Evaluación de vulnerabilidades de ingeniería social mediante phishing: Diagnóstico de madurez en ciberseguridad académica
DOI:
https://doi.org/10.61368/r.s.d.h.v7i3.1122Palabras clave:
ingeniería social, phishing, ciberseguridad académica, firewall humanoResumen
El factor humano constituye uno de los vectores de ataque más críticos en la arquitectura de ciberseguridad de las Instituciones de Educación Superior (IES). El presente artículo evalúa la madurez en seguridad de la información de una universidad ecuatoriana mediante la ejecución de una campaña controlada de phishing. La metodología incluyó el envío de un correo electrónico simulado a 151 usuarios administrativos y académicos, utilizando tácticas de ingeniería social basadas en la urgencia y la autoridad (simulación de un comunicado interno sobre días de asueto). Los resultados revelaron que, de los 151 correos enviados, 112 fueron abiertos y 91 usuarios interactuaron con el enlace malicioso, resultando en una tasa de compromiso del 60%. Según la matriz de impacto definida, este porcentaje categoriza a la institución en un nivel de riesgo "Crítico". Se concluye que existe una baja concientización sobre el manejo seguro de la información, lo que expone a la universidad a ataques de secuestro de datos (ransomware) y robo de credenciales. Para mitigar estos riesgos, se propone la implementación obligatoria de autenticación multifactor (MFA), el endurecimiento de las políticas de contraseñas y el desarrollo continuo de campañas de concientización orientadas a consolidar un "firewall humano".
Descargas
Referencias
Alghamdi, A. A., & Alghamdi, A. A. (2024). Analysing Cyber Attacks and Cyber Security Vulnerabilities in the University Sector. Computers, 13(2), 49. https://doi.org/10.3390/computers14020049
Hadnagy, C. (2018). Social Engineering: The Science of Human Hacking (2.ª ed.). John Wiley & Sons.
Ley Orgánica de Protección de Datos Personales (LOPDP). (2021). Registro Oficial Suplemento 459, República del Ecuador.
Salahdine, F., & Kaabouch, N. (2019). Social Engineering Attacks: A Survey. Future Internet, 11(4), 89.
https://doi.org/10.3390/fi11040089
Verizon. (2025). Data Breach Investigations Report (DBIR). Verizon Enterprise Solutions.
Wash, R. (2020). How IT security professionals make phishing training. Proceedings of the 2020 CHI Conference on Human Factors in Computing Systems. https://doi.org/10.1145/3313831.3376241
International Organization for Standardization. (2022). Information security, cybersecurity and privacy protection — Information security management systems — Requirements (ISO/IEC 27001:2022).
Secureworks. (2024). State of the Threat: A Year in Review. Secureworks Counter Threat Unit Research.
Ahmad, A. et al. (2024). Evaluating End-User Defensive Approaches Against Phishing Using Education and Simulated Attacks in Universities. MDPI.
Ciupe, A., & Orza, B. (2024). Understanding the Role of Demographic and Psychological Factors in Users' Susceptibility to Phishing Emails. Applied Sciences.
Abroshan, H., Devos, J., Poels, G., & Laermans, E. (2021). COVID-19 and phishing: A systematic review. IEEE Access, 9, 108342-108357. https://doi.org/10.1109/ACCESS.2021.3101882
Ahmad, A., Al-Ahmad, A., & Bakhsh, M. (2024). Evaluating End-User Defensive Approaches Against Phishing Using Education and Simulated Attacks in Universities. Computers, 13(4), 92.
https://doi.org/10.3390/computers13040092
Alghamdi, A. A., & Alghamdi, A. A. (2024). Analysing Cyber Attacks and Cyber Security Vulnerabilities in the University Sector. Computers, 13(2), 49. https://doi.org/10.3390/computers13020049
Bada, M., Sasse, A. M., & Nurse, J. R. (2019). Cyber security awareness campaigns: Why do they fail to change behaviour? IEEE Security & Privacy, 17(5), 11-19.
Ciupe, A., & Orza, B. (2024). Understanding the Role of Demographic and Psychological Factors in Users' Susceptibility to Phishing Emails. Applied Sciences, 14(3), 1120.
https://doi.org/10.3390/app14031120
Hadnagy, C. (2018). Social Engineering: The Science of Human Hacking (2.ª ed.). John Wiley & Sons.
Heartfield, R., & Loukas, G. (2016). A taxonomy of attacks and a survey of defence mechanisms for semantic social engineering attacks. ACM Computing Surveys, 48(3), 1-39.
https://doi.org/10.1145/2835775
International Organization for Standardization. (2022). Information security, cybersecurity and privacy protection — Information security management systems — Requirements (ISO/IEC 27001:2022).
Jensen, M. L., Dinger, M., Wright, R. T., & Thatcher, J. B. (2017). Training to mitigate phishing attacks: An investigation of counter-deception training. Journal of Management Information Systems, 34(2), 597-626.
Ley Orgánica de Protección de Datos Personales (LOPDP). (2021). Registro Oficial Suplemento 459, República del Ecuador.
Mohebly, M., & Zarafshan, M. (2023). Human factor in information security: A systematic literature review on awareness and training programs. Computers & Security, 128, 103150.
https://doi.org/10.1016/j.cose.2023.103150
National Institute of Standards and Technology (NIST). (2023). Phish Scale: A Method for Evaluating Phishing Detection Difficulty (NIST Special Publication 800-16).
Salahdine, F., & Kaabouch, N. (2019). Social Engineering Attacks: A Survey. Future Internet, 11(4), 89.
https://doi.org/10.3390/fi11040089
Secureworks. (2024). State of the Threat: A Year in Review. Secureworks Counter Threat Unit Research.
Verizon. (2025). Data Breach Investigations Report (DBIR). Verizon Enterprise Solutions.
Wash, R. (2020). How IT security professionals make phishing training. Proceedings of the 2020 CHI Conference on Human Factors in Computing Systems. https://doi.org/10.1145/3313831.3376241
Publicado
Número
Sección
Licencia
Derechos de autor 2026 Darío Arturo Méndez Hernández, Diana Patricia Olivo Ramírez, Adán Israel Rodríguez Hernández, Teodoro Suarez Diéguez
Esta obra está bajo una licencia internacional Creative Commons Atribución 4.0.
