La ingeniería social es un tipo de estafa que se basa en señales sociales, no digitales. Los estafadores utilizan un conocimiento profundo de su empresa, sus empleados, sus proyectos y más, para convencerle de que les proporcione un restablecimiento de contraseña o apruebe un pago. A menudo combinan este conocimiento con la urgencia, animándole a tomar una decisión rápida.

Ninguna lista de señales de alerta prepara a alguien para esto, porque la manipulación no ocurre a través de la tecnología. Ocurre en la mente de alguien mientras toma una decisión.

Ya hemos explicado qué es la ingeniería social a nivel básico: las definiciones, las categorías comunes de ataque y la dinámica general de los ataques basados en la manipulación frente a los puramente técnicos. Crear un programa eficaz de concientización sobre seguridad, cómo estructurar la capacitación, establecer la frecuencia y medir si algo de esto está funcionando, es un asunto aparte sobre el que también hemos escrito.

Este artículo se sitúa entre ambos. Más que de definiciones o del diseño de programas, se trata de lo que realmente debe incluir la capacitación de sus empleados: los mecanismos psicológicos en los que se basan los atacantes y cómo luce la resistencia real cuando alguien se encuentra en ese momento en lugar de leer sobre ello en una diapositiva.

Por qué funciona la ingeniería social: seis palancas, un punto ciego

La ingeniería social no tiene éxito porque los empleados sean descuidados. Funciona porque aprovecha los atajos que el cerebro humano utiliza a diario para tomar decisiones ordinarias con rapidez y luego los dirige hacia el objetivo equivocado. Las investigaciones de Robert Cialdini sobre la persuasión identificaron siete de estos atajos hace décadas, y seis de ellos describen casi todos los intentos de ingeniería social a los que se enfrentará una empresa:

  • Reciprocidad
  • Escasez
  • Autoridad
  • Coherencia
  • Prueba social
  • Unidad

Autoridad

Los estafadores recurren con mayor frecuencia a la autoridad. Las personas cumplen más rápido con una solicitud que parece provenir de un superior, un administrador de TI o un organismo externo como un regulador o proveedor, a menudo sin verificar si esa autoridad es real.

Urgencia

La urgencia lo agrava: una fecha límite, una cuenta bloqueada o un pago que debe salir antes de que el banco cierre empujan a las personas a actuar y a alejarse de la verificación, porque pausar para comprobarlo parece que podría causar el mismo problema con el que amenaza el atacante.

Escasez

La escasez funciona de la misma manera bajo otra apariencia: una oferta por tiempo limitado, una ventana de acceso única, un mensaje que insinúa que dudar significa perderse la oportunidad.

Prueba social

La prueba social persuade a las personas de que una solicitud es legítima porque otros aparentemente ya la han aceptado: “el resto del equipo de finanzas ya aprobó esto” o un hilo que parece una conversación interna real. El agrado aprovecha la afinidad: un atacante que es amigable, elogioso o parece familiarizado con la cultura de la oficina baja la guardia de su objetivo simplemente por ser agradable en el trato.

Reciprocidad

La reciprocidad es la más discreta de las seis: un pequeño favor, información aparentemente útil o un cumplido ofrecido de antemano genera un sentimiento leve y, a menudo, inconsciente de obligación de devolver el gesto.

Ninguna de estas palancas es sofisticada. Son los mismos instintos que hacen posible la cooperación habitual en el lugar de trabajo. Cualquier solicitud que despliegue uno o más de estos principios parece una solicitud normal, ligeramente urgente; del tipo al que se capacita a las personas a lo largo de toda su carrera para responder de manera rápida y colaborativa.

Los ataques a los que realmente se enfrentan los empleados en un entorno empresarial

La mayoría de las organizaciones se centran en medidas contra la suplantación de identidad y hemos escrito sobre cómo defenderse de los ataques de suplantación de identidad. Pero la capacitación en ingeniería social que se limita al correo electrónico pasa por alto la mayor parte de aquello a lo que realmente se enfrentan los empleados, en especial en una oficina o entorno de trabajo híbrido donde las llamadas telefónicas, las visitas y el acceso físico siguen formando parte de la rutina diaria.

Vishing (phishing por voz)

La suplantación por voz, o vishing, se basa en llamadas telefónicas o notas de voz falsas. Quien llama puede hacerse pasar por soporte de TI y pedirle a alguien que confirme su contraseña antes de actualizar el sistema, como un banco que verifica una transacción o como un servicio de mensajería que necesita un código de un solo uso para completar una entrega.

La voz de una persona añade una urgencia y autoridad que el texto no puede fingir de forma convincente, motivo exacto por el cual sigue siendo eficaz incluso contra personas que se consideran alertas ante los correos electrónicos de suplantación de identidad. Cada vez más, los atacantes también utilizan herramientas de clonación de voz para imitar la voz de un colega o ejecutivo real, lo que el NCSC ha señalado como un riesgo creciente(nueva ventana) tanto para individuos como para organizaciones. También hemos escrito sobre la prevención de deepfakes.

Creación de pretextos

El pretexting implica crear una historia que el atacante utiliza para justificar una solicitud inusual. Pueden hacerse pasar por un nuevo proveedor que necesita los detalles de la cuenta para configurar un pago, un auditor que solicita registros de acceso o un candidato a un puesto que pide a un contacto de RR. HH. que confirme sus detalles personales para la verificación de antecedentes.

El escenario a menudo se construye a partir de pequeños fragmentos de información pública, como el título de un puesto y el nombre de un proveedor combinados para que suene verosímil.

Uso de señuelos

El baiting ofrece algo que el empleado desea: un recurso gratuito, una memoria USB o disco duro de marca, un documento titulado “Revisión salarial del tercer trimestre”, a cambio de una acción que compromete un dispositivo o una cuenta. Funciona porque no pide confianza como lo hace un correo electrónico de suplantación de identidad; en cambio, confía en que la curiosidad haga el trabajo de persuasión.

Seguimiento no autorizado

El tailgating, o piggybacking, es el único ataque de esta lista que no tiene nada que ver con una pantalla. Un atacante sigue a un empleado a través de una puerta con control de credenciales de acceso, a menudo cargando cajas, vistiendo algo que parece un uniforme o simplemente calculando su llegada para un momento en que sostener la puerta abierta sea un gesto de cortesía. Se aprovecha directamente de la cortesía en el lugar de trabajo, motivo por el cual la capacitación en seguridad física suele pasarse por alto en programas diseñados exclusivamente en torno a las bandejas de entrada.

Cómo luce realmente la resistencia a los ataques de ingeniería social

Limitarse a decirles a los empleados que “sospechen más” no se sostiene bajo presión real. La sospecha es un sentimiento y los atacantes intentan anularla específicamente. La capacitación debe sustituir esa vaga instrucción por comportamientos específicos y repetibles que no dependan de que alguien se dé cuenta en el momento de que está siendo manipulado.

Verifique siempre

La verificación a través de un canal independiente es el hábito más útil que una empresa puede instalar. Si una solicitud llega por correo electrónico, confírmela por teléfono o en persona, utilizando un número o contacto que ya esté registrado en el archivo en lugar de uno proporcionado en el mensaje mismo. Este único comportamiento anula gran parte de los intentos de suplantación de identidad, independientemente de lo convincente que haya sido el contacto inicial, porque elimina el control del atacante sobre el paso de verificación.

Tómese su tiempo

La urgencia debe tratarse como una señal para bajar el ritmo, no como una razón para omitir un paso. Se debe capacitar a los empleados para que noten cuándo una solicitud los presiona a priorizar la rapidez sobre el proceso, porque esa presión rara vez es accidental. Una solicitud legítima y genuinamente urgente puede resistir una llamada de verificación de dos minutos; una que no puede resistir esa demora debe tratarse con sospecha, independientemente de quién aparente ser el remitente.

Obtenga confirmación

Las solicitudes financieras y de credenciales deberían requerir la confirmación de una segunda persona como práctica habitual, no como una excepción reservada para transacciones cuantiosas. Esto elimina la presión social en la que se apoya un atacante cuando aísla a un solo empleado y le pide que actúe por su cuenta, y le da a ese empleado una forma directa y libre de culpa de decir “permítame consultarlo con alguien” sin parecer poco colaborador o desconfiado.

Reporte los casi incidentes

Reportar los casi incidentes cierra el ciclo. A un empleado que cumplió con parte de una solicitud, dudó pero finalmente cedió o luego se dio cuenta de que algo andaba mal, se le debe alentar a que lo reporte incluso después de los hechos, y aunque parezca que nada salió mal. Estos reportes suelen ser la advertencia más temprana que recibe una empresa de que está siendo blanco de un ataque, y solo surgen en una cultura donde reportar no conlleva vergüenza ni culpa.

El mismo instinto se aplica cuando el dinero o los datos ya se han transferido: Action Fraud(nueva ventana), el centro nacional de reportes de fraudes y delitos cibernéticos del Reino Unido, existe porque cuanto antes se reporte un incidente, más útil resultará para todos los demás que sean objeto del mismo patrón.

Por qué las diapositivas no generan resistencia y la simulación sí

Leer sobre las seis palancas de persuasión es útil como contexto, pero no cambia cómo se comporta alguien bajo presión real, del mismo modo que leer sobre un simulacro de incendio no prepara a nadie para encontrar la salida más cercana. La resistencia a la manipulación es una habilidad que se practica, no un dato retenido de una presentación, por lo que la capacitación en ingeniería social más sólida se basa en la simulación y no solo en la instrucción.

Una simulación eficaz somete a los empleados a una versión realista de la presión a la que realmente se enfrentarán: una llamada simulada de un proveedor que solicita cambios en una cuenta, una solicitud urgente inventada de alguien que afirma ser un gerente o un visitante ficticio que pide que le permitan el paso por una puerta segura, y luego ofrece comentarios inmediatos y específicos en lugar de una simple calificación de aprobado/reprobado.

El objetivo es permitir que los empleados experimenten el momento de presión en un entorno seguro, noten qué palanca se estaba accionando y desarrollen el instinto de pausar y verificar antes de que sea demasiado tarde.

La dificultad debe aumentar gradualmente y los escenarios deben reflejar los roles reales. Alguien del área de finanzas se enfrenta a pretextos diferentes a los de alguien de la recepción, y el ejercicio debe terminar con una sesión informativa que explique el mecanismo utilizado, no solo si la persona aprobó o no.

Bien hecha, la simulación convierte las seis palancas psicológicas en conceptos comprensibles y reconocibles para los empleados, que es precisamente el objetivo de una capacitación diseñada para ser eficaz fuera de un aula.

Capacitar a personas, no solo políticas

La ingeniería social tiene éxito al dirigirse a los instintos que hacen posible el trabajo en equipo habitual: la confianza en la autoridad, la reactividad ante la urgencia, la incomodidad de cuestionar a alguien que parece de mayor jerarquía o amigable. Una capacitación que solo define estos ataques o enumera sus categorías deja a los empleados tan expuestos como antes, porque reconocer una definición y reconocer un intento de manipulación en tiempo real son habilidades totalmente diferentes.

Un plan de estudios que nombre las seis palancas psicológicas, detalle cómo se manifiestan realmente en el entorno laboral el vishing, el pretexting, el baiting y el tailgating, y brinde a los empleados comportamientos concretos y practicados (verificar por separado, tratar la urgencia como una señal de alerta y no como una fecha límite, involucrar a una segunda persona, reportar incluso los casi incidentes) proporciona a las personas herramientas que realmente pueden utilizar bajo presión.

Reforzada mediante la simulación en lugar de diapositivas y respaldada por contraseñas únicas y MFA que limitan el alcance de un intento exitoso, esa combinación es lo que transforma la concientización en resistencia.

Nada de esto sustituye el trabajo de diseñar el programa de capacitación en sí: la frecuencia, la estructura, la periodicidad con la que se repite y cómo mide usted si está surtiendo efecto. Ese es el terreno que abarca nuestra guía complementaria sobre cómo crear un programa de concientización sobre seguridad. Lo que corresponde aquí es la capa subyacente al programa: la psicología a la que realmente se enfrentan los empleados y los hábitos específicos y ensayados que se mantienen cuando la presión es real y no hipotética.

Un equipo que puede identificar una táctica de persuasión mientras se utiliza en su contra y sabe exactamente a qué segunda persona llamar antes de actuar es un objetivo fundamentalmente más difícil que uno al que simplemente se le ha dicho que se mantenga alerta. Esa es la brecha que usted puede cerrar con este tipo de capacitación.

La conexión de las credenciales: por qué la contención sigue siendo importante tras un error

La capacitación reduce la frecuencia con la que la ingeniería social tiene éxito, pero no puede reducir esa cifra a cero. Un programa diseñado con ese único objetivo siempre fracasará. En algún momento, alguien entregará una contraseña por teléfono, hará clic en una página de inicio de sesión inventada o confirmará un detalle que no debería haber revelado. Lo que limita los daños en ese momento no es la concientización, sino los controles de acceso que ya estaban implementados antes de que comenzara la llamada.

Una credencial obtenida mediante ingeniería social es mucho menos útil para un atacante si es exclusiva de un solo servicio y está protegida por la autenticación multifactor (MFA). Las contraseñas únicas evitan que una credencial comprometida se reutilice para acceder a otros servicios, mientras que la MFA puede impedir que la contraseña robada por sí sola proporcione acceso incluso a la cuenta a la que pertenece.

Esta es la misma lógica de contención que se explica en nuestras guías sobre cómo crear una sólida cultura de seguridad en el lugar de trabajo y establecer políticas de contraseñas robustas, y vale la pena reiterarlo aquí porque la ingeniería social y la higiene de contraseñas suelen tratarse como problemas independientes cuando en realidad son dos etapas del mismo ataque.

Un gestor de contraseñas para empresas como Proton Pass for Business hace que esa contención sea realista de mantener a escala, en lugar de ser algo que dependa de que los empleados individuales recuerden cumplir la política.

Cuando las credenciales se almacenan, generan y comparten de forma segura a través de una bóveda de contraseñas gestionada en lugar de depender de la memoria, navegadores u hojas de cálculo, un único intento exitoso de ingeniería social deja de ser una vía de acceso a todos los sistemas con los que interactúa un empleado.

Proton Pass for Business facilita la gestión de credenciales para todos los miembros del equipo, no solo para su equipo de TI:

Reduzca la exposición de su equipo a la ingeniería social con un gestor de contraseñas para empresas seguro.