Ingeniería social: el ataque que no necesita hackear nada
¿Para qué buscar una falla en el sistema si alguien puede abrirle la puerta? La ingeniería social es el arte de manipular a una persona para que entregue información, acceso o dinero. Es la técnica detrás del phishing, del fraude del CEO y de muchas intrusiones que después parecen "hackeos". Le explicamos qué es, las técnicas más usadas contra empresas y cómo entrenar al equipo para frenarla.
¿Prefiere que lo revisemos nosotros? Diagnóstico gratis, sin claves.
¿Consulta urgente? Escríbanos por WhatsApp al 095 283 123
Qué es la ingeniería social
En ciberseguridad, la ingeniería social es el conjunto de técnicas para engañar a una persona y lograr que haga algo que la perjudica: dar una clave, abrir un archivo, transferir dinero, dejar pasar a alguien o contar un dato interno.
No ataca la tecnología, sino rasgos humanos que en el día a día son virtudes: la ganas de ayudar, el respeto a la autoridad, la urgencia por cumplir y la confianza en lo conocido.
Los principios que explota
Autoridad
«Soy del banco», «habla el gerente», «llamo de sistemas». Nadie quiere contradecir a quien manda.
Urgencia
«Tiene que ser hoy», «su cuenta se bloquea en una hora». La prisa apaga el sentido crítico.
Confianza
Usar nombres, datos y temas reales para parecer alguien conocido.
Reciprocidad
Hacer un pequeño favor primero para pedir algo después.
Miedo
Amenazas de multas, bloqueos, demandas o de exponer algo vergonzoso.
Correo de extorsiónCuriosidad
Un archivo «Sueldos 2026.xlsx» o un USB «olvidado» en la recepción.
¿Quiere saber qué tiene abierto su sitio?
Lo revisamos desde afuera, sin claves y sin instalar nada. Si no encontramos nada relevante, se lo decimos igual.
Las técnicas más usadas contra empresas
Phishing
Correos falsos que imitan a alguien de confianza para robar claves o datos.
Qué es el phishingSpear phishing y whaling
Phishing dirigido a una persona concreta, con datos reales, o a directivos.
Spear phishingVishing
Por teléfono: el falso soporte técnico que pide instalar un programa o el falso banco que pide un código.
Tipos de phishingPretexto
Una historia armada para justificar el pedido: el auditor que necesita un dato, el proveedor nuevo, el empleado de otra sucursal.
Fraude del CEO
El «jefe» que pide una transferencia urgente y confidencial.
Fraude del CEOCebo (baiting)
Un USB o un archivo tentador que, al abrirlo, instala malware.
Tailgating
Entrar a una oficina detrás de alguien que tiene acceso, aprovechando la cortesía de sostener la puerta.
Quid pro quo
Ofrecer algo (ayuda técnica, un regalo, un sorteo) a cambio de un dato o un acceso.
Ejemplos de ingeniería social en empresas
- 01
El falso soporte técnico
«Hola, te llamo de sistemas. Detectamos un problema con tu correo. ¿Me podés pasar el código que te acaba de llegar?» El código era el de la segunda clave. En dos minutos, el atacante entra a la casilla.
- 02
El proveedor nuevo
Un correo con el logo de un proveedor real informa una «nueva cuenta bancaria». Llega justo antes del pago mensual.
- 03
El auditor apurado
Alguien llama a administración en nombre de «la auditoría» y pide la lista de clientes con sus datos de contacto «para cruzarla hoy».
- 04
El USB en el estacionamiento
Un pendrive con la etiqueta «Confidencial – RRHH». Alguien lo conecta para ver de quién es.
Cómo protegerse de la ingeniería social
- 01
Reglas que no dependen del criterio de cada uno
Nadie da claves ni códigos por teléfono, nunca. Ningún cambio de cuenta bancaria se acepta sin verificar por teléfono a un número conocido. Las reglas protegen a la persona: no tiene que decidir sola si el pedido es real.
- 02
Verificar por otro canal
Ante cualquier pedido raro, cortar y llamar a un número conocido, o consultar en persona.
- 03
Segunda clave en todo lo importante
Si una clave cae, el atacante igual no entra. Y nadie de soporte necesita el código.
- 04
Entrenamiento con ejemplos reales
Mostrar al equipo los intentos que llegaron de verdad, cada tanto, vale más que un curso anual. → Ejemplos de phishing
- 05
Una cultura de preguntar
Que decir «dejame verificar» sea normal, aunque el pedido venga del gerente. Y que reportar un error sea fácil y sin castigo.
- 06
Cuidar lo que se publica
Organigramas, correos directos y viajes de los directivos publicados en redes son la materia prima de un buen pretexto.
Lo técnico que ayuda
La ingeniería social se frena sobre todo con personas y procesos, pero la técnica ayuda a que el engaño sea más difícil:
Proteger el dominio del correo
Para que nadie pueda escribir como si fuera su empresa.
Seguridad del correo corporativoMarcar los correos externos
Para que un «correo del gerente» que viene de afuera se note.
Limitar quién puede instalar programas
En los equipos de la empresa.
Para una pyme, el plan completo, en orden de prioridad, está en ciberseguridad para pymes.
Servicios relacionados
Preguntas frecuentes
¿Qué es la ingeniería social en ciberseguridad?
Es el conjunto de técnicas para manipular a una persona y lograr que entregue información, acceso o dinero, sin necesidad de explotar una falla técnica.
¿Cuáles son los tipos de ingeniería social?
Los más comunes son el phishing (y sus variantes por SMS y teléfono), el pretexto, el fraude del CEO, el cebo, el tailgating y el quid pro quo.
¿Por qué funciona tan bien?
Porque aprovecha reacciones humanas normales: ayudar, obedecer a la autoridad, cumplir con urgencia y confiar en lo conocido.
¿Cómo se previene en una empresa?
Con reglas claras que no dependan del criterio de cada uno, verificación por otro canal, segunda clave y entrenamiento con ejemplos reales.
¿La ingeniería social es un delito?
Las acciones a las que lleva (fraude, acceso indebido, suplantación de identidad) están tipificadas en las leyes de delitos informáticos de la mayoría de los países de la región.
Más sobre ciberseguridad para empresas
Ciberseguridad en las empresas: riesgos reales y primeras medidas
La ciberseguridad dejó de ser un tema de bancos y multinacionales. Hoy cualquier empresa con un sitio web, correo corporativo y una…
LeerRansomware en pymes: qué es, cómo entra y cómo prepararse
Un lunes a la mañana nadie puede abrir los archivos: todos tienen una extensión rara y en cada carpeta hay un mensaje…
LeerCuánto cuesta una auditoría de seguridad web (y de qué depende)
"¿Cuánto cuesta una auditoría de seguridad?" es como preguntar cuánto cuesta una reforma: depende de qué se revisa, con qué profundidad y…
Leer¿Su dominio y su correo ayudan a los estafadores?
Revisamos desde afuera si alguien puede mandar correos como si fuera su empresa, sin pedirle claves.
¿Consulta urgente? WhatsApp 095 283 123