Ingeniería social

La ingeniería social es el arte de conseguir algo de un sistema trabajando sobre la gente que lo rodea. En lugar de romper un cifrado o encontrar un bug, el atacante convence a alguien de compartir una contraseña, dictar un código de verificación, aprobar un pago o sostener una puerta abierta. El phishing es su forma más común, pero también pasa por teléfono, en persona, en redes sociales y en apps de mensajería.

Los trucos se apoyan en instintos humanos comunes. Autoridad: 'te hablamos del área de fraudes de tu banco' o 'el gerente necesita esta transferencia hoy'. Urgencia: 'tu cuenta se cierra en una hora'. Ganas de ayudar: un 'compañero nuevo' que se olvidó la credencial. Curiosidad o miedo: un pendrive con la etiqueta 'sueldos' tirado en el estacionamiento. Una historia de cobertura armada con cuidado se llama pretexting; una llamada fraudulenta es vishing (phishing por voz).

Funciona con gente inteligente y cuidadosa porque no ataca la inteligencia, ataca la rutina y la buena educación. Muchas veces el atacante hace la tarea antes, con información pública de LinkedIn o de la web de la empresa, así que la historia trae nombres y detalles reales. La clonación de voz y los mensajes falsos bien hechos vuelven las historias todavía más creíbles.

La defensa es sobre todo de procedimiento. Verificá los pedidos por otro canal que ya conozcas, como llamar al número oficial o preguntarle a la persona cara a cara. Ningún soporte real necesita tu contraseña ni el código que un servicio te acaba de mandar por SMS. En las empresas ayudan reglas claras: los pagos a cuentas nuevas necesitan una segunda aprobación, y nadie recibe un reto por frenar a chequear.