Ingeniería social en el soporte: restablecer una contraseña

La ingeniería social dirigida al soporte informático consiste en convencer a un técnico de que restablezca una contraseña o un segundo factor de autenticación para alguien que no es el titular de la cuenta. La defensa se resume en una regla: ningún restablecimiento sin verificación de identidad por un canal que quien llama no controle.

Este artículo describe una llamada tipo y explica por qué el soporte es un blanco predilecto. Detalla el procedimiento de verificación que hay que aplicar, con las frases que decir.

¿Por qué el soporte informático es un blanco predilecto?

Un servicio de soporte está hecho para ayudar rápido. Su indicador de calidad suele ser el plazo de resolución, y su cultura es la del servicio. Es exactamente lo que explota un atacante.

El restablecimiento de una contraseña o de un segundo factor es además una de las pocas operaciones que dan acceso directo a una cuenta. En lugar de forzar una defensa técnica, el atacante pide amablemente a una persona que la esquive.

El técnico ve pasar decenas de peticiones al día, de compañeros con prisa, a veces fuera de su oficina. Una llamada urgente de un «usuario» que ha perdido el teléfono parece banal. El atacante cuenta con esa banalidad.

¿Cómo es una llamada de ingeniería social al soporte?

Imaginemos una llamada a media mañana. Quien llama se presenta como un responsable comercial de viaje. Ha perdido el teléfono, por lo que ya no tiene su segundo factor, y debe enviar una propuesta antes del mediodía.

El escenario suele seguir las mismas etapas:

1. El pretexto creíble: una pérdida de teléfono, un viaje, una presentación inminente.
2. Información ya conocida: nombre, puesto, jefe, nombre de un proyecto, encontrados en las redes profesionales o en la web de la empresa.
3. La urgencia: «Mi cliente espera, no puedo quedarme bloqueado.»
4. La presión sobre la persona: irritación, adulación («usted es el único que puede ayudarme») o referencia a un superior.
5. Una petición que parece pequeña: «Restablézcame solo la contraseña, el resto lo gestiono yo.»

Cada etapa es una palanca descrita en el artículo sobre las palancas psicológicas de la ingeniería social. Ninguna es técnica: todo se juega en la conversación.

¿Por qué no bastan las preguntas de verificación clásicas?

Muchos servicios de soporte verifican la identidad con preguntas: fecha de nacimiento, número de empleado, nombre del jefe, dirección de la oficina. Esos datos suelen ser públicos o fáciles de encontrar, o ya se han filtrado en otro lugar.

Una pregunta cuya respuesta se encuentra en internet no prueba nada. Solo da al técnico la sensación de haber verificado. Esa sensación es precisamente lo que busca el atacante.

El tema se detalla en el artículo sobre las preguntas para verificar la identidad de quien llama. Para un soporte informático, la conclusión es clara: la verificación debe basarse en un elemento que quien llama no pueda adivinar ni obtener por sí mismo.

¿Qué procedimiento aplicar antes de restablecer nada?

Un buen procedimiento es escrito, corto y no depende del criterio del técnico de turno. Esta es una base que cada organización adapta a su contexto.

1. No hacer nada durante la llamada. La petición se anota, no se ejecuta.
2. Devolver la llamada por un canal independiente: el número del directorio interno, no el de quien llama. Véase el procedimiento de devolución de llamada.
3. Usar un segundo medio de prueba: un enlace enviado a la dirección profesional ya registrada, o una validación del jefe por su canal habitual.
4. Exigir presencia física o una videollamada con documento de identidad para las cuentas sensibles: dirección, finanzas, administradores.
5. Dejar constancia de la petición: hora, número, nombre anunciado, resultado de la verificación.

Para un segundo factor restablecido, el nivel de prueba debe ser al menos tan alto como para una contraseña. Un atacante que obtiene ambos controla toda la cuenta.

¿Qué frases puede decir el técnico sin ofender?

El técnico no tiene que justificarse. Aplica una regla, válida para todos, también para la dirección. Decir que la regla se aplica a todos reduce la fricción.

• «Por su seguridad, no restablezco nada por teléfono. Le devuelvo la llamada a su línea registrada.»
• «Voy a enviarle un enlace a su dirección profesional habitual.»
• «La regla es la misma para todos, también para la dirección.»
• «Entiendo que sea urgente. No puedo hacer excepciones.»
• «Paso su petición a mi responsable. Tendrá una respuesta enseguida.»

Si quien llama se vuelve agresivo o invoca a un superior, la respuesta no cambia. Para mantenerse firme ante la insistencia, el método para decir no bajo presión se aplica palabra por palabra.

¿Qué señales deben alertar al técnico?

Ninguna señal aislada prueba un fraude. Lo que cuenta es su acumulación y, sobre todo, la diferencia con lo que se espera de un usuario real.

• Una urgencia ligada a un acontecimiento concreto: viaje, cliente, presentación, inspección.
• Un número oculto, extranjero o distinto del que figura en el directorio.
• Reticencia a que se le devuelva la llamada: «No tengo cobertura, hágalo ahora.»
• Una petición de restablecer la contraseña y el segundo factor en la misma llamada.
• Insistencia en recibir la nueva contraseña de viva voz, o en otra dirección.
• Un conocimiento sorprendentemente preciso de la organización, mezclado con el desconocimiento de detalles que el usuario sabe.

Lo más fiable sigue siendo la diferencia de comportamiento: un empleado real acepta que se le devuelva la llamada, un atacante intenta seguir en línea.

¿Qué pasa si ya se ha hecho un restablecimiento?

A veces la duda llega después. El técnico recuerda una voz extraña o un detalle que no encajaba. Hay que actuar entonces sin esperar, sin buscar quién tiene la culpa.

1. Avisar de inmediato al responsable de seguridad, precisando la hora de la operación.
2. Hacer revocar las sesiones abiertas y restablecer de nuevo los accesos, por una vía verificada.
3. Contactar con el verdadero titular de la cuenta por su canal habitual.
4. Dejar constancia de la llamada: número, nombre anunciado, peticiones, lo que se hizo.

Decir pronto «creo que me he equivocado» es una cualidad profesional. Una cultura que sanciona esa confesión alarga los incidentes y los encarece.

¿Cómo puede la dirección proteger al soporte informático?

Un técnico que rechaza una petición legítima no debe ser sancionado. Si teme los reproches de un directivo con prisa, acabará cediendo. La regla solo se sostiene si se apoya públicamente desde lo más alto de la jerarquía.

En concreto, hay que:

• anunciar a todos que todo restablecimiento exige una verificación;
• precisar que no es falta de confianza;
• dar al soporte el derecho explícito de escalar sin justificación;
• medir el plazo de resolución sin penalizar las verificaciones;
• prever una vía rápida para urgencias reales, también verificada.

Sin este apoyo, el procedimiento se esquiva a la primera presión de un directivo con prisa.

¿Cómo entrenar a un equipo de soporte para mantener el procedimiento?

Un procedimiento leído en un documento se pierde bajo presión. Lo que se sostiene es el gesto repetido de forma oral: no ejecutar, decir la frase, devolver la llamada. Este reflejo se construye con la práctica, no con un módulo en el que hacer clic.

Con un juego de rol, el técnico recibe la llamada de un personaje que ha perdido el teléfono y se impacienta. Debe verificar, negarse y luego escalar. Un formador de Face Up escribe el escenario a partir de los casos reales del soporte de su organización. Tras la sesión, el informe de evaluación indica si se ha hecho la verificación y qué se ha dado. El técnico puede después volver a jugar.

Este enfoque se inscribe en la guía de formación en ciberseguridad y vishing.

Preguntas frecuentes

¿Hay que proscribir siempre un restablecimiento por teléfono?

Es posible si la verificación se basa en un canal independiente y en un elemento que quien llama no controla. Sin eso, es mejor pasar por un enlace enviado a una dirección ya registrada. La elección depende de la sensibilidad de la cuenta.

¿Qué hacer si quien llama dice ser el director general?

Aplicar el mismo procedimiento. Decir: «Le devuelvo la llamada a su línea habitual.» Un directivo auténtico aprueba esta regla. Si la llamada es fraudulenta, la devolución de la llamada pone fin al intento.

¿Hay que notificar un intento fallido?

Sí. Un atacante que fracasa en la primera llamada suele probar con otro compañero. La notificación permite avisar al equipo. La tabla de información que retener ayuda a hacerlo en dos minutos.

¿Quiere ver cómo un formador construye una situación práctica para su servicio de soporte? Reserve una demostración de Face Up.