Ingeniería social: cómo te manipulan para que entregues tus datos
La mayoría de ataques no rompen sistemas: engañan a personas. Los trucos psicológicos que se repiten en todas las estafas y cómo reconocerlos.
Para robar una cuenta, a un delincuente le resulta mucho más fácil y barato engañar a una persona para que le dé su contraseña que romper los sistemas de seguridad de un banco. Eso es la ingeniería social: técnicas de persuasión y manipulación para que tú mismo entregues datos, dinero o el acceso a tu equipo. INCIBE la considera la base de la mayoría de incidentes de seguridad.
Los resortes que usan
Casi todos los engaños tocan alguno de estos botones:
- Urgencia: «tu cuenta se bloqueará en 24 horas», «último aviso». Con prisa no se piensa.
- Autoridad: se hacen pasar por tu banco, la Policía, Hacienda, Correos, Microsoft o tu jefe.
- Miedo: un cargo que no reconoces, un virus en tu PC, una multa.
- Codicia o curiosidad: un premio, una oferta increíble, «mira esta foto tuya».
- Ayuda y confianza: alguien amable que «solo quiere ayudarte» o un supuesto familiar en apuros.
Si un mensaje te hace sentir prisa, miedo o euforia, para y comprueba: es justo lo que buscan.
Las técnicas más comunes
| Técnica | Por dónde llega | En qué consiste |
|---|---|---|
| Phishing | Correo | Un mensaje que imita a una empresa y te lleva a una web falsa |
| Smishing | SMS | Lo mismo, por SMS: paquetes, bancos, multas |
| Vishing | Llamada | Alguien que se hace pasar por tu banco o por soporte técnico |
| Pretexting | Cualquiera | Una historia inventada para que des información que normalmente no darías |
| Quishing | Código QR | Un QR falso que lleva a una web de pago o de inicio de sesión fraudulenta |
| Baiting | Físico | Un USB «olvidado» o un regalo que, al usarlo, infecta el equipo |
| Shoulder surfing | En persona | Mirar por encima de tu hombro cuando escribes un PIN o una contraseña |
El pretexting es la base de casi todas: INCIBE lo define como crear un escenario o una historia ficticia para que la víctima comparta lo que no compartiría. Un ejemplo clásico en empresas es el fraude del CEO: alguien que se hace pasar por un directivo pide una transferencia urgente y confidencial.
Tienes guías específicas para el phishing, el smishing, el falso soporte técnico y los QR fraudulentos.
Cómo protegerte
INCIBE insiste en que no hay una solución mágica: lo que más protege es el sentido común y estar informado. En la práctica:
- Verifica por otro canal. Si «tu banco» te llama o te escribe, cuelga y llama tú al número de su web o de tu tarjeta. Si «tu jefe» o «tu hijo» te pide dinero por mensaje, llámale.
- Nadie legítimo te pide contraseñas, códigos de verificación de SMS ni el PIN de la tarjeta. Nunca.
- No instales nada porque te lo pida alguien que te ha llamado, y nunca le des acceso remoto a tu ordenador.
- Escribe tú la dirección de la web en vez de pulsar enlaces de mensajes.
- Cuida lo que publicas: tu fecha de nacimiento, tu trabajo o tus viajes en redes sociales dan material para hacer creíble un engaño.
- Activa la verificación en dos pasos: aunque te roben la contraseña, les costará entrar.
Si has caído
Cambia las contraseñas afectadas, avisa a tu banco si diste datos de pago, y pide ayuda a la Línea de Ayuda en Ciberseguridad de INCIBE, el 017. Si has perdido dinero, denúncialo.
Fuentes consultadas
- Pretexting (INCIBE)
- Ingeniería social (INCIBE)
- Guía de ciberataques: todo lo que debes saber a nivel usuario (INCIBE)