Ingeniería social: qué es, cómo funciona y por qué el cortafuegos no basta

Casi todos los ataques que llegan a una empresa pequeña empiezan igual: alguien convence a una persona para que haga algo. Que pulse un enlace, que abra una factura, que lea un código por teléfono o que cambie el número de cuenta de un proveedor. Eso es la ingeniería social, y es la puerta de entrada del phishing, que según el balance de INCIBE fue en 2025 4 de cada 10 incidentes que gestionó. Esta guía explica cómo funciona, qué técnicas usa y por qué la tecnología solo cubre una parte.

Qué es la ingeniería social

INCIBE la define como la técnica con la que los ciberdelincuentes se ganan la confianza del usuario para que haga algo bajo su manipulación y engaño: ejecutar un programa malicioso, dar sus claves o comprar en una web fraudulenta. El glosario del NIST la resume como el intento de engañar a alguien para que revele información, como una contraseña, que sirve para atacar sistemas o redes.

Su punto de partida, dice INCIBE, es una premisa básica: es más fácil manejar a las personas que a las máquinas. A un delincuente le resulta más sencillo y barato engañar que explotar un fallo técnico, aunque a menudo combina las dos cosas. Y la mayoría de los ataques no van contra una empresa concreta: buscan el mayor número de víctimas con la menor inversión posible.

El canal principal es el correo electrónico, pero INCIBE recuerda que también se usan las llamadas, la mensajería y las redes sociales, y hay técnicas que ni siquiera necesitan una pantalla, como mirar por encima del hombro mientras alguien teclea su contraseña.

Las cuatro fases de un ataque

INCIBE explica que cada ataque es distinto, pero todos siguen el mismo ciclo:

1. Recogida de información. El atacante reúne todo lo que puede de la empresa y de las personas: listas de empleados, teléfonos y correos, el organigrama, los departamentos, los proveedores y el banco, la ubicación.
2. Relación de confianza. Contacta con la víctima usando esos datos. El ejemplo de INCIBE es una llamada de un supuesto servicio técnico que llama al empleado por su nombre, cita su puesto y a alguien que conoce, y menciona la revisión anual que el empleado espera.
3. Manipulación. Con la confianza ganada, pide lo que busca: credenciales o información confidencial, o que haga algo por él, como instalar un programa, enviar unos correos o hacer un ingreso.
4. Salida. Borra el rastro para que nadie sospeche y poder volver a entrar más adelante.

INCIBE distingue además dos estilos: el hunting, un solo mensaje enviado a miles de personas, como las campañas de phishing que suplantan a un banco o a una eléctrica, y el farming, varias comunicaciones con la misma víctima hasta conseguir el objetivo, como en el fraude del CEO.

En qué se apoya: los principios del engaño

Estos son los principios que INCIBE ve detrás de casi todos los ataques:

A eso INCIBE añade la urgencia: el mensaje que obliga a actuar ya, sin tiempo para pensar ni para preguntar.

Las técnicas más habituales

• Phishing, smishing y vishing. El engaño por correo, por SMS y por teléfono, con una entidad de confianza suplantada.
• Fraude del CEO. El delincuente suplanta a un directivo, con el organigrama recogido antes, para que un empleado haga un pago o entregue información. Su primo es el fraude del correo corporativo comprometido, en el que INCIBE describe cómo el atacante entra en un buzón y espera el momento de cambiar el número de cuenta de una factura.
• Falso servicio técnico. Una llamada que pide acceso al ordenador para arreglar un problema que no existe.
• Warshipping. Un regalo tecnológico infectado que, según INCIBE, se conecta a la red de la empresa y roba credenciales y otros datos.
• Mirar por encima del hombro. Espiar la contraseña mientras alguien la teclea en público.

Por qué el cortafuegos no basta

INCIBE lo dice sin rodeos: un sistema con las medidas y tecnologías más modernas no sirve de nada si, con un simple correo, el delincuente consigue información confidencial muy valiosa. La ingeniería social no ataca la tecnología, sino a las personas.

Esto es criterio de esta web: el cortafuegos sí cubre los finales técnicos del engaño. Si la víctima pulsa el enlace, el filtrado web puede bloquear la web falsa ya clasificada; si descarga el adjunto, el antivirus de la red puede parar el malware conocido; si el regalo del warshipping se enchufa a la red, un puerto de switch que exige autenticación o una red de invitados aislada le cierra el paso. Pero no oye una llamada, no lee un SMS en el móvil personal y no puede saber si un número de cuenta es el bueno. Por eso conviene pensar como en el modelo de confianza cero: ninguna petición se da por buena solo porque parezca venir de dentro.

Cómo proteger la empresa

La medida que INCIBE pone por delante de todas es formar y concienciar a toda la plantilla, sea cual sea su puesto, porque cada empleado puede ser la víctima. Para eso ofrece recursos gratuitos para empresas: un kit de concienciación con ataques simulados para entrenar, formación por sectores en vídeos cortos y un juego de ordenador, «Hackend».

Además, INCIBE recomienda:

• Comprobar que la web es la legítima antes de escribir los datos.
• Comprobar por un canal ajeno al correo electrónico que el número de cuenta de una factura es de verdad del proveedor.
• Aplicar el doble factor de autenticación, que INCIBE echa en falta en los casos de correo comprometido, para que una contraseña robada no baste.

Esto es criterio de esta web: lo que más protege a una empresa pequeña es una regla escrita y conocida por todos. Ningún pago urgente, cambio de cuenta, contraseña o acceso remoto se concede solo porque lo pida un mensaje o una llamada, venga de quien venga: se comprueba por otro canal, y quien lo comprueba nunca recibe una reprimenda por haber tardado. Junto a eso, contraseñas únicas en cada servicio, para que una que se entregue no abra las demás.

Si alguien de la empresa cae, la Línea de Ayuda en Ciberseguridad de INCIBE, el 017, es gratuita y confidencial.