En informática existe un acrónimo poco elegante pero sincero: PEBKAC, «Problem Exists Between Keyboard And Chair». Traducido sin rodeos: el problema está entre la silla y el teclado. No es el firewall que se rompe. No es el antivirus que se queda dormido. Es la persona frente a la pantalla la que hace clic, la que escribe una contraseña donde no debe, la que confía en un mensaje bien escrito. De esto habla la ingeniería social. Y de esto habla esta rúbrica, que lleva el mismo nombre, un poco irónico.
Quien cae en la trampa no es tonto. Esto hay que decirlo claro desde el primer artículo. La ingeniería social funciona porque apunta a palancas humanas del todo normales. La prisa de quien tiene treinta correos por resolver. El respeto instintivo hacia un jefe o un banco. La confianza en un proveedor que se conoce desde hace años. Nadie es inmune, yo incluido en un día torcido. Esta rúbrica no es una lista de meteduras de pata para burlarse. Es un espacio donde cuento casos reales. Los recojo poco a poco, trabajando con los clientes. Sirven para aprender a reconocer las técnicas, antes de que nos reconozcan a nosotros.
Las palancas psicológicas detrás de la ingeniería social
En la práctica la ingeniería social recicla siempre las mismas cuatro palancas. Las encuentras bien descritas también en la entrada de Wikipedia sobre la ingeniería social aplicada a la seguridad informática. La primera es la urgencia artificial: plazos falsos, «el pago está bloqueado», «responde en una hora». La segunda es la autoridad falsa: un correo que parece del titular o del banco, con firma y logo bien copiados. La tercera es la familiaridad: un proveedor real, un compañero real, un número que ya conoces. La cuarta es el miedo a perder algo: el acceso, la factura, la reserva confirmada. Reconocer estas cuatro palancas ya es la mitad del trabajo. Vale para cualquiera que gestione a diario un buzón de correo.
El primer caso ya lo he contado por completo. Es un intento de phishing hotelero llegado a un gestor de alojamiento turístico, con las capturas reales del correo fraudulento y los detalles que lo delataron. A partir de ahí iré añadiendo los casos nuevos que vaya viendo, uno por uno. Sin nombres, y sin datos que puedan identificar a nadie.
La ingeniería social no va a desaparecer. Solo cambia el pretexto, no la mecánica de fondo. Por eso conviene estudiarla con calma, no cuando ya ha llegado el correo sospechoso y el corazón late un poco más fuerte.
Si en los próximos meses te llega algo que te parece raro, escríbeme. Lo miramos juntos. Si es un caso instructivo, podría acabar, de forma anónima, en la próxima entrega de esta rúbrica.
Deja una respuesta