1 de cada 3 empleados hace clic en phishing. Ese es el número que define el problema, y la mayoría de las empresas todavía trata la concientización como checkbox.
Según KnowBe4 2025, con base en 67 millones de simulaciones, la tasa global de clic antes de la capacitación es de 33,1%. En Brasil, según Kaspersky 2025, se bloquearon 553 millones de intentos de phishing en 12 meses, 1,5 millones por día. La cuenta es directa: 33,1% de tasa de clic contra 1,5 millones de correos maliciosos por día. El problema vive en las personas, no en la tecnología.
Nosotros en Tech86 vemos este patrón en toda empresa que auditamos. La infraestructura técnica está endurecida: firewall, EDR, MFA, Zero Trust. Pero el empleado todavía hace clic. Y un clic es todo lo que el atacante necesita.
La escala: 33,1% de clic, 1,5 millones de correos por día
Los números son los que asustan. Según KnowBe4 2025, el 33,1% de los empleados hace clic en phishing antes de cualquier capacitación. No es un subconjunto, es 1 de cada 3. En una empresa de 300 personas, 100 harán clic en el primer correo convincente que reciban.
En Brasil, según Kaspersky 2025, se bloquearon 553 millones de intentos de phishing en 12 meses. Eso es 1,5 millones por día, y es solo lo que fue bloqueado. Lo que pasó los filtros llegó a las bandejas de entrada. Y contra esos, la tasa de clic es de 33,1%.
El phishing también evolucionó. Según Microsoft 2025, el phishing generado por IA alcanzó una tasa de clic de 54% contra 12% del phishing manual. La IA elimina los errores gramaticales, personaliza el mensaje a escala e imita el tono de la empresa objetivo. Según Cofense 2025, hay 1 ataque cada 19 segundos. El volumen y la calidad aumentaron al mismo tiempo, y el empleado promedio no tiene defensa instintiva contra eso.
La respuesta es la repetición
Aquí es donde cambia. Según KnowBe4 2025, tras 12 meses de simulación continua, la tasa de clic cae de 33,1% a 4,1%. Una reducción de 87,6%. No es un taller anual. No es un PDF de buenas prácticas. Es repetición.
Según KnowBe4, con base en 493 millones de pruebas, las simulaciones semanales son 2,74 veces más eficaces que las trimestrales. La frecuencia es la variable que más importa, más que el contenido de la capacitación, más que la duración, más que el formato. El cerebro aprende por exposición repetida. Un taller anual es un evento. Una simulación semanal es un hábito.
Repetimos: la respuesta es la repetición. No existe atajo. La capacitación puntual no cambia el comportamiento porque el comportamiento no cambia con un único estímulo. La simulación continua funciona porque reescribe la reacción automática del empleado al ver un correo sospechoso. El clic deja de ser instinto y se convierte en decisión.
El MFA es necesario. La capacitación es lo que cierra la puerta
El MFA es la capa que la mayoría de las empresas ya tiene. Y es necesaria: sin MFA, las credenciales filtradas funcionan solas. Pero el MFA no es suficiente.
Según Proofpoint 2025, el 59% de las cuentas comprometidas tenían MFA activo. El atacante evolucionó: MFA fatigue (envío de decenas de prompts hasta que el usuario aprueba por cansancio), adversary-in-the-middle (proxy que intercepta el token de sesión después del MFA) y kits de phishing que capturan el segundo factor en tiempo real. El MFA aumenta el costo del ataque, pero no cierra la puerta.
El MFA es necesario. La capacitación es lo que cierra la puerta. Las dos capas trabajan juntas: el MFA contiene lo que la capacitación no impidió, y la capacitación reduce lo que llega al MFA. Ninguna sustituye a la otra. Quien confía solo en el MFA está apostando a que el atacante no evolucionó, y el atacante evolucionó.
El ROI: US$ 4,8 millones contra 80 mil dólares
El argumento financiero es el que cierra la conversación. Según IBM 2025, el costo promedio de un breach iniciado por phishing es de US$ 4,8 millones. Ese valor incluye detección, contención, notificación, pérdida de ingresos y multa regulatoria.
El costo de un programa anual de simulación es de cerca de 80 mil dólares, estimación de mercado para una empresa de porte mediano. El retorno es de aproximadamente 60 a 1. Cada dólar invertido en simulación evita 60 dólares de costo de breach.
No existe un control de seguridad con ROI de esa magnitud. El firewall no lo tiene. El EDR no lo tiene. El SIEM no lo tiene. Todos reducen riesgo, pero ninguno tiene una relación de 60 a 1 entre costo y pérdida evitada. La razón es simple: el phishing es el vector de entrada en más de un tercio de los breaches, y la simulación es el único control que ataca directamente la variable humana, que es donde el atacante entra.
Cómo lo implementa Tech86
Enviamos simulaciones de phishing ilimitadas, con microcapacitación en el momento del clic. El empleado hace clic y recibe de inmediato una capacitación de 30 segundos en el contexto exacto del error, no una semana después en una sala de clase. El panel de riesgo humano identifica quién es vulnerable, por departamento, con tasa de clic histórica y tendencia.
El botón de denuncia integrado en Outlook y Gmail convierte a cada empleado en sensor. Un correo sospechoso denunciado por un empleado alerta a todo el equipo de seguridad antes de que otros hagan clic. Y el EDR detecta y aísla el payload si el clic se convierte en ejecución, porque aun con capacitación, algún clic va a ocurrir. Las tres capas trabajan juntas: la capacitación reduce clics, el botón de denuncia convierte clics en inteligencia, el EDR contiene lo que escapó.
Conclusión: la simulación es el control de mayor ROI
La simulación es el control de mayor ROI en su stack de seguridad. Quien la trata como checkbox no entiende el problema.
El problema no es falta de tecnología, es falta de repetición. Una tasa de clic de 33,1% no es una falla de firewall; es una falla de hábito. Y el hábito se cambia con exposición repetida, no con un taller anual. La reducción de 87,6% tras 12 meses no es magia, es la respuesta del cerebro humano a la repetición.
En Tech86 ayudamos a las empresas a construir programas de simulación que realmente reducen la tasa de clic, con frecuencia semanal, microcapacitación en el momento del clic, panel de riesgo humano por departamento e integración entre botón de denuncia y EDR. No como checkbox. Como el control de mayor ROI que existe en su stack de seguridad.