El cebo se hace pasar por algo que alguien ha perdido
Una memoria USB junto a la entrada de una oficina, en un aparcamiento o en un ascensor no es basura: forma parte de un montaje. La dejan donde alguien la recogerá sin falta y la etiquetan para que parezca tener dueña: un nombre, «Vacaciones 2026», un número de despacho. A partir de ahí, la persona hace todo por su cuenta, y ese es precisamente el objetivo.
Funciona por el sentido del deber, no por ingenuidad. Encontrar un objeto te coloca al instante en el papel de alguien que puede ayudar. Para devolver la memoria USB, tienes que averiguar de quién son los archivos, y conectarla empieza a parecer un gesto correcto, no un riesgo. Por eso una etiqueta con un nombre funciona mejor que una carcasa sin identificar.
Se abrieron archivos en casi la mitad de las memorias USB dejadas a propósito
El segundo recurso es la curiosidad, alimentada por la etiqueta. «Confidencial», «bonificaciones», «fotos de la fiesta de la empresa»: la promesa de un secreto ajeno que puedes mirar sin testigos. Desde dentro, ninguno de esos motivos parece un error: o estás ayudando o simplemente tienes curiosidad.
Por qué les pasa incluso a las personas atentas
El estafador no necesita a una persona ingenua, sino a una persona ocupada. El recurso aprovecha el momento en que estás resolviendo varias cosas a la vez y quieres solucionar un asunto pequeño en 30 segundos. Tu cautela no desaparece: simplemente no tomas una decisión aparte sobre lo que has encontrado.
Solo les pasa a las personas descuidadas. A mí no me pasaría.
En ese estudio, personas corrientes de un campus universitario recogieron las memorias USB y lo más habitual fue que explicaran que querían encontrar a su dueña. El recurso explota la disposición a ayudar y las prisas, no la ingenuidad.
Después aparecen los mismos recursos que en una llamada del «servicio de seguridad»: urgencia, un papel ya preparado («tú ayudarás, ¿verdad?»), la autoridad de otra persona y un pequeño favor que te apetece devolver. Una memoria USB es la versión silenciosa de esa misma conversación.
Cómo reconocerlo
La señal es general y bastante fiable: te empujan a tomar una decisión rápido y a solas. Una petición auténtica puede esperar y soportar una comprobación por un segundo canal: llamar al número de la página web oficial, preguntar a una compañera o escribir a una dirección de correo del trabajo. La presión dura hasta que aparece una segunda persona.
- Llevar lo que has encontrado a alguien responsable, como recepción o la administradora de sistemas
- Comprobar una petición urgente por un canal que hayas buscado tú, no con los contactos del mensaje
- Darte un momento: el recurso depende de los primeros segundos
- Conectar el dispositivo encontrado a tu ordenador personal o de trabajo para «encontrar a la dueña»
- Abrir un archivo cuya etiqueta prometa un secreto ajeno
- Dar por hecho que la cautela por sí sola te protegerá
Termina de leer en la app Miqo
1 minuto más y, al final, un quiz. Búscalo en «Psicología → Ingeniería social»
Apunta aquí con la cámara del móvil para abrir App Store o Google Play.
Fuentes
- Tischer et al., «Users Really Do Plug In USB Drives They Find», IEEE Symposium on Security and Privacy, 2016: de 297 memorias esparcidas por un campus, se llevaron el 98% y se abrieron archivos en aproximadamente el 45%