Cómo los atacantes manipulan a las personas
Las palancas psicológicas detrás del phishing, la llamada telefónica y la visita en la puerta, y el único hábito que las neutraliza todas.
Los atacantes aprovechan las emociones en lugar de las brechas de seguridad: curiosidad, miedo, prisa, autoridad, disposición a ayudar, confianza. Lo más peligroso es el piloto automático, cuando se hace clic de pasada y por costumbre. La regla contraria: una emoción fuerte es la señal de alarma. Primero pararse, después actuar.
Capítulo A · Por qué todo depende de usted
Los ataques dirigidos a personas se llaman ingeniería social: alguien le lleva a hacer algo que, con la cabeza fría, nunca haría. Funciona por correo, por teléfono, en el chat y también en la puerta de la oficina, porque las palancas son siempre las mismas.
Las palancas
- Prisa: «antes de las 12», «si no, se bloqueará la cuenta». El estrés bloquea el pensamiento crítico.
- Autoridad: el mensaje parece venir de la gerencia, del banco, de la policía o de informática. ¿Quién le lleva la contraria al jefe?
- Miedo y amenaza: reclamación, multa, pérdida de datos, requerimiento legal.
- Curiosidad: «Lista de salarios 2026», «Fotos de la cena de Navidad», un aviso de paquete inesperado.
- Disposición a ayudar: un «técnico» amable necesita un momento su acceso, una compañera de la sucursal «ha olvidado su contraseña».
- Confianza: el mensaje menciona nombres reales, proyectos reales, hace referencia a una conversación real.
- Codicia e ilusión: un premio, un reembolso, un vale.
El estado más peligroso: el piloto automático
Hay una gran diferencia entre esperar un correo sospechoso en una formación y despachar cincuenta correos el lunes por la mañana entre dos llamadas. Los atacantes cuentan justo con este automatismo: prefieren enviar poco antes del final de la jornada, el viernes por la tarde o antes de festivos, cuando todos quieren terminar rápido.
Si un mensaje, una llamada o una persona en la puerta le provoca una emoción fuerte, como prisa, miedo, curiosidad o ganas de ayudar, precisamente eso es la señal de alarma. Deténgase antes de actuar.
La preparación no se ve
Los buenos ataques están preparados. Por el aviso legal, los perfiles profesionales y las ofertas de empleo, los atacantes saben quién autoriza las facturas, qué software utiliza usted y quién está de vacaciones. Con herramientas de IA, a partir de estas piezas se redacta en minutos un mensaje creíble y sin errores. Volveremos a ello en el capítulo E.
Una pregunta ayuda casi siempre: ¿Se aparta esta petición del procedimiento habitual? Una transferencia sin pedido, una contraseña por teléfono, una visita sin anunciar. Desviación más presión es el patrón de casi todos los ataques.
¿Cómo reconoce de forma más fiable un intento de ingeniería social?
Puede haber varias respuestas correctas.
Los errores de lenguaje ya no son una señal fiable, y los nombres reales son fáciles de averiguar. Lo que queda es el patrón: presión, emoción y una desviación del camino habitual.