Qué es la ingeniería social

El cuarto punto explica por qué estas llamadas parecen reales. Los datos para construir la historia salen de fuentes públicas: la web de la empresa, las redes sociales de sus empleados y los anuncios de empleo. Se puede recopilar un dossier sobre una organización en una tarde.

Un escenario clásico es una llamada al servicio de soporte en nombre de una empleada que ha perdido el acceso. La insistencia y el conocimiento de un par de detalles internos suelen resultar más convincentes que cualquier procedimiento de verificación.

Toda persona con acceso legítimo puede entrar. La ingeniería social explota precisamente esa vía: no rompe la cerradura, sino que consigue la llave de quien la tiene.

Ahí está el problema: reforzar las medidas técnicas ayuda muy poco y a veces empeora las cosas. Cuanto más complicados son los procedimientos, más buscan las empleadas formas de evitarlos, y esas vías se convierten en el punto de entrada.

El último punto importa más que las medidas técnicas. Si una empleada teme que la castiguen por cometer un error, guardará silencio y la organización podría enterarse del ataque semanas después. Una cultura que favorece informar de los incidentes protege mejor que las instrucciones.

También conviene recordar que el objetivo no siempre es una contraseña. A menudo piden algo pequeño: confirmar el puesto de una compañera, dar una extensión interna o reenviar un archivo. Con esos pequeños detalles se construye la siguiente historia, ya convincente.