No se vende una mentira, sino un papel
Un correo de phishing juega a lo grande: se envía a miles de personas y alguien hará clic. El pretexting funciona de otra manera: construyen una historia a tu medida. El nombre de tu departamento, el banco en el que realmente tienes cuenta, el pedido que de verdad estás esperando. Nada de eso es información secreta: está en las redes sociales, en filtraciones de datos o en la firma de tus propios correos.
El objetivo de los detalles no es demostrar nada. Sirven para despejar la duda de «¿y quién es esta persona?». Mientras compruebas un detalle y coincide, dejas de comprobar los demás: tu cerebro completa el papel entero. Un pequeño detalle que coincide funciona como aval de toda la historia.
La historia. Preparan de antemano un papel y un motivo: comprobar un inicio de sesión, una entrega, un error en los documentos. El motivo explica por qué te llaman precisamente a ti y precisamente ahora.
Una pequeña verdad. En los primeros segundos mencionan algo que realmente saben de ti. No es una petición, sino un anticipo de confianza.
La urgencia. Aparece un plazo: «la solicitud estará pendiente durante diez minutos». No queda tiempo para comprobar nada por diseño, no por casualidad.
El aislamiento. Te piden que no cuelgues, que no lo hables con nadie o que pases a una aplicación de mensajería. Cualquier tercera persona puede romper el guion.
Una pequeña petición. Primero te piden algo insignificante: confirmar, dictar o pulsar. Después de aceptar una vez, es más difícil negarse la segunda.
Cómo suena
La conversación casi siempre va en una sola dirección: la otra persona hace preguntas y tú respondes. Te están comprobando a ti, aunque te hayan llamado ellos. Este es un intercambio típico: fíjate no en las palabras, sino en cómo cambia el papel.
Somos del servicio de seguridad. Veo un intento de iniciar sesión en tu cuenta desde otra ciudad.
Yo no he iniciado sesión en ningún sitio.
Eso pensaba. Todavía puedo enviar la solicitud de bloqueo, pero el plazo es de diez minutos.
¿Qué tengo que hacer?
Dime el código del mensaje: confirmará que hablo con la persona titular de la cuenta.
Vale, un segundo.
Aquí aparecen tres señales seguidas. Te han comunicado una noticia alarmante que no puedes comprobar. Te han dado un plazo. Y te piden demostrar que eres tú, aunque no hayas sido tú quien inició la llamada. El código del mensaje no le confirma nada a la otra persona: lo necesita precisamente para iniciar sesión, y el soporte auténtico nunca te lo pedirá.
Fíjate también en quién tiene prisa aquí. En una conversación así, la urgencia siempre es de otra persona: te la han traído a ti. Quita el temporizador y el guion se desmorona; por eso lo mantienen.
El guion no se basa en la ingenuidad, sino en reacciones normales: ayudar, no discutir y resolver el asunto rápidamente. Por eso suele atrapar a personas ocupadas y educadas.
¿Para qué mencionan en el pretexting un pequeño detalle verdadero sobre ti?
¿Qué ayuda si te meten prisa y te piden un código del mensaje?
Fuentes
- Mecanismos de influencia, según los trabajos de Robert Cialdini sobre autoridad, escasez y compromiso
- análisis del pretexting, en Kevin Mitnick, «El arte del engaño»
- señales de alerta, en las guías públicas de bancos y CERT
Lo siguiente en la serie «Ingeniería social»
3 artículos completos en la web, 4 más en la app
