Por 
La diferencia operativa entre phishing y spear phishing habilita métricas y controles distintos. NIST, PCI DSS y CIS coinciden en exigir capacitación continua y capacidad de reconocer y reportar ingeniería social, pero la evidencia del material no respalda medir solo clics ni dar por efectiva la capacitación tradicional. Para decidir bien, un CISO tiene que separar campañas masivas de ataques dirigidos, comparar resultados controlando la dificultad del señuelo y priorizar credenciales entregadas, reportes y tiempo de respuesta.
Puestas lado a lado, las fuentes muestran algo que por separado no aparece. Las normas describen obligaciones de awareness y evidencia, las guías sugieren medición, y los benchmarks y estudios dejan claro que el clic por sí solo no alcanza para leer riesgo humano.
| Tema | Tipo de ataque | Cómo se define | Objetivo | Rasgo distintivo | Qué se mide | Decisión que habilita | Fuente |
|---|---|---|---|---|---|---|---|
| Phishing | Familia general de engaños | Técnica para intentar adquirir datos sensibles mediante una solicitud fraudulenta por correo electrónico o sitio web, y también uso de un correo electrónico falsificado para recopilar información privada, distribuir malware o cometer fraude | Audiencia amplia, suele emplear mensajes genéricos | Busca convencer a una persona de entregar datos sensibles a un impostor | CISA describe una evaluación de seis semanas que mide la propensión de la fuerza laboral a hacer clic en señuelos de phishing. Fortra reporta tasa de clics, tasa de envío de credenciales y tasa de reporte. El NIST Cybersecurity Framework 2.0 Concept Paper da como ejemplo el número de intentos de phishing evitados y que el 80% de los usuarios reporte intentos conocidos | Orientar capacitación y concientización antiphishing y evaluar efectividad con más de una métrica, no solo clics | NIST, NIST SP 800-177 Rev. 1, CISA, Fortra, NIST Cybersecurity Framework 2.0 Concept Paper |
| Spear phishing | Variante dirigida de phishing | Ataque de phishing altamente dirigido, normalmente contra una persona o departamento específico dentro de una organización, donde el adversario conoce el perfil de la víctima y usa información contextual para que el mensaje parezca provenir de una fuente legítima | Una sola persona, grupo, organización o departamento específico | Selección del objetivo, investigación previa y personalización usando información contextual o datos personales conocidos. ENISA agrega uso frecuente de OSINT | No especificado como benchmark único en las normas. NIST Phish Scale está diseñado para calificar la dificultad humana de detección de un correo de phishing y hacer comparables las simulaciones entre señuelos. INCIBE indica acciones posteriores si se entregaron credenciales | Segmentar por rol o criticidad y no comparar campañas de distinta dificultad sin normalización del señuelo | NIST, NIST SP 800-177 Rev. 1, ENISA, NIST Phish Scale, INCIBE |
| NIST SP 800-53 Rev. 5 | No distingue requisito separado por phishing vs spear phishing, pero sí menciona spear phishing en ejercicios | Exige security and privacy literacy training para usuarios, directivos y contratistas. También exige capacitación para reconocer y reportar instancias potenciales y reales de ingeniería social y social mining | Todos los usuarios del sistema, incluidos managers, senior executives y contractors | Exige ejercicios prácticos que simulen eventos e incidentes, incluidos intentos de ingeniería social sin aviso y la simulación del impacto de abrir adjuntos maliciosos o activar enlaces maliciosos mediante spear phishing | No especifica una métrica numérica única. AT-4 trata los registros de capacitación como evidencia separada de la actividad formativa | Separar evidencia de cumplimiento de la efectividad real y usar simulaciones prácticas, incluido spear phishing, no solo formación inicial | NIST SP 800-53 Rev. 5, NIST |
| PCI DSS v4.0 | Phishing y ataques relacionados dentro de awareness, con control técnico separado para phishing | La capacitación debe incluir conciencia sobre amenazas y vulnerabilidades que puedan afectar la seguridad del CDE, incluyendo literalmente phishing and related attacks y social engineering | Todo el personal | PCI DSS v4.0.1 establece que security awareness education is an ongoing activity. Además diferencia el requisito 5.4.1 de controles técnicos y automatizados para detectar y proteger al personal contra phishing del requisito 12.6.3.1 de capacitación | No especificado como KPI. Sí exige programa formal y el resumen de cambios a v4.0 identifica revisar y actualizar el programa al menos cada 12 meses | No dar por cumplido phishing solo con awareness ni solo con tecnología. Exige sostener ambos frentes por separado | PCI DSS v4.0.1, PCI DSS v4.0, PCI Security Standards Council |
| CIS Controls v8.1 | Phishing como ejemplo de ingeniería social a reconocer | Exige establecer y mantener un programa de security awareness y entrenar a la fuerza laboral para reconocer ataques de ingeniería social, como phishing, BEC, pretexting y tailgating | Workforce members | La plantilla de política aclara que un programa efectivo no debería limitarse a un video anual genérico acompañado por pruebas periódicas de phishing. Además de capacitación anual, deben existir mensajes y notificaciones temáticas más frecuentes | No especificado en KPI numérico en el control citado | Evitar programas de cumplimiento mínimo basados solo en curso anual y tests periódicos. Sostener intervenciones más frecuentes | CIS Controls v8.1, Center for Internet Security |
| Métricas operativas observadas | Campañas simuladas de phishing | Benchmarks de comportamiento humano ante simulaciones y medición de respuesta | Destinatarios de campañas de simulación | Fortra reporta 5,42% de clics, 1,99% de envío de credenciales y 10,50% de reporte sobre 13,9 millones de destinatarios y 7.504 campañas. Proofpoint reporta 4,93% de tasa promedio de fallo, 6,59% en campañas basadas en adjuntos y 2,46% en campañas de ingreso de datos. También reporta que el 10% de los usuarios fue responsable del 100% de los clics dentro de una ola determinada | Clics, entrega de credenciales, reporte, tipo de señuelo y concentración de riesgo por usuario | Priorizar credenciales entregadas y reporte, y focalizar controles sobre grupos o usuarios de mayor riesgo, en lugar de leer la tasa de clics como indicador suficiente | Fortra, Proofpoint |
¿Phishing y spear phishing requieren la misma medición?
No. NIST define phishing como la familia general de engaños y spear phishing como una variante altamente dirigida contra una persona o departamento específico. NIST SP 800-177 Rev. 1 agrega que en spear phishing el adversario conoce el perfil de la víctima y usa información contextual. La lectura de Whalemate es que esa diferencia cambia la medición: las campañas masivas admiten KPIs agregados, mientras que las dirigidas exigen segmentar por rol, exposición, criticidad y grado de personalización.
¿Qué cambia cuando el ataque es masivo y no dirigido?
Según NIST, el phishing general suele apuntar a una audiencia amplia y usar mensajes genéricos. CISA describe el Phishing Campaign Assessment como una evaluación de seis semanas que mide la propensión de la fuerza laboral a hacer clic en señuelos de phishing. La lectura de Whalemate es que, en este plano, la medición sirve para ver comportamiento agregado, pero sigue siendo incompleta si se la reduce a clics y no se suman credenciales entregadas, reportes y tiempo hasta reporte.
¿Qué cambia cuando el ataque es spear phishing?
NIST y ENISA coinciden en que spear phishing incorpora selección del objetivo, investigación previa y personalización. ENISA agrega que esa personalización suele apoyarse en OSINT. La lectura de Whalemate es que no tiene sentido comparar una campaña genérica con una dirigida sin controlar la dificultad humana del señuelo, y por eso NIST Phish Scale pasa de ser un detalle metodológico a una condición para interpretar resultados sin autoengañarse.
¿Las normas piden awareness continuo o alcanza con un curso?
No alcanza con un curso aislado. NIST SP 800-53 Rev. 5, en AT-2, exige impartir security and privacy literacy training como parte de la capacitación inicial y con una frecuencia definida por la organización, y también exige capacitación para reconocer y reportar instancias potenciales y reales de ingeniería social y social mining. PCI DSS v4.0.1, requisito 12.6, establece literalmente que security awareness education is an ongoing activity. La lectura de Whalemate es que cumplimiento pide continuidad, no un evento anual.
¿Las normas distinguen awareness de controles técnicos?
Sí, y ese punto suele perderse en la práctica. PCI DSS v4.0 diferencia el requisito 5.4.1 de controles técnicos y automatizados para detectar y proteger al personal contra phishing del requisito 12.6.3.1 de capacitación. NIST SP 800-53 Rev. 5 además separa la actividad formativa de sus registros, ya que AT-4 trata los registros de capacitación como evidencia distinta. La lectura de Whalemate es que hay tres planos separados: formación, tecnología y evidencia documental.
¿La evidencia respalda usar clics como KPI principal?
No como indicador único. CISA usa clics para una evaluación concreta, pero Fortra reporta también envío de credenciales y reporte, con 5,42% de clics, 1,99% de envío de credenciales y 10,50% de reporte sobre 13,9 millones de destinatarios y 7.504 campañas. El NIST Cybersecurity Framework 2.0 Concept Paper da como ejemplos de medición intentos de phishing evitados y usuarios que reportan intentos conocidos. La lectura de Whalemate es que el clic es una señal inicial, no una lectura suficiente del riesgo.
¿Qué muestra la práctica sobre el riesgo real detrás de una tasa baja de clics?
Proofpoint reporta que incluso empresas consideradas best-in-breed todavía registraban más de 1% de clics en sus mediciones, por lo que una tasa baja no equivale a riesgo cero. El mismo informe de Proofpoint reporta que, en una medición de ataques maliciosos, el 10% de los usuarios fue responsable del 100% de los clics dentro de una ola determinada, y que el 40% de los clics suele provenir de usuarios que hicieron clic una sola vez. La lectura de Whalemate es que el promedio puede ocultar concentración de riesgo y usuarios críticos.
