La ingeniería social es el conjunto de técnicas para manipular a las personas y lograr que entreguen información confidencial o realicen acciones inseguras. En lugar de atacar la tecnología, ataca el factor humano.
Funciona explotando emociones y sesgos: urgencia, miedo, curiosidad, confianza y respeto a la autoridad. Por eso suele ser más barata y efectiva que un ataque puramente técnico.
El phishing es la forma más común de ingeniería social: un mensaje fraudulento que se hace pasar por una fuente confiable para robar credenciales, distribuir malware o estafar.
Variantes del phishing:
- Spear phishing → dirigido a una persona concreta, usando datos reales sobre ella.
- Whaling → spear phishing apuntado a altos cargos (directivos, gerentes).
- Smishing → phishing por SMS.
- Vishing → phishing por llamada de voz.
Señales de alerta (banderas rojas):
| Señal | Por qué sospechar |
|---|---|
| Urgencia exagerada | "Actuá ya o perdés tu cuenta" busca que no pienses |
| Remitente extraño | La dirección no coincide con la empresa real |
| Enlaces engañosos | El texto dice una cosa y el enlace lleva a otra |
| Errores de ortografía | Las empresas serias revisan sus comunicaciones |
| Pide datos sensibles | Un banco nunca te pide la contraseña por correo |
Defensa: desconfiar por defecto, verificar por un canal independiente (entrar al sitio oficial uno mismo, llamar a un número conocido) y no dejarse apurar. La concienciación del usuario es la capa de protección más importante frente a estos ataques.
La ingeniería social suele ser la puerta de entrada de otros ataques: un phishing exitoso puede terminar en una infección de malware o en un robo de credenciales.