La ingeniería social manipula a las personas para que revelen información o concedan acceso. Se centra en la psicología humana, no en la tecnología. El atacante genera confianza, crea urgencia y explota el deseo de ayudar. Una llamada de alguien que dice ser del departamento de informática. Un correo electrónico de un supuesto ejecutivo solicitando una transferencia bancaria. Un visitante con un portapapeles que intenta convencer a la gente para que no lo atiendan en recepción. Las técnicas varían. El objetivo es el mismo: conseguir que la víctima haga algo que no debería.

La ingeniería social es efectiva porque elude los controles técnicos. Un cortafuegos no impide que un empleado de soporte técnico restablezca la contraseña de alguien que parezca legítimo. El ataque informático a Twitter en 2020 utilizó ingeniería social telefónica para convencer a los empleados de que entregaran sus credenciales. Posteriormente, los atacantes se apoderaron de cuentas de alto perfil y publicaron una estafa con Bitcoin. El FBI lo calificó como un ataque coordinado de ingeniería social. La defensa comienza con la concienciación, pero esta por sí sola no es suficiente. Los procesos son más importantes. Verifique la identidad a través de un canal independiente. Exija aprobación para acciones delicadas. Limite las acciones de cada persona. El objetivo es dificultar el éxito de una mentira convincente. La capacitación ayuda, pero un proceso sólido detecta lo que la capacitación no cubre.

Técnicas comunes de ingeniería social

• Phishing: engaño basado en correo electrónico
• Vishing: engaño mediante llamadas de voz.
• Pretexto: escenario fabricado
• Cebo: oferta tentadora, como una unidad USB gratuita.
• Seguir de cerca a alguien hasta un área restringida.

La ingeniería social explota la confianza. La defensa es la verificación, no la sospecha.