DefiniciónLa ingeniería social es la manipulación psicológica de personas para que entreguen información, accesos o dinero, o ejecuten acciones que comprometen la seguridad. En lugar de explotar fallas técnicas, explota la confianza, el miedo, la prisa y el respeto a la jerarquía.
Cómo funciona
El atacante construye un contexto creíble y hace un pedido que, en ese contexto, parece razonable. Los disparadores más usados son previsibles:
- Autoridad: el pedido parece venir de un director, del soporte de TI o de un organismo oficial.
- Urgencia: plazos cortos y amenaza de bloqueo o de perjuicio.
- Voluntad de ayudar: un colega o proveedor "en apuros" que necesita una excepción.
- Curiosidad y ganancia: premios, documentos supuestamente confidenciales, ofertas.
Técnicas comunes
- Phishing, smishing y vishing: por correo, mensaje o teléfono.
- Pretexting: una historia armada para justificar el pedido, como una falsa auditoría.
- Fraude del falso ejecutivo: pedido de transferencia urgente y confidencial, hoy también con deepfake de voz.
- Estafa del falso soporte: llamada para obtener códigos de MFA o convencer a la víctima de instalar acceso remoto.
- Baiting y tailgating: un pendrive dejado como señuelo o el ingreso físico a un área restringida justo detrás de un empleado.
Ingeniería social vs phishing
La ingeniería social es el concepto amplio; el phishing es la forma más común de aplicarla. Una llamada del "soporte" pidiendo un código no involucra correo ni enlace, pero es ingeniería social de todos modos.
La defensa combina personas preparadas y procesos que no dependen de la percepción: confirmación por un segundo canal para pagos y cambios de datos bancarios, verificación de identidad antes de restablecer contraseñas o MFA y un canal simple para reportar intentos. Estos controles detienen el engaño incluso cuando la voz, el correo o el video parecen auténticos.
Preguntas frecuentes
¿Cuál es la diferencia entre ingeniería social y phishing?
La ingeniería social es cualquier manipulación de personas para obtener acceso, datos o dinero. El phishing es una técnica de ingeniería social realizada mediante mensajes, sitios o llamadas que imitan una fuente confiable.
¿La capacitación resuelve la ingeniería social?
Reduce el riesgo, pero no lo elimina. La capacitación debe ser recurrente y estar acompañada de procesos, como la confirmación por un segundo canal, que detienen el engaño incluso cuando la persona cae.