Ingeniería social (Social engineering)

Todas las operaciones tienen las mismas cuatro partes. El reconocimiento construye una foto de la organización a partir de fuentes públicas, que es OSINT: quién reporta a quién, qué proveedores se usan, qué software aparece en las ofertas de empleo, quién está de vacaciones. Un pretexto aporta la razón por la que la petición es normal, y los buenos son aburridos y no dramáticos: una duda sobre la factura de un proveedor, un documento que revisar, un recordatorio de formación obligatoria. Un canal lo entrega, ya sea correo, teléfono, mensaje de texto, una plataforma de chat, un código QR o una visita. Y se pide una acción, que normalmente es autenticarse en una página que controla el atacante, que es phishing, o abrir un documento, o aprobar un pago.

Las palancas son las mismas que hacen funcionar a una organización: la autoridad, la urgencia, las ganas de ayudar, la familiaridad y el deseo de no entorpecer a un compañero. Por eso el problema es estructural y no una cuestión de descuidos individuales.

La organización entrena a la gente para detectar y no cambia los procedimientos que hacen verosímil la petición. Los consejos de detección envejecen mal: la guía de las faltas de ortografía y los saludos genéricos se escribió para campañas que ya no son así, porque hoy los mensajes se personalizan en volumen y las voces se pueden clonar, que es lo que convierte una llamada con deepfake en un problema de procedimiento y no en una curiosidad.

Lo que aguanta es el proceso. Verificar por un canal que no eligió quien pide, doble autorización para pagos y para cambios privilegiados, un procedimiento de identidad en el centro de soporte que no se apoye en datos que un atacante puede investigar, y una vía de reporte que sea más rápida y menos desagradable que obedecer. La última es medible y casi todos los programas la ignoran: la métrica útil es con qué rapidez llega el primer aviso, no cuánta gente pinchó.

La otra respuesta estructural es hacer que la credencial no valga nada cuando engañan a la persona, que es lo que hace la autenticación resistente al phishing. A la gente la van a engañar; la pregunta es qué se saca de ese engaño.

Los ejercicios se hacen con acuerdo escrito, con alcance definido, con aprobadores con nombre y con límites, porque estos encargos tocan a los empleados de forma personal y las fronteras éticas son más estrechas que en las pruebas técnicas. Los resultados se informan a nivel de organización, nunca como una lista de personas que fallaron, porque señalar a la gente destruye la cultura de reporte que es el control de verdad. Medimos el tiempo hasta el primer aviso, la proporción de mensajes reportados, si la sesión obtenida era utilizable y a qué llegaba. Esto forma parte de cómo diseñamos y ejecutamos ejercicios de ingeniería social.