phishing vs vishing no es una comparación útil si se la reduce a email contra voz. El cruce entre PCI DSS, NIST CSF 2.0, CISA, CTIR Gov Brasil y la evidencia empírica muestra algo más incómodo: para phishing hay exigencias explícitas de controles técnicos automatizados separadas de la capacitación, mientras que para vishing predominan reconocimiento de señales, validación por canal alternativo y escalamiento. Esa asimetría vuelve insuficiente medir solo clics o completar un curso anual.
Qué aparece cuando se cruzan las fuentes
Ninguna fuente del material arma sola este mapa. Puestas lado a lado, muestran que phishing y vishing comparten la base de ingeniería social, pero no dejan el mismo rastro observable, no activan los mismos controles y no deberían auditarse con el mismo tablero.
| Norma o guía | Canal | Qué se observa | Control principal | Qué exige | Reporte | Fuente |
|---|---|---|---|---|---|---|
| PCI DSS v4.0 Requirement 5.4.1 | phishing | no especificado | procesos y mecanismos automatizados | "Processes and automated mechanisms are in place to detect and protect personnel against phishing attacks." | no especificado | PCI Security Standards Council |
| PCI DSS v4.0 Requirement 12.6.3.1 | phishing y ataques relacionados, ingeniería social | amenazas y vulnerabilidades que podrían afectar la CDE | capacitación de concientización | la capacitación debe incluir conciencia sobre "Phishing and related attacks" y "Social engineering" | no especificado | PCI Security Standards Council |
| NIST CSF 2.0 PR.AT-01 | ingeniería social y otros ataques comunes | reconocimiento de intentos y actividades sospechosas | concientización y entrenamiento | el personal debe recibir concientización y entrenamiento, incluye reconocer intentos de ingeniería social y reportar ataques y actividades sospechosas, según NIST | sí | NIST |
| CTIR Gov Brasil Recomendação 04/2025 | vishing | caller ID falsificado, solicitudes de confirmar identidad o token, pedidos de instalar AnyDesk o TeamViewer, urgencia o amenaza | campañas de reconocimiento de canales oficiales y capacitación | reforzar canales oficiales y capacitar a usuarios para reconocer intentos de vishing, según CTIR Gov Brasil | no especificado | CTIR Gov Brasil |
| CTIR Gov Brasil Recomendação 01/2019 | phishing o compromiso de credenciales | sospecha de phishing o compromiso de credenciales | notificación al equipo interno | notificar inmediatamente al equipo de incidentes, seguridad o soporte de TI, según CTIR Gov Brasil | sí | CTIR Gov Brasil |
| LNCC Brasil A.6.3 | correos, SMS y llamadas fraudulentas, phishing, vishing y smishing | identificación de fraudes, verificación del remitente, nuevas tácticas de ataque | conscientización, educación y entrenamiento | incluye contenidos sobre correos, SMS y llamadas fraudulentas, verificación del remitente y reporte de intentos de fraude, según LNCC | sí | LNCC Brasil |
| CISA Phishing Guidance y Scattered Spider | phishing, también vishing y spearphishing | no especificado | MFA resistente al phishing y capacitación diligente | recomienda FIDO/WebAuthn o MFA basada en PKI, y continuar la capacitación contra vishing y spearphishing, según CISA | no especificado | CISA |
¿Por qué el error habitual es tratarlo como dos canales equivalentes?
CISA define phishing como una forma de ingeniería social que usa correos electrónicos o sitios web maliciosos para solicitar información personal, y define vishing como el enfoque de ingeniería social que utiliza comunicaciones de voz. Si uno se queda solo con esa separación, la lectura operativa parece simple, email por un lado, llamadas por otro.
Pero NIST complica esa clasificación al señalar que el phishing no se limita al correo electrónico y también puede llegar por mensajes de texto, llamadas telefónicas, redes sociales o correo postal. La lectura de Whalemate es que el problema no se ordena bien por canal puro, sino por señales observables y por el tipo de control que cada escenario admite. Esa diferencia es la que termina impactando en cumplimiento, métricas y presupuesto.
¿Qué cambia de verdad entre phishing y vishing al medir riesgo?
En phishing hay trazas más estructuradas para observar. El material indica que se puede medir enlaces, adjuntos, dominios, entrega y credenciales, y la guía de CISA, NSA, FBI y MS-ISAC separa dos tácticas comunes, robo de credenciales mediante sitio impostor y despliegue de malware mediante adjunto malicioso.
En vishing, las señales son otras. Según CTIR Gov Brasil, hay que observar caller ID falsificado, pedidos de confirmar identidad o token, solicitudes de instalar AnyDesk o TeamViewer y discursos de urgencia o amenaza. La lectura de Whalemate es que si un programa usa el mismo indicador para ambos, por ejemplo tasa de clic, deja directamente afuera el comportamiento que más importa en voz.
¿Qué exige PCI DSS y por qué eso rompe el enfoque de awareness único?
PCI DSS v4.0 Requirement 5.4.1 exige que existan procesos y mecanismos automatizados para detectar y proteger al personal contra ataques de phishing, según el PCI Security Standards Council. El mismo estándar, en Requirement 12.6.3.1, exige que la capacitación incluya conciencia sobre "Phishing and related attacks" y "Social engineering", también según el PCI Security Standards Council.
La tensión no es menor. PCI DSS distingue explícitamente entre mecanismo técnico y capacitación, y cumplir uno no equivale a cumplir el otro, según el propio material del estándar. La lectura de Whalemate es que muchas organizaciones en LATAM presentan campañas de awareness como si cubrieran ambos frentes, pero ese enfoque deja un hueco de cumplimiento frente a phishing y no dice casi nada sobre vishing.
¿Qué pasa cuando la evidencia pone en duda la eficacia de la capacitación sola?
La separación de PCI DSS se vuelve más relevante cuando se la cruza con la evidencia empírica. Una reproducción de gran escala publicada en 2025 no encontró efectos principales significativos de las intervenciones de capacitación ni sobre la tasa de clic, p=0,450, ni sobre la tasa de reporte, p=0,417, con tamaños de efecto insignificantes, según el estudio académico en arXiv.
La lectura de Whalemate es que esto no invalida entrenar, pero sí invalida usar la capacitación como argumento único de reducción de riesgo. Si además el estándar ya exige una capa técnica separada para phishing, insistir solo con awareness no solo puede rendir poco, también puede dejar a compliance sin evidencia suficiente de control.
¿CISA pide seguir entrenando aunque la evidencia sea modesta?
Sí. CISA recomienda que las organizaciones continúen realizando capacitación diligente de empleados contra vishing y spearphishing, además de implementar MFA resistente al phishing, según su guía sobre Scattered Spider. Ese "además de" importa más que la recomendación aislada.
La tensión aparece cuando se la cruza con un informe asociado a NIST. Ese informe encontró una mejora estadística pequeña, 2% menos propensión a caer en phishing entre quienes recibieron capacitación, y además observó que la capacitación estática no mostró beneficio, mientras que la interactiva volvió a las personas 20% menos propensas a fallar simulaciones futuras, según NIST Public Safety Communications Research. La lectura de Whalemate es que la pregunta no es si entrenar o no, sino qué tipo de entrenamiento justifica inversión y con qué controles se combina.
¿Qué métricas quedan cortas cuando solo se mira clics?
Los propios benchmarks del material muestran por qué clic no alcanza. El 2025 Phishing Simulation Benchmark Report de Fortra, basado en 13,9 millones de destinatarios y 7.504 campañas de clientes, informó 5,42% de tasa de clic, 1,99% de envío de contraseñas y 10,50% de tasa de reporte. El mismo informe advierte que una tasa de reporte de 10,5% no debe celebrarse automáticamente y que una tasa de clic de 5,42% o de envío de contraseñas de 1,99% no son necesariamente razonables solo por ser bajas, según Fortra.
La lectura de Whalemate es que el tablero tiene que medir secuencia y no un evento suelto. Para phishing, el valor está en ver entrega, interacción, envío de credenciales, reporte, tiempo hasta reportar y escalamiento. Para vishing, la lógica cambia todavía más, porque ni clic ni entrega describen bien el riesgo real de una llamada fraudulenta.
