Ingeniería social

Ingeniería Social

La Ingeniería Social es el conjunto de técnicas de manipulación psicológica utilizadas por atacantes para engañar a las personas y lograr que realicen acciones que comprometan la seguridad, como revelar información confidencial, otorgar accesos no autorizados o realizar transferencias de dinero.

A diferencia de los ataques puramente técnicos (como explotar una vulnerabilidad de software), la Ingeniería Social explota la naturaleza humana: la confianza, el miedo, la urgencia, la curiosidad, la amabilidad o la autoridad percibida.

El dicho popular que la resume es: *"No es necesario forzar la cerradura cuando puedes engañar a alguien para que te abra la puerta."*

¿Por qué es tan efectiva la Ingeniería Social?

• El factor humano es el eslabón más débil: Los firewalls, antivirus y cifrado no protegen contra un empleado que voluntariamente entrega su contraseña.
• Ataques de bajo costo: No requiere conocimientos técnicos avanzados ni herramientas costosas.
• Alta tasa de éxito: Las personas, por naturaleza, tienden a confiar y ayudar.
• Difícil de prevenir con tecnología: La mayoría de los controles técnicos no detectan manipulación psicológica.
• Afecta a todos los niveles: Desde el empleado de limpieza hasta el CEO.

Principales técnicas de Ingeniería Social

1. Phishing

Es el más común. Consiste en enviar correos electrónicos fraudulentos que simulan ser de una entidad legítima (banco, empresa, proveedor, etc.) para engañar a la víctima y hacerla:

• Hacer clic en un enlace malicioso.
• Descargar un archivo adjunto infectado.
• Introducir sus credenciales en un sitio falso.
• Realizar una transferencia bancaria.

Variantes del Phishing

• Spear Phishing: Phishing dirigido y personalizado a una persona o empresa específica, utilizando información real para ser más convincente.
• Whaling: Phishing dirigido a altos ejecutivos (CEO, CFO, etc.). El "pez gordo".
• Smishing: Phishing a través de SMS (mensajes de texto).
• Vishing: Phishing a través de llamadas telefónicas (voice phishing).
• Clone Phishing: Clonar un correo legítimo previamente recibido, reemplazando el enlace o archivo por uno malicioso.

2. Pretexting (Pretexto)

El atacante inventa una historia o "pretexto" convincente para obtener información de la víctima. Suele implicar hacerse pasar por alguien con autoridad (ej: un técnico de soporte, un compañero de trabajo, un banquero).

Ejemplo

Un atacante llama a un empleado diciendo: *"Hola, soy del departamento de TI. Estamos actualizando el sistema de autenticación y necesito que me confirmes tu usuario y contraseña para migrar tu cuenta."*

3. Baiting (Cebo)

El atacante ofrece algo atractivo (un USB gratis, una descarga de software pirata, un premio) para que la víctima pique el anzuelo. El "cebo" suele contener malware.

Ejemplo

Un atacante deja varios USBs con etiquetas como "Información Confidencial" o "Bonus 2026" en el estacionamiento de una empresa. Un empleado curioso lo recoge y lo conecta a su computadora, infectando el sistema.

4. Tailgating (Cola o "Puerta abierta")

El atacante sigue a una persona autorizada para acceder a un área restringida sin tener credenciales propias. Aprovecha la cortesía de las personas que sostienen la puerta para alguien que parece un compañero.

Ejemplo

Un atacante llega a la entrada de una oficina, espera a que un empleado pase su tarjeta de acceso, y entra detrás de él diciendo: *"Ay, se me olvidó mi tarjeta en el escritorio, ¿me pasas?"*

5. Scareware (Sustos)

El atacante genera miedo o urgencia en la víctima para que tome una acción rápida sin pensar.

Ejemplo

Una ventana emergente en el navegador dice: *"¡Su computadora está infectada! Llame a este número para que un técnico lo ayude."* La víctima llama y el "técnico" solicita acceso remoto o pago por un software falso.

6. Quid Pro Quo (Algo a cambio de algo)

El atacante ofrece un beneficio a cambio de información o acceso.

Ejemplo

Un atacante llama a empleados ofreciendo un "bono" o "actualización gratuita" si proporcionan sus credenciales de acceso al sistema.

7. Dumpster Diving (Buceo en contenedores)

El atacante busca en la basura de una organización documentos, facturas, manuales o cualquier información que pueda ser útil para un ataque posterior. Aunque es físico, se considera una forma de ingeniería social porque explota la negligencia humana.

Ciclo de un ataque de Ingeniería Social

Aunque cada ataque es diferente, suelen seguir un patrón común:

1. Investigación (Reconocimiento): El atacante recopila información de la víctima (nombre, cargo, empresas con las que trabaja, intereses) mediante redes sociales (LinkedIn, Facebook), sitios web corporativos, correos filtrados, etc. 2. Preparación: El atacante diseña el ataque (elige la técnica, prepara el mensaje o pretexto, crea la web falsa, etc.). 3. Ejecución: El atacante lanza el ataque (envía el correo, hace la llamada, se presenta físicamente, etc.). 4. Explotación: La víctima cae en la trampa y realiza la acción solicitada. 5. Obtención del objetivo: El atacante consigue lo que quería (credenciales, dinero, acceso, datos).

Señales de alerta (¿cómo detectar un ataque?)

• **Urgencia o presión**: *"Actúe ahora o su cuenta será bloqueada"*.
• **Autoridad falsa**: *"Soy el CEO, necesito que me envíes los datos ya"*.
• **Solicitud de información sensible**: Pedir contraseñas, números de tarjeta, PIN, etc.
• **Ofertas demasiado buenas**: *"Has ganado un premio, solo ingresa tus datos"*.
• **Remitente desconocido**: El correo o llamada proviene de alguien que no conoces.
• **Errores gramaticales o de ortografía**: Aunque cada vez menos comunes, aún aparecen.
• **Enlaces sospechosos**: La URL no coincide con la entidad que dice representar.
• **Solicitud de dinero urgente**: *"Ayuda, mi cartera fue robada, necesito que me transfieras"*.

Ejemplos prácticos de ataques famosos

Caso 1: Ataque a Twitter (2020)

Un atacante usó ingeniería social para engañar a empleados de Twitter y obtener acceso a sus herramientas internas. Publicaron tweets desde cuentas de celebridades (Bill Gates, Elon Musk, Obama) pidiendo Bitcoin. El ataque se basó en llamadas telefónicas (vishing) a empleados.

Caso 2: Estafa del CEO (BEC - Business Email Compromise)

Un atacante suplanta al CEO y envía un correo al departamento de finanzas: *"Necesito que hagas una transferencia urgente de 500.000 USD a este proveedor. El contrato es confidencial, no consultes con nadie."* El empleado, por miedo a desobedecer al jefe, realiza la transferencia sin verificar.

Caso 3: USB en el estacionamiento (Baiting)

En un conocido test de seguridad, se dejaron USBs en el estacionamiento de una empresa. El 60% de los empleados los recogieron y los conectaron a sus computadoras, instalando malware sin saberlo.

Factores que hacen vulnerable a una persona

• Falta de concienciación: No saber que estos ataques existen.
• Confianza excesiva: Creer que "a mí no me va a pasar".
• Miedo a la autoridad: No atreverse a cuestionar a un superior.
• Curiosidad: La necesidad de saber qué hay en un USB perdido.
• Amabilidad y cortesía: Ayudar a alguien que parece necesitarlo.
• Distracción: Estar ocupado y no prestar atención a los detalles.
• Falta de procedimientos claros: No saber cómo verificar solicitudes sospechosas.

Estrategias de prevención y defensa

Para organizaciones

1. Formación y concienciación continua:

  - Capacitar a todos los empleados (no solo a TI) sobre ingeniería social.
  - Realizar simulacros de phishing periódicos para evaluar y educar.
  - Crear una cultura de seguridad donde sea aceptable cuestionar y verificar.

2. Procedimientos claros:

  - Establecer políticas: *"Nunca se deben compartir contraseñas por teléfono o correo."*
  - Exigir doble verificación para transferencias de dinero.
  - Crear un canal seguro para reportar intentos de ataque.

3. Controles técnicos:

  - Filtros antiphishing en el correo electrónico.
  - Autenticación multifactor (MFA) para reducir el impacto de credenciales robadas.
  - Bloquear USBs y puertos no autorizados en equipos críticos.
  - Monitorear accesos inusuales.

4. Política de acceso físico:

  - No permitir el "tailgating" (exigir identificación a todos, incluso si parecen conocidos).
  - Acompañar a visitantes en todo momento.

Para individuos

1. Desconfiar de solicitudes no solicitadas:

  - Nunca compartas información personal o credenciales por teléfono, correo o SMS.
  - Si te llaman de tu banco, cuelga y llama al número oficial.

2. Verificar antes de actuar:

  - Si un "jefe" te pide una transferencia urgente, verifica con él en persona o por un canal confirmado.
  - Si recibes un correo sospechoso, no hagas clic; pasa el cursor sobre el enlace para ver la URL real.

3. Cuidado con el exceso de información en redes sociales:

  - Los atacantes usan LinkedIn, Facebook, Instagram para recopilar información sobre ti.

4. Usar autenticación multifactor (MFA) siempre que sea posible. 5. Mantener el software actualizado: Aunque no previene la ingeniería social, limita el daño si algo sale mal.

Ejemplo práctico de caso resuelto

Situación: Una empleada de finanzas recibe un correo del "CEO" pidiendo una transferencia urgente de 50.000 USD a un nuevo proveedor.

Pasos que sigue una persona entrenada: 1. **Detecta señales**: El correo tiene un tono de urgencia y el remitente no es el email habitual del CEO. 2. **No actúa inmediatamente**: No realiza la transferencia. 3. **Verifica**: Llama al CEO a su número conocido (no el del correo) para confirmar. 4. **Reporta**: Avisa al departamento de seguridad para que investiguen el correo. 5. **Resultado**: Se descubre que es un ataque de BEC (Business Email Compromise). No hay pérdida económica.

Ingeniería Social en el contexto de otros conceptos

• Superficie de Ataque: La ingeniería social explota la "superficie humana" (empleados, contratistas, proveedores).
• Tríada CIA: La ingeniería social puede comprometer los tres pilares: confidencialidad (robo de datos), integridad (modificación de información) y disponibilidad (secuestro de sistemas).
• Control de Seguridad: La formación y concienciación son un control de seguridad fundamental contra la ingeniería social.
• Defensa en profundidad: La formación del personal es una capa de defensa más, junto con firewalls, antivirus y cifrado.
• Principio de Mínimo Privilegio: Limitar los permisos de los empleados reduce el daño si un atacante logra engañarlos.
• Zero Trust: Nunca confiar en las solicitudes sin verificar, incluso si parecen venir de dentro.

Estándares y marcos de referencia

• **NIST SP 800-53** – Incluye controles para la concienciación y formación en seguridad.
• **ISO/IEC 27001** – Requiere programas de concienciación en seguridad.
• **OWASP (Open Web Application Security Project)** – Incluye guías sobre ingeniería social.
• **ENISA (Agencia de la UE para la Ciberseguridad)** – Publica informes y guías sobre phishing e ingeniería social.

Métricas para medir la vulnerabilidad en una organización

• Tasa de clics en simulacros de phishing.
• Número de incidentes reales de ingeniería social reportados.
• Porcentaje de empleados que completan la formación en seguridad.
• Tiempo de respuesta ante un simulacro (¿cuánto tardan en reportarlo?).
• Número de cuentas comprometidas por credenciales robadas.

Véase también

• Superficie de Ataque
• Tríada CIA
• Control de Seguridad
• Defensa en profundidad
• Principio de Mínimo Privilegio
• Zero Trust
• Gestión de Vulnerabilidades
• Cifrado
• Autenticación, Autorización y Auditoría (AAA)

---

Esta página forma parte de la Categoría:Conceptos de seguridad.