La ingeniería social es el conjunto de técnicas de engaño y manipulación utilizadas para lograr que una persona revele información, otorgue acceso, realice un pago o ejecute una acción que favorezca al atacante. Puede utilizar correo electrónico, mensajes de texto, llamadas telefónicas, redes sociales o incluso la interacción presencial.
En una empresa, sus consecuencias pueden incluir robo de credenciales, compromiso de cuentas, fraude, exposición de información o acceso a otros recursos corporativos. Por eso, prevenir la ingeniería social requiere combinar personas, procesos y controles tecnológicos.
En este artículo de VIRMAR Ciberseguridad explicamos qué es la ingeniería social, cuáles son sus principales técnicas, cómo reconocerlas y qué medidas pueden adoptar las organizaciones para reducir el riesgo.
Índice
- ¿Qué es la ingeniería social?
- ¿Cuáles son las principales técnicas de ingeniería social?
- ¿Cómo reconocer un ataque de ingeniería social?
- ¿Cómo afecta la ingeniería social a las empresas?
- ¿Cómo prevenir la ingeniería social en una empresa?
- Ingeniería social y gestión del riesgo humano
- ¿Cómo está cambiando la ingeniería social con la IA?
- Ingeniería social, phishing y BEC: ¿cómo se relacionan?
- ¿Qué hacer si interactúo con un ataque de ingeniería social?
- Cómo reducir el riesgo de ingeniería social
- Preguntas frecuentes
- Contenido relacionado
¿Qué es la ingeniería social?
La ingeniería social busca influir en el comportamiento de una persona mediante el engaño, la confianza, la urgencia, la autoridad, el miedo, la curiosidad u otros elementos psicológicos.
El atacante puede hacerse pasar por un compañero de trabajo, ejecutivo, proveedor, institución financiera, área de soporte o cualquier otra persona o entidad que resulte creíble para el objetivo.
A diferencia de un ataque que explota directamente una vulnerabilidad de software, la ingeniería social intenta conseguir que una persona habilite voluntaria o involuntariamente el siguiente paso del ataque.
¿Cómo funciona un ataque de ingeniería social?
Aunque cada campaña puede ser diferente, muchas siguen un proceso similar:
- Reconocimiento: se recopila información sobre la organización, sus empleados, proveedores o procesos.
- Construcción del engaño: se crea un mensaje, una llamada, un perfil, un sitio web o una situación aparentemente legítima.
- Manipulación: se utiliza presión, urgencia, autoridad, confianza, curiosidad o una recompensa.
- Solicitud: se pide una acción concreta, como compartir información, abrir un archivo, iniciar sesión, realizar un pago o conceder acceso.
- Aprovechamiento: la información o el acceso obtenido se utiliza para continuar el ataque.
En un entorno empresarial, por ejemplo, una campaña puede comenzar con un correo dirigido a un empleado, continuar con el robo de credenciales y terminar con el acceso a información corporativa.
¿Cuáles son las principales técnicas de ingeniería social?
Las técnicas pueden clasificarse según el canal utilizado, el nivel de personalización y el objetivo del atacante.
Estas técnicas también pueden combinarse. Por ejemplo, un atacante puede utilizar información pública para personalizar un spear phishing y posteriormente aprovechar las credenciales obtenidas para acceder a una cuenta corporativa.
¿Cuál es la diferencia entre phishing, smishing y vishing?
La diferencia principal es el canal utilizado:
- Phishing: suele asociarse con comunicaciones fraudulentas, especialmente por correo electrónico.
- Smishing: utiliza mensajes de texto o SMS.
- Vishing: utiliza llamadas o comunicaciones de voz.
INTERPOL identifica estas modalidades dentro de los fraudes basados en ingeniería social y explica que buscan hacerse pasar por fuentes legítimas para inducir a las víctimas a revelar información o realizar determinadas acciones.
¿Qué es el pretexting?
El pretexting consiste en crear una identidad, historia o situación falsa para conseguir información o una acción.
Por ejemplo, un atacante puede hacerse pasar por un proveedor que necesita confirmar datos de facturación, por un integrante del área de TI que necesita validar una cuenta o por un ejecutivo que solicita información de forma urgente. Es decir, la solicitud puede parecer razonable. El riesgo está en que la identidad y el contexto utilizados para justificarla son falsos.
¿Qué es el baiting?
El baiting, o ataque mediante cebo, busca despertar el interés de la víctima mediante un supuesto beneficio, recurso o incentivo.
Un ejemplo conocido consiste en dejar un dispositivo USB desconocido en un lugar donde pueda ser encontrado y conectado a un equipo. El riesgo aparece cuando la persona interactúa con un dispositivo o archivo no autorizado. Por ello, las políticas sobre dispositivos externos, software y descargas deben complementarse con capacitación y controles técnicos.
¿Qué es el quid pro quo?
En un ataque de quid pro quo, el atacante ofrece algo a cambio de información o acceso. Puede presentarse como un servicio de soporte, asistencia técnica o solución a un supuesto problema. Por ejemplo, alguien podría hacerse pasar por un técnico y solicitar acceso remoto para “resolver” una incidencia.
Los procesos internos deben establecer cómo verificar la identidad de quien solicita acceso y en qué circunstancias puede concederse.
¿Qué es el tailgating?
El tailgating es una técnica de ingeniería social que busca conseguir acceso físico a una zona restringida siguiendo a una persona autorizada.
Una situación cotidiana, como pedir que alguien sostenga una puerta, puede utilizarse para evitar un control de acceso. Esto demuestra que la ingeniería social no se limita al correo electrónico: también puede afectar los controles físicos de una organización.
¿Cómo reconocer un ataque de ingeniería social?
No existe una señal única que permita identificar todos los ataques. Una comunicación fraudulenta puede estar bien redactada, incorporar información real e incluso parecer provenir de una persona conocida. Por ello, conviene analizar especialmente el contexto y la acción solicitada.
Solicitudes inesperadas
Requieren especial atención las solicitudes que pidan:
- Contraseñas o códigos de autenticación.
- Información financiera.
- Datos personales o confidenciales.
- Cambios de cuentas bancarias.
- Pagos o transferencias.
- Descargas de archivos.
- Acceso remoto.
- Información sobre clientes, proveedores o empleados.
Urgencia o presión
La ingeniería social puede intentar reducir el tiempo disponible para analizar una solicitud. Un mensaje que exige actuar inmediatamente no demuestra por sí mismo que exista un ataque, pero sí puede justificar una verificación adicional.
Suplantación de identidad
El atacante puede utilizar un nombre conocido, una dirección similar a la legítima, un dominio parecido o información obtenida de fuentes públicas. Reconocer el nombre del remitente no es suficiente. Para solicitudes sensibles, es recomendable verificar la identidad mediante un canal independiente.
Enlaces, archivos o códigos QR inesperados
Un enlace puede dirigir a una página falsa de inicio de sesión. Un archivo puede utilizarse para distribuir malware y un código QR puede dirigir a un sitio fraudulento. Antes de interactuar con ellos, conviene confirmar que el recurso era esperado y procedía de una fuente legítima.
Cambios inusuales en procesos conocidos
Una solicitud puede parecer legítima y, aun así, romper con los procedimientos habituales de la empresa.
Por ejemplo:
“El proveedor solicita cambiar hoy la cuenta bancaria para recibir el próximo pago.”
Aunque el mensaje parezca proceder del proveedor, el cambio debería verificarse mediante un procedimiento independiente previamente establecido.
¿Cómo afecta la ingeniería social a las empresas?
El impacto depende del objetivo del ataque y de lo que el atacante consiga después.
Compromiso de credenciales y cuentas
Una persona puede entregar sus credenciales en un sitio falso o proporcionar información durante una llamada. Si las credenciales son válidas, el atacante puede intentar acceder al correo, a las aplicaciones, a los archivos u otros recursos.
Fraude y BEC
La ingeniería social puede utilizarse para inducir pagos, transferencias o cambios en información financiera.
El Business Email Compromise (BEC) es un ejemplo especialmente relevante para las organizaciones. Puede implicar la suplantación de un ejecutivo, proveedor o persona de confianza para conseguir una transferencia, modificar una cuenta de pago o entregar información.
Para profundizar en este escenario, consulta el contenido de VIRMAR Ciberseguridad sobre BEC: qué es, cómo funciona y cómo proteger a tu empresa.
Exposición de información
Una persona puede proporcionar información confidencial creyendo que responde a un cliente, proveedor, compañero o institución legítima. Esa información puede utilizarse posteriormente para nuevos ataques, fraude o acceso a otros recursos.
Acceso a sistemas
Las credenciales obtenidas mediante ingeniería social pueden convertirse en el punto de partida para acceder a otros sistemas. Por ello, la seguridad de identidad y acceso debe complementar las medidas de protección del correo y la capacitación.
Interrupción de operaciones
Un compromiso de cuentas, sistemas o información puede afectar procesos internos, pagos, atención a clientes, comunicación o disponibilidad de recursos. Para los responsables de seguridad, el análisis debe considerar no solo la posibilidad de que una persona sea engañada, sino también qué activos y procesos podrían verse afectados si el ataque tiene éxito.
¿Cómo prevenir la ingeniería social en una empresa?
La prevención requiere varias capas. Capacitar a los usuarios es importante, pero no sustituye los controles tecnológicos ni los procedimientos de validación.
Capacitación y simulaciones
La capacitación debe abordar los escenarios que realmente enfrenta la organización: phishing, BEC, smishing, vishing, suplantación y solicitudes inusuales.
Las simulaciones pueden utilizarse para evaluar la respuesta de los usuarios y detectar necesidades específicas de formación.
Procedimientos de verificación
Las solicitudes sensibles deberían contar con mecanismos independientes de validación.
Por ejemplo:
- Confirmar cambios de cuentas bancarias por un canal previamente definido.
- Verificar solicitudes inusuales de ejecutivos.
- No proporcionar códigos de autenticación por teléfono.
- Confirmar solicitudes de acceso remoto.
- Establecer niveles de autorización para operaciones financieras.
Estos controles reducen la dependencia de la percepción individual del usuario.
Seguridad del correo electrónico
El correo electrónico es un canal relevante para phishing, BEC, suplantación y otros ataques dirigidos. Las soluciones de seguridad de correo pueden incorporar capacidades para analizar enlaces y archivos, detectar suplantaciones, identificar amenazas dirigidas y actuar ante mensajes maliciosos antes o después de su entrega.
VIRMAR Ciberseguridad aborda este tema en su artículo sobre Phishing: qué es, cómo funciona, tipos y cómo evitarlo.
Autenticación multifactor
La autenticación multifactor (MFA) añade una capa adicional de protección cuando una contraseña ha sido comprometida. Esto es especialmente relevante para cuentas administrativas, correo corporativo y sistemas que contienen información sensible.
VIRMAR Ciberseguridad desarrolla ampliamente el tema de la autenticación en su artículo Autenticación en ciberseguridad: métodos, tecnologías y desafíos.
SPF, DKIM y DMARC
Los mecanismos de autenticación del correo pueden ayudar a reducir determinados escenarios de suplantación del dominio. DMARC, junto con SPF y DKIM, permite establecer políticas de autenticación y obtener información sobre determinados mensajes que no cumplen las condiciones establecidas. Sin embargo, DMARC no elimina por sí solo el phishing. Un atacante puede utilizar otro dominio, uno visualmente parecido o una cuenta legítima comprometida.
VIRMAR Ciberseguridad cuenta con una guía sobre cómo habilitar DMARC y proteger un dominio de correo.
Gestión del riesgo humano
La capacitación indica qué deberían hacer los usuarios. La gestión del riesgo humano busca además comprender qué comportamientos, perfiles e identidades representan una mayor exposición. Esto permite adaptar las intervenciones a distintos niveles de riesgo en lugar de aplicar exactamente el mismo programa a toda la organización.
VIRMAR Ciberseguridad desarrolla este enfoque en su contenido sobre gestión del riesgo humano y agéntico.
Protección de identidades y privilegios
Una cuenta comprometida no debería proporcionar automáticamente acceso amplio a los recursos de la organización. Entre las medidas que pueden complementar la estrategia están:
- Principio de mínimo privilegio.
- Revisión periódica de accesos.
- Separación de cuentas administrativas y de uso cotidiano.
- Gestión de identidades y accesos.
- Protección de cuentas privilegiadas.
- Monitoreo de accesos y actividad anómala.
Reporte y respuesta
Los usuarios deben saber qué hacer cuando reciben una comunicación sospechosa. Un procedimiento efectivo debe responder:
- ¿Qué debo reportar?
- ¿Dónde lo reporto?
- ¿A quién aviso?
- ¿Qué ocurre después?
- ¿Qué información debe conservarse?
Un proceso sencillo permite que el usuario participe también en la detección temprana.
¿Cómo está cambiando la ingeniería social con la inteligencia artificial?
La inteligencia artificial no modifica el principio fundamental de la ingeniería social: conseguir que una persona confíe en una comunicación, identidad o situación falsa.
Lo que sí puede cambiar es la capacidad para generar contenidos personalizados, imágenes, voces o videos que hagan más convincente la suplantación.
INTERPOL ha documentado en 2026 el uso de inteligencia artificial generativa, videos, imágenes y audios falsificados mediante deepfake y chatbots para facilitar la suplantación de personas de confianza en diferentes esquemas de fraude.
Para las organizaciones, esto refuerza una recomendación fundamental: la apariencia de una comunicación no debe ser la única prueba de identidad. Las solicitudes sensibles deben validarse mediante procesos independientes, especialmente cuando impliquen pagos, cambios de cuentas, información confidencial o acceso privilegiado.
Ingeniería social y gestión del riesgo humano
La ingeniería social muestra por qué el comportamiento humano debe formar parte de la estrategia de ciberseguridad.
Un programa tradicional de concientización puede centrarse en transmitir conocimientos. La gestión del riesgo humano añade la identificación, medición, priorización e intervención sobre comportamientos y situaciones que pueden representar una mayor exposición.
Por ejemplo, una organización puede prestar especial atención a personas que:
- Gestionan pagos o transferencias.
- Tienen acceso privilegiado.
- Manejan información sensible.
- Administran procesos financieros.
- Tienen contacto frecuente con proveedores.
- Pueden autorizar operaciones relevantes.
La capacitación también puede adaptarse a estos perfiles. Este enfoque permite pasar de una capacitación genérica a un modelo basado en riesgo y comportamiento.
Ingeniería social, phishing y BEC: ¿cómo se relacionan?
Los tres conceptos están relacionados, pero no son equivalentes.
¿Qué hacer si una persona interactuó con un ataque de ingeniería social?
La respuesta depende de lo que haya ocurrido.
- Si recibió el mensaje, pero no interactuó. Debe evitar abrir enlaces o archivos, reportar el mensaje y seguir el procedimiento establecido por la organización.
- Si proporcionó sus credenciales. Debe informar inmediatamente al área de TI o seguridad. Dependiendo del incidente, puede ser necesario cambiar credenciales, revocar sesiones o tokens y revisar la actividad de la cuenta.
- Si proporcionó un código de autenticación. Debe reportarlo de inmediato y seguir el procedimiento interno para evaluar un posible intento de acceso.
- Si descargó o ejecutó un archivo. Debe informar al equipo responsable y evitar continuar ejecutando o compartiendo el archivo hasta recibir instrucciones.
- Si realizó un pago o compartió información financiera. Debe activar inmediatamente el procedimiento interno correspondiente y notificar a las áreas responsables. Cuando aplique, también debe contactarse con la institución financiera involucrada.
¿Cómo puede VIRMAR ayudar a reducir el riesgo de ingeniería social?
La ingeniería social puede involucrar simultáneamente correo electrónico, identidades, usuarios, datos y procesos empresariales. Por ello, su gestión requiere más de una capa de protección.
En las soluciones VIRMAR Ciberseguridad están contempladas capacidades de seguridad de correo, protección de datos, gestión de riesgos y concientización. Entre ellas se incluyen protección frente a phishing y BEC, capacidades relacionadas con suplantación, monitoreo de actividad, gestión de identidades y capacitación mediante simulaciones y programas continuos.
El objetivo es integrar las capacidades necesarias de acuerdo con las prioridades y exposición de cada organización, protegiendo personas, datos y operaciones sin depender de una única capa de seguridad.
Contáctanos y un experto te ayudará
Preguntas frecuentes sobre ingeniería social
¿Qué es la ingeniería social en ciberseguridad?
Es el conjunto de técnicas de engaño y manipulación utilizadas para influir en una persona y conseguir información, acceso, dinero o una acción determinada.
¿Cuáles son las principales técnicas de ingeniería social?
Entre las más conocidas están phishing, spear phishing, whaling, smishing, vishing, pretexting, baiting, quid pro quo, scareware y tailgating.
¿Cuál es la diferencia entre ingeniería social y phishing?
La ingeniería social es un concepto más amplio que engloba diferentes técnicas de manipulación. El phishing es una de esas técnicas y utiliza comunicaciones engañosas para inducir a una persona a realizar una acción.
¿Cuál es la diferencia entre phishing, smishing y vishing?
La diferencia principal es el canal: el phishing suele asociarse con comunicaciones fraudulentas, especialmente por correo; el smishing utiliza mensajes de texto y el vishing utiliza llamadas o comunicaciones de voz.
¿Qué es el pretexting?
Es una técnica en la que el atacante crea una identidad o situación falsa para justificar una solicitud y conseguir que la víctima proporcione información o realice una acción.
¿Qué es el BEC?
Business Email Compromise es un tipo de fraude empresarial que utiliza el correo, la suplantación o cuentas comprometidas para conseguir pagos, cambios de información financiera o datos confidenciales.
¿Cómo identificar un ataque de ingeniería social?
Algunas señales son solicitudes inesperadas, presión para actuar rápidamente, cambios inusuales en procesos, solicitudes financieras, enlaces o archivos inesperados y comunicaciones que requieren verificar la identidad del remitente.
¿Cómo prevenir la ingeniería social en una empresa?
Se recomienda combinar capacitación continua, simulaciones, procedimientos de verificación, seguridad de correo, MFA, protección de identidades, control de accesos, protección de datos, monitoreo y mecanismos sencillos de reporte.
¿La capacitación elimina el riesgo de ingeniería social?
No. La capacitación puede mejorar la capacidad de los usuarios para reconocer y reportar amenazas, pero debe formar parte de una estrategia más amplia que incluya procesos y controles tecnológicos.
¿DMARC evita los ataques de ingeniería social?
No por sí solo. DMARC ayuda a controlar determinados escenarios de autenticación y suplantación del dominio de correo, pero no impide todos los ataques de ingeniería social ni evita que un atacante utilice otro dominio o una cuenta legítima comprometida.
¿La inteligencia artificial está cambiando los ataques de ingeniería social?
Sí. El uso de IA generativa y deepfakes para crear contenido utilizado en diferentes esquemas de fraude y suplantación. Por ello, las organizaciones deben complementar la capacitación con procedimientos independientes de verificación y controles de identidad.
Contenido relacionado
- Deepfakes: ¿Qué son y cómo detectarlos?
- Phishing: qué es, cómo funciona, tipos y cómo evitarlo
- Cómo habilitar DMARC: guía para configurar y proteger tu dominio de correo
- Seguridad de identidad: cómo proteger y gestionar identidades en entornos digitales
- BEC (Business Email Compromise): qué es, cómo funciona y cómo proteger a tu empresa
- Gobierno del riesgo humano y agéntico: cómo el comportamiento es el nuevo indicador de riesgo
