PARTE I — RESUMEN EJECUTIVO

PARTE II — ANEXO TÉCNICO-OPERATIVO

A. Metodología Detallada
B. Escenarios de Ataque
C. Matriz de Evaluación y Métricas (KPIs)
D. Reglas de Enfrentamiento (Rules of Engagement)
E. Árbol de Decisión del Operador
F. Plantilla de Registro por Llamada
G. Criterios de Éxito / Fracaso

A raíz de hallazgos recientes derivados de actividades de evaluación de seguridad realizadas en el entorno de uno de nuestros clientes, se identificaron debilidades significativas en los procesos de verificación de identidad aplicados por los equipos de soporte telefónico (Helpdesk) durante procedimientos críticos como el restablecimiento de contraseñas.

Estos hallazgos evidenciaron que un atacante con información básica obtenida mediante técnicas de OSINT (Open Source Intelligence) — nombres de empleados, formatos de correo electrónico corporativo, estructuras organizativas — podría, mediante una llamada telefónica convincente (vishing), conseguir que un operador de Helpdesk ejecute un restablecimiento de credenciales sin verificación robusta de la identidad del solicitante.

Las debilidades observadas incluyen la ausencia de verificación multifactor durante el proceso de reset, la confirmación directa de datos del usuario por parte del agente (facilitando la suplantación), y la falta de protocolos estandarizados de validación de identidad en el canal telefónico.

Ante esta situación, la Dirección de Managed Services ha solicitado la ejecución de un ejercicio controlado de vishing sobre nuestro propio equipo de Helpdesk. Este ejercicio complementará las acciones formativas ya planificadas (charlas de concienciación y cursos específicos) con una evaluación práctica que permita medir el nivel real de resistencia de los operadores frente a técnicas de ingeniería social telefónica.

El objetivo principal es evaluar de forma controlada y medible la capacidad de los operadores del equipo de Helpdesk para detectar, resistir y gestionar adecuadamente intentos de ingeniería social realizados a través del canal telefónico. Los objetivos específicos son:

El ejercicio seguirá una metodología estructurada inspirada en los frameworks de evaluación de ingeniería social reconocidos (NIST SP 800-115, PTES, OWASP Testing Guide) adaptada al contexto específico de evaluación de Helpdesk telefónico. La ejecución se dividirá en las siguientes fases:

Fase 1 — Reconocimiento (OSINT): Recopilación de información pública sobre la organización y sus empleados que un atacante real utilizaría para construir pretextos creíbles. Esto incluye nombres, cargos, estructura organizativa, formatos de email, números de teléfono internos y cualquier dato expuesto en fuentes abiertas (LinkedIn, web corporativa, filtraciones).

Fase 2 — Diseño de pretextos: Construcción de escenarios de ataque con diferentes niveles de sofisticación y presión psicológica, cada uno diseñado para testear controles específicos del proceso de verificación.

Fase 3 — Ejecución de llamadas: Realización de las llamadas según la matriz definida, con grabación de audio, toma de notas en tiempo real y registro de timestamps para cada punto de decisión del operador.

Fase 4 — Análisis y scoring: Evaluación de cada llamada según la matriz de métricas definida (ver Anexo C), identificación de patrones, cálculo de KPIs y elaboración de conclusiones.

Se proponen los siguientes escenarios de complejidad progresiva. Cada escenario está diseñado para evaluar aspectos específicos del protocolo de verificación del Helpdesk:

Cada llamada será evaluada según los siguientes indicadores clave. La puntuación de cada operador se calculará como una media ponderada de los controles evaluados:

Adicionalmente, se registrarán métricas globales como: tasa de compromiso (% de llamadas que resultaron en éxito para el atacante), tiempo medio hasta la revelación de información, escenario con mayor tasa de éxito, y correlación entre turno/hora y susceptibilidad.

El siguiente árbol representa el flujo de decisión esperado que un operador de Helpdesk debería seguir ante una solicitud telefónica de restablecimiento de credenciales. Este árbol servirá como referencia para evaluar en qué punto del flujo el operador se desvía del protocolo durante el ejercicio:

Cada llamada ejecutada durante el ejercicio se documentará utilizando la siguiente plantilla. El ejecutor completará el registro inmediatamente después de cada llamada:

Para el análisis de resultados se establecen los siguientes umbrales que determinan el nivel de madurez del equipo y la urgencia de las acciones correctivas:

Este documento es propiedad de [EMPRESA] y contiene información confidencial. Su distribución está restringida al personal autorizado indicado en la sección de control.