Durante una campaña de phishing, los usuarios reciben pruebas de seguridad contra el phishing (PST). Dependiendo de si aprueban o desaprueban la prueba de seguridad contra el phishing, reciben cierto porcentaje de Phish-prone. Los usuarios con un bajo porcentaje de Phish-prone son menos propensos a caer en ataques de phishing reales, en comparación con quienes tienen un porcentaje de Phish-prone más alto. Si le interesa conocer más sobre la PST, consulte nuestro artículo Descripción general de la Prueba de seguridad contra el phishing (PST).
¿Qué es un error?
Si un usuario interactúa con el correo electrónico de forma insegura, esa acción se denomina “error” y el usuario desaprueba la prueba. Los usuarios pueden cometer varios errores en una PST durante una campaña de phishing. A continuación se muestran los diferentes tipos de error, ordenados del más grave al menos grave:
- Introducir datos en una página de destino
- Revelar información personal en una llamada de phishing de devolución de llamada
- Habilitar una macro en un archivo adjunto
- Responder a un correo electrónico de phishing simulado
- Abrir un archivo adjunto
- Escanear un código QR
- Llamar a un número e ingresar el código de devolución de llamada en un correo electrónico de phishing de devolución de llamada
- Hacer clic en un enlace integrado
Cómo se calcula el porcentaje de Phish-prone
El porcentaje de Phish-prone es el porcentaje del personal propenso a hacer clic en un enlace de phishing. Es diferente del Porcentaje de errores de phishing, porque registra la manera exacta en que desaprobó un usuario. Es posible que un usuario cometa muchos errores en un correo electrónico y reciba un porcentaje de Phish-prone que supere el 100 %. Por ejemplo, si un usuario abre un correo electrónico, hace clic en el enlace y abre el archivo adjunto, cometió dos errores y tiene una prueba de phishing desaprobada. Como resultado, este usuario tiene un porcentaje de Phish-prone personal del 200 % porque cometió dos errores en una prueba.
Un porcentaje de Phish-prone personal más elevado indica que ese usuario puntual puede ser más vulnerable a sufrir un ataque de ingeniería social a través del correo electrónico. Si un usuario abre un correo electrónico de phishing simulado y comete muchos errores, significa que no está detectando las señales de alarma. Conocer la cantidad y los tipos de errores puede servir para determinar qué capacitación necesitan los usuarios.
Porcentaje de Phish-prone de la campaña
Una campaña de phishing genera un porcentaje de Phish-prone a partir de la cantidad total de errores dividida por la cantidad total de correos electrónicos enviados en esa campaña.
Si 100 personas reciben correos electrónicos, y 52 de ellas hacen clic en el enlace del correo electrónico, significa que el 52 % desaprobó. Si ocho de esas 52 personas también ingresaron datos en la página de destino, eso aumenta el porcentaje de Phish-prone al 60 % para esa campaña.