Tipos de phishing: qué medir y qué control aplicar

Para CISO, IT y compliance, los tipos de phishing no se separan por etiqueta sino por canal, objetivo, señal observable, control principal y métrica útil. Al cruzar las definiciones de CISA con lo que miden CISA y NIST, y con la evidencia de Verizon, Proofpoint y UNICC, aparece una brecha operativa: gran parte de la medición sigue concentrada en clics de correo, aunque el riesgo relevante también pasa por robo de credenciales con bypass de MFA, adjuntos maliciosos y canales fuera del email como SMS, mensajería y voz.

La comparación que falta entre fuentes

Ninguna fuente del material arma la taxonomía operativa completa. CISA define modalidades y métricas por separado, ISO/IEC 27001 exige seleccionar controles según riesgo y documentarlos, y Verizon, Proofpoint y UNICC aportan incidencia y desempeño de simulaciones, pero no conectan todo en una sola matriz de decisión.

¿Por qué tratar los tipos de phishing como matriz y no como glosario?

El problema no es semántico, es de diseño de programa. Según CISA, hay tácticas orientadas a obtener credenciales y otras a desplegar malware, mientras que CISA también distingue spearphishing, whaling, smishing y vishing como modalidades con rasgos propios. La lectura de Whalemate es que si cada modalidad cambia el canal, la señal y el objetivo, también tiene que cambiar el control que se prioriza y la métrica con la que se sigue el riesgo.

¿Qué mide hoy CISA y qué deja afuera esa medición?

CISA describe su Phishing Campaign Assessment como una evaluación de seis semanas que mide la propensión de la fuerza laboral a hacer clic en señuelos de phishing por correo electrónico. CISA también señala que el phishing vulnerability scanning identifica cuántos usuarios abrieron y cuántos hicieron clic en el enlace. La lectura de Whalemate es que esas métricas sirven, pero recortan el riesgo al correo y a la interacción visible dentro de una simulación puntual.

¿Cómo convive la medición por email con ataques que salen del email?

La tensión está en la propia documentación de CISA. Por un lado, CISA mide aperturas y clics en campañas por correo, pero por otro advierte que el escaneo de correo no detecta necesariamente mensajes enviados por SMS o por aplicaciones de mensajería como Telegram, Signal, Slack, Facebook, Twitter, Teams, iMessage y Google Chat. La lectura de Whalemate es que un programa puede mostrar mejoras en email y aun así dejar sin cobertura una parte explícita del espacio de ataque.

¿Qué cambia cuando el objetivo es robar credenciales?

CISA explica que en el phishing de credenciales el atacante envía un correo con un enlace a un sitio impostor para que la víctima ingrese usuario y contraseña. CISA agrega que algunos sitios impostores también solicitan códigos MFA y denomina a esa modalidad MFA bypass. La lectura de Whalemate es que medir solo clics no alcanza, porque el riesgo real está en si la persona entrega credenciales, entrega un segundo factor o abandona el flujo.

¿Alcanza con habilitar MFA para phishing de credenciales?

CISA señala que una mitigación primaria para el phishing destinado a robar credenciales es habilitar MFA, especialmente MFA resistente al phishing como FIDO. Pero la misma CISA advierte sobre sitios impostores que piden códigos MFA y los usan para MFA bypass. La lectura de Whalemate es que la decisión no es solo activar MFA, sino priorizar métodos resistentes al phishing y revisar qué porcentaje de la base sigue dependiendo de factores vulnerables al relay o a la entrega voluntaria.

¿Qué muestran los adjuntos maliciosos sobre la métrica de falla?

CISA define el malware phishing como el envío de un archivo adjunto malicioso que la persona puede ser engañada para ejecutar. En el informe 2024 State of the Phish, Proofpoint reportó que las simulaciones basadas en adjuntos representaron 10% del total, pero tuvieron la mayor tasa de falla, 17%. La lectura de Whalemate es que un programa centrado en enlaces puede subestimar el riesgo operativo de los adjuntos, aunque aparezcan menos en volumen.

¿Qué dicen Verizon y CISA sobre relevancia operativa del factor humano?

El Verizon 2025 Data Breach Investigations Report analizó más de 22.000 incidentes de seguridad, incluidos 12.195 incidentes confirmados de filtración de datos, y señaló que la participación del factor humano se mantuvo aproximadamente en el 60% de las filtraciones analizadas. En ese mismo informe, según Verizon, el abuso de credenciales apareció como vector inicial en el 22% de los casos. La lectura de Whalemate es que la discusión sobre tipos de phishing no es educativa, es una discusión de exposición operativa.

¿Qué pasa cuando se usa la tasa de clic como proxy de riesgo?

La evidencia no acompaña esa simplificación. La presentación del Verizon 2025 DBIR difundida por la Oficina de Tecnología del Estado de Nueva York reporta que usuarios con capacitación reciente notificaron correos de phishing simulados a una tasa aproximada del 21%, frente a una tasa base del 5%, mientras que DomainTools, citando Verizon 2025 DBIR, indicó que el efecto de la capacitación reciente sobre la tasa de clic fue mucho menor, con un impacto relativo de aproximadamente 5%. La lectura de Whalemate es que el programa puede estar mejorando una capacidad valiosa, reportar, sin que eso se vea reflejado con la misma fuerza en la reducción del clic.

¿Por qué separar apertura, clic, reporte y participación?

CISA ya separa usuarios que abrieron de usuarios que hicieron clic en el phishing vulnerability scanning, y la métrica 2.15 de CIO FISMA pide informar cuántos usuarios participaron en ejercicios del trimestre anterior. NIST indica que las simulaciones pueden medir quién hace clic y quién reporta el mensaje como phishing. La lectura de Whalemate es que colapsar todo en una sola tasa borra conductas distintas, con valor distinto para el riesgo y para la intervención.

¿Cuánto cambia el resultado según el señuelo usado?

Cambia mucho. Un estudio de NIST sobre susceptibilidad diferencial encontró cuatro correos simulados con tasas de clic de 53,8%, 54,7%, 29,1% y 5,1%, y concluyó que las puntuaciones del Phish Scale se correspondían estrechamente con las tasas observadas. El informe 2024 de UNICC también reportó que, al aplicar NIST Phish Scale, los mensajes de dificultad alta tuvieron una tasa de clic de 36,15%, frente a 5,74% en los de dificultad baja. La lectura de Whalemate es que comparar campañas sin normalizar dificultad o tipo de señuelo puede producir lecturas equivocadas del riesgo.

¿Qué dicen Proofpoint y UNICC sobre diseño de campañas y reporte?

Proofpoint reportó en 2024 una tasa general de reporte de phishing simulado de 18,3% y una tasa general de falla de 9,3%, mientras que en 2025 informó una tasa media de falla de 4,93% y una tasa media de reporte de 18,65% en las campañas analizadas. UNICC reportó que 45% de las organizaciones tenía integrado un botón de reporte de phishing en el cliente corporativo de correo, y que las organizaciones con esa función registraron una tasa media de reporte de 16%, frente a 8,5% entre las que no la tenían. La lectura de Whalemate es que la capacidad de reporte depende tanto del entrenamiento como del diseño operativo del canal.

¿Qué implica ISO/IEC 27001 para este problema de cobertura?

ISO/IEC JTC 1/SC 27 explica que ISO/IEC 27001, cláusula 6.1.3 b), exige determinar los controles de seguridad de la información necesarios para reducir la exposición al riesgo hasta un nivel aceptable. El mismo comité explica que ISO/IEC 27001, cláusula 6.1.3 c), exige comparar los controles necesarios determinados por la organización con los controles del Anexo A y verificar que no se haya omitido ningún control necesario. La lectura de Whalemate es que si el riesgo identificado incluye SMS, mensajería, voz, adjuntos y bypass de MFA, medir solo email deja una brecha difícil de justificar en la aplicabilidad de controles.

¿Qué dice la práctica regional sobre los canales y sectores expuestos?

Según información atribuida por Securitic al ESET Security Report 2025, el 73% de las empresas de América Latina consultadas afirmó haber sido objetivo de campañas de phishing durante 2025. La misma información atribuida al ESET Security Report 2025 reportó incidencia de 81,4% en educación, 81,1% en manufactura, 79,6% en banca y finanzas, 72,6% en gobierno y 67,6% en salud. La lectura de Whalemate es que, aun sin una tasa latinoamericana comparable de modalidades, hay evidencia suficiente para no tratar el phishing como un único escenario homogéneo.

¿Qué decisión habilita esto mañana para CISO, IT y compliance en LATAM?

La decisión práctica es rediseñar el programa de phishing como una matriz por tipo, canal, rol y comportamiento observado. Para phishing de credenciales, CISA prioriza MFA resistente al phishing como FIDO; para adjuntos maliciosos, la evidencia de Proofpoint justifica controles y simulaciones específicos sobre archivos; para smishing y vishing, CISA y la FTC obligan a cubrir verificación fuera de banda y canales no cubiertos por el correo; y para spearphishing y whaling, ISO/IEC JTC 1/SC 27 respalda capacitación regular y específica por rol, con registro de participación y adaptación según tendencias de incidentes. Si además PCI DSS 12.6 exige un programa de concientización en seguridad, no un curso suelto, entonces usar una única tasa de clic como proxy de riesgo deja de ser suficiente para demostrar cobertura, priorización e intervención.

¿Qué leer después?

• Concientización en la plataforma
• Plataformas de awareness en español para LATAM
• Ingeniería social: NIST, CISA