Los ataques de ingeniería social utilizan el engaño y la manipulación psicológica para persuadir a las personas de revelar información sensible, transferir dinero, abrir archivos maliciosos o conceder acceso no autorizado. En lugar de depender únicamente de vulnerabilidades técnicas, los atacantes explotan la confianza, el miedo, la curiosidad, la urgencia, la autoridad y el deseo de ayudar.

Las formas más comunes incluyen correos de phishing, llamadas telefónicas fraudulentas, estafas por mensajes de texto, impersonación de ejecutivos, business email compromise e impersonación de voz o video generada por IA. Estos ataques pueden afectar a individuos, empresas, agencias gubernamentales, proveedores de salud, instituciones educativas y usuarios de criptomonedas.

La defensa más sólida combina la concientización en seguridad con la verificación independiente, la autenticación multifactor (MFA), controles de acceso estrictos y un proceso claro para reportar actividades sospechosas. Dado que la ingeniería social suele abusar de flujos de trabajo empresariales legítimos, la verificación debe estar integrada en los procesos de pago, recuperación de cuentas, acceso y compartición de datos, en lugar de dejarse únicamente al criterio individual.

¿Qué es un ataque de ingeniería social?

Un ataque de ingeniería social es un intento de manipular a alguien para que realice una acción que comprometa la seguridad. El atacante puede hacerse pasar por una persona de confianza, inventar una emergencia, ofrecer una recompensa tentadora o crear un sitio web falso convincente para obtener credenciales, dinero, información confidencial o acceso sistema.

A diferencia de un ataque técnico convencional que explota directamente una vulnerabilidad de software, la ingeniería social suele persuadir a la víctima de realizar la acción que permite el compromiso. Por ejemplo, un empleado puede recibir un correo que parece provenir del director financiero de la empresa y solicita un pago urgente a una nueva cuenta de proveedor. Si el empleado sigue las instrucciones sin verificar la solicitud de forma independiente, la organización podría perder dinero aunque sus sistemas estén seguros.

Características clave de la ingeniería social

• Explotación de la confianza: El atacante se hace pasar por alguien que la víctima reconoce o respeta.
• Urgencia: El mensaje presiona a la víctima para que actúe antes de verificar los hechos.
• Miedo: El atacante amenaza con la suspensión de cuentas, consecuencias legales o pérdidas financieras.
• Curiosidad: Un mensaje o archivo adjunto promete información interesante, confidencial o inesperada.
• Autoridad: El atacante afirma representar a la gerencia, soporte técnico, un banco o una agencia gubernamental.
• Incentivos manipulados: Se ofrece a la víctima dinero, asistencia, acceso o una recompensa a cambio de su cooperación.

La ingeniería social puede utilizarse para robar credenciales, cometer fraude financiero, instalar malware, facilitar ataques de ransomware u obtener información empresarial confidencial.

10 ejemplos de ataques de ingeniería social

Los siguientes ejemplos describen cómo funcionan las técnicas más comunes, cómo reconocerlas y cómo responder de manera segura.

1. Correos de phishing

El phishing es una técnica de ingeniería social en la que los atacantes envían correos o mensajes engañosos que parecen provenir de organizaciones legítimas. Su objetivo es hacer que los destinatarios hagan clic en enlaces maliciosos, revelen credenciales de inicio de sesión, descarguen archivos adjuntos dañinos o envíen información de pago.

Por ejemplo, un empleado puede recibir un correo que afirma que su cuenta de correo corporativa será desactivada a menos que verifique su contraseña de inmediato. El mensaje incluye un enlace a una página de inicio de sesión falsa que copia la identidad visual de la empresa. Una vez ingresadas las credenciales, el atacante puede capturarlas e intentar acceder a la cuenta real.

Las señales de alerta incluyen solicitudes inesperadas para verificar contraseñas o datos de pago, direcciones de remitente que imitan pero no coinciden con dominios legítimos, enlaces hacia dominios desconocidos o mal escritos, archivos adjuntos inesperados, solicitudes de habilitar macros y mensajes que generan presión o amenazan con consecuencias inmediatas.

Para reducir el riesgo, verifique las solicitudes a través de un canal confiable, navegue directamente a los sitios web oficiales en lugar de usar enlaces no solicitados y reporte los mensajes sospechosos al equipo de seguridad correspondiente. La MFA y la autenticación resistente al phishing pueden reducir aún más el riesgo de compromiso de cuentas.

2. Spear phishing y whaling

El spear phishing es un ataque de phishing dirigido adaptado a un individuo u organización en particular. El whaling es una forma de phishing dirigido enfocado en ejecutivos de alto nivel u otras personas de alto valor.

Los atacantes pueden investigar cargos, relaciones comerciales, anuncios públicos y perfiles de redes sociales para hacer sus mensajes máscentes. Por ejemplo, un gerente financiero puede recibir un correo que parece provenir del director financiero. El correo podría referirse a una adquisición reciente de la empresa y pedir al gerente que revise un documento supuestamente confidencial. El documento puede llevar a una página de inicio de sesión fraudulenta, o el mensaje puede buscar directamente información sensible.

Las señales de alerta incluyen solicitudes inesperadas que involucran documentos confidenciales, mensajes que mencionan proyectos reales pero solicitan acciones inusuales, exigencias de omitir procesos de aprobación estándar e instrucciones inusuales de líderes senior incluso cuando el estilo de escritura parece auténtico.

Las solicitudes inusuales deben verificarse de forma independiente, especialmente cuando involucran credenciales, datos confidenciales o pagos. Las organizaciones deben usar flujos de aprobación, controles de acceso basados en roles y capacitación de seguridad dirigida a empleados con privilegios financieros o administrativos.

3. Smishing: mensajes de texto fraudulentos

El smishing es phishing realizado a través de SMS u otros canales de mensajería de texto. Los atacantes pueden hacerse pasar por empresas de paquetería, bancos, agencias gubernamentales, marketplaces en línea o equipos de soporte de cuentas.

En un escenario común, una persona recibe un mensaje de texto que afirma que un paquete no puede entregarse hasta que se pague una pequeña tarifa. El enlace lleva a una página de pago falsa que recopila datos de tarjetas e información personal. Otros mensajes afirman que una cuenta bancaria ha sido bloqueada o que una transacción sospechosa requiere confirmación inmediata.

Las señales de alerta incluyen alertas inesperadas de entrega o seguridad de cuentas, enlaces acortados o desconocidos, solicitudes de contraseñas, datos de tarjetas de pago o códigos de un solo uso, y amenazas de que la cuenta será bloqueada a menos que el destinatario actúe de inmediato.

No siga enlaces de pago inesperados. Verifique la información de entrega o de cuenta a través de la aplicación o el sitio web oficial del proveedor. Si un mensaje afirma provenir de un banco, contacte al banco usando un número de teléfono verificado.

4. Vishing: voice phishing y estafas telefónicas

El vishing utiliza llamadas telefónicas o mensajes de voz para persuadir a las víctimas de revelar información sensible, autorizar pagos o conceder acceso a una cuenta. Los atacantes pueden hacerse pasar por empleados de bancos, funcionarios gubernamentales, agentes de soporte técnico o ejecutivos de empresas. Algunos usan la suplantación del identificador de llamadas para que las llamadas parezcan originarse de una organización legítima.

Por ejemplo, una persona que llama puede afirmar trabajar para el departamento de fraude de un banco y decir que la cuenta del destinatario está bajo ataque. La persona solicita un código de un solo uso para detener la transacción. Si la víctima comparte el código, el atacante puede usarlo para autorizar el acceso a la cuenta o una transacción.

Las señales de alerta incluyen solicitudes de contraseñas, códigos de un solo uso o códigos de recuperación; presión para transferir dinero a una supuesta cuenta segura; instrucciones de instalar software de acceso remoto; amenazas; exigencias de secreto; o solicitudes de omitir procedimientos normales.

Finalice las llamadas inesperadas que soliciten información sensible y contacte a la organización de forma independiente usando datos de contacto oficiales. Nunca comparta códigos de autenticación con quien llame ni apruebe un inicio de sesión que usted no haya iniciado.

5. Pretexting e impersonación

El pretexting ocurre cuando un atacante inventa una identidad o situación creíble para persuadir a alguien de proporcionar información o realizar una acción. La impersonación es una forma común de establecer esa identidad falsa. El atacante puede hacerse pasar por un técnico de TI, proveedor, auditor, colega, reclutador o cliente.

Por ejemplo, alguien puede contactar a un empleado afirmando ser parte del equipo interno de TI. La persona dice que hay una migración de sistema en curso y pide al empleado confirmar sus datos de inicio de sesión. La historia suena plausible porque la organización realmente está realizando mantenimiento técnico, pero la identidad de quien llama no ha sido verificada.

Las señales de alerta incluyen solicitudes de información fuera de las responsabilidades normales de quien la pide, negativa a seguir verificaciones de identidad estándar, un nombre familiar acompañado de un número de teléfono o correo desconocido, y solicitudes de información confidencial bajo el pretexto de una auditoría o emergencia.

Confirme identidades mediante un método de contacto obtenido de forma independiente. Siga los procedimientos documentados para recuperación de cuentas, soporte técnico y solicitudes de acceso. Se debe alentar a los empleados a cuestionar solicitudes inusuales sin temor a críticas.

6. Business Email Compromise (BEC)

El business email compromise es una forma de fraude en la que los atacantes utilizan cuentas de correo comprometidas o impersonación convincente para manipular pagos empresariales u obtener información sensible. Los ataques BEC apuntan frecuentemente a equipos financieros, ejecutivos, proveedores y empleados responsables de nómina o cuentas por pagar.

El Internet Crime Complaint Center del FBI reportó aproximadamente 55.500 millones de dólares en pérdidas expuestas asociadas con incidentes de BEC reportados en todo el mundo desde octubre de 2013 hasta diciembre de 2023. Esta es una cifra acumulada basada en denuncias, no una estimación de pérdidas anuales ni una prueba de que cada incidente involucrara la misma técnica.

Un ejemplo típico involucra a un empleado de cuentas por pagar que recibe un correo que parece provenir de un proveedor habitual. El mensaje dice que el proveedor cambió su cuenta bancaria e instruye al empleado enviar el próximo pago a la nueva cuenta. El correo puede haber sido enviado desde una cuenta de proveedor comprometida, lo que hace que la solicitud sea particularmente difícil de distinguir de la correspondencia legítima.

Las señales de alerta incluyen cambios en los datos bancarios de proveedores, solicitudes inesperadas de transferencias urgentes o confidenciales, ligeras alteraciones en una dirección de correo o dominio, y solicitudes de mantener las transacciones en secreto u omitir aprobaciones normales.

Verifique los cambios de datos de pago a través de un número de teléfono establecido previamente u otro canal confiable. Exija aprobación independiente para transferencias de alto valor, use doble autorización y revise anomalías de pago. Tecnologías de autenticación de correo como SPF, DKIM y DMARC pueden ayudar a proteger contra ciertas formas de suplantación de correo, pero no eliminan los riesgos de impersonación o cuentas comprometidas.

7. Baiting y dispositivos USB maliciosos

El baiting explota la curiosidad, los incentivos financieros o el deseo de obtener algo útil. Losantes pueden ofrecer descargas falsas, software gratuito, premios o dispositivos físicos que conducen a infecciones de malware o robo de información.

Por ejemplo, alguien puede encontrar una unidad USB etiquetada como “Nómina Confidencial” en un estacionamiento de oficinas y conectarla a una computadora de trabajo por curiosidad. Si el dispositivo contiene archivos maliciosos o explota una vulnerabilidad, podría exponer la computadora o la red organizacional a riesgo.

Las señales de alerta incluyen unidades USB o dispositivos de almacenamiento no solicitados, descargas anunciadas como software premium gratuito, archivos inesperados que requieren permisos inusuales y ofertas que requieren desactivar protecciones de seguridad.

Nunca conecte dispositivos de almacenamiento desconocidos a computadoras de trabajo o personales. Use fuentes de software aprobadas, protección de endpoints, controles de aplicaciones y políticas que restrinjan medios extraíbles no autorizados.

8. Tailgating e ingeniería social física

El tailgating ocurre cuando una persona no autorizada ingresa a un área restringida siguiendo a una persona autorizada a través de una entrada segura. El atacante puede hacerse pasar por un repartidor, contratista, visitante o colega que olvidó su tarjeta de acceso.

Por ejemplo, una persona que lleva varias cajas puede acercarse a un empleado que ingresa a una oficina segura y pedirle que sostenga la puerta porque tiene las manos ocupadas. Si el empleado permite que la persona entre sin verificar su autorización, el atacante puede obtener acceso a oficinas, dispositivos, documentos o equipos de red.

Las señales de alerta incluyen personas que piden omitir la verificación de tarjetas, visitantes que no pueden proporcionar identificación válida, personas sin escolta en áreas restringidas y solicitudes de ignorar procedimientos de seguridad física por cortesía.

Todas las personas deben usar el proceso de control de acceso correspondiente. Los empleados deben dirigir cortésmente a los visitantes a recepción en lugar de permitir la entrada sin verificación. Las organizaciones pueden fortalecer la protección con registros de visitantes, tarjetas de acceso, personal de seguridad y controles antitailgating.

9. Ataques de watering hole

Un ataque de watering hole compromete un sitio web o recurso en línea que los miembros de un grupo objetivo en particular probablemente visiten. El objetivo es llegar a las víctimas a través de un sitio en el que ya confían. A diferencia de un ataque de phishing convencional, el atacante puede no necesitar enviar un mensaje directo a la víctima.

Por ejemplo, los atacantes pueden comprometer un sitio web utilizado frecuentemente por profesionales de una industria determinada. Los visitantes podrían encontrar contenido malicioso que intenta explotar vulnerabilidades del navegador o redirigirlos a páginas fraudulentas. Un ataque exitoso podría exponer información sensible o proporcionar una ruta hacia un mayor compromiso.

Las señales de alerta incluyen redirecciones inesperadas de sitios web conocidos, advertencias de seguridad o comportamiento inusual del navegador, solicitudes de instalar software o extensiones de navegador desconocidas y descargas inexplicables de sitios que normalmente no requieren ninguna.

Mantenga actualizados los navegadores, sistemas operativos y herramientas de seguridad. Use protección de endpoints confiable, restrinja privilegios innecesarios del navegador e investigue descargas o redirecciones inesperadas. Los propietarios de sitios web deben mantener su software, monitorear cambios no autorizados y atender rápidamente las vulnerabilidades de seguridad.

10. Impersonación generada por IA y deepfakes

La intelig artificial puede ayudar a los atacantes a crear mensajes convincentes, voces sintéticas, imágenes alteradas e impersonaciones realistas en video. Estas herramientas pueden hacer la ingeniería social más persuasiva, particularmente cuando se combina con información recopilada de fuentes públicas.

Los ataques asistidos por IA pueden superponerse con el phishing, vishing, spear phishing y business email compromise. La IA es una herramienta que puede fortalecer estas técnicas existentes, más que una categoría de ataque completamente separada.

En un ejemplo, un empleado recibe una videollamada que parece mostrar a un ejecutivo senior solicitando una transferencia financiera urgente. La persona suena familiar y menciona proyectos genuinos de la empresa. El empleado asume que la solicitud es auténtica e inicia la transferencia sin seguir el proceso normal de aprobación.

Las señales de alerta incluyen solicitudes financieras inusuales durante llamadas inesperadas, presión para omitir procedimientos normales de pago, negativa a verificar la identidad a través de un canal separado y cambios inesperados en los patrones de comunicación incluso cuando la voz o el video parecen genuinos.

Use procedimientos establecidos de verificación de identidad y aprobación de pagos. Verifique solicitudes inusuales a través de un canal confiable separado y use métodos de verificación internos acordados para transacciones de alto riesgo. No confíe exclusivamente en fallas visuales, habla antinatural u otras supuestas pistas de deepfake. Los medios sintéticos pueden ser convincentes, y las grabaciones legítimas también pueden verse o sonar inusuales.

Casos reales de ingeniería social y ciberataques

Los incidentes documentados muestran por qué las organizaciones deben proteger tanto su tecnología como las personas que la utilizan. Sin embargo, no cada brecha importante es un incidente confirmado de ingeniería social. Esa distinción importa al evaluar qué ocurrió y qué lecciones se pueden extraer razonablemente.

Target Corporation: la brecha de datos de 2013

En diciembre de 2013, Target reveló un acceso no autorizado que afectó aproximadamente 40 millones de cuentas de tarjetas de crédito y débito. La empresa reportó posteriormente que también se robó información asociada con hasta 70 millones de personas. Las investigaciones documentaron malware en sistemas de punto de venta.

El incidente se discute frecuentemente en relación con la seguridad de terceros y el riesgo de la cadena de suministro. Sin embargo, la existencia de una relación con un proveedor no significa que cada detalle del compromiso inicial deba describirse como una técnica confirmada de ingeniería social.

La lección de seguridad es que las organizaciones deben limitar el acceso de terceros, monitorear las conexiones de proveedores, segmentar los sistemas sensibles e investigar actividades sospechosas en sus redes.

Sony Pictures Entertainment: el ciberataque de 2014

En noviembre de 2014, Sony Pictures Entertainment sufrió un ciberataque importante que involucró malware destructivo y el robo de información propietaria, datos personales de empleados y comunicaciones confidenciales. El FBI reportó públicamente los hallazgos de su investigación en diciembre de 2014.

El incidente ilustra cómo un ciberataque puede afectar las operaciones comerciales, las comunicaciones confidenciales, la privacidad de los empleados y la propiedad intelectual. Las organizaciones deben mantener respaldos probados, restringir el acceso privilegiado, monitorear las redes, desarrollar planes de respuesta a incidentes y prepararse para las consecuencias operativas de una brecha grave.

Business Email Compromise: pérdidas financieras documentadas

El business email compromise es otra amenaza bien documentada. El FBI ha reportado pérdidas acumuladas sustanciales asociadas con denuncias de BEC, reflejando la capacidad de la impersonación y las instrucciones de pago fraudulentas para causar da financieros significativos.

El riesgo definitorio no es simplemente que un correo fraudulento se vea convincente. Es que el destinatario puede tener la autoridad para mover dinero, cambiar datos de proveedores o divulgar información sensible.

Las instrucciones de pago deben verificarse de forma independiente, el inicio de pagos debe separarse de la aprobación, y las organizaciones deben establecer procedimientos claros para responder a solicitudes financieras inusuales.

Lo que estos incidentes tienen en común

De estos casos surgen varias lecciones prácticas:

• Los controles técnicos deben estar respaldados por procedimientos operativos sólidos.
• El acceso de terceros debe limitarse a lo necesario.
• Los empleados necesitan una forma sencilla de reportar actividades sospechosas.
• Las acciones financieras y privilegiadas deben requerir la verificación apropiada.
• Los planes de respuesta a incidentes deben probarse antes de que ocurra un ataque.

Estas lecciones son más útiles que asumir que cada brecha importante ocurrió a través del mismo truco psicológico.

¿Por qué funcionan los ataques de ingeniería social?

La ingeniería social tiene éxito cuando un atacante influye en la toma de decisiones de una persona antes de que esta verifique la solicitud. Varios factores psicológicos hacen que estos ataques sean efectivos:

• Sesgo de autoridad: Las personas pueden cumplir con alguien que afirma ser un gerente, oficial de policía o especialista de TI.
• Urgencia: La presión del tiempo reduce la oportunidad de verificar si una solicitud es legítima.
• Miedo: Las amenazas que involucran dinero, empleo, consecuencias legales o suspensión de cuentas pueden desencadenar acciones impulsivas.
• Curiosidad: Archivos inesperados, afirmaciones sensacionales y ofertas tentadoras animan a hacer clic.
• Confianza y familiaridad: Los atacantes imitan a colegas, proveedores, amigos o familiares.
• Reciprocidad: Alguien que ofrece asistencia o una recompensa puede esperar algo a cambio.
• Rutina y distracción: Los empleados ocupados pueden aprobar solicitudes sin aplicar las verificaciones normales.

Estos factores no son evidencia de que las víctimas sean descuidadas o poco inteligentes. La ingeniería social está diseñada para explotar el comportamiento humano ordinario, incluyendo la tendencia natural a confiar en personas conocidas y responder a situaciones urgentes. La prevención efectiva facilita las decisiones seguras al incorporar la verificación en los procesos cotidianos.

Cómo prevenir los ataques de ingeniería social

La mejor defensa combina la concientización individual con los controles de seguridad organizacionales. La capacitación es importante, pero no se debe esperar que los empleados detecten por sí solos cada intento sofisticado de impersonación.

Para individuos

• Verifique solicitudes inesperadas. Contacte al remitente a través de un número de teléfono conocido, una aplicación oficial o una dirección de correo verificada de forma independiente.
• Evite enlaces y archivos adjuntos sospechosos. Navegue directamente al sitio web oficial al verificar una cuenta o servicio.
• Nunca divulgue códigos de autenticación. No comparta contraseñas de un solo uso, códigos de recuperación ni contraseñas con personas que llamen o envíen mensajes inesperados.
• Habilite la autenticación multifactor. Prefiera métodos resistentes al phishing, como passkeys o llaves de seguridad de hardware, cuando estén disponibles.
• Use contraseñas únicas. Un administrador de contraseñas confiable puede ayudar a generar y almacenar contraseñas diferentes para cada servicio.
• Mantenga el software actualizado. Instale actualizaciones de seguridad para sistemas operativos, navegadores, aplicaciones y dispositivos móviles.
• Limite la información pública. Evite compartir información que podría facilitar la impersonación o el phishing dirigido.
• Reporte mensajes sospechosos. Use la función de reporte de la plataforma correspondiente o contacte a la organización que está siendo suplantada.

Para organizaciones

Las organizaciones deben combinar salvaguardas técnicas, procedimientos claros y educación regular de los empleados. Los ejercicios de seguridad deben diseñarse para mejorar la resiliencia, no para avergonzar a los empleados.

Las organizaciones deben medir tasas de reporte, tiempos de respuesta, debilidades recurrentes y la efectividad de las acciones correctivas en lugar de depender únicamente de las tasas de clics. Para un marco más amplio de gestión de riesgos, consulte el NIST Cybersecurity Framework y la guía de CISA sobre reconocimiento y reporte de phishing.

Qué hacer si cae en una estafa de ingeniería social

Si hizo clic en un enlace sospechoso, compartió información sensible, instaló software inesperado o transfirió dinero, actúe con rapidez. La respuesta apropiada depende de qué fue expuesto.

1. Asegure las cuentas afectadas. Desde un dispositivo confiable, cambie las contraseñas comprometidas, revoque sesiones activas cuando sea posible y restablezca las credenciales de recuperación expuestas. Asegure primero la cuenta de correo si puede usarse para restablecer otras contraseñas.

2. Contacte a su banco o proveedor de pagos. Si hay dinero o información de pago involucrada, reporte el incidente de inmediato. Solicite un recall de transferencia, bloqueo de pago o reemplazo de tarjeta según corresponda. La recuperación no está garantizada, por lo que la rapidez importa.

3. Reporte el incidente. Notifique al equipo de TI o seguridad de su organización, al servicio suplantado o a la autoridad nacional correspondiente de reporte de ciberdelincuencia. Conserve los mensajes sospechosos y los registros de transacciones.

4. Revise los dispositivos afectados. Si instaló software o abrió un archivo adjunto sospechoso, contacte a un profesional de seguridad confiable o al equipo de TI de su organización. Desconecte de la red un dispositivo potencialmente comprometido cuando sea apropiado y evite usarlo para transacciones sensibles hasta que sea evaluado.

5. Monitoree posibles usos indebidos. Revise la actividad de cuentas, estados financieros, alertas de restablecimiento de contraseñas y notificaciones de identidad. Esté atento a estafas de seguimiento que exploten la información ya divulgada.

Si el incidente involucra criptomonedas, asegure de inmediato la cuenta de exchange y la cuenta de correo afectadas. Si las frases de recuperación de la wallet o las claves privadas han sido expuestas, trate la wallet asociada como comprometida y busque orientación de recuperación confiable y específica para esa wallet. Las transacciones de blockchain son generalmente irreversibles, y ningún servicio de recuperación puede garantizar que los fondos robados sean devueltos.

Estadísticas de ingeniería social y fuentes

Las estadísticas pueden ayudar a explicar la escala del ciberdelito, pero solo cuando sus definiciones, períodos de reporte y limitaciones claras.

El FBI anunció en abril de 2025 que su Informe de Delitos en Internet 2024 incluyó 859.532 denuncias de presuntos delitos en internet y más de 16.000 millones de dólares en pérdidas reportadas, un aumento del 33% respecto de 2023. Estas cifras cubren ampliamente los delitos en internet reportados; no son una medición exclusiva de las pérdidas por ingeniería social.

El Informe de Investigaciones de Brechas de Datos 2024 de Verizon encontró que el pretexting estuvo presente en más del 40% de los incidentes de ingeniería social examinados, mientras que el phishing apareció en el 31%. Estos porcentajes describen el conjunto de incidentes analizados del informe, no la probabilidad de que cualquier intento de phishing individual tenga éxito.

Las cifras acumuladas de BEC del FBI demuestran que las comunicaciones empresariales fraudulentas pueden resultar en pérdidas tanto para víctimas nacionales como internacionales. Las cifras están basadas en denuncias y no deben interpretarse como un recuento completo de todos los incidentes mundiales.

Al evaluar una estadística de ingeniería social, pregunte qué año o período de reporte cubre, si mide ataques, intentos de ataque, incidentes, brechas confirmadas, denuncias o pérdidas financieras, si es global o limitada a un país o industria en particular, si la fuente reporta observaciones o hace pronósticos, y qué limitaciones divulga la fuente.

Los recuentos de incidentes, tasas de éxito de ataques, costos de brechas y pérdidas por fraude reportadas no deben combinarse en una sola comparación. Estas mediciones describen cosas diferentes y no son directamente intercambiables. Para investigación continua, consulte el Verizon Data Breach Investigations Report y los informes anuales del FBI IC3. Verifique si existen ediciones más recientes antes de publicar estadísticas anuales.

Preguntas frecuentes

¿Cuál es un ejemplo real de un ataque de ingeniería social?

Un ejemplo común es una llamada telefónica fraudulenta en la que alguien se hace pasar por un empleado de banco y pide a un cliente divulgar un código de un solo uso. El atacante puede usar ese código para acceder a una cuenta o autorizar una transacción. La respuesta segura es finalizar la llamada y contactar al banco a través de un canal verificado de forma independiente.

¿Cuáles son los tipos más comunes de ataques de ingeniería social?

Los tipos comunes incluyen phishing, spear phishing, smishing, vishing, pretexting, impersonación, business email compromise, baiting y tailgating. Los ataques de watering hole y la impersonación generada por IA son técnicas adicionales que pueden usarse para alcanzar o engañar a objetivos específicos.

¿Cuál es la diferencia entre phishing e ingeniería social?

El phishing es un tipo de ingeniería social. Por lo general, utiliza correos, mensajes, sitios web u otras comunicaciones engañosas para robar información o desencadenar acciones inseguras. La ingeniería social es la categoría más amplia y también incluye estafas telefónicas, impersonación física, solicitudes de pago fraudulentas y otras formas de manipulación.

¿Cómo funcionan los ataques de ingeniería social?

Los atacantes investigan a sus objetivos, crean una historia creíble y explotan la confianza, la urgencia, el miedo, la curiosidad o la autoridad. Luego persuaden a la víctima de divulgar información, hacer clic en un enlace, instalar software, aprobar acceso o transferir dinero. Los procedimientos de verificación y los controles de seguridad pueden interrumpir este proceso.

¿Por qué son peligrosos los ataques de ingeniería social?

Pueden eludir algunas salvaguardas técnicas al persuadir a usuarios legítimos de realizar acciones con su propio. Las consecuencias pueden incluir fraude financiero, identidades robadas, cuentas comprometidas, brechas de datos, infecciones de malware, interrupciones operativas y daño reputacional.

¿Cómo hace la IA más convincentes los ataques de ingeniería social?

La IA puede ayudar a los atacantes a generar mensajes personalizados, imitar estilos de escritura, producir voces sintéticas y crear imágenes o videos manipulados. Estas capacidades pueden hacer la impersonación más convincente, pero no garantizan que un ataque tenga éxito. Las verificaciones de identidad independientes y los procesos de aprobación establecidos siguen siendo esenciales.

¿Cómo pueden las empresas prevenir los ataques de ingeniería social?

Las empresas deben combinar capacitación regular de seguridad con MFA, acceso de mínimo privilegio, seguridad de correo, verificación independiente de pagos, controles de proveedores, procedimientos de respuesta a incidentes y canales de reporte sencillos. Las solicitudes de alto riesgo deben requerir verificación independiente del mensaje original.

¿Son vulnerables a la ingeniería social las pequeñas empresas?

Sí. Las pequeñas empresas pueden ser objetivo mediante facturas falsas, impersonación de proveedores, intentos de toma de cuentas, soporte técnico fraudulento y phishing. Los recursos de seguridad limitados pueden aumentar la exposición, lo que hace especialmente importantes controles básicos como contraseñas únicas, MFA, verificación de pagos, respaldos y capacitación de empleados.

¿Qué debo hacer si hice clic accidentalmente en un enlace de phishing?

No ingrese información adicional ni descargue nada más. Si envió credenciales, cambie la contraseña afectada desde un dispositivo confiable y revoque las sesiones activas si es posible. Si instaló software, busque asistencia de seguridad. Reporte el mensaje y monitoree las cuentas afectadas por actividad sospechosa.

¿Cómo puedo reconocer una estafa de business email compromise?

Busque instrucciones de pago inesperadas, cambios en cuentas bancarias de proveedores, solicitudes inusuales de ejecutivos y presión para omitir procedimientos establecidos. Las direcciones de correo y los estilos de escritura pueden imitarse, así que verifique las instrucciones financieras usando un canal de comunicación confiable y separado.

¿Qué papel juegan las redes sociales en la ingeniería social?

Los perfiles públicos pueden revelar cargos, intereses personales, relaciones comerciales, planes de viaje y detalles organizacionales. Los atacantes pueden usar esta información para crear intentos de impersonación creíbles. Limite las divulgaciones públicas innecesarias y verifique solicitudes inesperadas, incluso cuando se refieran a detalles personales o profesionales genuinos.

¿Puede la autenticación multifactor prevenir los ataques de ingeniería social?

La MFA puede reducir el riesgo de toma de cuentas cuando se roba una contraseña, pero no detiene cada ataque de ingeniería social. Los atacantes pueden intentar engañar a las víctimas para que aprueben solicitudes de inicio de sesión fraudulentas o divulguen códigos de autenticación. La autenticación resistente al phishing, como passkeys o llaves de seguridad, ofrece mayor protección contra muchas técnicas de phishing de credenciales.

Conclusión

Los ataques de ingeniería social explotan la confianza humana y la toma de decisiones para obtener acceso a información, cuentas, sistemas o dinero. Los correos de phishing, las llamadas fraudulentas, la impersonación, el business email compromise, la intrusión física y el engaño generado por IA son métodos diferentes, pero comparten el mismo objetivo subyacente: persuadir a un objetivo de realizar una acción insegura.

La defensa más sólida combina la concientización humana con salvaguardas prácticas. Los individuos deben verificar solicitudes inesperadas, proteger las credenciales de autenticación y reportar actividades sospechosas. Las organizaciones deben aplicar controles de pago, limitar el acceso, asegurar sus sistemas y facilitar que los empleados cuestionen instrucciones inusuales.

Los incidentes cibernéticos reales demuestran por qué ni la tecnología ni la capacitación son suficientes por sí solas. Una estrategia de seguridad resiliente trata a las personas, los procesos, los terceros y la como partes conectadas de una misma defensa.

Fuente: Cryptsy. Escrito por Ethan Blackburn.