Nuestros servicios de Ingeniería social tienen como objetivo principal evaluar el comportamiento humano de los empleados en una organización ante los ataques más habituales en el campo de la ingeniería social, tratando de esta forma de identificar puntos fuertes y débiles sobre las políticas de seguridad, así como su nivel de conocimiento e implantación real.
Reconocimiento
Recopilación de información y perfilado de objetivos
Explotación
Ejecución de los vectores de ataque de ingeniería social
Documentación
Informe con resultados, métricas y recomendaciones
El servicio
¿Qué es un Test de Ingeniería Social?
Un test de ingeniería social es una evaluación de seguridad que simula ataques dirigidos a las personas de una organización para comprobar cómo reaccionan ante el engaño y la manipulación psicológica.
La ingeniería social es una práctica mediante la que se trata de obtener información confidencial a través de la manipulación de usuarios legítimos: se dirige a la confianza del usuario para ver qué información sensible puede obtenerse, siguiendo una metodología propia desarrollada en base a técnicas de ingeniería social reconocidas a nivel internacional.
La información confidencial es un activo importante de las organizaciones, a través del cual pueden cometerse fraude u obtener acceso no autorizado al sistema de información.
Vectores de ataque
Tipos de ataque
Los tipos de ataque pueden ser muy variados:
Herramientas automatizadas que recogen correos electrónicos desde los buscadores web.
Búsquedas en redes sociales de información publicada por los empleados, colaboradores, etc.
Llamadas telefónicas suplantando personas clave, soportes, help desk, etc.
Acceso físico a instalaciones validando controles de acceso desde el exterior y el interior.
Ataques de Phishing.
Nuestros servicios
Cómo trabajamos
El proceso a seguir en un test de ingeniería social se refleja en el siguiente esquema:
Recopilación de información
Establecimiento de relaciones
Explotación
Análisis
Documentación
Nuestros proyectos de Ingeniería Social siguen una metodología estructurada que permite evaluar de manera controlada el nivel de resistencia de la organización frente a técnicas de manipulación utilizadas por atacantes reales.
Este enfoque permite conocer de forma realista el comportamiento de los usuarios frente a intentos de manipulación y reforzar la capacidad de la organización para detectar y responder a amenazas de ingeniería social.
01Análisis y diseño del escenario de ataque
Comenzamos realizando un análisis del entorno, los procesos y la superficie de exposición de la organización. A partir de esta información, definimos la estrategia de ataque más adecuada y los vectores de ingeniería social que maximicen la efectividad del ejercicio.
02Definición del alcance y validación de contenidos
Establecemos el alcance de las pruebas, identificando los colectivos o usuarios que participarán en el ejercicio. También validamos las temáticas, mensajes y pretextos que se utilizarán durante las simulaciones para garantizar su realismo y alineación con el entorno de la organización.
03Planificación y preparación de las pruebas
Antes de la ejecución, se preparan todos los elementos necesarios para el desarrollo de la campaña, adaptados a las técnicas de ingeniería social seleccionadas:
Smishing: diseño y configuración de campañas mediante mensajes SMS simulados.
Vishing: preparación de guiones y escenarios para llamadas telefónicas controladas.
Phishing: elaboración de correos electrónicos, dominios y recursos asociados a la simulación.
Intrusión física: planificación de los intentos de acceso físico a instalaciones o áreas restringidas.
04Ejecución de las actividades de ingeniería social
Una vez acordadas las ventanas de ejecución, llevamos a cabo las diferentes pruebas definidas, que pueden incluir llamadas telefónicas, envío de SMS, campañas de phishing o ejercicios de intrusión física.
05Análisis de resultados e informe final
Tras la finalización del ejercicio, recopilamos y analizamos toda la información obtenida. El resultado se presenta en un informe ejecutivo y técnico que incluye:
Indicadores y métricas de éxito.
Resultados detallados por tipo de prueba.
Evidencias obtenidas durante el ejercicio.
Identificación de debilidades y riesgos detectados.
Recomendaciones de mejora y medidas de concienciación para reducir la exposición a futuros ataques.
06Resultados
Finalmente los resultados quedan documentados de la siguiente forma:
Objetivos y alcance del trabajo.
Calificación global de la seguridad.
Resumen ejecutivo de los problemas encontrados.
Detalle (a bajo nivel) de todas las pruebas realizadas.
Campañas de correo electrónico simulando ataques reales, desde phishing masivo hasta ataques dirigidos a perfiles específicos de la organización, midiendo tasas de apertura, clic y entrega de credenciales.
Vishing (ingeniería social telefónica)
Llamadas telefónicas suplantando personas clave, soporte técnico, help desk u otros roles para obtener información confidencial o accesos no autorizados.
Acceso físico
Intentos de acceso a las instalaciones de la organización validando los controles de seguridad física, tanto desde el exterior como desde el interior, incluyendo tailgating y pretexting presencial.
OSINT y reconocimiento
Recopilación de información pública sobre la organización y sus empleados mediante herramientas automatizadas, buscadores web, redes sociales y fuentes abiertas.
Pretexting y manipulación
Creación de escenarios y pretextos creíbles para manipular a los empleados y obtener información confidencial, accesos o acciones no autorizadas.
Medición y concienciación
Métricas detalladas por vector de ataque, comparativa con benchmarks del sector y recomendaciones para programas de concienciación y formación en seguridad.
Lo que dicen nuestros clientes
Organizaciones que confían en nosotros
Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a la norma ISO/IEC 27001:2022, la realización de auditorías internas y el proceso de certificación en PCI DSS ha sido fundamental para fortalecer nuestro sistema de gestión de seguridad de la información.
Ricardo Andrés Cárdenas Galvis
Of. Seguridad de la Información · Neurona
El apoyo estratégico de Internet Security Auditors como CISOaaS ha sido fundamental para reforzar nuestro equipo interno. Su experiencia complementa perfectamente el trabajo de nuestro CISO y nos ha permitido avanzar más rápido en la madurez de nuestra ciberseguridad.
CISO
RACC
En nombre de Outsourcing SAS BIC, queremos expresar nuestro agradecimiento por el compromiso y dedicación durante la implementación del cumplimiento PCI DSS en nuestro call center. Logramos establecer un entorno seguro conforme con los requisitos más exigentes de la industria de pagos.
Yulian Colmenares
Of. Seguridad de la Información · Outsourcing SAS BIC
Trabajar con Internet Security Auditors ha sido una experiencia positiva en todos los sentidos. Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.
Andrés Mejía
Head of GRC · Payválida
Como CFO de Saint Louis University – Madrid Campus, he tenido la oportunidad de trabajar con Internet Security Auditors. Han sido nuestro socio indispensable para la implementación de los requisitos marcados por la normativa de RGPD. Me gustaría destacar su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles…
Victoria Villarreal Palazón
Vice-Rector & Associate VP CFO · Saint Louis University
Como CFO de Fleurop - Interflora España trabajamos con Internet Security Auditors desde hace años en el ámbito de consultoría y cumplimiento de RGPD. Siendo Interflora una compañía 100% orientada al comercio online, los servicios profesionales de Internet Security Auditors nos dan soporte, seguridad y tranquilidad de que toda nuestra actividad está alineada con el cumplimiento de RGPD.
Francisco Tébar Prada
CFO Southern Europe · Fleurop - Interflora España
Como CISO en Intaremit S.A. la importancia que le damos a la seguridad lógica es muy alta. Ya no solo por el mero hecho de que la normativa PCI-CPP nos exija 4 escaneos de vulnerabilidad internos y externos y un pen-test interno y externo anual; si no también por la propia seguridad y tranquilidad que nuestra compañía quiere brindar a todos y cada uno de sus clientes. Llevamos más de 10 años trabajando y colaborando con Internet Security Auditors por su experiencia, compromiso y cercanía; por lo que lo recomiendo sin dudarlo.
Sergio Sainz de la Maza
CISO · Intaremit
En Grupo Arbulu, hemos colaborado estrechamente con Internet Security Auditors en la implementación de medidas de ciberseguridad avanzadas. Gracias a su experiencia, hemos mejorado significativamente nuestra capacidad para detectar y mitigar riesgos cibernéticos. Las auditorías exhaustivas y las soluciones personalizadas han fortalecido nuestra infraestructura de seguridad, asegurando la protección de nuestros datos y la continuidad de nuestras operaciones.
Marcos Montes de Oca
CIO · Grupo Arbulu
Como CEO de Beruby hemos trabajado con Internet Security Auditors cuando tuvimos que realizar de forma urgente un Attestation of Compliance de PCI DSS. Todo el proceso fue extremadamente rápido, eficiente y profesional. Su equipo nos brindó un soporte excelente, demostrando gran conocimiento técnico y compromiso. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.
Miguel Acosta
Global CEO · Beruby
En Grupo AR, valoramos altamente el servicio de protección de marca de Internet Security Auditors por tener un enfoque integral y proactivo. Su equipo de trabajo, altamente calificado, nos permite identificar y mitigar aquellos riesgos que pueden afectar la marca de AR Construcciones y sus diferentes empresas.
Nestor Ivan Melo Ballen
Director de Ciberseguridad · Grupo AR
FAQ
Preguntas frecuentes
¿Es necesario informar a los empleados antes del test?
Depende del objetivo. En la mayoría de los casos, los tests se realizan sin conocimiento previo de los empleados para obtener resultados realistas. Solo un grupo reducido de la dirección o del equipo de seguridad está informado. Tras el ejercicio, se comunican los resultados y se realizan acciones de concienciación.
¿Se comprometen datos reales durante el test?
No. El objetivo es medir la susceptibilidad de los empleados, no comprometer datos reales. Las campañas de phishing utilizan páginas de captura controladas, las llamadas de vishing documentan la información obtenida sin exfiltrarla, y los intentos de acceso físico se detienen una vez demostrado el fallo en el control.
¿Qué métricas se obtienen?
El informe incluye métricas detalladas: tasa de apertura de correos, tasa de clic en enlaces, porcentaje de entrega de credenciales, tiempo medio de respuesta, tasa de éxito por departamento, comparativa con benchmarks del sector y evolución respecto a tests anteriores si los hubiera.
¿Se puede combinar con un ejercicio de Red Team?
Sí. La ingeniería social es uno de los vectores habituales dentro de un ejercicio de Red Team completo. Puede realizarse como servicio independiente para medir el factor humano, o como parte de un ejercicio más amplio que combine vectores técnicos y humanos.
¿Incluye recomendaciones de formación?
Sí. El informe incluye recomendaciones específicas para mejorar los programas de concienciación y formación en seguridad, adaptadas a los resultados obtenidos y a los puntos débiles identificados durante el test.
Contacto
¿Quieres evaluar la resistencia de tu organización a la ingeniería social?
Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.
Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a ISO/IEC 27001:2022 y el proceso de certificación PCI DSS ha sido fundamental para fortalecer nuestro SGSI.
A
Andrés Mejía
Hace 3 meses
Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.
V
Victoria Villarreal Palazón
Hace 4 meses
Han sido nuestro socio indispensable para la implementación de los requisitos de RGPD. Destacaría su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles.
M
Miguel Acosta
Hace 5 meses
Todo el proceso de Attestation of Compliance de PCI DSS fue extremadamente rápido, eficiente y profesional. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.
S
Sergio Sainz de la Maza
Hace 6 meses
Llevamos más de 10 años trabajando con Internet Security Auditors por su experiencia, compromiso y cercanía. Los recomiendo sin dudarlo.
Solicitar información
Presencia Global
Nuestras oficinas
Barcelona
C. Santander, 101. Edificio A-2 E-08030 Barcelona (España)
