--- title: "PCI, CISA y NIST: phishing vs vishing en control | Whalemate" description: "El cruce entre PCI DSS, NIST, CISA y CTIR muestra que phishing y vishing no se gestionan igual. Cambian métricas, controles y decisiones de cumplimiento." url: https://www.whalemate.com/recursos/blog/pci-cisa-nist-phishing-vs/ lang: es updated: 2026-10-28 alternates: en: https://www.whalemate.com/en/resources/blog/pci-cisa-nist-phishing/ pt-BR: https://www.whalemate.com/br/recursos/blog/pci-cisa-nist-phishing-vs/ index: https://www.whalemate.com/llms.txt --- [Volver al blog](https://www.whalemate.com/recursos/blog/) Blog # PCI, CISA y NIST: phishing vs vishing en control El cruce entre PCI DSS, NIST, CISA y CTIR muestra que phishing y vishing no se gestionan igual. Cambian métricas, controles y decisiones de cumplimiento. 28 de oct de 2026 Por [Federico Hombre](https://www.whalemate.com/recursos/blog/autor/federico-hombre/) 11 min de lectura [Concientización](https://www.whalemate.com/recursos/blog/tema/concientizacion/) ![PCI, CISA y NIST: phishing vs vishing en control](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/pci-cisa-nist-phishing-vs.webp) En este artículo 1. [Qué aparece cuando se cruzan las fuentes](#s1) 2. [¿Por qué el error habitual es tratarlo como dos canales equivalentes?](#s2) 3. [¿Qué cambia de verdad entre phishing y vishing al medir riesgo?](#s3) 4. [¿Qué exige PCI DSS y por qué eso rompe el enfoque de awareness único?](#s4) 5. [¿Qué pasa cuando la evidencia pone en duda la eficacia de la capacitación sola?](#s5) 6. [¿CISA pide seguir entrenando aunque la evidencia sea modesta?](#s6) 7. [¿Qué métricas quedan cortas cuando solo se mira clics?](#s7) 8. [¿Qué debería medirse en vishing si no hay enlaces ni adjuntos?](#s8) 9. [¿Qué lugar tiene el reporte temprano en ambos escenarios?](#s9) 10. [¿Por qué la prioridad técnica sigue siendo MFA resistente al phishing?](#s10) 11. [¿Qué dice el volumen de incidentes sobre la decisión de inversión?](#s11) 12. [¿Qué falla en la práctica habitual de programas regionales?](#s12) 13. [¿Qué implica esto mañana para CISO, IT y compliance en LATAM?](#s13) 14. [¿Qué leer después?](#s14) Phishing vs vishing no es una comparación útil si se la reduce a email contra voz. El cruce entre PCI DSS, NIST CSF 2.0, CISA, CTIR Gov Brasil y la evidencia empírica muestra algo más incómodo: para phishing hay exigencias explícitas de [controles técnicos automatizados](https://listings.pcisecuritystandards.org/documents/PCI-DSS-v4-0-SAQ-D-Merchant.pdf) separadas de la capacitación, mientras que para vishing predominan reconocimiento de señales, validación por canal alternativo y escalamiento. Esa asimetría vuelve insuficiente [medir solo clics](https://www.whalemate.com/recursos/blog/cisa-nist-cis-phishing-exige/) o completar un curso anual. ## Qué aparece cuando se cruzan las fuentes Ninguna fuente del material arma sola este mapa. Puestas lado a lado, muestran que phishing y vishing comparten la base de ingeniería social, pero no dejan el mismo rastro observable, no activan los mismos controles y no deberían auditarse con el mismo tablero. | Norma o guía | Canal | Qué se observa | Control principal | Qué exige | Reporte | Fuente | | --- | --- | --- | --- | --- | --- | --- | | PCI DSS v4.0 Requirement 5.4.1 | phishing | no especificado | procesos y mecanismos automatizados | "Processes and automated mechanisms are in place to detect and protect personnel against phishing attacks." | no especificado | PCI Security Standards Council | | PCI DSS v4.0 Requirement 12.6.3.1 | phishing y ataques relacionados, ingeniería social | amenazas y vulnerabilidades que podrían afectar la CDE | capacitación de concientización | la capacitación debe incluir conciencia sobre "Phishing and related attacks" y "Social engineering" | no especificado | PCI Security Standards Council | | NIST CSF 2.0 PR.AT-01 | ingeniería social y otros ataques comunes | reconocimiento de intentos y actividades sospechosas | concientización y entrenamiento | el personal debe recibir concientización y entrenamiento, incluye reconocer intentos de ingeniería social y reportar ataques y actividades sospechosas, según NIST | sí | NIST | | CTIR Gov Brasil Recomendação 04/2025 | vishing | caller ID falsificado, solicitudes de confirmar identidad o token, pedidos de instalar AnyDesk o TeamViewer, urgencia o amenaza | campañas de reconocimiento de canales oficiales y capacitación | reforzar canales oficiales y capacitar a usuarios para reconocer intentos de vishing, según CTIR Gov Brasil | no especificado | CTIR Gov Brasil | | CTIR Gov Brasil Recomendação 01/2019 | phishing o compromiso de credenciales | sospecha de phishing o compromiso de credenciales | notificación al equipo interno | notificar inmediatamente al equipo de incidentes, seguridad o soporte de TI, según CTIR Gov Brasil | sí | CTIR Gov Brasil | | LNCC Brasil A.6.3 | correos, SMS y llamadas fraudulentas, phishing, vishing y smishing | identificación de fraudes, verificación del remitente, nuevas tácticas de ataque | conscientización, educación y entrenamiento | incluye contenidos sobre correos, SMS y llamadas fraudulentas, verificación del remitente y reporte de intentos de fraude, según LNCC | sí | LNCC Brasil | | CISA Phishing Guidance y Scattered Spider | phishing, también vishing y spearphishing | no especificado | MFA resistente al phishing y capacitación diligente | recomienda FIDO/WebAuthn o MFA basada en PKI, y continuar la capacitación contra vishing y spearphishing, según CISA | no especificado | CISA | ## ¿Por qué el error habitual es tratarlo como dos canales equivalentes? CISA define phishing como una forma de ingeniería social que usa correos electrónicos o sitios web maliciosos para solicitar información personal, y define vishing como el enfoque de ingeniería social que utiliza comunicaciones de voz. Si uno se queda solo con esa separación, la lectura operativa parece simple, email por un lado, llamadas por otro. Pero NIST complica esa clasificación al señalar que el phishing [no se limita](https://www.nist.gov/itl/smallbusinesscyber/guidance-topic/phishing) al correo electrónico y también puede llegar por mensajes de texto, llamadas telefónicas, redes sociales o correo postal. La lectura de Whalemate es que el problema no se ordena bien por canal puro, sino por señales observables y por el tipo de control que cada escenario admite. Esa diferencia es la que termina impactando en cumplimiento, métricas y presupuesto. ## ¿Qué cambia de verdad entre phishing y vishing al medir riesgo? En phishing hay trazas más estructuradas para observar. El material indica que se puede medir enlaces, adjuntos, dominios, entrega y credenciales, y la guía de CISA, NSA, FBI y MS-ISAC separa dos tácticas comunes, robo de credenciales mediante sitio impostor y despliegue de malware mediante adjunto malicioso. En vishing, las señales son otras. Según CTIR Gov Brasil, hay que observar caller ID falsificado, pedidos de confirmar identidad o token, solicitudes de instalar AnyDesk o TeamViewer y discursos de urgencia o amenaza. La lectura de Whalemate es que si un programa usa el mismo indicador para ambos, por ejemplo tasa de clic, deja directamente afuera el comportamiento que más importa en voz. ## ¿Qué exige PCI DSS y por qué eso rompe el enfoque de awareness único? PCI DSS v4.0 Requirement 5.4.1 exige que existan procesos y mecanismos automatizados para detectar y proteger al personal contra ataques de phishing, según el PCI Security Standards Council. El mismo estándar, en Requirement 12.6.3.1, exige que la capacitación incluya conciencia sobre "Phishing and related attacks" y "Social engineering", también según el PCI Security Standards Council. La tensión no es menor. PCI DSS distingue explícitamente entre mecanismo técnico y capacitación, y cumplir uno no equivale a cumplir el otro, según el propio material del estándar. La lectura de Whalemate es que muchas organizaciones en LATAM presentan campañas de awareness como si cubrieran ambos frentes, pero ese enfoque deja un hueco de cumplimiento frente a phishing y no dice casi nada sobre vishing. ## ¿Qué pasa cuando la evidencia pone en duda la eficacia de la capacitación sola? La separación de PCI DSS se vuelve más relevante cuando se la cruza con la evidencia empírica. Una reproducción de gran escala publicada en 2025 no encontró efectos principales significativos de las intervenciones de capacitación ni sobre la tasa de clic, p=0,450, ni sobre la tasa de reporte, p=0,417, con tamaños de efecto insignificantes, según el estudio académico en arXiv. La lectura de Whalemate es que esto no invalida entrenar, pero sí invalida usar la capacitación como argumento único de reducción de riesgo. Si además el estándar ya exige una capa técnica separada para phishing, insistir solo con awareness no solo puede rendir poco, también puede dejar a compliance sin evidencia suficiente de control. ## ¿CISA pide seguir entrenando aunque la evidencia sea modesta? Sí. CISA recomienda que las organizaciones continúen realizando capacitación diligente de empleados contra vishing y spearphishing, además de implementar MFA resistente al phishing, según su guía sobre Scattered Spider. Ese "además de" importa más que la recomendación aislada. La tensión aparece cuando se la cruza con un informe asociado a NIST. Ese informe encontró una mejora estadística pequeña, 2% menos propensión a caer en phishing entre quienes recibieron capacitación, y además observó que la capacitación estática no mostró beneficio, mientras que la interactiva volvió a las personas 20% menos propensas a fallar simulaciones futuras, según NIST Public Safety Communications Research. La lectura de Whalemate es que la pregunta no es si entrenar o no, sino qué tipo de entrenamiento justifica inversión y con qué controles se combina. ## ¿Qué métricas quedan cortas cuando solo se mira clics? Los propios benchmarks del material muestran por qué clic no alcanza. El 2025 Phishing Simulation Benchmark Report de Fortra, basado en 13,9 millones de destinatarios y 7.504 campañas de clientes, informó 5,42% de tasa de clic, 1,99% de envío de contraseñas y 10,50% de tasa de reporte. El mismo informe advierte que una tasa de reporte de 10,5% no debe celebrarse automáticamente y que una tasa de clic de 5,42% o de envío de contraseñas de 1,99% no son necesariamente razonables solo por ser bajas, según Fortra. La lectura de Whalemate es que el tablero tiene que medir secuencia y no un evento suelto. Para phishing, el valor está en ver entrega, interacción, envío de credenciales, reporte, tiempo hasta reportar y escalamiento. Para vishing, la lógica cambia todavía más, porque ni clic ni entrega describen bien el riesgo real de una llamada fraudulenta. Whalemate ¿Querés ver Whalemate en tu organización? Agendá una demo. Vemos cómo quedan las simulaciones de correo y QRishing en tu equipo, y qué puede decidir CISO, IT o compliance a partir de eso. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Qué debería medirse en vishing si no hay enlaces ni adjuntos? CTIR Gov Brasil ofrece señales concretas que pueden transformarse en métricas operativas. Su Recomendação 04/2025 identifica caller ID falsificado, pedidos de confirmar identidad o token, instalación de AnyDesk o TeamViewer y discursos de urgencia o amenaza como indicadores de vishing. La lectura de Whalemate es que esto habilita un tablero distinto. En vishing conviene medir reconocimiento de caller ID falsificado, proporción de usuarios que aceptan o rechazan [pedidos de token](https://www.whalemate.com/recursos/blog/smishing-vishing-medir-pci-dss/), intentos de instalación remota, validación fuera de banda y tiempo de escalamiento al equipo de incidentes. Si esas métricas no existen, el programa no está viendo el canal, apenas lo nombra. ## ¿Qué lugar tiene el reporte temprano en ambos escenarios? NIST CSF 2.0 PR.AT-01 incluye como ejemplo que los usuarios sean entrenados para reconocer intentos de ingeniería social y [reportar ataques](https://www.whalemate.com/recursos/blog/nist-cis-medir-social-engineering/) y actividades sospechosas, según los ejemplos de implementación de NIST. CIS Control 14.6 identifica como práctica separada capacitar a la fuerza laboral para reconocer y reportar incidentes de seguridad, lo que permite medir reporte además de clic o entrega de credenciales, según el Center for Internet Security. El material regional refuerza esa lectura. CTIR Gov Brasil indica que, ante sospecha de phishing o compromiso de credenciales, se debe notificar inmediatamente al equipo de incidentes, seguridad o soporte de TI. La lectura de Whalemate es que reporte y escalamiento no son métricas secundarias, son la variable que conecta awareness con respuesta real. ## ¿Por qué la prioridad técnica sigue siendo MFA resistente al phishing? CISA recomienda implementar FIDO o MFA basada en PKI y describe estas formas como resistentes al phishing. También recomienda exigir MFA resistente al phishing especialmente para correo web, VPN y cuentas que acceden a sistemas críticos, según CISA. La urgencia técnica se entiende mejor con dos datos del material. Google evaluó 14 tipos de desafíos de inicio de sesión frente a [más de 350.000 intentos](https://research.google/pubs/evaluating-login-challenges-as-a-defense-against-account-takeover/) reales de secuestro de cuentas y encontró que los desafíos basados en conocimiento bloquearon solo 10% de los intentos derivados de phishing, mientras que los desafíos basados en dispositivos bloquearon más de 94%, según Google Research. A la vez, CISA advierte que las notificaciones push sin coincidencia de número pueden permitir ataques de fatiga y que atacantes pueden lograr transferencias del número telefónico para recibir códigos MFA por SMS o llamada. La lectura de Whalemate es que no toda MFA reduce el riesgo de la misma forma, y parte del problema de vishing aparece justamente en la explotación del canal telefónico alrededor de la autenticación. ## ¿Qué dice el volumen de incidentes sobre la decisión de inversión? El FBI informó que IC3 recibió 859.532 denuncias de delitos de internet en 2024 y pérdidas superiores a US$16.000 millones, con un aumento del 33% respecto de 2023. Según el FBI, phishing y spoofing estuvo entre los tres ciberdelitos con más denuncias en 2024. El panorama de actividad también sostiene que no se trata de un riesgo marginal. APWG observó 853.244 ataques de phishing en el cuarto trimestre de 2025 y 3,8 millones de ataques durante 2025, frente a 3,76 millones en 2024. La lectura de Whalemate es que, con este volumen, la decisión de no separar métricas y controles por modalidad ya no es una simplificación aceptable, es una renuncia a visibilidad. ## ¿Qué falla en la práctica habitual de programas regionales? Falla el supuesto de que un curso anual, una simulación de email y una métrica de clic describen el riesgo humano completo. Verizon reporta que la participación humana en las brechas de seguridad se mantuvo aproximadamente en 60%, y además describe la ingeniería social como una categoría de incidentes liderada por phishing y pretexting, según el 2025 Data Breach Investigations Report. La lectura de Whalemate es que el problema práctico no es falta de campañas, sino exceso de homogeneidad. Cuando phishing y vishing se meten en un mismo paquete de awareness genérico, el programa no demuestra cumplimiento técnico donde el estándar lo pide, no observa señales específicas de voz donde el ataque ocurre y no prioriza accesos críticos con controles resistentes al phishing. ## ¿Qué implica esto mañana para CISO, IT y compliance en LATAM? La decisión operativa es separar dos capas de gestión. Para phishing, el programa tiene que demostrar controles técnicos y automatizados, más medición de entrega, interacción, envío de credenciales, reporte, tiempo hasta reportar y adopción de MFA resistente al phishing en correo web, VPN y accesos críticos, según PCI DSS v4.0, CISA y Google Research. Para vishing, el programa tiene que medir reconocimiento de caller ID falsificado, pedidos de token, pedidos de instalación remota, validación por canal alternativo y escalamiento inmediato, según CTIR Gov Brasil. Para compliance, esto cambia qué evidencia pedir y auditar. Para IT, cambia qué controles priorizar primero. Para un CISO, cambia qué riesgo puede afirmar que está reduciendo de verdad y cuál apenas está midiendo de forma incompleta. ## ¿Qué leer después? - [Concientización en la plataforma](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) - [Ingeniería social: NIST, CISA](https://www.whalemate.com/recursos/blog/nist-cisa-explain-social-engineering/) - [PCI DSS y phishing vs spam en LATAM](https://www.whalemate.com/recursos/blog/pci-dss-phishing-vs-spam/) [Ver la guía completa del tema](https://www.whalemate.com/plataforma/simulaciones-avanzadas/) Preguntas ## Preguntas frecuentes **¿Phishing y vishing se pueden cubrir con el mismo programa de awareness?** No del todo. Según PCI DSS v4.0, phishing requiere una capa técnica separada de la capacitación, mientras que para vishing el material disponible enfatiza reconocimiento de señales, validación por canal alternativo y escalamiento, según CTIR Gov Brasil. Un único programa genérico puede servir como base, pero no cubre igual cumplimiento, visibilidad ni respuesta. **¿Qué métrica debería reemplazar a la tasa de clic como indicador principal?** No hay una sola métrica que reemplace clic. Según NIST CSF 2.0, CTIR Gov Brasil y CIS Control 14.6, conviene medir reporte y escalamiento además de interacción. Para phishing, sumar envío de credenciales y tiempo hasta reportar. Para vishing, medir validación fuera de banda, pedidos de token, instalación remota y reconocimiento de caller ID falsificado. **¿La capacitación sigue teniendo sentido si algunos estudios muestran poco efecto?** Sí, pero no como única defensa ni en cualquier formato. Un informe asociado a NIST encontró una mejora pequeña general y mejor resultado en capacitación interactiva, mientras una reproducción de gran escala en 2025 no halló efectos significativos sobre clic o reporte. La decisión razonable es entrenar, medir reporte y combinar con controles técnicos resistentes al phishing. **¿Qué control técnico debería priorizarse primero para accesos críticos?** Según CISA, la prioridad es MFA resistente al phishing, especialmente FIDO/WebAuthn o MFA basada en PKI, para correo web, VPN y cuentas con acceso a sistemas críticos. El estudio de Google Research refuerza esa prioridad al mostrar más de 94% de bloqueo con desafíos basados en dispositivos frente a 10% con desafíos basados en conocimiento. **¿Qué evidencia debería pedir compliance en una auditoría interna?** Compliance debería pedir evidencia separada por modalidad. Para phishing, pruebas de mecanismos técnicos y automatizados, cobertura de MFA resistente al phishing y métricas de reporte y escalamiento, según PCI DSS v4.0 y CISA. Para vishing, campañas específicas, guías de validación por canal alternativo, señales observadas y procedimiento de notificación inmediata, según CTIR Gov Brasil y NIST CSF 2.0. Whalemate ¿Este riesgo está en tu programa? Si el artículo describe algo que ya te pasó —o que el directorio te pide explicar— agendá una demo. [Agendar una demo](https://www.whalemate.com/demo/) ## ¿Le gustaría profundizar en este tema? Abra este artículo directamente en Claude o ChatGPT: haga preguntas, pida un resumen o explore ideas relacionadas. - [Abrir con Claude](https://claude.ai/new?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CPCI%2C%20CISA%20y%20NIST%3A%20phishing%20vs%20vishing%20en%20control%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) - [Abrir con ChatGPT](https://chatgpt.com/?q=Estoy%20leyendo%20un%20art%C3%ADculo%20de%20Whalemate%20titulado%20%E2%80%9CPCI%2C%20CISA%20y%20NIST%3A%20phishing%20vs%20vishing%20en%20control%E2%80%9D.%20Explicame%20las%20ideas%20clave%20y%20qu%C3%A9%20deber%C3%ADa%20hacer%20un%20equipo%20de%20IT%20o%20un%20CISO.%20Respond%C3%A9%20en%20espa%C3%B1ol%2C%20de%20forma%20clara%20y%20accionable.) En este artículo 1. [Qué aparece cuando se cruzan las fuentes](#s1) 2. [¿Por qué el error habitual es tratarlo como dos canales equivalentes?](#s2) 3. [¿Qué cambia de verdad entre phishing y vishing al medir riesgo?](#s3) 4. [¿Qué exige PCI DSS y por qué eso rompe el enfoque de awareness único?](#s4) 5. [¿Qué pasa cuando la evidencia pone en duda la eficacia de la capacitación sola?](#s5) 6. [¿CISA pide seguir entrenando aunque la evidencia sea modesta?](#s6) 7. [¿Qué métricas quedan cortas cuando solo se mira clics?](#s7) 8. [¿Qué debería medirse en vishing si no hay enlaces ni adjuntos?](#s8) 9. [¿Qué lugar tiene el reporte temprano en ambos escenarios?](#s9) 10. [¿Por qué la prioridad técnica sigue siendo MFA resistente al phishing?](#s10) 11. [¿Qué dice el volumen de incidentes sobre la decisión de inversión?](#s11) 12. [¿Qué falla en la práctica habitual de programas regionales?](#s12) 13. [¿Qué implica esto mañana para CISO, IT y compliance en LATAM?](#s13) 14. [¿Qué leer después?](#s14) Whalemate ¿Este riesgo está en tu programa? [Agendar una demo](https://www.whalemate.com/demo/) ## Artículos relacionados [!\[Campaña de concientización, qué exige y qué mide\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/campana-concientizacion-exige-mide.webp)](https://www.whalemate.com/recursos/blog/campana-concientizacion-exige-mide/) Concientización 30 de oct de 2026 Por Federico Hombre ### Campaña de concientización, qué exige y qué mide ISO, PCI DSS, CIS, NIST, ENISA y California no piden lo mismo. El cruce muestra qué medir, qué evidencia guardar y qué decisión habilita. Leer más [!\[LATAM: qué evaluar en plataformas de awareness\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/latam-evaluar-plataformas-awareness.webp)](https://www.whalemate.com/recursos/blog/latam-evaluar-plataformas-awareness/) Concientización 29 de oct de 2026 Por Federico Hombre ### LATAM: qué evaluar en plataformas de awareness Para CISO, IT y compliance, una plataforma de awareness sirve para medir, segmentar y auditar conducta, no solo para dar cursos. Leer más [!\[Phishing vs spear phishing, qué cambia para CISO\](https://lvaxvhnlaeradaprhyqy.supabase.co/storage/v1/object/public/editorial/blog-covers/phishing-vs-spear-phishing-cambia.webp)](https://www.whalemate.com/recursos/blog/phishing-vs-spear-phishing-cambia/) Concientización 27 de oct de 2026 Por Federico Hombre ### Phishing vs spear phishing, qué cambia para CISO La diferencia habilita métricas y controles distintos. Para decidir bien, no alcanza con medir clics ni con un curso anual. Leer más [Ver todos los artículos](https://www.whalemate.com/recursos/blog/)