No todos los ciberataques empiezan con código malicioso. Muchos empiezan con una simple conversación, una llamada convincente o un correo que juega con la confianza y la urgencia. Eso es la ingeniería social: manipular a una persona, no a una máquina, para conseguir acceso o información.
No hace falta ser un experto en sistemas para caer en ella, y precisamente por eso es una de las técnicas más utilizadas por los atacantes contra empresas de todos los tamaños.
¿Qué es la ingeniería social?
Es el conjunto de técnicas de manipulación psicológica que un atacante utiliza para conseguir que alguien realice una acción que compromete la seguridad: revelar una contraseña, hacer clic en un enlace, dar acceso a una instalación o autorizar un pago. A diferencia de un ataque puramente técnico, aquí el «fallo de seguridad» es humano, lo que la hace especialmente difícil de bloquear solo con herramientas.
Estas son algunas de las variantes que con más frecuencia se utilizan contra empresas, muchas veces combinadas entre sí.
Pretexting
El atacante se inventa una situación creíble (una auditoría interna, un problema técnico urgente) para obtener información que normalmente no compartirías.
Phishing
La variante más extendida de ingeniería social, normalmente por correo. Puedes descubrirlo con mayor detalle en nuestro artículo sobre phishing.
Baiting
El «cebo»: dejar, por ejemplo, un USB infectado en un lugar visible de la oficina, esperando que alguien lo conecte por curiosidad.
Tailgating
Colarse físicamente en unas instalaciones aprovechando la cortesía de alguien que sujeta la puerta, sin verificar si esa persona debería tener acceso.
Suplantación de identidad (impersonation)
Hacerse pasar por un proveedor, técnico de soporte o incluso un compañero para conseguir acceso a sistemas o información.
Por qué funciona tan bien
La ingeniería social explota comportamientos humanos naturales: la confianza, las ganas de ayudar, el miedo a las consecuencias de no actuar rápido, o simplemente el respeto a la autoridad. Ningún firewall detiene a un empleado que, de buena fe, revela una contraseña porque cree estar hablando con el departamento de IT.
Ahora bien, ¿cómo podemos protegernos? Ninguna medida aislada es suficiente a la ahora de protegerse, pero combinadas reducen mucho el riesgo real. Aquí van algunas recomendaciones:
Formación y concienciación continua
Es la medida más efectiva. El equipo debe conocer las técnicas habituales y, sobre todo, sentirse cómodo verificando antes de actuar, sin miedo a parecer desconfiado.
Protocolos de verificación para solicitudes sensibles
Cualquier petición de datos, accesos o pagos fuera de lo habitual debería poder verificarse por un canal alternativo antes de ejecutarse.
Políticas claras de acceso físico
Identificación visible, control de visitas y normas claras sobre no dejar entrar a nadie sin verificar su identidad, por muy urgente que parezca la situación.
Simulacros periódicos
Poner a prueba al equipo con ejercicios controlados (correos de phishing simulados, por ejemplo) ayuda a medir el nivel real de preparación y a reforzar los puntos débiles.
La tecnología ayuda, pero no es suficiente para protegerse
Herramientas como filtros de correo avanzados o 2FA reducen el impacto de estos ataques, pero la ingeniería social apunta directamente a las personas. Por eso la formación del equipo es, en este caso concreto, tan importante como cualquier solución técnica.
