De los cursos tradicionales a las simulaciones 3D : Cyberfrog Security
➤Summary
La inteligencia artificial, los deepfakes y las experiencias inmersivas están transformando la preparación de los empleados frente a las amenazas digitales. Plataformas como Cyberfrog Security ilustran una evolución hacia un aprendizaje más práctico, personalizado y conectado con los riesgos reales.
La ciberseguridad ya no depende únicamente de la tecnología
Durante décadas, las empresas han invertido en firewalls, antivirus, sistemas de detección de intrusiones y otras herramientas destinadas a proteger sus infraestructuras digitales.
Sin embargo, una parte importante de los incidentes continúa relacionada con decisiones humanas: abrir un archivo malicioso, compartir información confidencial, facilitar credenciales o confiar en una comunicación fraudulenta.
El problema no siempre es la falta de conocimientos. En ocasiones, los empleados conocen perfectamente las recomendaciones de seguridad, pero tienen dificultades para aplicarlas cuando se encuentran ante una situación convincente.
Un mensaje aparentemente enviado por un superior, una llamada urgente del departamento informático o una solicitud inesperada de autenticación pueden provocar decisiones precipitadas.
Además, la inteligencia artificial ha aumentado la sofisticación de estos engaños. Los ciberdelincuentes pueden generar correos sin errores ortográficos, imitar voces y crear vídeos manipulados que dificultan la identificación de una suplantación.
Ante esta evolución surge una pregunta: ¿son suficientes los cursos tradicionales para preparar a los trabajadores?
Los límites de la formación convencional
El modelo clásico de concienciación en ciberseguridad suele consistir en presentaciones, vídeos informativos y cuestionarios obligatorios.
Aunque estos recursos pueden transmitir conocimientos, completar un curso no garantiza que una persona reaccione correctamente ante un ataque real.
Un estudio publicado en el IEEE Symposium on Security and Privacy de 2025 analizó un experimento con más de 19.500 empleados de una organización sanitaria.
Los investigadores no encontraron una relación estadísticamente significativa entre haber completado recientemente la formación anual y una menor probabilidad de caer en determinadas simulaciones de phishing.
Los resultados tampoco demostraron que las intervenciones formativas integradas en las campañas produjeran grandes mejoras.
Esto no significa que toda formación sea inútil. Indica que determinados métodos ampliamente utilizados pueden tener un impacto limitado sobre el comportamiento.
La cuestión deja de ser simplemente cuántos empleados completan un curso y pasa a centrarse en algo más complejo: cuánto aprenden, qué recuerdan y cómo actúan posteriormente.
Aprender ciberseguridad experimentando un ataque
Una de las alternativas que está ganando protagonismo es el aprendizaje basado en experiencias.
En lugar de limitarse a explicar las amenazas, se permite al empleado enfrentarse a situaciones simuladas dentro de un entorno seguro.
Este planteamiento constituye uno de los elementos diferenciadores de Cyberfrog Security, una plataforma de concienciación en ciberseguridad con sede en Suiza.
Su propuesta combina simulaciones de ingeniería social con escenarios interactivos tridimensionales que se ejecutan directamente desde un navegador.
Los participantes pueden entrar virtualmente en una oficina, un hotel, un restaurante o una entidad bancaria y encontrarse con situaciones que requieren tomar decisiones.
Por ejemplo, una persona puede recibir una llamada de alguien que afirma pertenecer al departamento técnico y solicita verificar una cuenta corporativa.
El usuario debe decidir si sigue las instrucciones, facilita información o verifica la identidad del interlocutor utilizando otro procedimiento.
Cada elección puede conducir a un resultado diferente.
Al finalizar, el sistema explica las señales de alerta y las consecuencias potenciales de las decisiones tomadas.
El objetivo es que los empleados desarrollen hábitos de seguridad mediante la práctica, en lugar de depender exclusivamente de la memorización de recomendaciones.
Los deepfakes introducen nuevos desafíos
La aparición de herramientas de inteligencia artificial generativa ha cambiado significativamente el panorama de la ingeniería social.
Actualmente, una llamada telefónica puede incluir una voz sintética que imita a una persona conocida. Un vídeo puede mostrar a un supuesto directivo realizando declaraciones que nunca pronunció.
Estas técnicas pueden combinarse con información obtenida de redes sociales, páginas corporativas o filtraciones de datos.
Por ello, las campañas de concienciación están comenzando a incorporar amenazas que van más allá del correo electrónico tradicional.
Según su documentación, Cyberfrog permite crear simulaciones relacionadas con phishing, mensajes SMS, códigos QR, solicitudes de autenticación multifactor, llamadas generadas con inteligencia artificial y vídeos deepfake.
También contempla ataques de varias etapas que combinan diferentes canales de comunicación.
Un ejemplo sería recibir primero un correo electrónico aparentemente legítimo y, posteriormente, una llamada que refuerza el mensaje inicial.
Este tipo de ejercicios permite trabajar una habilidad especialmente importante: verificar las solicitudes sensibles independientemente de lo convincente que parezca su origen.
La propia documentación de Cyberfrog señala que la clonación de voces y rostros reales requiere consentimiento registrado, una precaución relevante para evitar usos abusivos de estas tecnologías.
La inteligencia de amenazas llega a la formación de empleados
Otro cambio significativo consiste en utilizar información sobre la exposición digital de una organización para diseñar campañas de formación más relevantes.
Tradicionalmente, todos los empleados podían recibir cursos prácticamente idénticos, independientemente de su departamento o responsabilidades.
Sin embargo, los riesgos no son iguales para todos.
Una persona del departamento financiero puede ser objetivo de fraudes relacionados con transferencias bancarias, mientras que un administrador de sistemas puede recibir comunicaciones fraudulentas sobre accesos privilegiados.
Cyberfrog integra capacidades de reconocimiento OSINT e información procedente de DarknetSearch, una plataforma de inteligencia de amenazas y monitorización de filtraciones.
La combinación permite utilizar señales de exposición externa para contextualizar determinadas simulaciones.
Por ejemplo, la detección de una cuenta corporativa en un conjunto de credenciales filtradas puede servir para iniciar una formación específica sobre reutilización de contraseñas, infostealers y autenticación multifactor.
También es posible desarrollar ejercicios a partir de amenazas recientes identificadas por organismos de ciberseguridad.
Esta aproximación conecta dos ámbitos que tradicionalmente han funcionado por separado: la inteligencia de amenazas y la educación de los empleados.
No obstante, una filtración histórica no implica necesariamente que una contraseña siga siendo válida. Los datos deben interpretarse correctamente antes de establecer conclusiones sobre el riesgo.
Crear formación personalizada mediante inteligencia artificial
La personalización de contenidos representa otro desafío importante.
Las organizaciones necesitan formar a empleados de distintos departamentos, países y niveles de responsabilidad. Preparar materiales específicos para cada grupo puede requerir importantes recursos.
Las nuevas herramientas basadas en inteligencia artificial intentan simplificar este proceso.
Cyberfrog incorpora un estudio de creación de contenidos que, según su web, permite generar cursos, vídeos narrados, cuestionarios, carteles y correos educativos a partir de instrucciones o documentos proporcionados por la organización.
Por ejemplo, una política interna de protección de datos puede utilizarse como punto de partida para elaborar un curso con preguntas de evaluación.
Asimismo, es posible transformar información sobre un incidente reciente en una lección destinada a explicar qué ocurrió y cómo evitar situaciones similares.
La plataforma anuncia soporte multilingüe y exportación mediante SCORM, un formato utilizado por numerosos sistemas de gestión del aprendizaje.
Este último aspecto facilita que las organizaciones puedan integrar contenidos en sus plataformas formativas existentes.
Sin embargo, la automatización no elimina la necesidad de supervisión.
Los materiales generados mediante IA deben revisarse para comprobar su exactitud técnica, adecuación normativa y coherencia con los procedimientos internos.
Del clic en un enlace a la gestión del riesgo humano
Durante años, una de las métricas más utilizadas en las simulaciones de phishing ha sido el porcentaje de empleados que hacen clic en enlaces fraudulentos.
Aunque este dato puede resultar útil, no ofrece una visión completa del comportamiento.
Un empleado puede detectar un mensaje sospechoso y eliminarlo sin informar al equipo de seguridad. Otro puede abrir un enlace, reconocer posteriormente la amenaza y comunicar inmediatamente el incidente.
Ambos comportamientos tienen implicaciones diferentes.
Por ello, algunas plataformas están incorporando indicadores relacionados con la notificación de amenazas, la evolución del aprendizaje y las respuestas ante distintos escenarios.
Cyberfrog incluye análisis por departamento, funciones y canales, además de herramientas para reportar comunicaciones sospechosas desde entornos de correo corporativo.
También plantea itinerarios formativos que se adaptan a las respuestas anteriores de cada participante.
Si una persona comete un error durante una simulación, puede recibir una lección adicional. Si identifica correctamente la amenaza, puede enfrentarse posteriormente a un escenario más complejo.
Este enfoque intenta trasladar la concienciación desde una evaluación puntual hacia un proceso continuo.
La importancia de aprender sin culpabilizar
Existe otra cuestión frecuentemente olvidada: la relación entre los empleados y los equipos de seguridad.
Las simulaciones sorpresa pueden generar desconfianza cuando las personas sienten que están siendo examinadas o penalizadas.
Por esta razón, algunos modelos educativos están evolucionando hacia sistemas que explican los errores sin culpabilizar al participante.
Cyberfrog presenta el aprendizaje sin castigos como uno de sus principios.
La idea consiste en fomentar la participación y reconocer comportamientos positivos, como verificar una solicitud sospechosa o informar de un posible incidente.
Esta orientación puede contribuir a construir una cultura organizativa en la que comunicar los errores sea preferible a ocultarlos.
En ciberseguridad, la rapidez con la que se detecta y comunica un problema puede ser tan importante como la prevención inicial.
¿Cómo medir la eficacia de estas nuevas plataformas?
A pesar del potencial de las experiencias inmersivas y la inteligencia artificial, conviene mantener una perspectiva crítica.
Que una simulación resulte visualmente atractiva no demuestra automáticamente que reduzca los incidentes reales.
Las empresas deberían evaluar si los participantes mejoran su capacidad para reconocer amenazas, verificar identidades, proteger información y comunicar situaciones sospechosas.
También es importante medir la permanencia del aprendizaje a lo largo del tiempo y comprobar si las habilidades adquiridas se trasladan al entorno laboral.
Las métricas deben interpretarse considerando el contexto, la dificultad de las simulaciones y los cambios en la exposición al riesgo.
Además, cualquier programa de formación necesita complementarse con medidas técnicas de seguridad.
La autenticación multifactor, los controles de acceso, la actualización del software y los mecanismos de respuesta a incidentes siguen siendo imprescindibles.
Hacia una formación más cercana a la realidad
El objetivo ya no consiste únicamente en transmitir información, sino en preparar a las personas para reconocer amenazas y tomar decisiones adecuadas cuando se enfrentan a situaciones inesperadas.
Las simulaciones de phishing, los escenarios 3D, los deepfakes controlados y los contenidos personalizados mediante inteligencia artificial abren nuevas posibilidades educativas.
Sin embargo, su verdadero valor dependerá de la capacidad para demostrar mejoras sostenibles en el comportamiento de los empleados.
La tecnología puede hacer que la formación sea más interactiva y cercana a los riesgos actuales, pero debe acompañarse de una cultura de seguridad sólida y de mecanismos eficaces de protección.
En una época en la que los ataques son cada vez más convincentes, aprender a desconfiar, verificar y reaccionar correctamente puede convertirse en una de las habilidades profesionales más importantes.
Discover how CISOs, SOC teams, and risk leaders use our platform to detect leaks, monitor the dark web, and prevent account takeover.
🚀Explore use cases →