Hugo Fuentes
Las empresas han invertido durante años en firewalls, EDR, autenticación multifactor, filtros de correo y sistemas capaces de detectar comportamientos anómalos. Todas estas medidas son necesarias, pero ninguna elimina un problema mucho más difícil de controlar: las decisiones que tomamos las personas.
La ingeniería social sigue funcionando porque no busca necesariamente vulnerar una máquina. En muchos casos, al atacante le resulta bastante más sencillo convencer a una persona que enfrentarse directamente a las medidas de seguridad de las que disponga la organización. Y mientras tratemos este problema como una cuestión exclusivamente tecnológica, seguiremos llegando tarde.
Últimamente los que nos dedicamos al ámbito de la ciberseguridad hemos detectado una tendencia peligrosa. Las empresas e instituciones tienden a creer que cada problema de seguridad puede ser resuelto por una herramienta tecnológica. Por ejemplo, si aparece malware, desplegamos un EDR; si hay robo de credenciales, añadimos MFA; si aumenta el phishing, reforzamos el filtrado del correo. Pero la ingeniería social juega en otro terreno. No necesita derrotar directamente esas defensas, muchas veces le basta con convencer a alguien que ya tiene permisos para que haga algo que parece normal.
Aunque el término ingeniería social se ha democratizado hace relativamente pocos años, ya en 2014 investigadores como Mouton analizaban las fases de este fenómeno: definición del objetivo, recopilación de información, preparación y ejecución del ataque. Poco ha cambiado el proceso desde entonces. Pero lo que nos importa es que este enfoque rompe con la imagen del correo de phishing improvisado. Un ataque puede empezar días antes de que la víctima reciba una llamada o un mensaje, acumulando información para que el resultado final resulte coherente y el destinatario «pique» el anzuelo.
Una web puede parecer legítima, un remitente puede resultar familiar y una petición puede encajar con el trabajo habitual. El sistema técnico puede estar funcionando correctamente y, aun así, producir el incidente.
Ver los incidentes en ciberseguridad como un simple «alguien ha hecho clic donde no debía» nos lleva a no aprender del error. Los atacantes saben cómo nos comportamos los que estamos al otro lado de la pantalla y lo explotan. Todos tendemos a responder a la autoridad, atendemos situaciones urgentes, ayudamos a compañeros y proveedores, y solemos ser confiados cuando el contexto nos resulta coherente. Es precisamente por eso que funciona.
Modalidades de ataques como el phishing, el spear phishing, el vishing o el baiting tienen a la confianza como uno de los elementos centrales explotados por los atacantes. Además, no todos los engaños buscan directamente una contraseña. El objetivo puede ser recabar más información interna, la ejecución de un archivo o simplemente otra serie de datos que permitan preparar una segunda fase mucho más convincente.
También debemos abandonar la idea de que una persona con conocimientos técnicos es inmune. Un administrador de sistemas que jamás abriría un documento adjunto extraño puede responder a una llamada aparentemente real de su director financiero. Un responsable de administración puede detectar diez intentos de fraude y caer en el undécimo porque coincide con una operación que realmente estaba en proceso dentro de la empresa.
La IA mejora el engaño
Durante años se recomendaba desconfiar de correos mal redactados, traducciones extrañas o mensajes demasiado genéricos. Ese consejo envejece mal. La inteligencia artificial generativa permite producir textos correctos, adaptar el registro lingüístico y personalizar mensajes con información pública sobre una víctima. El atacante ya no necesita escribir especialmente bien ni dedicar demasiado tiempo a recabar información sobre cada objetivo.
Por eso me parece un error plantear la IA únicamente como una nueva capa defensiva. Puede ayudar a detectar anomalías, analizar logs y mensajes, o localizar patrones sospechosos, pero la misma tecnología que usamos para detectar fraudes también está disponible para atacarnos. Cada vez son más las voces que nos alertan sobre los usos maliciosos de la IA: desde inteligencias programadas como armas para destruir personas hasta procesos autónomos para operar y tomar decisiones en solitario.
Un ejemplo cercano es la alerta de la Agencia Española de Protección de Datos, que recibió la primera notificación en España de una brecha de datos personales en la que un agente de IA habría ejecutado de forma autónoma muchas de las fases del ataque. Según la información notificada por la organización afectada, el agente llegó a modificar datos personales y acceder a facturas.
Sin embargo, muchas organizaciones siguen tratando este problema con un curso anual, unas diapositivas y alguna campaña genérica de phishing simulado. Después se contabiliza cuánta gente hizo clic y se considera que el riesgo está medido. Para mí, este enfoque se queda corto. La concienciación no puede ser un trámite destinado a demostrar que la empresa ha formado a su plantilla. La formación es útil cuando una persona recuerda lo aprendido en el momento de tomar una decisión, no cuando simplemente supera una obligación corporativa.
¿Cómo deberíamos afrontar la gestión de la ciberseguridad con nuestro personal? La solución pasa por combinar formación frecuente, simulaciones reales al entorno, procedimientos de verificación y una cultura en la que preguntar no se perciba como una pérdida de tiempo.
Mi visión se basa en no construir la seguridad de nuestras empresas esperando que nadie falle, sino suponiendo que antes o después alguien lo hará. Eso implica limitar privilegios, separar funciones, aplicar autenticación resistente al phishing cuando sea posible y revisar los incidentes sin buscar inmediatamente un culpable. Si una llamada falsa ha bastado para modificar un dato crítico, la pregunta no debe ser solo por qué alguien creyó al atacante, sino por qué el procedimiento permitía que aquella llamada fuese suficiente.
La ingeniería social seguirá existiendo porque utiliza algo que ninguna empresa puede eliminar: la necesidad de confiar en otras personas para trabajar. Sería absurdo pretender que los empleados desconfíen de cada correo, llamada o petición que reciben. Las organizaciones funcionan precisamente porque existe confianza; lo importante es decidir qué controles necesitamos cuando esa confianza afecta a algo crítico. La tecnología seguirá siendo imprescindible, pero hay una frontera que no puede cubrir por sí sola. Por eso la ingeniería social no puede gestionarse únicamente desde el departamento de ciberseguridad. También depende de cómo trabaja la organización y de qué ocurre cuando una persona duda, pregunta o se equivoca.
Hugo Fuentes es especialista en ciberseguridad, hacking ético e ingeniería social con certificados eCCPT y eAIS en el Instituto de Emprendimiento Avanzado
