La ingeniería social es un tipo de estafa que se basa en señales sociales, no digitales. Los estafadores utilizan un conocimiento exhaustivo de tu empresa, tus empleados, tus proyectos y más para convencerte de que restablezcas una contraseña o apruebes un pago. A menudo combinan este conocimiento con la urgencia, incitándote a tomar una decisión rápida.

Ninguna lista de señales de alarma prepara a alguien para ello, porque la manipulación no se produce a través de la tecnología. Ocurre en la cabeza de alguien mientras toma una decisión.

Ya hemos tratado qué es la ingeniería social a un nivel básico: las definiciones, las categorías de ataque habituales y la mecánica general de los ataques basados en la manipulación frente a los puramente técnicos. Crear un programa eficaz de concienciación sobre seguridad, cómo estructurar la formación, fijar la periodicidad y medir si funciona es un asunto independiente sobre el que también hemos escrito.

Este artículo se sitúa entre ambos. En lugar de centrarse en definiciones o en el diseño de programas, trata de lo que realmente debe incluir la formación de tus empleados: los mecanismos psicológicos en los que se basan los atacantes y cómo es la verdadera resistencia cuando alguien se encuentra en esa situación real en lugar de limitarse a leer sobre ello en una diapositiva.

Por qué funciona la ingeniería social: seis palancas y un punto ciego

La ingeniería social no funciona porque los empleados sean descuidados. Tiene éxito porque se aprovecha de los atajos que el cerebro humano utiliza a diario para tomar decisiones ordinarias con rapidez y luego los dirige hacia el objetivo equivocado. Las investigaciones sobre persuasión de Robert Cialdini identificaron siete de estos atajos hace décadas, y seis de ellos describen casi cualquier intento de ingeniería social al que pueda enfrentarse una empresa:

  • Reciprocidad
  • Escasez
  • Autoridad
  • Coherencia
  • Prueba social
  • Unidad

Autoridad

Los estafadores recurren sobre todo a la autoridad. La gente cumple más rápido con una solicitud que parece proceder de un superior, un administrador de TI o un organismo externo como un regulador o un proveedor, a menudo sin verificar si esa autoridad es real.

Urgencia

La urgencia lo agrava: una fecha límite, una cuenta bloqueada o un pago que debe realizarse antes de que cierre el banco empuja a las personas a actuar y a dejar de lado la verificación, porque pausar para comprobarlo parece que podría causar el mismo problema con el que amenaza el atacante.

Escasez

La escasez funciona del mismo modo con otro disfraz: una oferta por tiempo limitado, una ventana de acceso puntual o un mensaje que insinúa que dudar significa perder una oportunidad.

Prueba social

La prueba social convence a la gente de que una solicitud es legítima porque otros aparentemente ya la han aceptado: «el resto del equipo de finanzas ya lo ha aprobado» o un hilo que parece una conversación interna real. La simpatía explota la compenetración: un atacante amable, halagador o aparentemente familiarizado con la cultura de la oficina baja la guardia de su objetivo con el simple hecho de resultar agradable en el trato.

Reciprocidad

La reciprocidad es la más discreta de las seis: un pequeño favor, un dato aparentemente útil o un cumplido previo que genera un leve sentimiento, a menudo inconsciente, de obligación de devolver el gesto.

Ninguna de estas palancas es sofisticada. Son los mismos instintos que hacen posible la cooperación habitual en el trabajo. Cualquier solicitud que despliegue uno o varios de estos principios parece una petición normal y ligeramente urgente, del tipo para el que las personas han sido formadas durante toda su carrera profesional para responder de forma rápida y servicial.

Los ataques a los que realmente se enfrentan los empleados en un entorno empresarial

La mayoría de las organizaciones se centran en medidas contra la suplantación de identidad y hemos escrito sobre cómo defenderse de los ataques de suplantación de identidad. Pero la formación en ingeniería social que se queda en el correo electrónico pasa por alto la mayor parte de aquello a lo que realmente se enfrentan los empleados, especialmente en una oficina o entorno de trabajo híbrido donde las llamadas telefónicas, las visitas y el acceso físico siguen formando parte de la rutina diaria.

Vishing

La suplantación por voz, o vishing, se basa en llamadas telefónicas o notas de voz falsas. Quien llama puede hacerse pasar por el soporte técnico de TI y pedir a alguien que confirme su contraseña antes de actualizar el sistema, por un banco que verifica una transacción o por un repartidor que necesita un código de un solo uso para completar una entrega.

La voz de una persona añade una urgencia y autoridad que el texto no puede simular de forma convincente, y esa es la razón exacta por la que sigue siendo eficaz incluso contra personas que se consideran alertas ante los correos electrónicos de suplantación de identidad. Cada vez más, los atacantes también utilizan herramientas de clonación de voz para imitar la voz real de un compañero o directivo, algo que el NCSC ha señalado como un riesgo creciente(ventana nueva) tanto para particulares como para organizaciones. También hemos escrito sobre la prevención de deepfakes.

Pretexting

El pretexting consiste en inventar una historia que el atacante utiliza para justificar una solicitud inusual. Pueden hacerse pasar por un nuevo proveedor que necesita los detalles de la cuenta para configurar un pago, un auditor que solicita los registros de acceso o un candidato a un puesto de trabajo que pide a un contacto de RR. HH. que confirme sus detalles personales para la comprobación de antecedentes.

El escenario suele construirse a partir de pequeños fragmentos de información pública, como un puesto de trabajo y el nombre de un proveedor combinados para que parezca verosímil.

Baiting

El baiting ofrece algo que un empleado desea: un recurso gratuito, una memoria USB o disco duro corporativo, o un documento titulado «Revisión salarial del tercer trimestre», a cambio de una acción que compromete un dispositivo o una cuenta. Funciona porque no pide confianza del modo en que lo hace un correo electrónico de suplantación de identidad; en su lugar, se apoya en la curiosidad para persuadir.

Tailgating

El tailgating, o piggybacking, es el único ataque de esta lista que no tiene nada que ver con una pantalla. Un atacante sigue a un empleado a través de una puerta con control de acceso por tarjeta, a menudo llevando cajas, vistiendo algo parecido a un uniforme o simplemente calculando su llegada para un momento en que sujetar la puerta abierta sea un gesto de cortesía. Se aprovecha directamente de la amabilidad en el entorno laboral, por lo que la formación en seguridad física suele pasarse por alto en programas centrados exclusivamente en las bandejas de entrada.

Cómo es realmente la resistencia a los ataques de ingeniería social

Limitarse a decir a los empleados que «sospechen más» no sirve de nada bajo una presión real. La sospecha es un sentimiento y los atacantes intentan anularlo deliberadamente. La formación debe sustituir esa vaga instrucción por comportamientos específicos y reproducibles que no dependan de que alguien se dé cuenta en el momento de que está siendo manipulado.

Verifica siempre

La verificación a través de un canal independiente es el hábito más útil que una empresa puede instalar. Si una solicitud llega por correo electrónico, confírmala por teléfono o en persona, usando un número o contacto que ya esté registrado en tus archivos en lugar del facilitado en el propio mensaje. Este único comportamiento neutraliza gran parte de los intentos de suplantación, sin importar lo convincente que fuera el contacto inicial, porque elimina el control del atacante sobre el paso de verificación.

Baja el ritmo

La urgencia debe tratarse como una señal para bajar el ritmo, no como un motivo para omitir un paso. Se debe formar a los empleados para que detecten cuándo una solicitud les apremia a priorizar la rapidez sobre el proceso, ya que esa presión rara vez es accidental. Una solicitud legítima y genuinamente urgente puede esperar una llamada de verificación de dos minutos; una que no pueda soportar esa demora debe tratarse con sospecha, independientemente de quién parezca haberla enviado.

Pide confirmación

Las solicitudes de credenciales y de índole financiera deberían requerir la confirmación de una segunda persona como práctica habitual, no como una excepción reservada para grandes transacciones. Esto elimina la presión social en la que se apoya el atacante cuando aísla a un solo empleado y le pide que actúe en solitario, y ofrece a ese empleado una forma sencilla y libre de culpas de decir «déjame consultarlo con alguien» sin parecer poco colaborador o desconfiado.

Notifica los casi incidentes

Notificar los casi incidentes cierra el círculo. Si un empleado accedió a parte de una solicitud, dudó pero finalmente cedió o más tarde se dio cuenta de que algo no cuadraba, se le debe animar a que lo comunique incluso después de lo sucedido y aunque no parezca haber pasado nada malo. Estos avisos suelen ser la advertencia más temprana que recibe una empresa de que está en el punto de mira, y solo surgen en una cultura donde informar no conlleve vergüenza ni culpa.

El mismo instinto se aplica cuando el dinero o los datos ya se han transferido: Action Fraud(ventana nueva), el centro nacional de denuncias de fraude y ciberdelincuencia de Reino Unido, existe porque cuanto antes se notifique un incidente, más útil resultará para todos los demás que sufran el mismo patrón de ataque.

Por qué las diapositivas no generan resistencia y la simulación sí

Leer sobre las seis palancas de persuasión es útil para el contexto, pero no cambia cómo se comporta alguien bajo una presión real, del mismo modo que leer sobre un simulacro de incendios no prepara a nadie para encontrar la salida más cercana. La resistencia a la manipulación es una habilidad que se practica, no un dato memorizado de una presentación de diapositivas, por lo que la formación en ingeniería social más eficaz se basa en la simulación y no solo en la teoría.

Una simulación eficaz somete a los empleados a una versión realista de la presión a la que se enfrentarán de verdad: una llamada simulada de un proveedor que solicita cambios en la cuenta, una petición urgente inventada de alguien que dice ser un directivo o un visitante ficticio que pide que le abran una puerta de seguridad, y luego ofrece comentarios inmediatos y específicos en lugar de una simple calificación de aprobado/suspendido.

El objetivo es que los empleados experimenten ese momento de presión en un entorno seguro, detecten qué palanca se estaba utilizando y desarrollen el instinto de pausar y verificar antes de que tenga consecuencias reales.

La dificultad debe aumentar gradualmente y los escenarios deben reflejar roles reales. Alguien de finanzas se enfrenta a pretextos diferentes que alguien de recepción, y el ejercicio debe concluir con una sesión informativa que explique el mecanismo utilizado, no solo si la persona aprobó o no.

Si se hace bien, la simulación convierte las seis palancas psicológicas en conceptos comprensibles e identificables que los empleados pueden reconocer, que es precisamente el objetivo de una formación pensada para ser eficaz fuera del aula.

Formar a personas, no solo enseñar políticas

La ingeniería social tiene éxito al dirigirse a los instintos que hacen posible el trabajo en equipo cotidiano: la confianza en la autoridad, la rapidez de respuesta ante la urgencia o la incomodidad de cuestionar a alguien que parece un superior o alguien amable. La formación que solo define estos ataques o enumera sus categorías deja a los empleados tan expuestos como antes, porque reconocer una definición y detectar un intento de manipulación en tiempo real son habilidades totalmente distintas.

Un plan de estudios que identifique las seis palancas psicológicas, explique cómo se manifiestan realmente el vishing, el pretexting, el baiting y el tailgating en el entorno laboral y proporcione a los empleados comportamientos concretos y ensayados (verificar por una vía independiente, tratar la urgencia como una señal de alerta y no como una fecha límite, involucrar a una segunda persona, notificar incluso los casi incidentes) da a las personas herramientas que realmente pueden utilizar bajo presión.

Reforzada mediante la simulación en lugar de diapositivas y respaldada por contraseñas únicas y MFA que limitan el alcance de un intento exitoso, esa combinación es lo que transforma la concienciación en resistencia.

Nada de esto sustituye el trabajo de diseñar el programa de formación en sí: periodicidad, estructura, frecuencia de repetición y cómo medir si está dando resultados. Ese es el terreno que cubre nuestra guía complementaria sobre cómo crear un programa de concienciación sobre seguridad. Lo que corresponde tratar aquí es la base que sostiene el programa: la psicología a la que realmente se enfrentan los empleados y los hábitos específicos y ensayados que se mantienen firmes cuando la presión es real y no hipotética.

Un equipo capaz de identificar una táctica de persuasión mientras se utiliza contra ellos, y que sabe con exactitud a qué segunda persona llamar antes de actuar, es un objetivo fundamentalmente mucho más difícil que uno al que simplemente se le ha dicho que se mantenga alerta. Esa es la brecha que puedes cerrar con este tipo de formación.

La conexión de las credenciales: por qué la contención sigue importando tras un error

La formación reduce la frecuencia con la que la ingeniería social tiene éxito, pero no puede reducir esa cifra a cero. Un programa diseñado con ese único objetivo siempre fracasará. Alguien, en algún momento, entregará una contraseña por teléfono, hará clic en una página de inicio de sesión falsa o confirmará detalles que no debería haber revelado. Lo que limita el daño en ese punto no es la concienciación: son los controles de acceso que ya estaban implementados antes de que empezara la llamada.

Una credencial obtenida mediante ingeniería social es mucho menos útil para un atacante si es exclusiva de un único servicio y está protegida por la autenticación multifactor (MFA). Las contraseñas únicas evitan que una credencial comprometida se reutilice para acceder a otros servicios, mientras que el MFA puede evitar que la contraseña robada por sí sola dé acceso incluso a la cuenta a la que pertenece.

Esta es la misma lógica de contención tratada en nuestras guías sobre cómo crear una sólida cultura de seguridad en el trabajo y establecer políticas de contraseñas robustas, y vale la pena recordarlo aquí porque la ingeniería social y la higiene de contraseñas suelen tratarse como problemas independientes cuando en realidad son dos fases del mismo ataque.

Un gestor de contraseñas para empresas como Proton Pass for Business hace que esa contención sea factible de mantener a escala, en lugar de algo que dependa de que cada empleado se acuerde de cumplir la política.

Cuando las credenciales se almacenan, generan y comparten de forma segura a través de una caja fuerte de contraseñas administrada en lugar de depender de la memoria, los navegadores o las hojas de cálculo, un único intento exitoso de ingeniería social deja de ser una vía de entrada a todos los sistemas que utiliza un empleado.

Proton Pass for Business facilita la gestión de credenciales a todos los miembros del equipo, no solo a tu equipo de TI:

Reduce la exposición de tu equipo a la ingeniería social con un gestor de contraseñas para empresas seguro.