Cómo configurar una Simulation de phishing por SMS (smishing)

Una simulación de phishing por SMS (smishing) envía mensajes de texto realistas a los teléfonos de trabajo de sus usuarios para comprobar cómo reaccionan ante un SMS sospechoso. Si un usuario toca el enlace de un mensaje, accede a una breve página de aprendizaje y el clic se registra en Analytics. Este artículo le guía en la configuración de una simulación de smishing en el SoSafe Manager.

Antes de empezar

Solo puede enviar SMS a los usuarios cuyo número de teléfono esté guardado en sus User data. Los usuarios sin número se omiten. Hay varias formas de añadir números al SoSafe Manager:

• Si gestiona los usuarios mediante cargas manuales, suba un archivo de Excel actualizado que incluya los números de teléfono.
• Edite usuarios individuales directamente en el SoSafe Manager. Requiere más esfuerzo por usuario, pero funciona bien para una prueba pequeña.
• Si aprovisiona los usuarios a través de su HRIS, los números de teléfono pueden sincronizarse desde allí.

Crear una simulación de smishing

La configuración es un asistente de cinco pasos: Channel, Audience, Timeframe, Templates y Reporting method, seguido de un resumen. Utilice Continue y Back para moverse entre los pasos. Leave cierra el asistente.

1. En el SoSafe Manager, vaya a Simulations > Simulation Manager.
2. Abra la pestaña Smishing y seleccione Create new simulation.

1. Channel

El asistente se abre en el paso Channel. Como ha empezado desde la pestaña Smishing, SMS Simulation ya está preseleccionado, por lo que puede seleccionar Continue directamente. La otra opción, Email Simulation, crearía una simulación de phishing normal.

2. Audience

Elija quién recibe la simulación:

• All users (recomendado) envía a todos los usuarios que tienen un número de teléfono de trabajo. Los usuarios sin número se omiten. La insignia Eligible muestra cuántos de sus usuarios cumplen actualmente este requisito. Seleccione Add phone numbers para ir a User management y añadir los números que faltan.
• Target specific groups permite seleccionar equipos, departamentos o grupos de alto riesgo. Funciona igual que la selección de usuarios en las simulaciones de phishing por correo electrónico.

3. Timeframe

Defina las fechas de First message sent y Last message sent. Ambas vienen rellenadas previamente. La fecha de inicio es dentro de dos semanas a partir de hoy, lo que le da tiempo para informar a sus usuarios sobre la campaña. La duración predeterminada es de un año.

Los mensajes se envían de forma gradual a partir de la primera fecha, no todos a la vez. No se envía ningún mensaje después de la última fecha.

Debajo de las fechas, el asistente muestra la duración de su campaña y cuántas plantillas recomienda para esa duración, por ejemplo 12 months y 12 templates recommended.

4. Templates

Seleccione Add 12 more templates (el número depende de su periodo). Se abre la Template library. Cada tarjeta de plantilla muestra el remitente, la categoría y el texto del mensaje. Puede buscar una plantilla o filtrar por categoría, como Package delivery, Bank o Tax refund. Marque la casilla de cada plantilla que quiera incluir.

Para ver una plantilla con más detalle, seleccione el icono del ojo y See more en su tarjeta. La Smishing template preview muestra:

• los idiomas en los que está disponible la plantilla, entre los que puede cambiar,
• el tipo de ataque, como Authority o Pressure / anxiety, y
• un campo Send yourself a test. Introduzca su propio número de teléfono y seleccione Send test message para recibir el SMS en su teléfono y ver exactamente cómo se ve.

Cada usuario recibe la plantilla en el idioma guardado en sus User data. Si una plantilla no está disponible en ese idioma, SoSafe utiliza el idioma predeterminado de su empresa y, como último recurso, el inglés.

Cuando haya elegido todas sus plantillas, seleccione Apply. La biblioteca se cierra y sus plantillas aparecen en la lista de la página. Utilice el icono del ojo para volver a previsualizar una plantilla, la X para eliminarla o Add from library para añadir más.

5. Reporting method

Decida cuánto detalle desea en Analytics:

• Individual muestra cómo ha interactuado cada usuario con el SMS simulado.
• User group based (recomendado) limita los datos al nivel de grupo de usuarios. Sigue viendo dónde hay carencias de concienciación, pero no puede identificar a usuarios concretos.

6. Summary

El Smishing summary muestra todos sus ajustes. Asigne un nombre a la simulación (por defecto es "Simulation" más la fecha de hoy) y revise los pasos completados. Para cambiar uno, seleccione el icono del lápiz situado junto a él. Cuando todo esté correcto, seleccione Done.

Después de crear la simulación

No hay pantalla de confirmación. Volverá a la pestaña Smishing, donde la nueva simulación aparece en Scheduled con el estado Starts soon.

Para modificar la simulación antes de que comience, abra el menú de los tres puntos verticales en su tarjeta y seleccione Edit. Desde el mismo menú puede ver más detalles o desactivar la simulación.

Qué ven sus usuarios

Cada SMS contiene un enlace. El usuario que lo toca accede a una breve página de aprendizaje que explica que el mensaje era una simulación, con un enlace a la lección de E-Learning correspondiente. El clic se registra en Analytics en la tasa de clics.