Ingeniería social: cuando los hackers atacan tu mente, no tu ordenador

¿Qué es la ingeniería social?

La ingeniería social es el arte de manipular a las personas para que hagan cosas o revelen información que de otro modo no harían. En lugar de encontrar una vulnerabilidad técnica en el software, un ingeniero social encuentra una vulnerabilidad en la psicología humana: la confianza, el miedo, la curiosidad, la autoridad y el afán de ayudar.

Es una de las técnicas de ataque más eficaces que existen, porque ningún cortafuegos ni antivirus puede proteger frente a una mentira bien ejecutada. Los expertos en seguridad suelen decir: "El eslabón más débil de cualquier sistema de seguridad es el ser humano".

Los ataques de ingeniería social han comprometido a algunas de las mayores empresas del mundo, organismos públicos y personas de alto perfil, no rompiendo el cifrado, sino convenciendo a un empleado de que entregue sus credenciales o de que deje entrar a un atacante por la puerta.

Los principios psicológicos detrás de los ataques

Los ingenieros sociales no actúan al azar: explotan deliberadamente tendencias psicológicas bien documentadas:

• Autoridad: obedecemos a las personas que creemos que ocupan posiciones de autoridad. "Somos seguridad informática, necesitamos tus credenciales para arreglar tu cuenta" funciona porque estamos condicionados a seguir a las figuras de autoridad.
• Urgencia y miedo: la presión fuerza decisiones rápidas. "Tu cuenta se eliminará en una hora" cortocircuita el pensamiento cuidadoso.
• Reciprocidad: nos sentimos obligados a devolver favores. Un atacante podría primero hacer algo útil para bajar tu guardia.
• Prueba social: seguimos lo que hacen los que nos rodean. "Tu compañero ya ha enviado el formulario" hace que cumplir parezca normal.
• Simpatía: confiamos en las personas que nos caen bien. Los atacantes crean afinidad antes de dar su golpe.
• Escasez: la disponibilidad limitada impulsa la acción. "Solo queda una plaza, haz clic ahora".

Técnicas comunes de ingeniería social

Phishing, smishing y vishing

El phishing (correo electrónico), el smishing (SMS) y el vishing (llamadas de voz) son los ataques de ingeniería social más comunes. Suplantan a entidades de confianza —bancos, empresas tecnológicas, empleadores u organismos públicos— para extraer credenciales, información personal o dinero.

El spear phishing es una variante dirigida en la que el atacante investiga a la víctima para elaborar un mensaje muy convincente y personalizado.

Pretexting

En el pretexting, el atacante fabrica un escenario (un pretexto) para justificar su petición. Ejemplos:

• Hacerse pasar por un trabajador del servicio de ayuda de informática que necesita tu contraseña para resolver un problema urgente
• Suplantar a un empleado nuevo que necesita ayuda para acceder a los sistemas
• Llamar como un "proveedor" que necesita verificar los datos de una cuenta

El escenario está diseñado para que la petición parezca razonable y urgente.

Baiting (uso de cebos)

El baiting explota la curiosidad o la codicia. Un ejemplo clásico es dejar una memoria USB etiquetada como "Información salarial 2024" en el aparcamiento de una empresa. Un empleado curioso la recoge y la conecta, instalando malware en el proceso.

El baiting en línea incluye software gratuito falso, películas piratas u ofertas de premios que vienen con malware adjunto.

Quid pro quo

Similar al baiting, un ataque de quid pro quo ofrece algo a cambio de información o acceso. Por ejemplo, un atacante que se hace pasar por soporte técnico se ofrece a solucionar un problema que tienes, a cambio de acceder temporalmente a tu ordenador o a tus credenciales de inicio de sesión.

Tailgating y piggybacking

Estos son ataques físicos de ingeniería social. El tailgating consiste en entrar en una zona segura siguiendo de cerca a una persona autorizada a través de una puerta antes de que se cierre. El piggybacking ocurre cuando una persona autorizada, a sabiendas, sostiene la puerta para alguien que no debería estar allí, por educación.

Los atacantes suelen vestirse como repartidores, trabajadores de mantenimiento o contratistas para pasar desapercibidos.

Señales de alarma del mundo real a las que prestar atención

• Alguien que pide tu contraseña o código de verificación: el personal de informática legítimo y las empresas nunca necesitan tu contraseña
• Peticiones que saltan los procedimientos normales en aras de la urgencia
• Contacto no solicitado en el que alguien ya parece conocer detalles personales sobre ti (puede haberte investigado en las redes sociales)
• Cualquiera que cree presión de tiempo en torno a una decisión de seguridad
• Ofertas u oportunidades que parecen demasiado buenas para ser verdad
• Una persona desconocida que necesita acceso a algo a lo que normalmente no lo tendría

Cómo protegerte

Detente y verifica

La urgencia es la mejor aliada del atacante. Si te sientes presionado para actuar de inmediato, esa es una señal para hacer una pausa. Tómate tiempo para verificar: cuelga y llama de vuelta a un número publicado, consulta con un compañero o pregunta a tu equipo de informática.

Nunca compartas contraseñas ni códigos

Ninguna organización legítima te pedirá jamás tu contraseña, tu PIN o un código de verificación que hayas recibido por SMS. Punto. Si alguien lo pide, es una señal de alarma, por muy convincente que parezca.

Cuestiona las peticiones inusuales

Confía en tu instinto. Si algo te parece extraño en una petición —incluso de alguien que crees conocer— está bien hacer preguntas, verificar su identidad o decir que no.

Limita tu huella pública

Los ingenieros sociales investigan a sus objetivos en LinkedIn, Facebook, Instagram y otras plataformas. Ten cuidado con lo que compartes públicamente: tu empleador, tu cargo, los nombres de tus compañeros y tu rutina diaria pueden usarse para elaborar pretextos convincentes.

La concienciación en seguridad es un hábito, no una formación puntual

La mejor defensa es un escepticismo sano y practicado hacia las peticiones inusuales. Habla de estas tácticas con tus familiares, amigos y compañeros. Cuantas más personas entiendan cómo funcionan estos ataques, más difíciles serán de ejecutar.