≡En resumen
- Es una prueba autorizada y ética: se simula un intento de engaño para medir cómo responde la plantilla y mejorar su concienciación, siempre con permiso previo.
- El precio lo marcan el número de empleados evaluados, los métodos elegidos y el objetivo (medir, formar o cumplir una norma).
- El phishing simulado por correo es el método más económico; las llamadas, los SMS y las pruebas presenciales suben el coste.
- La formación posterior suele ser lo más rentable: convierte el susto en aprendizaje real y reduce la reincidencia.
- Hazlo de forma respetuosa: sin señalar a personas, cuidando la privacidad y con el comité de empresa informado cuando corresponda.
01 Precios orientativos de una prueba de ingeniería social en España
Una prueba de ingeniería social es un ejercicio autorizado en el que un equipo especializado simula intentos de engaño —un correo que pide pulsar un enlace, una llamada que solicita datos— para comprobar cómo reacciona la plantilla y dónde conviene reforzar la formación. El objetivo es defensivo: concienciar, no castigar. El precio depende sobre todo del número de personas evaluadas y de los métodos acordados.
Estos son los rangos habituales en el mercado español en 2026. Son referencias para juzgar un presupuesto, no una tarifa cerrada.
| Tipo de prueba | Alcance típico | Rango orientativo |
|---|---|---|
| Campaña de phishing simulado por correo | Hasta 100 empleados, uno o dos envíos | 1.500-3.000 € |
| Phishing para plantilla grande | Varios cientos de empleados, varias oleadas | 3.000-7.000 € |
| Campaña de llamadas (voz) | Muestra de empleados y departamentos clave | 2.000-5.000 € |
| Campaña por SMS o mensajería | Muestra representativa de la plantilla | 1.500-4.000 € |
| Prueba presencial en oficinas | Una sede, con desplazamiento del equipo | 2.500-6.000 € |
| Programa combinado + formación | Varios métodos, informe y formación posterior | 6.000-15.000 € o más |
02 Tu objetivo cambia el enfoque (y el presupuesto)
La primera pregunta de la calculadora es para qué quieres la prueba. No es un detalle menor: el objetivo determina el alcance, los métodos y el peso de la formación posterior.
Concienciar a la plantilla
El foco está en el aprendizaje. Suele incluir una campaña sencilla y, sobre todo, formación y materiales. Es la opción más habitual en pymes.
Evaluar políticas y formación actuales
Quieres saber si lo que ya haces funciona. La prueba se diseña para medir y comparar con tu situación anterior, con métricas claras.
Encontrar puntos débiles en los procesos
Te preocupan procedimientos concretos, como el pago de facturas o la verificación de identidad por teléfono. Exige un diseño más fino.
Cumplir una norma o auditoría
Necesitas demostrar ante un auditor o un regulador que pruebas el factor humano. El entregable debe ser presentable y trazable.
Si lo que buscas es una evaluación integral de toda la organización, y no solo del factor humano, la ingeniería social suele integrarse en un ejercicio mayor: compara el presupuesto de un ejercicio de Red Team. Y si tu preocupación son los sistemas más que las personas, empieza por el presupuesto de un pentesting.
03 Qué métodos evaluar y cuánto pesan en el precio
La segunda pregunta de la calculadora es qué métodos quieres incluir. Cada uno exige una preparación distinta y, por tanto, más o menos horas de trabajo.
| Método | En qué consiste | Efecto en el precio |
|---|---|---|
| Phishing (correo) | Correos simulados que miden quién pulsa, quién reporta y quién introduce datos | El más económico y escalable a muchos empleados |
| Vishing (llamadas) | Llamadas simuladas para comprobar la verificación de identidad y la fuga de datos | Más caro: cada llamada la hace una persona |
| Smishing (SMS) | Mensajes simulados con enlaces o peticiones | Coste medio, parecido al del phishing por volumen |
| Prueba presencial | Comprobar, con permiso, el acceso a zonas restringidas de una sede | Caro: requiere desplazamiento y coordinación |
| Soportes físicos (baiting) | Dejar dispositivos de prueba para ver si se conectan a los equipos | Coste medio, se combina con la prueba presencial |
04 Qué incluye una prueba bien hecha y qué se paga aparte
Dos presupuestos con la misma cifra pueden ser muy distintos. Comprueba que el tuyo incluye, como mínimo, esto:
- ✓Reunión de alcance y autorización por escrito de quien tiene potestad para aprobarla.
- ✓Diseño de los escenarios de forma realista pero ética, sin material ofensivo ni que explote datos sensibles de las personas.
- ✓Ejecución acordada en fechas y con un contacto interno que puede detener la campaña.
- ✓Métricas agregadas: tasa de clic, de reporte y de entrega de datos, por departamento y no por persona.
- ✓Informe ejecutivo para dirección y recomendaciones priorizadas.
- ✓Sesión de resultados con los responsables.
- ✓Trato de los datos conforme al RGPD: anonimización siempre que sea posible y destrucción al terminar.
Suele ir aparte, y conviene que el presupuesto lo diga: la formación posterior, las campañas de refuerzo periódicas, los desplazamientos de las pruebas presenciales y la integración con tu plataforma de formación. La formación es justo la parte que convierte el ejercicio en mejora real, así que no la trates como un extra prescindible.
05 Cómo funciona el proceso y la propuesta cerrada
-
1
Rellenas la calculadora
Indicas el objetivo, los métodos que te interesan y tu presupuesto aproximado. En 48 horas recibes una propuesta cerrada con alcance, métodos, calendario y precio.
-
2
Reunión de alcance
Concretamos el número de empleados, los departamentos, los métodos, las fechas y el contacto interno. Todo queda autorizado por escrito antes de empezar.
-
3
Diseño de escenarios
Preparamos escenarios realistas y respetuosos, adaptados a tu sector, con el nivel de dificultad que acordemos.
-
4
Ejecución y medición
Lanzamos la campaña en las fechas pactadas y recogemos las métricas agregadas de respuesta de la plantilla.
-
5
Informe y formación
Entregamos el informe, lo repasamos con los responsables y, si lo contratas, impartimos la formación para reforzar lo aprendido.
Si quieres conocer el enfoque y el equipo antes de decidir, en la página del servicio de seguridad ofensiva tienes el detalle. Una campaña de phishing simulado se resuelve en una o dos semanas; un programa combinado con formación, en varias.
06 Por qué la formación es lo que de verdad rinde
Medir sin formar deja a la empresa igual que estaba, solo que con un informe. El retorno de una prueba de ingeniería social está en lo que haces después: convertir cada error en un aprendizaje concreto.
| Enfoque | Coste | Resultado a los 6 meses |
|---|---|---|
| Solo campaña de medición | Más barato | Sabes el punto de partida, pero la plantilla tiende a repetir errores |
| Campaña + formación puntual | Coste medio | Mejora clara a corto plazo que se diluye si no se refuerza |
| Programa continuo (campañas y formación periódicas) | Mayor inversión anual | Reducción sostenida de la tasa de clic y cultura de reporte |
07 Ejemplos de presupuesto de ingeniería social
Alcance: una campaña de phishing simulado por correo, con informe y una sesión de formación de una hora para toda la plantilla.
Rango orientativo: 2.000-3.500 € sin IVA. Es el primer paso típico para empezar a medir y concienciar.
Alcance: phishing a toda la plantilla más una campaña de llamadas dirigida al equipo de pagos para probar la verificación de facturas.
Rango orientativo: 4.500-8.000 € sin IVA. Protege justo donde un engaño puede costar dinero de verdad.
Alcance: programa anual con varias oleadas de phishing y SMS, una prueba presencial en la sede central y formación trimestral.
Rango orientativo: 10.000-18.000 € al año sin IVA. Suele combinarse con pruebas sobre los sistemas y las apps, cuya seguridad se diseña ya en el desarrollo de aplicaciones móviles.
08 Legalidad, privacidad y buenas prácticas
Una prueba de ingeniería social toca a personas y a sus datos, así que hay que hacerla con cuidado. Estas son las bases que un proveedor serio respeta siempre.
- ✓Autorización previa y por escrito de la dirección, con alcance y límites claros.
- ✓Tratamiento de datos conforme al RGPD y a la LOPDGDD, con base jurídica y plazos de conservación definidos.
- ✓Información al comité de empresa o a los representantes de los trabajadores cuando proceda.
- ✓Resultados siempre agregados: se mide a la organización, no se señala a personas concretas.
- ✓Ningún contenido que explote miedos reales, datos médicos, de salud o especialmente sensibles.
- ✓Destrucción de la información recogida al cerrar el proyecto.
09 Cómo comparar presupuestos y aprovechar la inversión
- ✓Compara el número de empleados y los métodos incluidos, no solo el precio final.
- ✓Confirma que la formación está dentro o tiene un precio fijado de antemano.
- ✓Comprueba que los resultados se entregan agregados y respetando la privacidad.
- ✓Pide un ejemplo de informe anonimizado antes de contratar.
- ✓Verifica el acuerdo de confidencialidad y el tratamiento de datos según el RGPD.
- ✓Plantéalo como programa continuo si quieres que la mejora dure.
La ingeniería social explota fallos humanos, pero muchos de esos fallos empiezan en malos hábitos digitales. Reforzarlos sale barato: nuestra guía sobre cómo proteger tu web de los ataques más comunes y la de cómo compartir contraseñas en equipo sin errores son un buen complemento a cualquier campaña. Y si tu empresa depende de aplicaciones propias, recuerda que su seguridad empieza en el desarrollo de aplicaciones web a medida: si vas a encargar una, calcula aparte el presupuesto de desarrollo de una aplicación web con la seguridad incluida desde el principio.
Preguntas frecuentes sobre el precio
Orientativamente, entre 1.500 y 4.000 € sin IVA para una campaña de phishing simulado a una plantilla pequeña o mediana, y entre 4.000 y 12.000 € o más cuando combina varios métodos o incluye formación.
El phishing simulado por correo, porque llega a muchos empleados a la vez con poca preparación por persona. Las llamadas (vishing) y las pruebas presenciales son más caras porque cada contacto lo realiza una persona del equipo.
Sí, siempre que haya autorización previa de la dirección, se trate la información conforme al RGPD y se informe al comité de empresa cuando corresponda. Los resultados deben presentarse agregados, sin señalar a personas.
No siempre. Algunas propuestas solo miden. Conviene confirmar si la formación está incluida o tiene un precio fijado, porque es la parte que convierte la prueba en una mejora real y duradera.
Para concienciar, lo ideal es llegar a toda la plantilla con una campaña de correo. Para evaluar procesos concretos basta con una muestra representativa de los departamentos implicados, lo que reduce el coste.
Como referencia, una campaña al menos una o dos veces al año, mejor dentro de un programa continuo con formación. El aprendizaje se diluye con el tiempo, así que el refuerzo periódico es lo que mantiene la mejora.
La ingeniería social evalúa el factor humano con métodos de engaño simulado. Un Red Team es un ejercicio mayor que persigue un objetivo de negocio combinando sistemas, seguridad física y personas; la ingeniería social suele ser una de sus partes.
Técnicamente sí, pero un ejercicio ético no se usa para señalar a personas. Los resultados se presentan de forma agregada, por departamento, con el objetivo de formar y mejorar, no de sancionar.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗