Manipular personas resulta, en muchos casos, más efectivo que vulnerar sistemas tecnológicos. Eso quedó demostrado en 2020 cuando un grupo de hackers comprometió más de ciento treinta cuentas de alto perfil en Twitter, incluyendo las de Elon Musk, Apple y Bitcoin, utilizando únicamente técnicas de persuasión y engaño dirigidas a empleados de la compañía. Este caso es un ejemplo perfecto de lo que significa la ingeniería social y de por qué incluso profesionales técnicos pueden caer en este tipo de ataques.
¿Qué es la ingeniería social y por qué es tan efectiva?
La ingeniería social se refiere al uso de técnicas de manipulación psicológica para persuadir a una persona y obtener un beneficio de ella. No se trata de explotar una vulnerabilidad en el código o en un servidor, sino de explotar habilidades sociales para engañar a seres humanos [0:04].
En el caso de Twitter, los atacantes no necesitaron romper firewalls ni encontrar errores de software. Bastó con convencer a los empleados adecuados para obtener acceso al panel de control y administración de cuentas, una herramienta interna que permite restaurar contraseñas, bloquear o banear cuentas permanentemente [2:18]. El resultado fue devastador: ciento diez mil dólares en transacciones fraudulentas de Bitcoin y al menos tres arrestos vinculados al incidente [0:56].
La estafa funcionó así: las cuentas comprometidas publicaron tuits prometiendo que si un usuario enviaba cierta cantidad de bitcoins a una dirección específica, recibiría el doble de vuelta. Al provenir de cuentas verificadas y reconocidas, muchas personas cayeron en el engaño [1:18].
¿Cómo lograron los hackers comprometer a empleados de Twitter?
El proceso de ataque siguió una cadena metódica de pasos que demuestra lo sofisticada que puede ser la ingeniería social cuando se planifica con cuidado.
¿Cómo investigaron a las víctimas?
- Paso 1: los ciberdelincuentes investigaron a los empleados de Twitter a través de LinkedIn [3:16].
- Paso 2: utilizaron herramientas de LinkedIn diseñadas para reclutadores, las cuales permiten acceder a números telefónicos y correos electrónicos que normalmente son privados para el público general [3:26].
- Paso 3: realizaron una selección de empleados basada en criterios estratégicos: que tuvieran acceso al sistema de control de cuentas, que llevaran poco tiempo en la empresa o que trabajaran de modo remoto. El contexto de 2020 y la pandemia de covid jugó a favor de los atacantes, ya que muchos empleados trabajaban desde casa [3:44].
¿Qué técnica usaron para robar las credenciales?
- Paso 4: llamaron a los empleados seleccionados usando la información recopilada, haciéndose pasar por el equipo de TI de Twitter [4:14].
- Paso 5: convencieron a los empleados de configurar una nueva VPN. Esta VPN redirigía el tráfico a una página de phishing, es decir, una página falsa que simulaba ser el portal real de empleados [4:30].
Cuando los empleados introducían sus credenciales en esta página falsa, los atacantes las capturaban en tiempo real. Pero había un obstáculo adicional: el segundo factor de autenticación (2FA). La página de phishing también lo solicitaba, y en cuanto el empleado lo introducía, los hackers lo utilizaban inmediatamente en el portal legítimo, logrando así acceso completo al sistema de administración [4:56].
El propio cofundador de Twitter, Jack Dorsey, reconoció públicamente el incidente afirmando que todos se sentían terribles por lo sucedido [2:48].
¿Cómo protegerte ante ataques de ingeniería social?
La primera línea de defensa es la conciencia: saber que estos ataques existen y entender cómo funcionan ya reduce significativamente el riesgo [5:30]. Además, es fundamental capacitarse de forma constante sobre las nuevas técnicas de ciberseguridad que surgen continuamente.
Otro principio clave es adoptar un enfoque de zero trust, que significa no confiar en nada ni en nadie por defecto [5:48]. Este modelo parte de la premisa de que cualquier solicitud, llamada o mensaje debe ser verificado antes de actuar, sin importar quién parezca ser el remitente.
Si alguna vez has presenciado o vivido un ataque de ingeniería social en tu entorno laboral, comparte tu experiencia en los comentarios. Aprender de casos reales es una de las mejores formas de fortalecer la seguridad colectiva.
