Tema 9
Muchos ataques exitosos no comienzan explotando una falla técnica, sino manipulando a una persona. Por eso entender el engaño es parte central de la ciberseguridad.
La ingeniería social es el conjunto de técnicas que buscan manipular a una persona para que revele información, entregue acceso, ejecute una acción o tome una decisión favorable al atacante. En lugar de atacar primero a la tecnología, se ataca a la confianza, la rutina, la urgencia o el descuido.
Dentro de estas técnicas, el phishing es una de las formas más frecuentes y el fraude digital una de las consecuencias más dañinas.
Funciona porque explota comportamientos humanos normales: querer ayudar, obedecer una autoridad, reaccionar rápido ante una urgencia, confiar en una marca conocida o evitar un problema aparente.
Algunas palancas psicológicas comunes son:
El phishing es una técnica de engaño que suplanta a una entidad confiable para robar datos, credenciales, códigos de autenticación, dinero o acceso. Suele utilizar correo electrónico, mensajes de texto, redes sociales, aplicaciones de mensajería o sitios web falsos.
El objetivo habitual es que la víctima haga alguna de estas cosas:
| Tipo | Canal | Ejemplo |
|---|---|---|
| Email phishing | Correo electrónico | Mensaje falso del banco o de una red social |
| Smishing | SMS o mensajería | “Tu paquete no pudo entregarse, hacé clic aquí” |
| Vishing | Llamada telefónica | Supuesto operador que pide códigos o datos |
| Spear phishing | Correo o mensaje dirigido | Fraude personalizado hacia una persona específica |
| Whaling | Correo o mensaje a ejecutivos | Suplantación dirigida a cargos jerárquicos |
Ninguna señal por sí sola garantiza fraude, pero varias juntas deben encender alertas.
El spear phishing es una versión más precisa del phishing tradicional. En lugar de enviar mensajes masivos, el atacante prepara un engaño adaptado a una persona, área o empresa concreta. Usa nombres reales, contexto laboral, cargos, proyectos o proveedores conocidos para que el mensaje parezca legítimo.
Esto vuelve al ataque más creíble y más peligroso, especialmente cuando apunta a personas con acceso relevante.
Una modalidad muy común en organizaciones es la suplantación de directivos o responsables financieros para inducir transferencias, pagos urgentes o cambios de cuenta bancaria. A veces se lo conoce como Business Email Compromise o fraude del CEO.
El atacante puede:
La ingeniería social también aparece en llamadas, redes sociales, chats, formularios falsos, anuncios patrocinados, publicaciones engañosas y hasta interacciones presenciales. Algunos ejemplos son:
El fraude digital es el uso de engaño, suplantación o manipulación tecnológica para obtener dinero, datos o beneficios indebidos. Puede apoyarse en ingeniería social, malware, robo de credenciales o falsificación de identidad.
Algunas formas comunes de fraude digital son:
El phishing no siempre busca solo robar contraseñas. Muchas campañas también intentan distribuir malware. Por ejemplo, un archivo adjunto puede instalar spyware o ransomware, o un enlace puede llevar a una descarga peligrosa.
Esto hace que un mismo ataque combine ingeniería social con compromiso técnico posterior.
Muchas veces el objetivo inicial es el correo, porque desde ahí el atacante puede recuperar acceso a otros servicios.
En empresas y organismos, la ingeniería social puede provocar:
Por eso la capacitación de usuarios y los procedimientos de verificación son tan importantes como los controles técnicos.
Si un mensaje parece sospechoso, conviene no actuar de inmediato. Algunas medidas útiles son:
La ingeniería social demuestra que la ciberseguridad no se resuelve solo con tecnología. Los atacantes entienden que convencer a una persona puede ser más simple que vulnerar una plataforma. Por eso, desarrollar hábitos de verificación y desconfianza razonable es una parte esencial de la defensa.
En el próximo tema abordaremos seguridad básica en contraseñas y autenticación, porque muchas campañas de phishing y fraude buscan precisamente comprometer esas credenciales.