El 6 de octubre de 2026, los clientes de ASOS recibieron una notificación en su aplicación móvil: "Sus datos han sido robados. Contáctenos por Telegram". Detrás del mensaje, una sofisticada operación de ingeniería social: ciberdelincuentes suplantaron la identidad de un contacto de confianza para obtener credenciales de un empleado. En horas, accedieron a plataformas externas, exponiendo información de millones de usuarios. ASOS reaccionó bloqueando sistemas y lanzando una investigación, pero el daño reputacional y regulatorio ya estaba hecho. Este caso no es aislado: según el Blue Report 2026, solo el 37% de las acciones de atacantes con credenciales válidas son detenidas por defensas técnicas.
«El Ataque» PCL: simular para decidir, no para aprobar
La ficción inmersiva «El Ataque» de Predictive CyberProgram (PCL) trasciende la formación teórica. Diseñada dentro del arco saber-comprender-actuar, coloca a los equipos en situaciones reales donde cada decisión cuenta. Estas son sus claves:
- Escenario realista: Los participantes reciben solicitudes urgentes de supuestos contactos de confianza —como en el caso ASOS—, con presión temporal para revelar credenciales. El objetivo: identificar señales de suplantación antes de que los accesos se comprometan.
- Presión controlada: En un entorno seguro pero cronometrado, los equipos deben verificar información, alertar a los responsables y neutralizar la amenaza. La simulación mide su capacidad para mantener la calma y actuar con precisión.
- Atestación de compromiso: Al finalizar, los participantes reciben un certificado que valida su capacidad para actuar bajo estrés, no su mera asistencia. Esta atestación refleja resiliencia operativa, no cumplimiento burocrático.
- Retroalimentación táctica: Cada sesión incluye un debriefing para analizar errores, reforzar protocolos y ajustar comportamientos. Por ejemplo: ¿se verificó el remitente del mensaje? ¿Se activó el protocolo de doble autenticación?
La ingeniería social no ataca sistemas, sino sesgos humanos: urgencia, confianza mal colocada o miedo. «El Ataque» entrena a los equipos para reconocer estas tácticas y responder con protocolos claros, incluso cuando el tiempo apremia.
Predictive CyberScore (PCS): medir para priorizar
Detectar una suplantación es solo el primer paso. Saber cómo reaccionar —y medir esa capacidad— es igual de crítico. El Predictive CyberScore (PCS) evalúa la madurez de los equipos en tres dimensiones:
- Human Vulnerability Score (HVS): Identifica vulnerabilidades conductuales, como la tendencia a confiar sin verificar o ceder ante la presión. Por ejemplo, un HVS alto en un departamento puede indicar la necesidad de refuerzos en formación específica.
- h-ROSI (Human Return on Security Investment): Mide el impacto de las inversiones en ciberseguridad humana. ¿Cuántas suplantaciones se neutralizaron gracias a «El Ataque»? El h-ROSI justifica presupuestos y demuestra ROI tangible.
- Lectura COMEX: Traduce riesgos humanos en términos de negocio. Por ejemplo: ¿cómo afectaría a la reputación o a la conformidad regulatoria un incidente como el de ASOS? Esta métrica alinea la ciberseguridad con las prioridades estratégicas.
La combinación de «El Ataque» y el PCS ofrece una visión 360°: la simulación prueba los reflejos de los equipos, mientras que el PCS proporciona datos para optimizar recursos y cerrar brechas.
Lecciones de ASOS: actuar antes de la crisis
El caso ASOS 2026 subraya una realidad incómoda: los ciberdelincuentes no necesitan vulnerabilidades técnicas si pueden explotar las humanas. Las lecciones clave para las organizaciones son:
- La tecnología no basta: Herramientas avanzadas fallan si los equipos no están entrenados para detectar manipulaciones. La formación debe ser práctica, no teórica.
- La urgencia es un arma: Los atacantes usan plazos ajustados para inducir errores. «El Ataque» enseña a los equipos a pausar y verificar, incluso bajo presión.
- La detección temprana salva reputaciones: ASOS actuó rápido, pero el daño ya estaba hecho. Una simulación como «El Ataque» puede evitar la filtración de accesos y limitar el impacto.
- Comunicar con transparencia: ASOS informó a sus clientes de inmediato, un paso clave para preservar la confianza. La comunicación proactiva debe ser parte del protocolo de respuesta.
Integrar simulaciones como «El Ataque» en la estrategia de ciberseguridad transforma a los empleados en la primera línea de defensa. No se trata de convertirlos en expertos técnicos, sino de cultivar una cultura de vigilancia donde cada uno sepa reconocer una amenaza y actuar con decisión.
La resiliencia no se improvisa: se construye con entrenamiento, se mide con datos y se mejora con feedback. Con «El Ataque» y el Predictive CyberScore, Predictive CyberProgram proporciona las herramientas para hacerlo de manera sistemática y escalable.
¿Listo para poner a prueba a tu equipo? Descubre cómo «El Ataque» puede adaptarse a los riesgos específicos de tu organización.