PCI DSS 12.6: vishing y smishing bajo alcance

Vishing y smishing, para CISO, IT y compliance en LATAM, no son solo dos etiquetas de phishing por voz y SMS. Cuando se cruzan sus definiciones operativas con PCI DSS 12.6, pasan a ser un problema de cumplimiento que exige un programa formal, actualizado y específico sobre phishing, social engineering y uso aceptable de tecnologías de usuario final. Y cuando ese cruce se compara con la evidencia de simulaciones y medición humana, la decisión ya no es dar un curso anual, sino medir susceptibilidad, dificultad y mejora sostenida con un enfoque de Human Risk Management.IC3 Coggno NIST Whalemate

Qué cambia al poner estas fuentes lado a lado

Miradas por separado, las fuentes explican definiciones, requisitos o métricas. Puestas juntas, muestran algo más incómodo, una organización puede cumplir con awareness en papel y seguir submidiendo su exposición real a voz, SMS y mensajería.Cisco Bait and Phish Proofpoint

¿Qué significan vishing y smishing cuando se miran como riesgo operativo?

La parte estable del consenso es el canal. El IC3 define smishing como targeting malicioso por SMS o MMS y vishing como targeting malicioso por voice memos o voz. Los mensajes de texto fraudulentos corresponden a smishing, las llamadas telefónicas fraudulentas corresponden a vishing y la distinción básica se basa en texto para smishing y voz para vishing sostienen la misma distinción básica, texto para smishing, llamadas o voz para vishing.

La lectura de Whalemate es que esa diferencia de canal no es un detalle taxonómico. Es la base para decidir qué vectores humanos entran en el programa, cómo se simulan y qué métricas se exigen por canal. Si el canal cambia, también cambian los controles humanos que conviene observar.Whalemate

¿Por qué dejarlo en una definición es insuficiente?

Las definiciones describen el fraude, pero no dicen cómo gobernarlo. Cisco pone el foco en llamadas o mensajes de voz fraudulentos para robar credenciales, números de tarjeta o datos bancarios, y en SMS que inducen clics o visitas a sitios falsos. Ambos usan ingeniería social para que la víctima entregue información sensible.

Para un CISO o compliance officer, el problema empieza cuando esa definición no se traduce en un inventario explícito de exposición. Si voz, SMS y mensajería quedan absorbidos dentro de la categoría genérica phishing, después no hay forma clara de pedir evidencias, diseñar pruebas o reportar avances específicos por vector.

¿Dónde entra PCI DSS 12.6 en esta discusión?

Entra en el punto en que awareness deja de ser una buena práctica y pasa a ser una obligación programática. El PCI Security Standards Council vincula su formación de awareness con el cumplimiento de Requirement 12.6. La formulación reproducida por SecurITM dice que debe implementarse un programa formal de security awareness para que todo el personal conozca la política y procedimientos de seguridad y su rol en proteger los datos.

La lectura de Whalemate es directa, si existe un programa formal exigido, vishing y smishing no pueden quedar como ejemplos marginales dentro de una charla anual. Tienen que estar mapeados como amenazas concretas dentro del alcance del programa, porque son formas de phishing y social engineering aplicadas a canales de usuario final.Whalemate

¿Qué exige PCI DSS 12.6.1 y qué decisión habilita?

El resumen de Bait and Phish para PCI DSS 12.6.1 es explícito, hace falta un programa formal de security awareness para todo el personal. Coggno coincide en que no alcanza con cursos sueltos para organizaciones que almacenan, procesan o transmiten datos de tarjetas.

La decisión que habilita es organizacional. Si hoy la respuesta frente a vishing y smishing depende de una campaña aislada, de un proveedor puntual o de una capacitación sin continuidad, eso no conversa bien con la exigencia de programa formal. El salto es de actividad a sistema.

¿Qué exige PCI DSS 12.6.2 y por qué complica el enfoque estático?

Bait and Phish cita para 12.6.2 una revisión del awareness training al menos cada 12 meses y su actualización frente a nuevas amenazas y vulnerabilidades que puedan impactar el entorno de datos de tarjetas. el programa debe documentarse y actualizarse al menos cada 12 meses también señala que el programa debe documentarse y actualizarse al menos cada 12 meses.

Eso vuelve débil cualquier enfoque congelado. Si vishing y smishing crecen o cambian de forma, por ejemplo sumando mensajería o combinaciones de canales, el contenido y la forma de medir no pueden quedar iguales por inercia. Cumplir no es conservar el mismo curso, sino demostrar revisión y ajuste frente al riesgo.

¿Qué agregan PCI DSS 12.6.3, 12.6.3.1 y 12.6.3.2 sobre voz, SMS y mensajería?

Coggno resume que PCI DSS 12.6.3 exige capacitación al contratar y al menos cada 12 meses, con reconocimiento anual del empleado. También indica que 12.6.3.1 exige cubrir específicamente phishing y social engineering, y que 12.6.3.2 incluye acceptable use of end-user technologies. protección de dispositivos móviles y uso de tecnologías de teletrabajo enumera entre los temas esperados phishing, social engineering, uso aceptable de tecnologías de usuario final, protección de dispositivos móviles y uso de tecnologías de teletrabajo.

La lectura de Whalemate es que acá entra de lleno el riesgo de voz, SMS y mensajería. Aunque la norma no nombre vishing o smishing por su apodo, sí obliga a cubrir los tipos de amenaza y tecnologías donde esos ataques ocurren. Para compliance, eso habilita pedir evidencia de contenidos y prácticas sobre esos canales específicos.Whalemate

¿Qué tensión aparece entre PCI DSS y la forma habitual de medir?

La primera tensión es que PCI DSS, según Coggno, abre el alcance a phishing, social engineering y end-user technologies, mientras que el NIST Phish Scale que aparece en este material está orientado a calificar la dificultad de detección humana de un email dentro de programas de awareness y phishing training.

La lectura de Whalemate es que la organización puede terminar con una paradoja. Cumple con un programa que, en teoría, debe contemplar amenazas y tecnologías más amplias, pero mide con una referencia centrada en email. El resultado es un vacío de observabilidad sobre vishing y smishing, justo en canales que la obligación de awareness vuelve relevantes.

¿Qué tensión aparece entre un modelo por email y campañas multicanal?

La segunda tensión surge cuando se compara la lógica del NIST Phish Scale, centrada en email, con lo que el smishing se usa a menudo en tándem con llamadas de voz dentro de campañas de vishing y el vishing puede combinarse con smishing en campañas multicanal describe para la práctica atacante. Observó un aumento en estas tácticas y que la smishing puede extenderse a aplicaciones de mensajería como WhatsApp, WeChat o Facebook Messenger.

La lectura de Whalemate es que medir solo la reacción ante email deja afuera parte del encadenamiento real del ataque. Si el usuario recibe un SMS, luego una llamada, o un mensaje que deriva en una conversación en vivo, la susceptibilidad se expresa en una secuencia y no en un solo clic. Esa es una diferencia operativa, no semántica.

¿Qué muestran los estudios sobre la necesidad de medir mejora sostenida?

La evidencia de simulaciones va contra la idea de que basta con impartir conocimiento. El estudio alojado por Florian Adamsky reportó 17 % de click-through inicial y una caída a 3.5 % al final del período observado, además de 14.6 % de click rate medido y 10.7 % de autoinforme entre quienes respondieron la encuesta. El estudio de Scientific Research Publishing mostró en un departamento una caída del click rate promedio de 15.92 % a 0.35 % con simulaciones posteriores.

La lectura de Whalemate es que la mejora relevante es longitudinal. La pregunta no es si la gente hizo el curso, sino si la susceptibilidad baja con el tiempo y si esa baja puede sostenerse. Esa lógica vale todavía más para vishing y smishing, donde la urgencia y la suplantación operan en canales menos cubiertos por métricas tradicionales.

¿Por qué no alcanza con mirar solo clicks?

El reporte de OutThink agrega una capa útil, las simulaciones con distintos niveles de dificultad producen combinaciones distintas de clicks y reportes. Según ese material, las simulaciones más fáciles tienden a ser menos clicadas y menos reportadas, mientras que las más difíciles tienden a tener mayor tasa de reporte cuando los usuarios reconocen el riesgo.

La lectura de Whalemate es que una métrica única, por ejemplo click rate, puede engañar. Un programa maduro debería mirar al menos dificultad, tasa de engaño y tasa de reporte, porque la conducta deseada no es solo evitar la caída sino reconocer y escalar el evento. Para vishing y smishing, eso implica capturar qué hizo la persona ante una llamada, un SMS o un mensaje de mensajería, no solo si hizo clic.

¿Qué implica esto para un programa de Human Risk Management?

Según Whalemate, HRM no es un curso de security awareness, sino un modelo que simula, entrena, mide, interviene y reporta. En el sitio público de Whalemate se describe además un risk score que consolida señales de simulaciones, cursos, reportes y comportamiento para priorizar intervenciones, no para disciplinar.

La lectura de Whalemate es que este modelo encaja mejor con la tensión detectada entre obligación formal y medición limitada. Si la exposición real se distribuye entre voz, SMS, mensajería y email, el programa necesita una capa continua de señales y priorización. El curso anual sirve como evidencia de base, pero no como instrumento suficiente de gobierno.

¿Qué consecuencia operativa deja para CISO, IT y compliance en LATAM?

La decisión habilitada es ampliar el set de métricas y evidencias más allá del curso anual y del email. Si PCI DSS 12.6 obliga a un programa formal, y si Bait and Phish y Coggno muestran que ese programa debe revisarse, actualizarse y cubrir phishing, social engineering y uso aceptable de tecnologías de usuario final, entonces conviene registrar simulaciones y respuesta humana por canal, voz, SMS, mensajería y correo. También conviene incorporar métricas de tasa de engaño, tasa de reporte, dificultad y evolución longitudinal, apoyándose en programas iterativos de HRM como los que Whalemate describe para priorizar intervenciones.

Para una organización en LATAM, donde 813 attempted incidents y 718 confirmed breaches en la región, la pregunta práctica no es qué significan vishing y smishing en abstracto. La pregunta es si esos canales ya entraron en el tablero de riesgo humano con evidencia periódica, responsables definidos y capacidad de mostrar mejora.

¿Qué leer después?

• Human Risk Management en la plataforma
• Whalemate: plataforma de Human Risk Management
• APWG y PCI DSS: smishing en alza