La ingeniería social es el conjunto de técnicas de manipulación psicológica que usan los atacantes para persuadir a una persona y obtener un beneficio, como acceder a cuentas privilegiadas o robar dinero. Entender cómo opera te sirve si trabajas en tecnología, manejas datos sensibles o quieres blindar tu vida digital.

Lo interesante es que no necesita exploits sofisticados ni vulnerabilidades de software. Le basta con habilidades sociales bien aplicadas y un poco de investigación previa.

¿Qué es la ingeniería social en ciberseguridad?

Es el uso de manipulación psicológica para que una persona entregue información, credenciales o accesos que de otra forma no compartiría. El atacante no rompe un sistema: convence a alguien de abrirle la puerta.

¿Qué es la ingeniería social? Es una técnica de hackeo que explota la confianza humana en lugar de fallas técnicas. El atacante se hace pasar por alguien legítimo para que la víctima entregue datos o accesos.

Y aquí viene lo interesante: incluso empresas con perfiles muy técnicos caen. El caso más famoso lo protagonizó Twitter en 2020.

¿Cómo hackearon a Twitter en 2020?

En julio de 2020, un grupo de atacantes comprometió al menos 130 cuentas de alto perfil dentro de Twitter, entre ellas la cuenta oficial de Elon Musk, la de Apple y la de Bitcoin. El incidente terminó con tres arrestos y movió alrededor de 110.000 dólares en transacciones de Bitcoin.

La estafa fue directa. Desde esas cuentas verificadas publicaron que, si los seguidores enviaban cierta cantidad de bitcoins a una dirección, recibirían el doble de vuelta. Cuando ves ese mensaje desde la cuenta oficial de Bitcoin, la probabilidad de caer es altísima. Eso es manipulación social aplicada a escala.

¿Cómo accedieron al panel interno de Twitter?

Los atacantes llegaron al panel de control y administración de cuentas, una herramienta interna que solo usan empleados y que permite restaurar contraseñas, bloquear o banear cuentas. Con ese acceso, restauraron las cuentas de alto perfil y publicaron desde ellas.

Jack Dorsey, cofundador de Twitter, reconoció el incidente públicamente y la cuenta de soporte de la plataforma confirmó que estaban investigando lo ocurrido.

¿Qué pasos siguieron los atacantes paso a paso?

La parte que más vale la pena estudiar es el método. No fue improvisado: hubo investigación, selección de víctimas y ejecución coordinada.

1. Investigación en LinkedIn. Los atacantes mapearon a los empleados de Twitter usando perfiles públicos.
2. Extracción de datos privados. Aprovecharon herramientas para reclutadores de LinkedIn, que exponen números telefónicos y correos electrónicos que normalmente no serían públicos.
3. Selección de objetivos. Filtraron empleados con acceso al panel de administración, con poco tiempo en la empresa o trabajando de forma remota, algo común en plena pandemia de 2020.
4. Llamadas dirigidas. Con los datos en mano, llamaron a los empleados haciéndose pasar por el equipo de TI.
5. Configuración de una VPN falsa. Convencieron a las víctimas de instalar una nueva VPN que redirigía a una página de phishing que imitaba el portal interno.
6. Captura de credenciales y segundo factor. La página falsa pedía usuario, contraseña y el código del segundo factor de autenticación. Mientras el empleado los escribía, los atacantes los introducían en tiempo real en la página oficial.

Ese último punto es clave. El segundo factor de autenticación no falló por sí mismo: lo derrotaron sincronizando el ataque en vivo, lo que se conoce como phishing en tiempo real.

¿Por qué falló el segundo factor de autenticación en Twitter? Porque los atacantes capturaban el código en una página falsa y lo reusaban en la página real antes de que expirara. El 2FA por código sigue siendo vulnerable al phishing sincronizado.

¿Cómo protegerte de un ataque de ingeniería social?

La defensa empieza por ti, no por el software. Si entiendes cómo piensan los atacantes, es mucho más difícil que te tomen por sorpresa.

• Capacítate de forma constante en ciberseguridad y en las nuevas técnicas de ataque que aparecen cada año.
• Adopta un enfoque zero trust: no confíes por defecto en ningún correo, llamada o enlace, aunque parezca venir de tu equipo interno.
• Verifica siempre la identidad de quien te pide configurar VPNs, instalar software o entregar credenciales, usando un canal distinto al que te contactó.

Un dato importante: los atacantes priorizaron empleados nuevos y remotos justamente porque tienen menos contexto para detectar una llamada sospechosa del falso equipo de TI. Si entras a una empresa, esa es tu zona de mayor riesgo.

Cuéntame en los comentarios si en tu empresa han vivido un intento de ingeniería social y cómo lo detectaron.