¿Qué es la ingeniería social?
Es la manipulación de personas para que entreguen información o realicen acciones que comprometen la seguridad. No ataca sistemas sino decisiones, y por eso ninguna inversión en tecnología la neutraliza del todo: el atacante no rompe un control, consigue que alguien autorizado lo abra por él. Es el vector inicial de la mayoría de las intrusiones con impacto real.
Los resortes que utiliza
Autoridad —hacerse pasar por un directivo o por soporte técnico—, urgencia para impedir que la víctima verifique, prueba social apelando a que «todos lo han hecho ya», reciprocidad tras un favor pequeño, y miedo a una consecuencia inmediata. Se combinan con información pública obtenida previamente, que es lo que convierte un mensaje genérico en uno creíble: nombres reales, proyectos en curso, la jerarquía correcta.
¿Cómo se defiende una organización?
Con procedimientos que no dependan del criterio de una persona bajo presión: verificación por un canal distinto para cualquier petición de dinero o credenciales, doble autorización en transferencias, y una norma explícita de que nadie será reprendido por confirmar. La formación funciona cuando es práctica y periódica, con simulaciones reales, y cuando se mide para mejorar en vez de para señalar a quien cae.
