Ingeniería social: cómo los atacantes manipulan personas, no sistemas
El sistema mejor protegido del mundo es vulnerable si un empleado le abre la puerta a un atacante. La ingeniería social explota la psicología humana, no las vulnerabilidades técnicas.
Técnicas más utilizadas
- Pretexting: el atacante inventa un escenario creíble para obtener información. "Soy del equipo de IT, necesito tus credenciales para resolver un incidente urgente."
- Vishing (phishing por voz): llamada telefónica suplantando al banco, a Hacienda o a un proveedor.
- Baiting: dejar un USB "perdido" en el parking de la empresa. La curiosidad hace que alguien lo conecte.
- Quid pro quo: ofrecer algo a cambio de información (soporte técnico gratuito, descuentos).
- Tailgating: acceso físico siguiendo a un empleado por una puerta de seguridad.
¿Por qué funciona?
Los atacantes explotan sesgos cognitivos bien documentados: urgencia, autoridad, escasez, reciprocidad. "Tu cuenta será bloqueada en 10 minutos" activa el piloto automático y desconecta el pensamiento crítico.
¿Cómo defenderse?
- Verificación fuera de banda: si recibes una solicitud inusual por correo, llama directamente al número oficial de quien dice ser.
- Política de "está bien decir no": los empleados deben sentirse seguros negando acceso o información sin justificarse.
- Formación continua: no un cursillo anual, sino concienciación regular con ejemplos reales.
- Procedimientos claros: cómo se gestionan las solicitudes de acceso, cómo se verifican las identidades.
Los ataques de ingeniería social dejan rastros digitales: accesos desde ubicaciones inusuales, cambios de configuración inesperados, transferencias de datos fuera de patrón. Blindara monitoriza esos indicadores para actuar cuando la formación no fue suficiente.
