Tutorial de simulación de phishing
Una simulación de phishing es un simulacro de incendio para el correo electrónico: su equipo de TI envía a su propio personal un mensaje de phishing falso e inofensivo para que puedan practicar la detección del mensaje real antes de que un delincuente los pruebe primero. Esta página cubre el programa interno autorizado que la rodea: aprobación por escrito primero, una página de inicio que enseña y nunca recopila contraseñas reales, resultados honestos y capacitación en lugar de culpa.
📑Capítulos
- Qué es una simulación de phishing: un ejercicio de práctica para su propio personal y qué no es
- Las cinco reglas que mantienen la ética de una simulación
- Elegir una plataforma: de código abierto o comercial
- Creación de la campaña en un orden fijo
- La regla de la página de destino: enseña y nunca recopila contraseñas reales
- Pruébelo en buzones de correo de TI y luego ejecútelo dentro de la ventana acordada
- Lea los resultados honestamente y entrene; luego repita y realice un seguimiento de la tendencia
📋 Descripción general y guía paso a paso
Obtenga primero la aprobación por escrito
No se construye ni se envía nada hasta que la gerencia y RR.HH. lo hayan aprobado por escrito. Está enviando correos electrónicos engañosos dentro de su propia empresa; Sin respaldo documentado, una prueba bien intencionada parece un ataque o una broma. La aprobación fija el alcance (solo su propio personal), la ventana de lanzamiento y la regla según la cual los resultados se utilizan para la capacitación, acordada antes de que exista la primera plantilla.
Acuerde las cinco reglas antes de construir
Cinco reglas deciden si una simulación hace que su oficina sea más segura o simplemente hace que su personal se enoje y sea reservado. 1. Primero la aprobación por escrito. 2. La página de destino enseña: el clic abre una lección tranquila, no una pantalla de error ni una reprimenda. 3. Nunca recopile contraseñas reales. 4. Informe los totales, no los nombres: el liderazgo ve porcentajes por equipo como máximo; Los nombres individuales permanecen con el propietario del programa, solo para entrenamiento privado. 5. Entrenador, nunca castigue: hacer clic conduce a una breve lección y una conversación amistosa, nunca disciplinar, porque el castigo enseña al personal a ocultar los errores, incluidos los reales. Si alguno de estos falta en una campaña planificada, la campaña no está lista para enviarse.
Elija una plataforma honestamente
Existen dos familias honestas. Las plataformas de código abierto (la clase GoPhish) son gratuitas y autohospedadas: usted mismo crea las plantillas de correo electrónico, las páginas de destino y los perfiles de envío y ejecuta la consola en su propio servidor. El costo es su tiempo y la ganancia es el control total. Las plataformas de concientización comercial cobran por usuario y agregan bibliotecas de plantillas listas para usar, módulos de capacitación integrados y paneles de informes pulidos. Cualquiera de las familias puede ejecutar un programa ético, y un operador descuidado puede abusar de cualquiera de ellas: la ética reside en las cinco reglas anteriores, no en el software. Elige según el tamaño de tu equipo y el tiempo que honestamente puedes dedicarle.
Crear la campaña en un orden fijo
Construir en este orden. Grupo de audiencia: un departamento o toda la oficina, nunca una lista que incluya personas a las que nunca se les informó que el programa existe. Plantilla de correo electrónico: creíble, cotidiana y justa: categorías de escenarios cotidianos, como un aviso de documento compartido, una advertencia de buzón o un mensaje de entrega, y un lector atento debe poder detectar al menos una señal de advertencia clara. Página de destino: la página de enseñanza, creada y verificada antes de enviar algo (siguiente paso). Perfil de envío: enviado desde un dominio de capacitación que pertenece a su organización, nunca desde el dominio real de su empresa, por lo que un ataque real nunca puede confundirse con un simulacro y el simulacro nunca debilita la confianza en el correo real de la empresa. Ventana de lanzamiento: un período de trabajo normal, acordado en la aprobación.
Cree la página de destino que enseñe
El enlace en el correo electrónico del simulacro no conduce a un delincuente sino a una página segura de su propiedad. La persona que hizo clic llega a una lección breve y tranquila que muestra lo que delató el correo electrónico (la dirección del remitente, la urgencia, el enlace que no coincidía) y qué hacer la próxima vez: pausar, verificar, informar. La plataforma registra que se llegó a la página y quién utilizó la ruta del reporte; ese registro de clics es toda la medida que necesita la lección.
Pruebe, inicie y luego enseñe mientras está fresco
Primero pruebe la ruta completa en los buzones de correo de TI (plantilla, enlace, página de destino, informes) y luego ejecútela dentro de la ventana acordada. Anunciar el programa y el trimestre al personal; nunca anuncie el día exacto, o mida quién recordó el anuncio en lugar de quién revisa el correo electrónico con atención. Luego, enseñe mientras esté fresco: en unos días, todos recibirán el breve seguimiento. Quienes hacen clic reciben el módulo de cinco minutos sobre las comprobaciones que probó este correo electrónico, se agradece a los periodistas y todo el equipo ve los totales.
Lea los resultados como totales y realice un seguimiento de la tendencia
Lea dos números: la tasa de clics y la tasa informada, compartidos como totales del equipo. Una simulación no prueba casi nada; Repita trimestralmente con nuevos escenarios, y la tendencia a lo largo de los trimestres (caída de la tasa de clics, aumento de la tasa reportada) es el resultado real, y el número que vale la pena mostrar a la gerencia. Las personas que hacen clic más de una vez obtienen una conversación de entrenamiento amistosa y privada por parte del propietario del programa, nunca una lista pública y nunca medidas disciplinarias.
🏷️Topic Search Variables & Keywords
🎙️ Transcripción completa: toca para ampliar
Guía y soluciones de solución de problemas paso a paso - TUTORIAL DE SIMULACIÓN DE PHISHING: CAPTURA A LOS EMPLEADOS DÉBILES ANTES DE QUE LO HAGAN LOS HACKERS. Demostración en pantalla realizada por el técnico Anshu....
Ejecute una simulación de phishing para su propio personal de forma ética: aprobación por escrito primero, una página de inicio que enseñe y nunca recopile contraseñas reales, resultados honestos y asesoramiento en lugar de culpas. El programa completo, paso a paso.
(la transcripción termina aquí en la página fuente)
❓ Preguntas frecuentes
¿Este tutorial es 100 % gratuito?
¡Sí! Todas las guías y métodos demostrados por Technical Anshu utilizan recursos educativos, legales y gratuitos.
¿Pueden los principiantes seguir esta guía?
¡Absolutamente! Cada paso se demuestra en pantalla con instrucciones detalladas para que cualquiera pueda seguirlos fácilmente.
¿Dónde puedo hacer preguntas si me quedo atascado?
Deja un comentario directamente en el vídeo de YouTube y nuestra comunidad y Technical Anshu te ayudarán.
🚀 Mira el tutorial completo en YouTube
🚀 Mira el vídeo tutorial completo paso a paso en YouTube: https://www.youtube.com/watch?v=MR1T4Zz3Fdc
Suscríbase a Technical Anshu para obtener soporte de TI, solución de problemas de Windows y administración de servidores.
▶️ Ver vídeo completo