Ingeniería social: las 10 técnicas más usadas contra empresas

La ingeniería social es la manipulación de personas para obtener acceso, información o dinero. No ataca sistemas: ataca la forma en que trabajamos, confiamos y obedecemos.

Es el vector más rentable que existe porque no requiere vulnerabilidades técnicas. Requiere entender a la organización, y eso hoy se investiga en redes profesionales en una tarde.

Conocer las técnicas importa, pero lo que realmente protege son los controles de proceso al final de este artículo. La atención humana falla; los procesos no.

Los cinco resortes psicológicos que explotan

Todas las técnicas se apoyan en alguno de estos:

Autoridad. Obedecemos a quien parece tener rango. "Soy del área de sistemas", "me pidió el director". Urgencia. La prisa apaga la verificación. Es el resorte más usado. Escasez. "Solo hoy", "queda un lugar". Reciprocidad. Si alguien te hizo un favor, cuesta negarle uno. Prueba social. "Todos en tu equipo ya lo hicieron".

Cuando notes dos o más de estos en una misma solicitud, detente. Esa combinación es una señal más confiable que cualquier detalle técnico.

Las 10 técnicas

1. Suplantación de directivo. Un mensaje del director general pidiendo una transferencia urgente y confidencial, normalmente cuando está de viaje. Explota autoridad, urgencia y secreto a la vez. Control: toda instrucción de pago se verifica por voz con un contacto previamente guardado. Sin excepción por rango.

2. Cambio de datos bancarios de proveedor. Un correo del proveedor de siempre notificando nueva cuenta. A veces desde su cuenta real, ya comprometida. Control: los cambios de datos bancarios se validan llamando al teléfono que ya tenías en el expediente, no al del correo. Doble firma para modificar datos de proveedores.

3. Pretexto de soporte técnico. Alguien llama diciendo ser del área de sistemas, o del proveedor de tu software, y pide instalar algo, dar acceso remoto o dictar un código. Control: sistemas nunca pide contraseñas ni códigos. Publícalo como regla. Toda solicitud de soporte se verifica llamando al número interno conocido.

4. Solicitud del código de verificación. "Te va a llegar un código de seis dígitos, dímelo para confirmar tu identidad." Ya tienen tu contraseña y les falta el segundo factor. Control: regla absoluta, repetida hasta el cansancio: el código de seis dígitos no se comparte con nadie, jamás, por ningún motivo.

5. Suplantación de candidato o de reclutador. Currículums con archivos maliciosos, u ofertas de trabajo falsas dirigidas a tu personal técnico para obtener información de tu infraestructura. Control: apertura de adjuntos en entorno aislado. Capacitación específica para recursos humanos, que es de los perfiles más expuestos.

6. Acceso físico con pretexto. Persona con uniforme, caja o portapapeles que pide entrar "a revisar el aire acondicionado". A veces solo necesita conectar un dispositivo a un puerto de red o dejar una memoria USB en la recepción. Control: proceso de visitantes con registro y acompañamiento. Puertos de red no usados, deshabilitados. Nadie conecta memorias encontradas.

7. Seguimiento en el acceso (tailgating). Entrar detrás de alguien que abrió con su credencial, cargando cajas o con las manos ocupadas. Explota cortesía. Control: política explícita de no permitir el paso, con respaldo de la dirección para que nadie se sienta grosero al aplicarla.

8. Suplantación de cliente importante. Alguien se hace pasar por un cliente de peso y presiona a atención o ventas para obtener información de otras cuentas, precios o datos de contacto internos. Control: nunca se comparte información de una cuenta sin verificación de identidad establecida. Protocolo de escalamiento ante presión.

9. Recolección de información previa. Antes del ataque, se investiga organigrama, nombres, formatos de correo, proveedores, ausencias anunciadas en redes. No es un ataque en sí: es la preparación de todos los demás. Control: política de qué se publica en redes profesionales. Evitar anunciar públicamente viajes de directivos y detalles de proveedores.

10. Voz clonada. Con pocos segundos de audio público se genera una voz convincente. Ataca directamente el control de "verifica por voz". Control: para operaciones de alto monto, palabra clave acordada previamente entre las partes, o verificación por videollamada con confirmación visual. Si la llamada suena rara, haz una pregunta cuya respuesta solo esa persona pueda saber.

Los cuatro controles que valen más que la capacitación

La capacitación ayuda, pero la atención humana es un recurso que se agota. Estos controles funcionan aunque la persona esté cansada, distraída o presionada:

1. Verificación fuera de banda obligatoria. Toda solicitud de dinero, credenciales o accesos se confirma por un canal distinto con un contacto previamente conocido.

2. Doble autorización para pagos. Ninguna transferencia por encima de un umbral la ejecuta una sola persona.

3. Regla del código nunca compartido. Sin matices ni excepciones.

4. Canal de reporte inmediato sin castigo. Un botón, un número, algo que tome cinco segundos. Y garantía explícita de que reportar nunca tiene consecuencias negativas. Si castigas al que cayó, dejan de avisarte y pierdes las horas que más importan.

Cómo medir si estás mejorando

No midas solo la tasa de clic en simulacros. Mide:

• Tiempo hasta el primer reporte de un simulacro. De horas a minutos es la mejora que salva.
• Tasa de reporte: cuántos reportaron, no cuántos cayeron.
• Cumplimiento del protocolo de verificación en solicitudes de pago reales, auditado por muestreo.

Preguntas frecuentes