Qué es la ingeniería social y por qué funciona

Antes de estudiar correos falsos o llamadas de falso soporte conviene saber de qué se habla exactamente. En esta lección verá qué es la ingeniería social, de dónde viene el término, por qué los atacantes la prefieren a muchas técnicas informáticas y qué vocabulario va a usar el resto del curso.

Qué es la ingeniería social

La ingeniería social es la manipulación de personas para que hagan algo que favorece al atacante y perjudica a la víctima o a su organización: entregar una contraseña, aprobar un pago, abrir una puerta, instalar un programa o contar un dato interno.

En lugar de forzar la cerradura, el atacante convence a alguien de que le abra la puerta. No ataca fallas del software, sino la forma en que las personas confían, ayudan, obedecen y deciden con prisa. Por eso funciona en empresas con firewalls caros y antivirus al día, y por eso la defensa no puede ser solo tecnológica.

Fíjese en que la víctima casi nunca hace algo "tonto". Hace algo normal en su trabajo, como pagar una factura o ayudar a un compañero, en un contexto que el atacante preparó para que parezca legítimo.

Breve historia y contexto

La expresión "ingeniería social" nació en las ciencias sociales a finales del siglo XIX para hablar de cómo gobiernos y empresas intentaban influir en el comportamiento colectivo. La seguridad informática la adoptó mucho después, con un sentido más estrecho: engañar a una persona concreta.

Año	Hito
Años 70	Los phreakers engañan a operadoras telefónicas haciéndose pasar por técnicos para obtener información de la red.
1984	El psicólogo Robert Cialdini publica Influence, con los principios de persuasión que hoy explican casi todos los engaños.
1995	Es arrestado Kevin Mitnick, que obtenía accesos sobre todo llamando por teléfono con pretextos creíbles. En 2002 publica The Art of Deception, sobre estas técnicas.
Mediados de los 90	Aparece el término phishing para los mensajes que robaban cuentas de usuarios de AOL.
2016 en adelante	El fraude por correo empresarial (BEC) se vuelve uno de los delitos con más pérdidas económicas según los informes anuales del IC3, el centro de denuncias del FBI.
2020	Atacantes llaman por teléfono a empleados de Twitter, se hacen pasar por soporte interno y toman control de cuentas muy conocidas.
2023 en adelante	Las voces y videos clonados con inteligencia artificial (deepfakes) se suman al vishing y al fraude del CEO.

La tecnología cambió muchísimo en esas décadas; los trucos psicológicos, casi nada.

Por qué importa en ciberseguridad y en el trabajo

El informe anual de brechas de Verizon (DBIR) de 2024 encontró que en alrededor de dos de cada tres brechas analizadas intervino un elemento humano no malicioso: alguien que cayó en un engaño o cometió un error. Para un atacante, engañar a una persona suele ser más barato y rápido que buscar una vulnerabilidad técnica.

Esto afecta a muchos roles:

• Finanzas y compras son el blanco del fraude del CEO y del cambio de cuenta del proveedor.
• Mesa de ayuda recibe llamadas de falsos empleados que piden restablecer contraseñas.
• Recepción y seguridad deciden quién entra al edificio.
• El equipo de seguridad diseña los controles, atiende los reportes y mide si la concienciación funciona.

Una organización que no domina el tema suele reaccionar tarde: se entera del fraude cuando el proveedor real reclama un pago que nunca recibió.

Dónde ocurre

• En el correo electrónico, con facturas falsas y avisos que imitan a TI.
• En el teléfono, con voces que dicen ser del banco, del proveedor o de soporte.
• En el celular, por SMS y WhatsApp, a menudo en el número personal.
• En la oficina, con visitas falsas y personas que entran detrás de un empleado.
• En redes sociales y sitios web, de donde el atacante saca los datos para preparar el engaño.

Conceptos clave

Concepto	Qué significa
Atacante	Quien diseña y ejecuta el engaño. Puede ser una persona sola o un grupo organizado.
Pretexto	La historia inventada que justifica la petición: "soy de soporte", "estoy en el aeropuerto".
Principio de influencia	Atajo mental que el atacante explota, como la autoridad o la urgencia.
Canal	Medio por el que llega el engaño: correo, llamada, SMS, mensajería o en persona.
Suplantación	Hacerse pasar por otra persona u organización.
Reconocimiento	Fase previa en la que el atacante reúne información sobre la víctima.
Verificación fuera de banda	Confirmar una petición por un canal distinto e independiente del que se usó para hacerla.
Concienciación	Actividades que ayudan al personal a reconocer engaños y saber cómo reaccionar.