Qué es la ingeniería social

El eslabón más débil

Una cadena se rompe por su eslabón más débil. Por muchos eslabones gruesos que tenga, si uno débil cede, toda la cadena falla. La seguridad funciona igual. Aunque el cifrado sea fuerte y las cerraduras sólidas, si la persona que las maneja abre la puerta por descuido, todo lo demás se desperdicia.
Por eso los atacantes a veces dejan de lado la tecnología más sólida y van a por el eslabón más débil: las personas. Eso no significa que la gente sea tonta. La tecnología sigue las mismas reglas cada vez, mientras que las personas tienen prisa, se cansan y confían en los demás. La defensa empieza por admitir esto.

Golpea la cerradura fuerte y luego toca el lado en el que una persona abre la puerta. La tecnología aguanta, pero en cuanto se abre la puerta, la cerradura ya no sirve.

Por mucho que se golpeara, la cerradura aguantó, pero en cuanto se abrió la puerta de la persona, la cerradura fuerte perdió todo su sentido. Ese es justo el punto al que apuntan los atacantes. En lugar de esforzarse por romper una tecnología difícil, buscan el camino más fácil que hay al lado.
Suena aterrador, pero no hay por qué asustarse. Solo con saber que estos ataques son frecuentes y que llegan por los canales que usas cada día, como el correo, los mensajes de texto y las llamadas, ya estás medio preparado. Entonces, ¿qué tocan los atacantes en las personas?

Qué buscan en las personas

Los atacantes vuelven en tu contra tu buena naturaleza. No hace falta memorizar trucos concretos; basta con saber qué sentimientos se buscan. Hay tres que se tocan con más frecuencia.
El primero es la urgencia: no dejan tiempo para pensar y te empujan a actuar ya. El segundo es la autoridad: se hacen pasar por un jefe, un organismo público o un banco para que obedezcas. El tercero es la buena voluntad: se acercan fingiendo estar en apuros y usan tu deseo de ayudar. También es habitual que se añadan el miedo o la curiosidad. Cuando veas estas señales, conviene parar un momento.

Toca los tres sentimientos uno a uno para verlos. Basta con saber que se buscan sentimientos como la urgencia, la autoridad y la buena voluntad.

Los tres son, en realidad, nuestras buenas cualidades: querer resolver las cosas rápido, respetar a quien está por encima y cuidar de los demás. Los atacantes retuercen esos buenos sentimientos.
Eso no quiere decir que debas volverte frío y desconfiado. Deja los buenos sentimientos como están y añade solo la costumbre de parar una vez cuando te meten prisa. Después de parar, hay una sola cosa que hacer: comprobar si la petición es de verdad auténtica. Cómo hacerlo viene a continuación.

El hábito de comprobar

Imagina que llega una petición repentina. Responder enseguida por el mismo canal por el que llegó puede ser arriesgado, porque el propio canal puede ser falso. El nombre de quien envía, un número o el aspecto de una pantalla se pueden imitar.
Por eso el secreto de la defensa es cambiar de canal. Si alguien te exige algo por teléfono, no vuelvas a preguntar en ese número; llama aparte a un número oficial que ya conozcas y compruébalo. En lugar de tocar el enlace de un mensaje, entra por la aplicación que usas siempre o por una dirección que escribas tú. Compruebas lo mismo una vez más por otro canal.

Toca las dos respuestas para compararlas. Comprobar aparte por un canal oficial es más seguro que responder enseguida por el canal por el que llegó la petición.

Puestos lado a lado, la diferencia entre los dos caminos estaba clara. Si respondes por el canal por el que llegó la petición, no hay forma de frenarla cuando ese canal es falso; si compruebas aparte por un canal oficial, lo falso queda filtrado ahí. Comprobar puede llevar unos minutos más, pero esos minutos pueden evitar un gran accidente.
Ni siquiera un asunto de verdad urgente sale perjudicado por volver a comprobarlo. Al contrario: si te impiden comprobar, te piden que lo mantengas en secreto o te meten prisa enfadados, esa es una señal todavía más sospechosa. Ahora reunamos por qué la sospecha misma es una defensa.

Sospechar es defenderse

Las armas contra la ingeniería social no son grandiosas. Bastan unos pocos hábitos pequeños que hayas hecho tuyos. Primero, ve despacio: cuanta más prisa te metan, más debes parar una vez y respirar. Segundo, comprueba por otro canal: pregunta aparte por un canal oficial, como acabamos de ver.
Tercero, no cuentes secretos. No des nunca una contraseña ni un código recibido por mensaje, lo pida quien lo pida, porque una organización real no pide esos secretos así sin más. El segundo paso que vimos en la lección de autenticación también pierde su sentido en el momento en que entregas ese código a otra persona.

Toca las tres reglas de defensa en orden para hacerlas tuyas: ir despacio, comprobar por otro canal y no contar secretos.

Con las tres reglas reunidas, fíjate en que ninguna es una tecnología difícil. Son solo actitudes: ir un poco más despacio, comprobar una vez más y no decir los secretos en voz alta. Por eso cualquiera puede defenderse de la ingeniería social, sin equipos ni conocimientos especiales.
Si sientes que ya te han engañado, lo importante es no ocultarlo por vergüenza. Cambia la contraseña enseguida, avisa a la organización por su canal oficial y, en el trabajo, informa al equipo responsable. Cuanto antes avises, menor será el daño. Sospechar no es una falta de educación; es una cortesía que te protege a ti y a los demás.

Resumen

Todo junto, queda así. Por fuerte que sea el cifrado, el eslabón más débil son las personas. Los atacantes a veces apuntan a la mente humana en lugar de a la tecnología y tocan sentimientos como la urgencia, la autoridad y la buena voluntad. No hace falta memorizar sus trucos; basta con saber que estos ataques existen.
La defensa se resume en tres hábitos: ir despacio, comprobar por otro canal y no contar secretos. Si ya te han engañado, no lo ocultes; avisa rápido. El hábito de dudar y comprobar con calma es el escudo más firme.

Toca los cuatro puntos clave en orden para repasar: el eslabón más débil son las personas, lo que buscan es la mente, comprobar por otro canal y sospechar es defenderse.

Ahora tienes en la mano la pieza humana de la seguridad. Por sólidos que sean el cifrado y las cerraduras, solo se completan cuando las personas que los usan están atentas. En el momento en que paras una vez ante una petición extraña y urgente, ya estás usando la seguridad más fuerte que existe.
El cifrado, la autenticación, los cortafuegos y los hábitos humanos que hemos aprendido no se usan cada uno por separado. En la próxima lección veremos los principios para diseñar la seguridad: cómo encajar estas piezas en una estructura segura.