Campaña de Phishing

El trabajo tiene cinco etapas. En la reunión inicial se solicitan los datos de los objetivos, con nombre, correo electrónico y cargo, muestras de correos internos de la empresa, y se acuerdan los procedimientos técnicos necesarios. Luego BrownPipe realiza un relevamiento de información sobre los objetivos y sobre las relaciones de la empresa con entidades externas. Con eso se construyen las campañas, en parte genéricas y en parte personalizadas, y se realiza el envío. Al final se entrega un informe detallado y se presenta en una reunión específica. En el programa completo, o cuando el taller se contrata aparte, hay además una sesión de concientización con el equipo.

Porque una simulación convincente necesita parecerse a lo que esa empresa realmente recibe. Las muestras revelan cómo son los comunicados internos, qué tono se usa, qué asuntos circulan y cómo se ven los mensajes legítimos. Sin eso, la campaña se convierte en un correo genérico de fraude, que mide poco porque es demasiado fácil de identificar.

Sí, y es lo que diferencia una simulación real de un envío estandarizado. A partir de los datos proporcionados por la empresa, realizamos un relevamiento sobre los objetivos y sobre las relaciones de la organización con proveedores, socios y otras entidades externas. Es el mismo tipo de investigación que haría un atacante antes de montar un fraude dirigido, y es justamente por eso que reproduce la amenaza real.

No. Cada trabajo combina campañas genéricas con campañas personalizadas, construidas a partir del relevamiento. La creación también considera los eventos estacionales del período del contrato, como fechas de gran volumen de compras y fin de año, y el contexto interno de la empresa, como eventos y acciones de comunicación en curso. Es exactamente en esos momentos cuando el fraude real aumenta, y es cuando la simulación mide mejor.

Depende del objetivo. Una campaña aislada da una fotografía del momento y sirve para un diagnóstico inicial. El cambio de comportamiento exige repetición a lo largo del tiempo, y por eso el programa completo prevé ocho campañas. En la contratación individual, la empresa define cuántas quiere ejecutar.

En la contratación individual, la empresa define el número de campañas y el público de cada una, y el taller se contrata por separado si se desea. El programa completo incluye ocho campañas y el taller, con mapeo detallado del público y campañas específicas para diferentes segmentos de la organización, pudiendo llegar a abordajes individuales. En esa modalidad, cuando el equipo identifica oportunidades adicionales a lo largo del trabajo, se ejecutan campañas extra sin costo adicional.

Sí. El público puede ser toda la organización, áreas específicas como recursos humanos o tecnología, o grupos menores como dirección y gerentes. En el programa completo, el mapeo permite descender hasta abordajes individuales cuando tiene sentido. La definición del público forma parte de la contratación.

De 20 días, para la contratación de una única campaña, hasta 60 días, para más de cuatro campañas o para el programa completo. El plazo cubre todas las etapas, desde el relevamiento inicial hasta la presentación del informe, y no solo el envío de los mensajes.

Sí, y es un requisito, no una opción. El objetivo del servicio es probar el comportamiento de las personas, no la eficacia de las herramientas de bloqueo. Si el filtro detiene el mensaje antes de que llegue, no hay nada que medir sobre la reacción del equipo. La empresa recibe los dominios y las direcciones IP que debe permitir y hace la configuración antes del inicio.

Colaboradores con vínculo directo con la empresa contratante. Tercerizados, prestadores y personal de empresas socias quedan fuera del alcance, porque probar a alguien que no tiene vínculo con quien contrató involucra una relación que no es de la contratante.

Un informe detallado con las campañas ejecutadas y los resultados obtenidos, presentado en una reunión específica para ese fin. La presentación existe porque un informe enviado por correo suele leerse a medias, y la discusión de los resultados con quien decide es donde el trabajo se convierte en acción.

Es una sesión en línea y en vivo, de hasta dos horas, con el equipo indicado por la empresa, que puede ser la totalidad de los colaboradores. En ella se detallan las campañas ejecutadas, explicando el objetivo de cada una y enseñando cómo identificar y evitar intentos similares. La sesión se graba y la grabación queda disponible para quienes no pudieron participar. Está incluido en el programa completo y puede contratarse aparte en la modalidad individual.

Porque el equipo acaba de pasar por ellas. Mostrar el correo que circuló en esa empresa, con los nombres y el contexto de esa empresa, y discutir por qué funcionó, tiene un efecto diferente al de presentar un ejemplo abstracto de fraude. El taller ocurre después de las campañas justamente por eso.

La sanción es decisión de la organización e involucra política interna y áreas que no son la nuestra. Lo que afirmamos técnicamente es que el objetivo del trabajo es de diagnóstico, y que el resultado sirve para orientar la capacitación siguiente. Quien hace clic en una campaña construida con investigación sobre la empresa no fue descuidado; reaccionó a un mensaje diseñado para ser convincente. Los programas que sancionan tienden a reducir la disposición de las personas a reportar un phishing real, que es el comportamiento que más interesa preservar.