Curso de Introducción a la Ingeniería Social: Técnicas, Ataques y Pretexting
Contenido del curso
Estrategias para Evitar la Elicitación en Ingeniería Social
A todos nos han hablado un "primo", que tiene problemas de dinero y quiere nuestra ayuda. O un jefe de la mafia que nos tiene vigilados. Todos estos fraudes funcionan, cuando nosotros les damos la oportunidad.
¿Cómo evitar fraudes telefonicos y similares ?
Muchos de los fraudes telefónicos son en realidad procesos de elicitación, aprovechando la pseudo anonimidad que nos da la tecnología. También hay casos donde se utilizaron mensajes y correos electrónicos.
Para evitar caer en estas técnicas, debemos seguir y enseñar diferentes mecanismos de defensa, como:
Herramientas que te pueden servir para comprobar información
Contribución creada con aportes de: Angie Espinoza
Ariel Jacob
Estudiante
Ariel Esteban Soto
Estudiante
Walter Omar Barrios Vazquez
Estudiante
Jafet Brito
Estudiante
Antonio Sánchez Olalla
Estudiante
Patricio Sánchez Fernández
Estudiante
christian rojas
Estudiante
Miguel Angel Reyes Moreno
Estudiante
Jefferson Pacheco Suárez
Estudiante
Yordy Anyerson Andrade Rodriguez
EstudianteWalter Omar Barrios Vazquez
Estudiante
Andrea Lorena Davila Gomez
Estudiante
Jhon Edison Vargas Vargas
EstudiantePatricio Sánchez Fernández
Estudiante
Maria Cristina Sanchez Cordova
EstudianteLUIS ENRIQUE GARCIA SILVA
Estudiante
Maria Luisa Alvarez
Estudiante
Felipe Bernardo González Barranco
EstudianteJennifer Alejandra López Martínez
Estudiante
Daniel Alfredo García Serna
Estudiante
Jhon Maldonado
Estudiante
victor jimenez
Estudiante
Mahir Jacob Campos Morales
Estudiante
Karla Gabriela Alvarado Barrancos
Estudiante
MARIANGEL UZCATEGUI GARCIA
EstudianteMARIANGEL UZCATEGUI GARCIA
Estudiante
MARIA TERESA PANIAGUA RIVERA
Estudiante
¿Existe alguna una ingeniería inversa a la elicitacion? Es decir. Se entrena a un empleado de la organización para que ante un ataque de elicitación responda con información falsa (a la que espera el atacante), o información preparada, para conducir al atacante a una determinada situación que permita atraparlo.
Hola @Ariel Esteban Soto sería la anti-elicitación y una analogía muy buena que da la Dra. Aury son los Honeypot.
El problema es el enfoque de "responder con información falsa a propósito para atrapar al atacante". Eso no es una práctica común ni recomendada para empleados, por las siguientes razones:
✅ Lo correcto sería:
Interesante video de como diferentes personalidades resuelven este tipo de situaciones.
https://www.youtube.com/watch?v=pFTWQHwikTc&ab_channel=CoachSocial
Buen dato, Antonio.
Es muy difícil que las personas se hagan las que no saben de un tema, porque les da en el ego.
Para esta clase, también sería bueno agregar, aprender a controlar nuestras emociones
Cierto, además de que como naturaleza humana, nos gusta que nos escuchen y saber que tenemos la razón y que las demás personas se den cuenta de ello.
Razón de más para que, al detectarlo, explotes su ego y le hagas una contrapregunta o comentario que le haga revelar sus verdaderas impresiones.
Por lo que entendí, la elicitación es la capacidad de entablar una conversación con la victima y en medio de la conversación ir poco a poco haciéndole preguntas indirectas las cuales nos van a ayudar a recopilar información y posteriormente ir adentrando en el tema con preguntas mas directas sin que la victima se de cuenta que esta brindando información al atacante.
Es así o me equivoco en lo que comprendí?
Hola @Yordy Anyerson Andrade Rodriguez comparto tu definición y la veo acertada.
Este es el caso cuando llaman supuestamente de las compañías telefónicas a ofrecer mejores planes postpago. Los atacantes tienen gran cantidad de información que luego te obligan a "confirmar", luego empiezan a hacer más preguntas y las victimas terminan dandoles absolutamente todo tipo de datos. En mi caso particular, varias veces he contestado este tipo de llamadas para saber hasta donde pueden llegar, respondiendo con información falsa.
Para evitar dar información de más en una conversacion, es importante mantener la calma y siempre rebotar la pregunta.
No caer en la tentación, aunque adulen nuestro ego.
Ser cauteloso y saber manejarse en el juego de preguntas y respuestas que no comprometan la información personal ó financiera.
Para conocer un empleado en un puesto importante de una empresa, poderle sacar informacion y poder hackear sus sistemas
Creo que una forma de evitar que te hagan este tipo de ataque es "preguntar por qué", "no facilitar datos", "preguntar datos sobre la otra persona para comprometerlo y ver su reacción si es lógica o no, etc.
Porque me hace esa pregunta ?- hay que estar curtido para no caer en las trampas, ser muy sagaz
¿Qué pasa si doy una respuesta falsa?
Entregar información incorrecta o mediocre actúa como un mecanismo de desvío perfecto cuando te sientes acorralado. Al igual que un honeypot en ciberseguridad, le das al atacante un dato que parece valioso para que se marche satisfecho, protegiendo así la información real y confidencial de tu organización.
📚 CLASE: ESTRATEGIAS Y RESPUESTAS A LA ELICITACIÓN
━━━━━━━━━━━━━━━━━━
🎯 IDEA PRINCIPAL
La elicitación funciona porque las personas responden de forma automática en conversaciones naturales.
Por eso, la defensa no es “no hablar”, sino aprender a controlar lo que se revela, cómo se responde y cuándo detener la conversación.
Importa porque:
👉 la mayoría de fugas de información no ocurren por ataque directo, sino por respuestas aparentemente inofensivas en conversaciones normales.
━━━━━━━━━━━━━━━━━━
⚡ RESUMEN ULTRA RÁPIDO
• La elicitación se combate controlando la información que compartes
• No todo lo que te preguntan debe ser respondido con detalle
• Respuestas vagas o neutras reducen el riesgo de filtración
• Cambiar el tema es una estrategia válida de defensa
• El silencio también es una herramienta de seguridad
━━━━━━━━━━━━━━━━━━
🔑 LO VERDADERAMENTE IMPORTANTE
• No estás obligado a responder con precisión en cualquier conversación
• Responder menos información de la necesaria reduce superficie de ataque
• Las respuestas indirectas rompen el flujo de extracción de información
• Hacer preguntas de vuelta reduce la presión sobre ti
• La incomodidad del silencio es lo que muchos atacantes explotan
• Controlar el ritmo de la conversación es una forma de defensa
• La consistencia en lo que compartes evita crear patrones explotables
━━━━━━━━━━━━━━━━━━
🧠 CONCEPTOS QUE DEBO ENTENDER
Respuesta controlada: Dar información limitada sin profundizar innecesariamente
Redirección: Cambiar el enfoque de la conversación para evitar revelar datos sensibles
Neutralidad informativa: Responder sin aportar detalles críticos o personales
Desescalamiento conversacional: Reducir la intensidad o profundidad de una conversación potencialmente riesgosa
Filtro de divulgación: Mecanismo mental para decidir qué información es segura compartir
━━━━━━━━━━━━━━━━━━
🧩 MODELO MENTAL
Pregunta indirecta ↓ Respuesta automática ↓ Filtrado consciente ↓ Respuesta limitada o neutral ↓ Pérdida de interés del atacante ↓ Fin de la extracción de información
━━━━━━━━━━━━━━━━━━
Conversación activa ↓ Intento de profundización ↓ Control de respuesta (breve / vaga / redirección) ↓ Bloqueo de escalamiento ↓ Protección de información
━━━━━━━━━━━━━━━━━━
Conclusión: 👉 la defensa no es evitar la conversación, es controlar su profundidad.
━━━━━━━━━━━━━━━━━━
🚀 ACCIONES INMEDIATAS
• Practica responder preguntas con menos detalle del habitual
• Usa frases neutrales como: “no estoy seguro”, “depende”, “no lo manejo en detalle”
• Entrena el hábito de no llenar silencios incómodos
• Redirige preguntas hacia temas generales cuando sientas presión
• Evita compartir rutinas, sistemas o procesos sin necesidad
• Antes de responder, pregúntate: “¿Esto es necesario o solo estoy siendo amable?”
━━━━━━━━━━━━━━━━━━
💼 APLICACIÓN PROFESIONAL
• En ciberseguridad, reduce filtración de información en equipos humanos
• En empresas, mejora cultura de manejo de información sensible
• En atención al cliente, evita exposición accidental de datos internos
• En trabajo remoto, protege conversaciones informales en chats
• En liderazgo, fortalece comunicación consciente y controlada
• En seguridad corporativa, complementa políticas técnicas con comportamiento humano
━━━━━━━━━━━━━━━━━━
🔥 HACKS Y RECOMENDACIONES REALES
• Responder menos no es sospechoso, es estratégico
• El atacante pierde control cuando tú controlas el ritmo
• Las respuestas largas suelen contener más información de la necesaria
• El silencio incómodo es una herramienta de defensa, no una obligación de llenarlo
• “No sé” bien usado es una barrera de seguridad
• Cambiar de tema es más efectivo que justificar demasiado
• La naturalidad no significa transparencia total
━━━━━━━━━━━━━━━━━━
🧠 INSIGHT ESTRATÉGICO
Principiante: Cree que debe responder todo para no parecer sospechoso
Profesional: Entiende que la información debe compartirse estratégicamente, no automáticamente
La diferencia clave es:
👉 no se trata de evitar ser engañado, sino de evitar entregar información útil sin necesidad
El atacante necesita datos. Tú decides cuánto existen.
━━━━━━━━━━━━━━━━━━
📝 REFLEXIÓN FINAL
La elicitación no se vence dejando de hablar.
Se vence aprendiendo a hablar con intención.
Cada palabra innecesaria es una oportunidad para un atacante.
Cada respuesta controlada es una capa de defensa.
La clase se centra en estrategias para evitar la elicitación en ingeniería social. Se discuten técnicas como no revelar información no autorizada, evadir preguntas, y responder con preguntas defensivas. También se menciona la importancia de dar respuestas mediocres si se siente incómodo. Estas técnicas son útiles tanto para prevenir ser un objetivo de elicitación como para entender cómo los ingenieros sociales formulan sus ataques, preparándote así para responder de manera efectiva.
En el ambiente laboral, por ejemplo, de educación, se puede hacer uso de muchas de estas técnicas, evitando así dar información que no queremos que las personas sepan.
Las estrategias para la elicitación incluyen:
No revelar información: Nunca compartas datos que no estés autorizado a revelar, incluso a amigos y familiares.
Cambiar de tema: Si sientes incomodidad, puedes ignorar la pregunta o desviar la conversación.
Negarse a contestar: Usa respuestas como "No voy a contestar eso" o "¿Por qué me haces esa pregunta?", esto te pone en una posición defensiva.
Respuestas mediocres: Si es necesario, proporciona información incorrecta deliberadamente.
Estas técnicas son esenciales para protegerse contra ataques de ingeniería social.
Esta clase es muy buena hasta para dar capacitacion a empresas para evitar elicitacion
Que bien elaborada esta la clase.
Excelente explicacion
Gracias
