La ingeniería social es una de las técnicas más utilizadas por los ciberdelincuentes para obtener información, acceso o beneficios económicos explotando el factor humano. En lugar de atacar directamente sistemas tecnológicos, se centran en manipular a las personas mediante engaños que apelan a la confianza, la urgencia o el miedo (como el engaño del famoso hijo en apuros).
A la creatividad de los estafadores se ha unido la implantación de la Inteligencia Artificial, que ha ayudado a desarrollar maneras más fidedignas de estafas. Conocer sus métodos más habituales es clave para prevenir incidentes de seguridad.
Para ello, vamos a desglosar algunos de los ciberdelitos más comunes. Sí, sus términos están en inglés pero en cuanto los describamos, los reconocerás fácilmente, sobre todo en esas pesadas llamadas de números desconocidos que te apedrean a cualquier hora.
Spoofing
El spoofing consiste en falsificar la identidad del remitente para hacer creer a la víctima que está interactuando con una fuente legítima. Puede producirse por correo electrónico, teléfono, SMS o incluso mediante páginas web falsas. El atacante suplanta direcciones, números o dominios reales.
Ejemplo: Un atacante envía un correo o mensaje simulando ser un empleado interno de tu empresa (o un proveedor), con direcciones o nombres muy parecidos a los reales. Así crea confianza para pedir datos sensibles o que realices acciones (como transferencias) creyendo que se trata de alguien conocido. También es muy común que te llamen de supuestas empresas fiables, como la alerta que ha puesto en marcha la Comisión Nacional de los Mercados y la Competencia (CNMC) sobre llamadas que reclaman supuestas deudas en la factura de la luz.
Phishing
Es el intento de obtener datos sensibles (credenciales, información bancaria, etc.) mediante correos o mensajes que parecen legítimos. Suelen incluir enlaces a páginas falsas que imitan servicios reales.
Ejemplo: Recibes un correo que parece venir de tu banco diciendo «Se ha detectado un intento de acceso sospechoso a tu cuenta — debes entrar inmediatamente y confirmar tus datos». El correo incluye un enlace a una página clonada del banco donde, si introduces usuario/contraseña, los atacantes se hacen con tus credenciales. Estos días la Agencia Tributaria ha tenido que advertir a los usuarios sobre una notificación falsa de la AEAT que insta a realizar un ingreso como pago de una liquidación en cuenta. También son comunes correos falsos de Iberdrola o de otras compañías que pueden parecer fiables.
Smishing
Es el equivalente del phishing, pero por SMS o mensajería instantánea. Normalmente incluyen enlaces fraudulentos o alertas falsas. ¿A ti también te ha llegado un SMS de la DGT con una multa impagada? Eso significa que lo han intentado contigo.
Spear phishing
Es una variante más dirigida: el atacante personaliza el mensaje con datos concretos de la víctima para aumentar su credibilidad.
Ejemplo: Una persona de tu empresa con acceso a información interna recibe un correo aparentemente procedente del director, informándole de un cambio urgente en proveedores y pidiéndole que transfiera fondos a una nueva cuenta bancaria. El correo menciona su nombre, cargo, incluso datos internos reales, para que parezca legítimo.
Si el destinatario fuera un alto directivo u organismo decisor, se podría hablar de “whaling”.
Whaling
El whaling es un tipo de ataque dirigido a altos cargos o personal con acceso privilegiado. Los mensajes suelen estar muy elaborados y buscan obtener autorizaciones de pagos, acceso a sistemas o información sensible.
Vishing
El vishing (voice phishing) utiliza llamadas telefónicas para engañar a la víctima. Los delincuentes pueden hacerse pasar por bancos, soporte técnico o instituciones públicas.
Ejemplo: Recibes una llamada de alguien que dice ser del «soporte técnico de tu banco» (o de una administración). Te cuentan que hay un problema urgente, y te piden por teléfono tu DNI, contraseña, o un código que te enviarán por SMS para “verificar identidad”. Si lo das, ellos obtienen acceso a tus cuentas ¿Es una estafa que puede pasar solo a los más vulnerables? No, puede pasarle a cualquiera, incluso a la Universidad de Harvard.
Estamos rodeados ¿Es posible protegernos?
Sí, por supuesto, pero la información y la formación en el ámbito profesional son fundamentales. Mantener a tu equipo al día es primordial. En cuanto a tu día a día personal, compartir información de fuentes contrastadas puede ayudar a parar una ciberestafa.
Para evitar ser víctima de alguno de estos ciberdelitos descritos,te ofrecemos algunos consejos generales de protección:
- Mantén políticas de concienciación y formación continua
- Implementa autenticación multifactor en sistemas críticos
- Revisa periódicamente configuraciones de seguridad y alertas
- Fomenta una cultura de duda razonable: ante la mínima sospecha, verificar por un segundo canal
- Activa filtros antispam
- Revisa siempre URLs antes de introducir credenciales e incluso evita acceder a enlaces incluidos en mensajes no solicitados
- Bloquea números sospechosos
- No compartas información personal en respuesta a correos sospechosos.
- Confirma identidades por canales oficiales
- No proporciones datos personales por teléfono.
- Ante la duda, cuelga y llama a números oficiales
- Desconfía de llamadas y mensajes que generan urgencia
La ingeniería social seguirá evolucionando, pero la prevención basada en conocimiento, verificación y buenas prácticas continúa siendo la defensa más eficaz.