La ingeniería social es el uso de la manipulación psicológica para lograr que una persona haga algo que no debería: abrir una puerta, entregar información, hacer un pago o instalar un archivo. No ataca sistemas, ataca decisiones.
Los manuales de seguridad personal lo describen desde hace años: una pregunta casual de un desconocido —“¿tiene una moneda?”, “¿qué hora es?”— puede servir para distraer mientras otra persona actúa. En el mundo digital, el mismo guion se presenta como una notificación inesperada o un mensaje que exige respuesta inmediata.
Los seis factores humanos que un atacante intenta activar
| Factor | Versión física | Versión digital |
|---|---|---|
| Confianza | “Soy nuevo en el área, ¿me deja pasar?” | Mensaje de un contacto conocido cuya cuenta fue comprometida. |
| Autoridad | Falso técnico, inspector o mensajero con uniforme. | Correo que aparenta venir del gerente general o de un ente regulador. |
| Urgencia | “Rápido, se me hace tarde para la reunión.” | “Transfiera hoy o perdemos el contrato.” |
| Curiosidad | Una memoria USB “olvidada” en el estacionamiento. | Archivo adjunto con “planilla de bonos” o “fotos del evento”. |
| Cortesía | Sostener la puerta a quien carga cajas. | Responder rápido para no parecer descortés con un “cliente”. |
| Distracción | Una conversación que desvía la mirada. | Muchas notificaciones seguidas para que se apruebe una sin leer. |
Tres reglas que funcionan en ambos mundos
Romper el ángulo y tomar distancia
En la calle, se recomienda dar un paso atrás y observar el entorno antes de atender a un desconocido. En lo digital, el equivalente es pausar: no responder en el mismo canal, respirar y revisar.
Verificar por un canal independiente
Si alguien dice ser de mantenimiento, se llama a mantenimiento. Si el gerente pide una transferencia por WhatsApp, se le llama al número que ya está registrado, no al que viene en el mensaje.
Tener carácter para decir que no
La cortesía y el deseo de ayudar son valores, pero en seguridad es necesario decir “no puedo hacerlo sin verificar”. Las organizaciones deben respaldar explícitamente a quien lo dice.
Qué debe hacer la dirección
- Establecer por escrito que ninguna solicitud de pago o cambio de datos bancarios se aprueba sin verificación independiente.
- Declarar que el personal está autorizado a pedir identificación a cualquier persona, incluido un directivo.
- Entrenar con casos reales y locales, no con ejemplos genéricos.
- Medir reportes y tiempos de respuesta, y reconocer a quien reporta.
Conclusiones
La ingeniería social cambia de canal pero no de método. Entrenar a las personas para reconocer los seis factores y responder con pausa, verificación y firmeza protege al mismo tiempo la puerta de la oficina y la cuenta bancaria de la empresa.
Preguntas frecuentes
¿Qué es la ingeniería social?
Es la manipulación de personas para que revelen información, concedan accesos o realicen acciones que benefician a un atacante. Puede ocurrir en persona, por teléfono, por correo o por mensajería.
¿Qué es el tailgating?
Es ingresar a un área restringida detrás de una persona autorizada, aprovechando su cortesía o distracción, sin presentar credenciales propias.
¿Cómo se evita el fraude del CEO?
Con una regla clara: toda solicitud de pago urgente o cambio de cuenta se verifica por un canal independiente, usando datos de contacto previamente registrados.
Fuentes
- Documento interno “Curso de Seguridad y Comportamiento Preventivo”
Lleve este tema a su organización
El Curso Seguridad 360 convierte estas ideas en hábitos. Próxima edición: 24 de octubre de 2026.