En agosto presentamos el phishing, la forma más conocida de engaño digital. Esta edición amplía la mirada hacia el fenómeno del que el phishing forma parte: la ingeniería social. Explica qué es, por qué funciona incluso con personas atentas, qué técnicas utiliza más allá del correo electrónico y qué práctica concreta neutraliza cada una.
Qué es la ingeniería social y por qué funciona
El NIST, el instituto de estándares de Estados Unidos y una de las referencias técnicas más utilizadas en seguridad, define la ingeniería social como el acto de engañar a una persona para que revele información sensible, permita un acceso no autorizado o facilite un fraude, normalmente construyendo una relación con ella para ganarse su confianza. La definición contiene la idea central: el objetivo no es el sistema, es la persona que tiene acceso a él.
Por eso no requiere conocimientos técnicos. Requiere una historia creíble. El INCIBE, el Instituto Nacional de Ciberseguridad de España, describe el pretexting, es decir, la creación de un escenario ficticio para que la víctima comparta lo que normalmente no compartiría, como la base de cualquier ataque de ingeniería social. Quien llama dice ser del banco, de un proveedor, de soporte técnico o de la dirección, y todo lo demás se construye sobre ese personaje.
La historia funciona porque se apoya en reacciones humanas previsibles:
Autoridad.
Una solicitud que parece venir de un directivo, un cliente importante o una entidad oficial se cumple con menos preguntas. El atacante no necesita ser esa persona, solo parecerlo durante unos minutos.
Urgencia.
Un plazo corto o una consecuencia inmediata desplaza la atención de verificar hacia cumplir. La prisa no es un detalle del engaño, es su mecanismo principal.
Confianza.
Usar el nombre de un compañero, mencionar un proyecto real o mostrar conocimiento del área reduce la sospecha. Gran parte de esa información se obtiene de redes sociales y sitios públicos.
Beneficio.
Una ayuda gratuita, un premio o un acceso sin costo generan la sensación de recibir algo, y con ella la disposición a dar algo a cambio.
Las técnicas más allá del correo
El INCIBE agrupa las técnicas más frecuentes. Varias no necesitan un correo electrónico:
Vishing.
Una llamada en la que el atacante se presenta como una organización o persona de confianza para obtener información.
La práctica esperada es colgar y devolver la llamada al número oficial que ya se conoce, nunca al que se indica durante la conversación.
Quid pro quo.
Se ofrece un beneficio, como asistencia técnica, un regalo o software gratuito, a cambio de información o de acceso al equipo.
La práctica esperada es no aceptar ayuda que no se solicitó por los canales internos.
Baiting.
Un cebo con software malicioso, por ejemplo una memoria USB olvidada en un área común, que la víctima conecta por curiosidad.
La práctica esperada es no conectar dispositivos de origen desconocido y entregarlos al área de TI.
Shoulder surfing.
Observar por encima del hombro lo que una persona escribe o tiene en pantalla.
La práctica esperada es bloquear el equipo al levantarse y cuidar qué queda visible.
Dumpster diving.
Buscar en la basura documentos con información personal, financiera o de clientes.
La práctica esperada es destruir los documentos en la papelera de seguridad.
Las técnicas cambian; el patrón no. Toda ingeniería social combina un personaje creíble, una presión para actuar rápido y una solicitud que no corresponde al canal o al momento. Reconocer ese patrón es más útil que memorizar ejemplos.
Tendencia del mes: inteligencia artificial y suplantación de identidad
La inteligencia artificial está cambiando la escala de la ingeniería social. El ENISA Threat Landscape 2025, el informe anual de la agencia de ciberseguridad de la Unión Europea, señala que a inicios de 2025 las campañas apoyadas por inteligencia artificial representaban más del 80% de la actividad de ingeniería social observada en el mundo. Los mensajes ya no tienen errores, se redactan en cualquier idioma y se adaptan a cada destinatario en segundos.
El cambio más significativo es la suplantación de voz y de imagen. El IBM Cost of a Data Breach Report 2026 identificó la suplantación mediante deepfake, es decir, audio o video falsificado que imita a una persona real, como el ataque con inteligencia artificial más frecuente del año. A esto se suma que el engaño se desplaza fuera del correo: según el Verizon Data Breach Investigations Report 2026, el 41% de las brechas originadas en ingeniería social utilizó otras vías, con el teléfono y las redes sociales a la cabeza.
La propia CISA, la agencia de ciberseguridad de Estados Unidos, alertó sobre llamadas en las que delincuentes se hacían pasar por sus funcionarios usando nombres y cargos reales. Su recomendación aplica a cualquier organización: una entidad legítima nunca pide dinero por teléfono ni que la conversación se mantenga en secreto. Ante la duda, se cuelga, se anota el número y se verifica por el canal oficial.
¿Sabías que…?
El 62% de las brechas de seguridad confirmadas involucra el factor humano.
(Verizon DBIR 2026).
Cerca del 60% de las intrusiones observadas en la Unión Europea comenzó con phishing o alguna de sus variantes, incluidas las llamadas fraudulentas.
(ENISA Threat Landscape 2025).
El fraude por compromiso de correo empresarial, que suplanta a directivos o proveedores para desviar pagos, generó pérdidas por más de 3,000 millones de dólares en 2025.
(FBI IC3 Internet Crime Report 2025).
El costo promedio global de una filtración de datos alcanza los 4.99 millones de dólares.
(IBM Cost of a Data Breach Report 2026).
La lectura conjunta de estas cifras es directa: los ataques más costosos no rompen sistemas, convencen a personas. La defensa más eficaz tampoco es técnica: es detenerse, verificar y reportar.
Tip del mes: escritorio despejado y pantalla despejada
Dos de las técnicas descritas, el shoulder surfing y el dumpster diving, no necesitan tecnología: solo información a la vista. La ISO/IEC 27001:2022 las aborda en el control 7.7, que establece dos requisitos complementarios. El escritorio despejado protege la información en papel y en medios extraíbles: los documentos confidenciales, las notas adhesivas, las memorias USB y los discos externos se guardan bajo llave al ausentarse del puesto y al terminar la jornada, y lo que ya no se necesita se destruye en una papelera de seguridad, no en el cesto común. La pantalla despejada protege la información en los sistemas: el equipo se bloquea cada vez que se abandona el puesto, el bloqueo automático por inactividad permanece activado en equipos fijos y portátiles, y las sesiones se cierran al terminar el trabajo.
El riesgo que mitiga es concreto: contratos, credenciales impresas o datos de clientes expuestos ante visitas, personal de limpieza o cualquier persona con acceso al espacio. Un solo gesto resume la mitad del control: Windows + L antes de levantarse.
La ciberseguridad no es responsabilidad exclusiva del área de TI.
Cada acción cuenta para mantener la información segura.
