Un ataque de ingeniería social explota las emociones de las víctimas (miedo, ansiedad, orgullo) para engañarlas y hacer que entreguen información confidencial o descarguen malware. Los métodos comunes de ingeniería social, como el phishing y el spear phishing, involucran a atacantes que se hacen pasar por líderes empresariales, proveedores de TI o representantes de recursos humanos. Lo que parece una solicitud urgente para restablecer credenciales puede en realidad ser un correo de spear phishing diseñado para engañar a quien lo abra.

Y sin darse cuenta, los empleados dejan la puerta abierta a los ciberdelincuentes al compartir sus credenciales legítimas. Incluso con un centro de operaciones de seguridad (SOC) dedicado las 24/7, firewalls, autenticación multifactor (MFA) obligatoria y una solución de Detección y respuesta para endpoints (EDR) implementada, los ataques de ingeniería social aún pueden tener éxito cuando alguien es engañado para compartir credenciales o aprobar una solicitud maliciosa.

Varios ataques de alto perfil en los últimos años se han basado en alguna forma de ingeniería social. El incidente de MGM/Caesar en 2023 y los ataques a Harrod y Co-op en 2025 resultaron en la pérdida de millones de dólares. Si los empleados y los proveedores externos hubieran reconocido las señales tempranas de vishing y phishing, es probable que estos ataques se hubieran contenido antes y su impacto se hubiera reducido.

Aquí tienes algunos escenarios que te ayudarán a detectar amenazas antes de que ocurran.

Cuando los correos se ven exactamente correctos

En los ataques a Harrod y Co-op, miembros de Scattered Spider usaron inteligencia de fuentes abiertas (OSINT) para revisar información pública y hacerse pasar por empleados. A través de correos enviados a los departamentos de TI de las empresas, los atacantes solicitaron enlaces de MFA y restablecimiento de contraseña para cuentas ya comprometidas. Esto les dio control total sobre varias cuentas antes de moverse con facilidad por la infraestructura de la empresa.

Los hackers no solo envían un correo de phishing al azar a la mesa de ayuda de TI y esperan lo mejor: construyen gradualmente una relación de confianza con las víctimas mediante mensajes de apariencia inocente sobre configurar una cuenta o tener problemas con un dispositivo nuevo. Otra táctica común es la urgencia: a veces estos correos piden a los empleados que se salten los canales normales de aprobación para completar una tarea de alta prioridad. En realidad, están obteniendo acceso no autorizado a los datos de la empresa.

Cuando quien llama suena completamente legítimo

En el ataque a MGM, Scattered Spider usó phishing de voz (vishing) para obtener acceso a una cuenta de administrador antes de inyectarla con ransomware. Después de investigar a empleados de MGM en LinkedIn y elegir víctimas para suplantar, los atacantes llamaron y lograron convencer a la mesa de ayuda de TI de restablecer credenciales y omitir la MFA de una cuenta de administrador, lo que les dio el acceso necesario para moverse lateralmente e implementar ransomware. Para salirse con la suya, los atacantes solo necesitaron suficiente información y un agente de mesa demasiado complaciente que atendiera la llamada.

¿La única señal temprana en este escenario? La llamada telefónica. En cuanto quien llamaba pidió las credenciales de inicio de sesión, el agente debió haber colgado el teléfono y reportado el incidente. Un empleado con la capacitación adecuada en SAT sabría que nunca debe compartir credenciales por teléfono: existen sistemas de restablecimiento de contraseña y MFA iniciados por el usuario por una razón.

Cuando la ingeniería social es física

Colarse por una puerta segura siguiendo a alguien y hacerse pasar por repartidor son ejemplos comunes de ingeniería social física. Esto les da a los atacantes acceso presencial a tu edificio, donde pueden conectarse a tu red o dejar USB infectadas con malware. 

Intentos simples como este no deberían funcionar; capacita a los empleados para que verifiquen las credenciales de cualquiera que entre, y mantente alerta ante actividades o personas sospechosas. Mejorar la seguridad en las instalaciones, como incorporar un punto de control de credenciales, puede ayudarte a prevenir un ataque presencial antes de que comience.

Es normal que aparezcan señales de alerta mucho antes de un ataque. Los empleados o proveedores externos debidamente capacitados deberían darte aviso anticipado de estas tácticas comunes de ingeniería social antes de que se conviertan en un problema.

Ten en cuenta que muchas de estas señales de alerta parecen perfectamente inocentes en el momento. Usa el acrónimo FACEUP para recordar fácilmente esta lista de comportamientos sospechosos. 

• Miedo a quedarse fuera (FOMO): crean FOMO al mencionar que su oferta solo es válida por poco tiempo, así que debes actuar rápido.
• Autoridad: te convencen de que alguien de mayor jerarquía quiere que ignores el protocolo o rompas las reglas "solo esta vez".
• Camaradería: te dicen que te están ayudando al saltarse algún protocolo o al encargarse de un paso importante por ti.
• Entusiasmo: te ofrecen una oportunidad tentadora para confirmar tu asistencia a un viaje pagado o un sorteo de toda la empresa.
• Urgencia: afirman que su solicitud debe aprobarse de inmediato para evitar algún problema.
• Lástima: afirman que algo malo les pasará si no actúas, como perder su trabajo o tener que pagar algún costo adicional.

Un gran programa de security awareness training necesita poner a prueba el conocimiento práctico y las habilidades de pensamiento crítico de los empleados mediante escenarios e historias simuladas. Anima a tus usuarios a pensar con rapidez y a aplicar lo aprendido para generar confianza y habilidades reales de inteligencia de amenazas.

Huntress Managed Security Awareness Training (SAT) usa gamificación, inteligencia de amenazas actual y marcos de aprendizaje para adultos para generar experiencia práctica. Nuestro entrenamiento interactivo, diseñado por expertos en ciberseguridad, aprendizaje y animación, logra una tasa de finalización de alrededor del 98% una vez que un usuario comienza sus asignaciones (datos internos), fomentando la participación activa mediante contenido episódico divertido y simulaciones inmersivas.

Los ataques de ingeniería social dejan huellas de su trabajo, y una cosa es segura: los empleados sin entrenamiento a menudo pasan por alto las primeras señales de advertencia de un ciberataque. Para cerrar esa brecha, Huntress ofrece programas que enseñan a los empleados mediante marcos de aprendizaje para adultos prácticos y probados, mucho más memorables y atractivos que el entrenamiento en ciberseguridad estándar. Prueba hoy nuestro programa Managed SAT; aprende más en nuestra guía de ingeniería social.