Convertirse en otra persona para obtener información confidencial no es ciencia ficción, es una técnica real llamada pretexting. Dominar su planificación marca la diferencia entre un ejercicio profesional y una improvisación sin resultados. A continuación se desglosan las fases, ejemplos y claves prácticas que todo profesional de ciberseguridad necesita conocer.
¿Qué es el pretexting y por qué se considera ingeniería social?
El pretexting es la práctica de presentarse como otra persona con el fin de manipular a un objetivo [0:12]. Funciona exactamente como la actuación: quien ejecuta el ataque crea un personaje completo —nombre, historia, personalidad— y lo interpreta dentro de un escenario diseñado a medida. La analogía es directa: tú eres el actor y la operación es la película [0:32].
Dentro de la ingeniería social, el pretexting se apoya en figuras de autoridad. La persona que asume el rol de atacante suele hacerse pasar por alguien con poder o influencia, lo que facilita que la víctima coopere sin cuestionar [0:55].
¿Es ilegal practicar pretexting?
En Estados Unidos, el pretexting es ilegal para las instituciones financieras reguladas por la ley GLBA (Gramm-Leach-Bliley Act) [1:10]. Esta legislación prohíbe obtener, revelar o intentar acceder a información confidencial de clientes mediante engaño. Las organizaciones cobijadas por la GLBA están obligadas a educar a su personal sobre estas amenazas. Sin embargo, cuando el ejercicio está autorizado —por ejemplo, en una auditoría de seguridad contratada—, es completamente legítimo [1:45].
¿Cuáles son las cuatro fases de la planificación?
El proceso de planificación de un ataque de pretexting se divide en cuatro áreas [2:05]:
- Propósito: definir el escenario basándose en la investigación previa del objetivo y determinar qué información se busca obtener.
- Preparación y desarrollo: construir la historia, el personaje y el guion completo del ataque.
- Práctica: ensayar el escenario hasta dominarlo con naturalidad.
- Ejecución: llevar a cabo el ejercicio y documentar los resultados.
¿Cómo se construye el personaje y el guion del pretexting?
Una vez definido el propósito, se pasa a la preparación. Existe una plantilla que ayuda a estructurar todo el escenario [2:30]. Los elementos que se documentan incluyen:
- Nombre del escenario de pretexto.
- Datos del personaje: nombre, apellido, datos demográficos, antecedentes, apodo, gustos, fecha de nacimiento e incluso detalles como color favorito o perfume preferido [2:50].
- Datos del objetivo: quién es la víctima, sus datos demográficos y toda la información recopilada mediante herramientas de OSINT (Open Source Intelligence) [3:15].
- El guion: describe de qué se trata el ataque, quiénes son los protagonistas, cómo se va a reaccionar ante distintas situaciones y qué principios de ingeniería social se van a emplear [3:30].
Incorporar la mayor cantidad posible de principios de ingeniería social —se mencionan entre tres y siete— aumenta significativamente la probabilidad de éxito [3:50]. Las metas del ejercicio deben ser claras y medibles; la ganancia nunca debe ser fama o popularidad, ya que eso cruza la línea entre el hacking ético y el malicioso [4:10].
Desarrollar múltiples escenarios (A, B, C) y contemplar distintas víctimas u objetivos es una práctica recomendada para mantener opciones abiertas [4:30].
¿Por qué la práctica es la fase más difícil del pretexting?
Muchos asumen que la ejecución es lo más complejo, pero la fase más desafiante es la práctica [4:50]. El ensayo es donde se perfecciona el personaje. Algunas técnicas recomendadas son:
- Practicar frente a un espejo.
- Buscar un grupo de trabajo que ayude con los ensayos.
- Grabarse en video para analizar microexpresiones, seguridad corporal y dominio de la información [5:10].
Si la práctica es sólida, la ejecución fluye con naturalidad. El éxito se mide con una pregunta directa: ¿se logró la meta? Si la información buscada se obtuvo, el ataque fue exitoso [5:35].
Cuando el pretexting se realiza como servicio profesional contratado, se recomienda usar una cámara oculta para grabar toda la escena y generar un reporte final que identifique las vulnerabilidades del objetivo [5:50].
¿Qué escenarios de pretexting son más efectivos?
Algunos pretextos clásicos que funcionan con alta efectividad [6:10]:
- Contratista: entra y sale de la empresa sin generar sospecha porque carece de sentido de pertenencia.
- Entidad sin fines de lucro: apela al humanismo y la voluntad de ayudar.
- Encuestador o entrevistador: el encuestador opera en espacios públicos; el entrevistador se hace pasar por alguien de recursos humanos o por un candidato.
- Envío de sorpresas o regalos: un paquete inesperado abre puertas literales.
- Nuevo empleado o técnico de IT: roles que justifican preguntas y acceso.
- Auditor: genera respeto inmediato y cierto temor, lo que facilita la cooperación [6:55].
- Padre o madre preocupados: especialmente útil en empresas con servicios de guardería.
- Anciano que necesita ayuda: activa la empatía y baja las defensas del objetivo [7:20].
Cada uno de estos roles explota un principio distinto de ingeniería social, desde la autoridad hasta la reciprocidad y la urgencia. Comparte en los comentarios tus propios escenarios de pretexting y comienza a llenar la plantilla del guion para poner en práctica lo aprendido.
