7.1 Lección Teórica: Prevención de Phishing, Ingeniería Social y Simulación con GoPhish

En esta primer capítulo sobre Antiphishing del ciclo "Aprendiendo Ciberseguridad paso a paso", exploramos cómo utilizar la herramienta "GoPhish" para simular ataques de phishing y fortalecer la concienciación en ciberseguridad dentro de las organizaciones.

Conceptos clave de ingeniería social: Comprende cómo los ciberdelincuentes manipulan a las personas para obtener información confidencial.

Tipos de phishing: Identifica las diferencias entre phishing tradicional, spear phishing, whaling y vishing.

Características de los ataques de phishing: Reconoce señales como urgencia, enlaces sospechosos y suplantación de identidad.

Uso de GoPhish: Aprende a configurar campañas de phishing simuladas para educar y evaluar la preparación de tu equipo.

Proporcionar herramientas prácticas y conocimientos teóricos para que profesionales y organizaciones puedan protegerse eficazmente contra las amenazas de phishing.

La ingeniería social, en el contexto de ciberseguridad, son técnicas de manipulación utilizadas por ciberdelincuentes para obtener información confidencial, acceso a sistemas, o inducir a una persona a realizar acciones que pongan en riesgo su seguridad. Se basa en la psicología y el comportamiento humano, más que en conocimientos técnicos.

Los ingenieros sociales están utilizando tácticas cada vez más personalizadas para ganar confianza y evitar sospechas. La clonación de voz y la tecnología deepfake hacen posible que los actores de amenazas se hagan pasar por sus objetivos de maneras aún más convincentes. En un caso de alto perfil, la voz creada por IA de un director de banco se utilizó para engañar a un gerente de banco y transferir 35 millones de dólares a los actores de amenazas.

Los ataques de ingeniería social son una amenaza especialmente peligrosa para las organizaciones precisamente por el elemento humano. Los errores cometidos por usuarios legítimos son más difíciles de detectar, predecir y remediar. En muchos casos, las víctimas ni siquiera se dan cuenta de que han sido engañadas.

El phishing es uno de los ataques de ingeniería social más comunes.

El atacante usa correo electrónico, mensajes en redes sociales, mensajería instantánea o mensajes de texto para engañar a la víctima de forma que rebele información confidencial, descargue y abra un archivo o visite una web fraudulenta.

Tratan de atraer la atención o generar curiosidad. Por ejemplo: “Acceso indebido identificado en su cuenta bancaría, si no ha sido usted, utilice el link de abajo para asegurarla”.

Sensación de urgencia. Esto trata de reducir la posibilidad de que el atacado se dé cuenta de que “algo raro ocurre”.

Uso de URLs (Unifrom Resource Locator) recortadas (ocultan La URL real) o enlaces incrustados (redirecciones a páginas webs ocultas en parte del texto o imágenes). Esto trata de evitar que los usuarios puedan ver que la dirección a la que van a acceder no es la verdadera o que tiene un nombre sospechoso.

Suelen tener un asunto engañoso para tratar de emular que el mensaje viene de un origen fiable.

Copia de logos, textos o imágenes corporativas de la fuente.

Para desarrollar con más detalle el tema, veamos el siguiente video (Obligatorio).

🌐 Anti-Phishing con GoPhish, capacitación y concienciación Charla 151 - Aprendiendo Ciberseguridad

En esta segundo Tema de nuestra sección de "anti-phishing" del ciclo "Aprendiendo Ciberseguridad paso a paso", nos adentramos en la instalación y configuración inicial de GoPhish en un entorno Kali Linux. Este proceso es fundamental para simular campañas de phishing y fortalecer la concienciación en ciberseguridad dentro de las organizaciones.

Instalación de GoPhish en Kali Linux: Descarga, descompresión y ejecución del binario de GoPhish.

Configuración del archivo config.json: Ajuste de parámetros clave como admin_server.listen_url y phish_server.listen_url para habilitar el acceso remoto y definir los puertos de escucha.

Consideraciones de seguridad: Recomendaciones sobre el uso de TLS, gestión de certificados SSL y protección del archivo config.json mediante permisos adecuados.

Acceso al panel de administración: Cómo iniciar GoPhish y acceder al panel de administración a través del navegador.

Para desarrollar con más detalle el tema, veamos el siguiente video (Obligatorio).

🌐 Anti-Phishing con GoPhish, primeros pasos - Charla 152 - Aprendiendo Ciberseguridad paso a paso

En este tercer tema de nuestra serie "Aprendiendo Ciberseguridad paso a paso", exploramos cómo realizar los ajustes de configuración más importantes para que GoPhish funcione correctamente en entornos corporativos. Este tea es clave para lograr una simulación profesional de campañas de phishing.

Cómo editar el archivo config.json para permitir el acceso remoto al panel de administración de GoPhish, incluyendo la elección de puertos, direcciones IP, y consideraciones de seguridad.

Creación de un perfil de envío (Sending Profile): aprende a configurar GoPhish para enviar correos simulados a través de servidores SMTP reales o locales.

Ajustes de seguridad recomendados: control de accesos, activación de TLS, y configuración segura de las interfaces de administración y phishing.

Pruebas de envío para validar que tu servidor y perfil están correctamente configurados.

Este video te dará una base técnica sólida para empezar a lanzar campañas educativas reales de concienciación sobre phishing en tu organización.

Spear Phishing o Phishing dirigido: mucho más peligroso que el phishing normal. Este tipo de phishing requiere más esfuerzo de los atacantes. Su principal diferencia con el phishing normal es que los atacantes estudian antes contra que victimas van a realizar el ataque, de forma que el e-mail o mensaje de texto que mandan puede estar dirigido usando datos personales o reales de las víctimas. Esto hace que las victima lo consideren con una probabilidad mucho más alta mensajes legítimos y caigan ante ellos, también haciendo que sea más difícil detectarlo como spam. Hoy en día con la IA (como veremos más abajo), este tema es aún mucho más peligroso.

Whaling: son un Spear Phishing dirigido a directivos o individuos con información crítica (de ahí el nombre, ataque de ballenero). Utilizan las técnicas de Spear Phishing, pero normalmente se camuflan como correos de negocio crítico y urgente.

Vishing: El vishing es una combinación de las palabras voz y phishing. Se refiere a estafas de phishing que se hacen por teléfono. Se intenta engañar para que se revele información crucial de carácter financiero o personal. El vishing funciona igual que el phishing, pero se lleva a cabo mediante tecnología de voz. Muchas los atacantes utilizan sistemas de IVR (Respuesta de Voz Interactiva) para simular que son centros de atención al usuario o ayuda al usuario y piden a la víctima que llame a un número gratuito, otras veces directamente llaman ellos simular un agente.

Uso de información correcta. Usan métodos informados para obtener información del atacado para dar legitimidad a su engaño.

Urgencia.

Simulación de Service Desk: la llamada trata de simular muchas veces un centro de servicio al usuario legítimo y podemos escuchar al fondo y ruido de call center, obviamente no es real sino un efecto de sonido incorporado a la llamada.

Smishing: El Smishing es un ataque similar al Phishing o Vishing salvo que utiliza mensajes SMS para tratar de engañar a la víctima. Comparte la mayoría de características del phishing.

Scams de Voz (Scam: estafa, timo): Llamadas telefónicas con objeto de estafar o sonsacar datos a la víctima haciéndose pasar por representantes de organizaciones legítimas. Se podría considerar un tipo de phishing, pero la verdad es que los voice scams existen desde antes de la creación del concepto de pshishing moderno.

Suplantación de organizaciones bancarias, de seguros, salud o estatales.

Uso de guiones profesionales.

Urgencia.

Para desarrollar con más detalle el tema, veamos el siguiente video (Obligatorio).

🌐 Anti-Phishing con GoPhish, ajustes de configuración - Charla 153 - Aprendiendo Ciberseguridad

En esta cuarta entrega del ciclo “Aprendiendo Ciberseguridad paso a paso”, aprenderás a crear una Landing Page personalizada con GoPhish. Esta página imita un entorno de inicio de sesión legítimo con fines educativos, permitiendo evaluar la respuesta de los usuarios ante un intento de phishing simulado.

Cómo clonar páginas reales de login (Outlook, Google, Intranet, etc.) de forma segura y ética para fines de capacitación.

Cómo construir tu propia Landing Page desde cero en GoPhish.

Activar la captura de credenciales (simulada, sin almacenar datos reales sensibles).

Redirección a página de retroalimentación o concienciación después de completar el formulario.

Buenas prácticas para evitar malentendidos y asegurar la legalidad del ejercicio.

Uso del editor HTML de GoPhish.

Inserción del formulario falso.

Configuración del campo “Capture Submitted Data”.

Redirección a feedback.html alojado en tu servidor local o de formación.

Este tema marca el momento en que tu campaña de concienciación empieza a cobrar forma práctica. La Landing Page es el primer punto de contacto con el usuario y debe equilibrar realismo con ética profesional.

Siguendo con nuestro artículo, veamos ahora.

Las técnicas de Baiting se basan en ofrecer un premio a la víctima, o que consiga algo. Esto puede estar representado como colgar en la web una falsa aplicación para descarga con software malicioso o que el atacante deje tiradas unidades de USB con malware, el objetivo es que algún incauto los recoja y lo conecte a su computador, infectándolo en el proceso. Durante la pandemia, se puso de moda también los códigos GR falsos, con enlaces a páginas fraudulentas.

Desgraciadamente los ataques de Baiting son bastante efectivos, dado que los seres humanos suelen bajar la guardia cuando están alegres al tener la sensación a haber logrado algo o conseguido un activo gratuito.

El Scareware es un tipo de ataque y un tipo de software. El Scareware se característica por intentar asustar a la víctima con falsos mensajes de amenaza, urgencia o virus para que llame a un número, mande un correo o realice una acción. La forma de que conseguir que la víctima reciba estos mensajes es normalmente comprar direcciones de web similares a sitios legítimos, de forma que la gente que se equivoca al escribir la dirección legítima acaba en ellos e inmediatamente son bombardeados por pop-ups o banners que tratan de simular mensajes de sistema.

Otras veces el scareware es software que normalmente simula ser un antivirus o antimalware, cuya única característica es mostrar siempre que nuestro sistema tiene muchos errores o riesgo, pidiéndonos que llamemos a un número para asistencia o compremos una licencia. Otras veces el scareware es directamente en sí mismo un virus informático.

A nivel global, se estima que el 90% de los ciberataques exitosos comienzan con el phishing por correo electrónico. El impacto financiero medio de una violación de datos causada por phishing se disparó hasta los 4,76 millones de dólares en 2024. Además, el 83% de las organizaciones fueron víctimas de ataques de phishing exitosos, y el 54% de estos ataques resultaron en la violación de datos de los clientes.

The Cloudflare BlogMetaComplianceGeekfla (https://blog.cloudflare.com/es-es/2023-phishing-report/?utm_source=chatgpt.com/)

Factor humano: El DBIR 2022 de Verizon revela una verdad aleccionadora: el 82% de las violaciones de datos implican la manipulación humana a través del phishing o el robo de credenciales.

La creciente sofisticación de los ataques de phishing, impulsada por el uso de inteligencia artificial (IA) y técnicas de ingeniería social, ha hecho que las campañas sean más personalizadas y difíciles de detectar. Los ciberdelincuentes utilizan herramientas de IA para crear correos electrónicos fraudulentos altamente personalizados, lo que aumenta la probabilidad de éxito de sus ataques. Financial Times

Ante este panorama, es fundamental que las organizaciones implementen programas de concienciación y capacitación en anti-phishing.

Herramientas de código abierto como GoPhish permiten simular ataques de phishing para educar a los empleados y fortalecer la postura de seguridad de la empresa. Estas simulaciones ayudan a identificar vulnerabilidades humanas y a desarrollar estrategias efectivas para mitigar los riesgos asociados al phishing.

Para desarrollar con más detalle el tema, veamos el siguiente video (Obligatorio).

🌐 Anti-Phishing con GoPhish, Landing page - Charla 154 - Aprendiendo Ciberseguridad

En esta charla te enseñamos cómo diseñar plantillas de correo electrónico para campañas de phishing simuladas usando GoPhish, una de las herramientas más potentes para entrenar a usuarios y prevenir ciberataques reales.

Qué elementos incluir para aumentar la efectividad de la simulación

Un tema muy importante que se presenta en este punto es la configuración de “variables” de Gophish, las cuáles nos permiten (como cualquier otra idea de variable en programación) adoptar cualquier valor preconfigurado.

Aumento de quejas por ciberataques impulsados por IA: Se estima que en 2025 se registrarán aproximadamente 1,31 millones de quejas relacionadas con ciberataques potenciados por IA, con pérdidas potenciales que podrían alcanzar los 18.600 millones de dólares. ESED

Incremento global de intentos de phishing: Según un informe de Kaspersky, los intentos de phishing han aumentado un 617% a nivel global desde 2022, impulsados por el uso de IA para generar mensajes más creíbles y dirigidos a usuarios específicos. ITware Latam

Eficacia de correos electrónicos generados por IA: Un estudio académico reveló que los correos electrónicos de phishing generados completamente por IA alcanzaron una tasa de clics del 54%, comparable a los creados por expertos humanos y significativamente superior al 12% de correos genéricos. arXiv

Fraude financiero y deepfakes: Más del 50% del fraude financiero en 2025 involucra el uso de IA y deepfakes, lo que ha llevado a que el 90% de las instituciones financieras adopten soluciones basadas en IA para detectar y prevenir estos delitos. Feedzai

Spear phishing automatizado: La IA permite a los atacantes recopilar información específica sobre sus víctimas y generar mensajes personalizados que imitan el estilo de comunicación de personas de confianza, aumentando la probabilidad de éxito de los ataques. Whalemate

Suplantación de identidad con deepfakes: Los ciberdelincuentes utilizan IA para crear videos y audios falsos que imitan a ejecutivos o empleados, facilitando fraudes como el compromiso del correo electrónico empresarial (BEC).

Evasión de filtros de seguridad: Los modelos de lenguaje avanzados permiten generar correos de phishing que evaden los filtros tradicionales de spam

Para desarrollar con más detalle el tema, veamos el siguiente video (Obligatorio).

🌐 Anti-Phishing con GoPhish, email Template - Charla 155 - Aprendiendo Ciberseguridad paso a paso

¡Pasamos a la acción! En esta charla configuramos desde cero una campaña completa de phishing simulado con GoPhish, enseñándote cada paso para que tú también puedas implementarla en tu organización.

💡 La concienciación es la mejor defensa contra el phishing. Este sexto tema, formar parte de una serie práctica para aprender ciberseguridad aplicándola a casos reales.

Nuevamente, basados en nuestro artículo, presentamos la parte final del mismo.

Como hemos visto, este creciente e imparable volumen de ataques de phishing, potenciando su credibilidad por medio de IA, está generando campañas más personalizadas y difíciles de detectar.

Es importante tener en cuenta que este tipo de ataques, contrariamente a lo que se piensa, tiene mayor impacto en gente joven que en adultos mayores, tal cual lo demuestra otro de los análisis realizado por Geekflare, que presentamos a la derecha.

Esta imagen, nos presenta una nueva visión de esta realidad, en la cual si prestamos atención, podemos ver que en cada una de las gráficas, los mayores porcentajes lo tienen las dos columnas de la izquierda que se corresponden a las edades de: 18-40 años y 41-55 respectivamente, es decir la masa de la base activa empresarial.

Todos los estudios demuestran que la mejor forma de combatir este tipos de ataques, que reiteramos va en crecimiento exponencial y son el 90% de los ciberataques exitosos comienzan con el phishing por correo electrónico, es por medio de la: “Concienciación y capacitación”

Volviendo a los análisis de Geekflare, otra de sus estadísticas, nos pone de manifiesto que los resultados de formación pueden llegar a reducir los efectos de este tipo de ataque a un 5,4% luego de 12 meses de un plan de formación adecuado. Lo podemos ver en detalle en la imagen de la derecha.

Por todas las razones expuestas, es que este artículo, lo hemos pensado como la base teórica de una serie de videos sobre “Capacitación y concienciación”, empleando la herramienta Open-Source: Gophish.

Para desarrollar con más detalle el tema, veamos el siguiente video (Obligatorio).

🌐 Anti-Phishing con GoPhish, New Campaign - Charla 156 - Aprendiendo Ciberseguridad paso a paso

En este nuevo tema del ciclo sobre GoPhish exploramos cómo planificar y ejecutar una segunda campaña de phishing controlado. Analizamos en detalle cómo optimizar lo aprendido en la campaña anterior.

Ideal para profesionales de ciberseguridad, responsables de concienciación y equipos de TI que quieren reforzar su estrategia de defensa activa.

Como se presentan las diferentes interacciones de los destinatarios de los mails ante diferentes respuestas

¡No te pierdas esta fase clave para profesionalizar tus campañas de concienciación!

En este tema, desarrollaremos de forma práctica todo lo que hemos ido viendo en los capítulos anteriores, y analizaremos los resultados de las campañas, así que lo mejor, para desarrollar con más detalle el tema, es que veamos el siguiente video (Obligatorio).

🌐 Anti-Phishing con GoPhish, Campaign 2 - Charla 157 - Aprendiendo Ciberseguridad paso a paso

En esta charla nos centramos en una de las partes más importantes de cualquier campaña de concienciación: el reporte y análisis de resultados.

Veremos cómo debería responder un usuario al recibir este tipo de mails sospechosos. Desarrollaremos una potencialidad que nos presenta Gophish a través de "Report id" por medio de "Reporting Setting", tema que aún está como PROTOTIPO, pero ya lo dejamos presentado para que lo vayáis teniendo en cuenta, por otro lado, dejamos también planteada la duda: ¿está bien que en el mismo mail, le insertemos este tipo de mensajes, o no? (tema bastante discutido y discutible en este tipo de campañas…).

Aprende cómo interpretar los datos recolectados por GoPhish y cómo presentarlos de manera clara para generar valor dentro de tu organización.

Consejos para presentar resultados a dirección o al equipo

¡Transforma datos en decisiones con reportes claros y accionables!

🌐 Anti-Phishing con GoPhish, Reporting - Charla 158 - Aprendiendo Ciberseguridad paso a paso