¿Qué es la ingeniería social? Técnicas, ejemplos reales y cómo defender a tu empresa
Cómo engañan a las personas y no a los sistemas: técnicas, psicología, un caso real y los controles que de verdad funcionan, con infografías y fuentes.
La ingeniería social es el acto de engañar a una persona para que revele información sensible, dé acceso no autorizado o cometa un fraude, ganándose su confianza (definición del NIST). No ataca sistemas sino personas y procesos. El phishing es solo una de sus formas; también incluye el pretexting, el baiting, el tailgating y la suplantación de soporte técnico.
- Técnicas: pretexting, phishing, vishing, smishing, baiting, tailgating y suplantación de soporte.
- Por qué funciona: explota autoridad, urgencia, reciprocidad y simpatía.
- Caso real: Arup perdió unos US$25.6 M por una videollamada con deepfakes.
- Defensa: verificar por otro canal, doble factor resistente al phishing y mínimo privilegio.
¿Qué es la ingeniería social?
La ingeniería social es el acto de engañar a una persona para que revele información sensible, dé acceso no autorizado o cometa un fraude, ganándose su confianza. Esta es, en esencia, la definición del glosario del NIST.
La clave es que el atacante no rompe un sistema: convence a una persona de abrirle la puerta. Por eso funciona contra empresas con buena tecnología, y por eso la defensa combina tecnología, procesos y personas.
El libro que la hizo famosa fuera del mundo técnico es The Art of Deception, de Kevin D. Mitnick y William L. Simon (Wiley, 2002), que cuenta casos desde la perspectiva del atacante y de la víctima.
¿Es lo mismo que el phishing?
No: el phishing es una de sus formas. Esta es la relación:
| Ingeniería social | Phishing | |
|---|---|---|
| Qué es | La categoría general: manipular a personas para obtener acceso o información | Una técnica: mensajes falsos, casi siempre por correo |
| Canales | Correo, llamada, SMS, presencia física, videollamada | Correo; con variantes por voz (vishing) y SMS (smishing) |
| Ejemplos | Pretexting, baiting, tailgating, suplantación de soporte, deepfakes | Correo falso de un banco, de un proveedor o de un directivo |
Las 6 técnicas más comunes
Descritas por CISA en su guía sobre ingeniería social y phishing, más la suplantación de soporte técnico:
Inventar una identidad o historia para pedir información o acciones.
El engaño por correo, por voz o por SMS.
Un señuelo con una promesa falsa: una memoria USB "olvidada" o un descuento.
Ofrecer un servicio o ayuda a cambio de información o acceso.
Seguir a una persona autorizada para entrar a un área restringida.
Hacerse pasar por TI, por teléfono o SMS, para obtener credenciales o instalar acceso remoto.
Fuente: CISA, Avoiding Social Engineering and Phishing Attacks, y aviso CISA AA23-320A (suplantación de TI).
Por qué funciona: los 6 principios de Cialdini
Los atacantes explotan atajos mentales descritos por el psicólogo Robert Cialdini en su libro Influence. Los vínculos con ejemplos de ataques son una interpretación editorial de Cyberkust, no una afirmación de la fuente:
| Principio | Cómo lo aprovecha un atacante (interpretación editorial) |
|---|---|
| Autoridad | Se hace pasar por el director, el banco o el área de TI. |
| Escasez y urgencia | "Tu cuenta se bloquea en una hora." La urgencia reduce el tiempo de pensar. |
| Reciprocidad | Ofrece ayuda o un favor y después pide algo a cambio. |
| Simpatía | Crea cercanía: usa nombres reales, jerga de la empresa y tono amable. |
| Prueba social | "Tus compañeros ya lo hicieron." |
| Compromiso y coherencia | Pide primero algo pequeño y después escala la solicitud. |
Anatomía de un ataque al help desk
Un patrón documentado por CISA y el FBI en el aviso AA23-320A sobre el grupo Scattered Spider: el atacante no necesita hackear nada si logra que soporte técnico le restablezca el acceso.
- 1InvestigaReúne nombres, cargos y datos de empleados en fuentes públicas.
- 2Llama o escribeSe hace pasar por un empleado y pide restablecer la contraseña o el doble factor.
- 3Obtiene accesoRecibe credenciales o registra un dispositivo propio como segundo factor.
- 4Se mueveEscala privilegios y busca sistemas y datos valiosos.
- 5Roba y cifraExfiltra información y, en algunos casos, despliega ransomware.
- 6La defensaVerificar la identidad por un canal separado y usar doble factor resistente al phishing.
Fuente: CISA y FBI, aviso AA23-320A (técnica de suplantación del help desk). MGM Resorts y Okta se han citado como víctimas de campañas de este tipo en 2023 (TechTarget).
Un caso que cambió la conversación: el deepfake de Hong Kong
En enero de 2024, un empleado de finanzas de la firma de ingeniería Arup, en Hong Kong, recibió un mensaje del supuesto director financiero del Reino Unido y participó después en una videollamada en la que el director y otros colegas eran deepfakes. Hizo 15 transferencias por unos HK$200 millones (alrededor de 25.6 millones de dólares). Se descubrió cuando contactó a la sede real de la empresa (Fortune).
La lección no es tecnológica: nadie fue "hackeado". Fue un proceso de pago que permitía mover dinero con una videollamada como única validación.
Lo que dicen los números
Cifras recientes. Las del DBIR provienen de resúmenes del informe (fuente secundaria) y conviene confirmarlas en el documento completo:
Fuentes: Verizon (vía Abnormal AI), IBM (vía eSecurity Planet) y Fortune. Ver lista al final.
Cómo defender a tu empresa: 7 controles
CISA y el FBI recomiendan, ante la suplantación del help desk, doble factor resistente al phishing, verificación estricta de identidad por un canal separado en los restablecimientos, segmentación de red, respaldos fuera de línea y capacitación. Aplicado a tu empresa:
- Verifica por otro canal antes de restablecer contraseñas, cambiar doble factor o mover dinero.
- Doble factor resistente al phishing (llaves FIDO2 o passkeys) en cuentas críticas.
- Mínimo privilegio para que una cuenta engañada no abra todo.
- Procedimiento de pagos con doble aprobación y confirmación por un segundo canal conocido.
- Cultura de reporte sin castigo: que reportar un error sea más fácil que ocultarlo.
- Segmentación y respaldos fuera de línea para limitar el daño si algo falla.
- Capacitación corta y práctica, combinada con los controles anteriores.
¿Sirve capacitar a los empleados?
Ayuda, pero la evidencia dice que sola no basta. En un ensayo controlado de ocho meses de UC San Diego Health, con más de 19,500 empleados y 10 campañas de phishing, no hubo diferencia significativa entre quienes no recibieron capacitación y quienes completaron la anual obligatoria; la capacitación integrada, después del clic, redujo los clics apenas 2 %. Cerca de 75 % dedicó un minuto o menos a los materiales (HR Dive).
La conclusión práctica: capacita, pero apóyate en controles técnicos y de proceso. No hay evidencia verificada de que los simulacros por sí solos reduzcan el riesgo, así que no se prometen resultados.
Cómo te ayuda Cyberkust
Combinamos la protección contra ransomware y phishing con la consultoría de ciberseguridad para revisar tus procesos de pago y de soporte, y con el monitoreo SOC 24/7 para detectar accesos anómalos. También puedes leer la guía de ransomware y la de Zero Trust.
Descubre qué tan preparada está tu empresa antes de que pase algo.
En una primera evaluación identificamos riesgos visibles, puntos críticos y los primeros pasos para proteger información, operación y clientes. Sin costo inicial.
Preguntas frecuentes
¿Qué es la ingeniería social?
Es el acto de engañar a una persona para que revele información sensible, dé acceso no autorizado o cometa un fraude, ganándose su confianza. Así lo define el glosario del NIST. Ataca a las personas y a los procesos, no a la tecnología.
¿La ingeniería social es lo mismo que el phishing?
No. El phishing, el vishing (por voz) y el smishing (por SMS) son variantes de la ingeniería social. La ingeniería social es la categoría más amplia: incluye también el pretexting, el baiting, el tailgating y la suplantación de soporte técnico, entre otras técnicas.
¿Qué es el pretexting?
Es crear una identidad o una historia falsa para obtener información o hacer que alguien actúe, por ejemplo hacerse pasar por el área de TI, un proveedor o un directivo. CISA lo describe entre las técnicas habituales de ingeniería social.
¿Quién popularizó la ingeniería social en seguridad?
Kevin Mitnick, con el libro The Art of Deception (2002, con William L. Simon), que relata casos desde la perspectiva del atacante y de la víctima. "Popularizó" es una interpretación; el origen exacto del término no se verificó.
¿Qué tan frecuente es la ingeniería social en las brechas?
Según resúmenes del informe Verizon DBIR 2026, el elemento humano estuvo presente en 62 % de las brechas y la ingeniería social fue el tercer patrón de brecha, con 16 %. Son cifras de fuentes secundarias que conviene confirmar en el informe completo.
¿Pueden hacer un deepfake de mi director?
Sí. En 2024, un empleado de finanzas de Arup, en Hong Kong, hizo 15 transferencias por unos 25.6 millones de dólares tras una videollamada con deepfakes del director financiero y otros colegas, según Fortune. La defensa es un proceso: verificar por un canal distinto antes de mover dinero.
¿Cómo se frena un ataque al help desk?
Verificando la identidad de quien pide un restablecimiento de contraseña o de doble factor por un canal de comunicación separado, y usando doble factor resistente al phishing. Es una de las recomendaciones de CISA y el FBI en el aviso AA23-320A sobre Scattered Spider.
¿Sirve capacitar a los empleados contra la ingeniería social?
Ayuda, pero sola no basta. En un estudio controlado de UC San Diego Health con más de 19,500 empleados, la capacitación integrada redujo los clics en phishing solo 2 %, y la anual obligatoria no marcó diferencia significativa. Conviene combinarla con controles técnicos y procesos de verificación.
Fuentes y referencias
Consultadas el 8 y 9 de octubre de 2026. Cuando una cifra proviene de una nota que cita un informe original, lo indicamos. Las cifras pueden variar según la fuente y el método de conteo. Las secciones marcadas como criterio editorial reflejan la experiencia de Cyberkust y no una fuente externa.
- NIST CSRC: glosario, ingeniería social
- CISA y FBI: aviso AA23-320A sobre Scattered Spider (publicado el 16 de noviembre de 2023, revisado en 2025)
- CISA: Avoiding Social Engineering and Phishing Attacks (copia en PDF)
- Wiley: The Art of Deception, de Kevin D. Mitnick y William L. Simon (2002)
- Fortune: el fraude con deepfake contra Arup en Hong Kong (17 de mayo de 2024)
- UC San Diego: los programas de capacitación en ciberseguridad no evitan el phishing
- HR Dive: los empleados no aprenden nada de las simulaciones de phishing
- Verizon DBIR 2026 (página oficial)
- Abnormal AI: resumen del Verizon DBIR 2026 (fuente secundaria de las cifras de elemento humano)
- IBM: Cost of a Data Breach 2026, resumen de eSecurity Planet
- TechTarget: alerta de CISA y el FBI sobre la actividad de Scattered Spider