Ingeniería social: definición, técnicas y ejemplos tipo

La ingeniería social es el arte de manipular a una persona para que ceda una información, un acceso o una acción que no concedería con la cabeza fría. El atacante no rompe un sistema: convence a alguien de que le abra la puerta. Puede llegar por correo electrónico, SMS, llamada telefónica o en persona.

Este artículo explica la definición, las técnicas principales, ejemplos tipo, las palancas psicológicas, las señales de alerta y cómo entrenar a un equipo. Amplía nuestra guía sobre la concienciación en ciberseguridad y el entrenamiento contra el vishing.

Qué es la ingeniería social: definición

El NIST, el organismo estadounidense de normalización, la define como el acto de engañar a una persona para que revele información sensible, obtenga un acceso no autorizado o cometa un fraude, ganándose su confianza. La CISA, la agencia estadounidense de ciberseguridad, habla de un ataque en el que el autor usa la interacción humana para obtener o comprometer información de una organización.

La palabra «ingeniería» puede confundir: el objetivo no tiene nada de técnico. Lo que se ataca es una decisión humana, tomada deprisa, bajo presión y con buena intención.

Por eso estos ataques funcionan. Según el informe de actividad 2025 de Cybermalveillance.gouv.fr, el servicio público francés de asistencia a víctimas de ciberdelitos, se registraron más de 500 000 solicitudes de asistencia, un 20 % más que en 2024. Un cortafuegos no protege de un empleado que dicta un código de buena fe.

Las principales técnicas de ingeniería social

Las técnicas cambian según el canal y el pretexto. El principio es el mismo: construir una situación en la que la persona obedece.

• Pretexting (pretexto): el atacante inventa un papel y una historia creíbles, como un auditor, un proveedor o un nuevo compañero, para obtener información.
• Phishing: un correo o un sitio falso que imita a una entidad de confianza para recoger credenciales o provocar un clic. Nuestro artículo sobre la definición de phishing lo detalla.
• Vishing: la misma maniobra por voz, por teléfono. Véase la definición de vishing. La CISA señala que el número mostrado puede falsificarse.
• Smishing: el phishing por SMS, con un enlace o un número al que llamar.
• Baiting (cebo): el atacante deja un cebo, como un USB «perdido» en un aparcamiento o una oferta demasiado buena, para que alguien lo use.
• Tailgating (colarse): alguien entra en un edificio siguiendo a un empleado que sostiene la puerta, a menudo con un paquete o un café en la mano.
• Quid pro quo: un «favor» a cambio de información. Un falso técnico se ofrece a resolver un problema informático a cambio de una contraseña.
• Suplantación de un servicio de asistencia o de un directivo: el atacante se hace pasar por el soporte técnico, la dirección o el banco. Véanse el fraude del CEO y la ingeniería social contra el servicio de soporte.

Ejemplos de ingeniería social (escenarios tipo)

Las tres situaciones siguientes son escenarios ilustrativos creados para este artículo. No describen casos reales.

El falso técnico de soporte

Imaginemos una llamada a una asistente de dirección. Un hombre se presenta como el soporte informático y avisa de una alerta en su equipo. Para «corregirla», le pide la contraseña y después el código que acaba de recibir por SMS. El pretexto es plausible, el servicio existe de verdad y la ayuda se ofrece sin que ella la pida.

El falso directivo

Un responsable de tesorería recibe un mensaje y luego una llamada de la «directora financiera». Una adquisición confidencial exige una transferencia en menos de una hora, y no debe contárselo a nadie. Todo desanima a comprobar: autoridad, urgencia, secreto.

El falso asesor bancario

La dueña de una pyme recibe la llamada de un supuesto asesor de su banco. Hay una operación sospechosa en curso, hay que bloquearla ya y, para ello, confirmar un código recibido por SMS. El código no bloquea nada: aprueba la transferencia del atacante. Nuestro artículo sobre el método del falso asesor bancario recorre esta secuencia paso a paso.

Las palancas psicológicas detrás de estos ataques

El psicólogo Robert Cialdini describe en Influencia seis principios que orientan nuestras decisiones: reciprocidad, compromiso y coherencia, prueba social, autoridad, simpatía y escasez. Los estafadores los aplican a una conversación corta, con un guion escrito de antemano. Por teléfono, seis palancas aparecen casi siempre.

• La urgencia: «Hay que actuar en diez minutos.» Todo plazo impuesto por quien llama es sospechoso. Respuesta: «Voy a comprobarlo y le llamo en cinco minutos.»
• La autoridad: un cargo, un departamento, un número de empleado. Un cargo se dice en un segundo y no prueba nada. Respuesta: «Llamo al número oficial.»
• La culpa: «Es usted quien bloquea a todo el equipo.» No se justifique: «Lo entiendo. El procedimiento se aplica igualmente.»
• La reciprocidad: una ayuda que no ha pedido, seguida de una petición. Un servicio de seguridad real no pide nada a cambio.
• La petición pequeña: una serie de pasos inofensivos cuyo último basta para aprobar un pago. Juzgue la finalidad de la petición, no el tamaño de cada paso.
• El aislamiento: «No se lo cuente a nadie.» Es la señal más fiable: ningún servicio legítimo le prohíbe consultar con sus compañeros.

Una llamada fraudulenta suele combinar tres o cuatro en menos de dos minutos. Nombrar las palancas mentalmente, una a una, rompe el efecto de la presión.

Cómo reconocer un intento de ingeniería social

Sea cual sea el canal, algunas señales se repiten. Ninguna basta por sí sola, pero dos o tres juntas justifican detenerse.

• Una petición inusual: un código, una contraseña, una transferencia o un acceso fuera del procedimiento habitual.
• Presión de tiempo impuesta por el interlocutor.
• Una consigna de discreción: no contarlo, no volver a llamar.
• Un canal que cambia: se pasa del correo al teléfono, o de un número a otro.
• Un detalle exacto que tranquiliza sin motivo: un nombre, un departamento, un número de expediente. Suelen proceder de fuentes públicas y no prueban la identidad.

En caso de duda, la CISA recomienda contactar con la organización directamente con datos de un documento anterior, nunca con los del mensaje. Es el principio de la llamada de vuelta por un canal independiente. Para las preguntas previas, véase cómo verificar la identidad de quien llama.

Cómo entrenar a los equipos para resistir

Conocer la lista de técnicas es útil. No garantiza reconocerlas en directo: por teléfono, el cerebro está ocupado con la conversación, con las ganas de ser educado y con el miedo a equivocarse. Se impone el comportamiento más fácil, que es obedecer.

Un reflejo se construye como cualquier gesto: repitiéndolo en condiciones parecidas a las reales. Ese es el principio del juego de rol. El alumno habla en voz alta, siente la presión, prueba una formulación, falla y vuelve a empezar. Nuestro artículo sobre cómo decir no por teléfono bajo presión recoge las formulaciones que aguantan.

Con Face Up, un formador escribe un escenario a partir de una llamada real vivida en su organización. Un persona interpretado por una IA hace de quien llama, encadena las palancas y reacciona a las respuestas del alumno, por voz o en vídeo. Tras la sesión, un debriefing indica lo que se mantuvo, lo que cedió y cita las frases pronunciadas. El alumno puede repetir. Para entender el principio, véase nuestra explicación del juego de rol con IA.

Preguntas frecuentes

¿Qué es la ingeniería social, en una frase?

Es el conjunto de técnicas de manipulación que llevan a una persona a revelar información, dar un acceso o realizar una acción, aprovechando la confianza y la presión en lugar de un fallo técnico.

¿La ingeniería social solo afecta a las llamadas?

No. Existe por correo, SMS, mensajería y en persona (tailgating, falso proveedor). El teléfono le da una ventaja: la voz inspira confianza y el ritmo del intercambio impide comprobar.

¿Qué diferencia hay entre ingeniería social y phishing?

La ingeniería social es la familia y el phishing es una de sus técnicas. El phishing usa un mensaje escrito o un sitio falso, el vishing la voz y el smishing los SMS.

¿Qué hago si ya he cedido?

Hay que actuar de inmediato: avisar al servicio competente, bloquear lo que se pueda y anotar los detalles del intercambio. Sentirse culpable no debe retrasar el aviso. Anote la hora, el número mostrado y las frases oídas.

Para entrenar a sus equipos a detectar estas técnicas de viva voz, descubra los juegos de rol de Face Up o reserve una demostración con nuestro equipo.