No llega por correo. Llega por teléfono, con un tono amable, sabiendo el nombre de tu director y el del proveedor de internet. La ingeniería social no vulnera un sistema: convence a una persona de abrir la puerta. Estas son las cinco llamadas que más veo, y al final, la única pregunta que las frena a todas.
1. "Soy de soporte, necesito que me ayudes con una actualización"
La voz dice ser del proveedor de sistemas o de "el área de TI". Pide que le leas un código que te acaba de llegar por mensaje, o que instales "una herramienta de acceso remoto para arreglarlo rápido". Ese código es el segundo factor de tu cuenta, y la herramienta le da el control de tu equipo.
Lo que la delata: soporte real nunca te pide un código de verificación por teléfono. Nunca.
2. "Habla el licenciado, necesito una transferencia urgente"
Llaman a finanzas haciéndose pasar por el director, que "está en una junta y no puede hablar". Hay que pagar hoy a un proveedor nuevo, o se cae un contrato. A veces la llamada viene después de un correo desde una dirección parecida a la del director, para que todo cuadre.
Lo que la delata: la prisa y el canal. Un director que de verdad necesita un pago extraordinario puede esperar cinco minutos a que lo confirmes por el número que ya tienes guardado.
3. "Vengo de la paquetería, ¿me firma aquí?"
Una visita con uniforme, un paquete y un lector que pide tu firma y "tu correo para la confirmación". O un técnico "del aire acondicionado" que necesita entrar al cuarto de servidores. El uniforme hace el trabajo que en el correo hace el logo.
Lo que la delata: nadie entra a un área restringida sin que alguien de adentro lo haya pedido y lo acompañe.
4. "Le llamo del banco, detectamos un cargo sospechoso"
Es la versión telefónica del correo de phishing. Para "cancelar el cargo" piden confirmar datos de la tarjeta o un código que acaba de llegar. La voz es tranquila y profesional, y suele saber tu nombre completo.
Lo que la delata: el banco no te pide datos que ya tiene, ni códigos. Cuelga y llama tú al número que está atrás de tu tarjeta.
5. "Estamos actualizando los datos de proveedores"
Una llamada a compras o a tesorería, de "un proveedor" que cambió de banco y necesita que actualices la cuenta para el siguiente pago. Es la antesala del fraude por correo: el cambio de cuenta parece administrativo, y el dinero se va en el pago normal del mes siguiente.
Lo que la delata: un cambio de cuenta bancaria se confirma siempre por un canal distinto al que lo pidió, con la persona que ya conoces en ese proveedor.
La pregunta que las detiene a todas
"¿Le puedo regresar la llamada?" Quien llama de verdad dice que sí y te da un número que puedes verificar. Quien no, insiste en que es urgente, que no hace falta, que ya te explicó. Esa insistencia es la respuesta.
Las cinco llamadas comparten el mismo mecanismo: autoridad prestada más prisa. Un equipo entrenado no necesita reconocer cada variante. Necesita un hábito: ante una petición inusual por un canal inusual, se cuelga y se verifica por el canal de siempre. En el programa de concientización eso se practica con llamadas simuladas, y se mide por área quién verifica y quién cede.
Preguntas frecuentes
¿Qué es la ingeniería social?
Convencer a una persona de hacer algo (dar un dato, un código, un acceso o un pago) sin atacar ningún sistema. Usa autoridad prestada, confianza y prisa.
¿Qué es el vishing?
Phishing por llamada telefónica: alguien se hace pasar por soporte, banco, director o proveedor para obtener datos o acciones.
¿Cómo lo entreno en mi empresa?
Con llamadas simuladas sin aviso, una explicación inmediata a quien cede y una medición por área que suba mes a mes. Es parte del programa anual.