Ingeniería Social: Qué es y cómo protegerte de los engaños en la red7 min

En el mundo de la ciberseguridad, el eslabón más débil no suele ser un software. Casi siempre es el factor humano. Los delincuentes digitales utilizan la ingeniería social para conseguir lo que quieren sin necesidad de grandes conocimientos técnicos. Pero, ¿en qué consiste exactamente esta práctica?

¿Qué es la ingeniería social?

La ingeniería social es un conjunto de técnicas de manipulación psicológica. Los atacantes la usan para engañar a las personas y obtener información confidencial. Estos datos pueden ser contraseñas, claves bancarias o acceso a redes sociales.

A diferencia de un virus común, este ataque no busca fallos en tu ordenador. Busca fallos en tu confianza o en tu sentido de la urgencia. El estafador se gana tu seguridad para que tú le entregues las llaves de tu vida digital.

Tipos de ingeniería social

La ingeniería social no es un método estático. Los atacantes adaptan sus trampas según el entorno. Podemos dividir estas tácticas en dos grandes grupos: las que ocurren a través de dispositivos y las que requieren una interacción más directa o física.

Técnicas digitales y telefónicas

Son las más comunes debido a su bajo coste y gran alcance. Los delincuentes pueden atacar a miles de personas al mismo tiempo desde cualquier lugar del mundo.

• Phishing (correo electrónico): El atacante envía un email que imita a una entidad oficial. Suele incluir logotipos reales y un tono de urgencia. Su meta es que pinches en un enlace que lleva a una web falsa.
• Smishing (SMS): Es el phishing a través de mensajes de texto. Es muy efectivo porque confiamos más en los SMS que en los correos. Suelen usar ganchos como «cuenta bloqueada» o «paquete pendiente de entrega».
• Vishing (llamada de voz): El estafador te llama por teléfono. A menudo usan programas para falsear el número de origen y que parezca el de tu banco. Buscan que les des códigos de seguridad que recibes en tu móvil en ese momento.
• Spear Phishing: Es un ataque dirigido y personalizado. El delincuente estudia tus redes sociales para conocer tus gustos o tu puesto de trabajo. El mensaje es tan específico que parece real y legítimo.
• Catfishing: El atacante crea una identidad falsa en apps de citas o redes sociales. Construyen una relación afectiva durante semanas para acabar pidiendo dinero por una supuesta emergencia.
• Scareware: Son ventanas emergentes que aparecen al navegar. Te avisan de que tu ordenador tiene «muchos virus». Te ofrecen un software gratuito para limpiarlo, pero en realidad ese programa es el virus.

Técnicas físicas y de interacción

Estas técnicas se basan en el comportamiento humano y el acceso a espacios reales. A menudo pasan desapercibidas porque confiamos en la apariencia de las personas.

• Baiting (cebo): El atacante deja un dispositivo infectado, como un USB o un disco duro, en un lugar visible (una oficina, una cafetería). La curiosidad lleva a la víctima a conectarlo a su equipo, activando el software malicioso.
• Tailgating (seguimiento): El delincuente espera cerca de una puerta con control de acceso. Cuando alguien autorizado entra, el atacante pasa justo detrás antes de que la puerta se cierre. Muchas veces aprovechan que les sujetamos la puerta por cortesía.
• Piggybacking: Es similar al anterior, pero el atacante convence a la persona para que le deje entrar. Puede fingir que ha olvidado su tarjeta o que es un repartidor cargado con paquetes pesados.
• Quid pro quo: Se ofrece un beneficio a cambio de un favor. Un ejemplo clásico es llamar a una empresa fingiendo ser del soporte técnico. Prometen mejorar la velocidad de internet si el empleado les facilita sus credenciales de acceso.
• Shoulder Surfing (mirar por encima del hombro): Consiste simplemente en observar a la víctima mientras introduce su PIN en un cajero o su contraseña en el portátil. Ocurre con frecuencia en transportes públicos o cafeterías.
• Dumpster Diving (buceo en la basura): Los atacantes buscan en la basura física o digital de una empresa o persona. Buscan facturas, notas con contraseñas o documentos con datos personales que no se destruyeron correctamente.

Ingeniería social y el colectivo LGTBI+

Los ciberdelincuentes saben que la orientación sexual y la identidad de género son aspectos íntimos. Por ello, diseñan ataques específicos que explotan la vulnerabilidad social de muchas personas LGTBI+. Estos son algunos de los supuestos más frecuentes:

1. La extorsión a personas con «doble vida»

El atacante finge interés romántico en una app de citas. Tras obtener contenido íntimo, amenaza con enviarlo a la familia o empresa de la víctima si no recibe dinero. Aquí la ingeniería social utiliza el pánico como motor.

2. Grooming y manipulación de menores

El grooming es una forma de ingeniería social donde un adulto manipula las emociones de un menor. Fingen ser jóvenes que pasan por lo mismo para ganarse su confianza y, finalmente, explotarlos o pedirles material explícito.

3. Estafas de «ayuda comunitaria»

Se crean perfiles falsos de personas del colectivo en situación de extrema necesidad. Utilizan una narrativa emocional potente para pedir donaciones rápidas a través de aplicaciones de pago inmediato.

4. Extorsión mediante desnudos creados con IA (Deepfakes)

Los delincuentes usan fotos públicas tuyas para generar desnudos falsos mediante IA. Después, te amenazan con difundirlos. Juegan con el miedo al daño reputacional para obligarte a pagar por algo que no es real.

5. El «Romance Scam» contra la soledad de mayores LGTBI+

Los atacantes buscan a personas mayores que sufren aislamiento social. Construyen una relación afectiva falsa durante meses sin verse nunca en persona. Tras crear una dependencia emocional fuerte, piden grandes sumas de dinero para supuestas emergencias médicas o viajes.

5. Manipulación a través de falsas «ayudas» psicológicas

Aprovechan la vulnerabilidad de quienes sufren rechazo en su entorno. Los estafadores fingen ser profesionales que ofrecen apoyo discreto o terapias de aceptación. Su objetivo es obtener información muy íntima para realizar chantajes económicos o ejercer control psicológico sobre la víctima.

Nuestra responsabilidad digital

Desde Banderas LGTB queremos recordar que nadie tiene derecho a utilizar tu identidad como una herramienta de chantaje. La ingeniería social en estos casos busca que te sientas solo y asustado. Sin embargo, la mejor defensa es romper el silencio.

Si sufres una amenaza de este tipo, no pagues. El pago nunca garantiza que el delincuente borre el material; al contrario, le confirma que tu miedo es lucrativo. Captura todas las pruebas y busca ayuda profesional de inmediato.

Recuerda que tienes a tu disposición el 017, la línea de ayuda en ciberseguridad de INCIBE. Es un número gratuito, confidencial y está disponible para resolver cualquier duda o ayudarte si has sido víctima de un fraude o extorsión. Proteger nuestra identidad digital es también una forma de defender nuestra libertad.

Fuentes:

• INCIBE (Instituto Nacional de Ciberseguridad): Guía sobre ataques de Ingeniería Social
• Agencia Española de Protección de Datos (AEPD): Canal prioritario para denunciar contenido sensible