Ingeniería Social: Técnicas, Ataques y Cómo Defenderse en 2026

¿Qué es la Ingeniería Social y por Qué es el Vector de Ataque N.º 1?

La ingeniería social es la disciplina que manipula a las personas para que revelen información confidencial, ejecuten acciones maliciosas o vulneren controles de seguridad. A diferencia de las explotaciones técnicas que aprovechan fallas en software, la ingeniería social explota la naturaleza humana: nuestra tendencia a confiar, a obedecer autoridades y a responder ante presión temporal.

Según el Verizon Data Breach Investigations Report (DBIR) 2025, el 68 % de las brechas de seguridad involucran un componente humano, y el phishing sigue siendo la técnica inicial de acceso más utilizada. No importa cuánto inviertas en firewalls, EDR o segmentación de red: si un empleado puede ser engañado para introducir credenciales legítimas en un panel falso, toda esa infraestructura técnica queda neutralizada.

Los vectores de ataque se organizan en tres categorías: técnico (malware, exploits, 0-days), humano (phishing, vishing, pretexting) y organizacional (políticas débiles, cultura laxa). La ingeniería social conecta el vector humano con los otros dos, ya que un empleado engañado puede entregar acceso que neutraliza controles técnicos y explota debilidades organizacionales.

La ingeniería social es especialmente peligrosa porque:

No necesita acceso técnico: solo una conexión telefónica, un correo electrónico o una interacción presencial.
Escala masivamente: una campaña de phishing puede alcanzar millones de objetivos con coste mínimo.
Bypasea controles técnicos: MFA, firewalls y EDR no detienen a alguien que voluntariamente entrega sus credenciales.
Evoluciona con la IA: los deepfakes de voz y vídeo permiten suplantar a ejecutivos en tiempo real, algo impensable hace tres años.

La Psicología Detrás de la Ingeniería Social

Robert Cialdini identificó en su obra Influence: The Psychology of Persuasion seis principios fundamentales de persuasión. Los atacantes los combinan de forma sistemática para maximizar sus tasas de éxito.

Los Seis Principios de Cialdini Aplicados al Ataque

Principio	Definición	Ejemplo de ataque	Señal de alerta
Autoridad	Tendemos a obedecer figuras de poder	Correo suplantando al CEO pidiendo transferencia urgente	Solicitud inusual vía email sin verificación verbal
Urgencia	Respondemos ante presión temporal	"Tu cuenta será bloqueada en 2 horas"	Plazos irreales para acciones financieras
Escasez	Valoramos más lo que es limitado	"Solo quedan 3 licencias, actúa ahora"	Ofertas que no puedes verificar internamente
Prueba social	Seguimos lo que otros hacen	"127 personas de tu empresa ya completaron el formulario"	Links masivos sin contexto verificable
Reciprocidad	Sentimos obligación de devolver favores	Atacante ofrece "ayuda técnica" y luego pide acceso	Extraños ofreciendo asistencia no solicitada
Compromiso	Mantenemos coherencia con acciones previas	"Ya aceptaste los términos, solo falta firmar aquí"	Escalamiento gradual de peticiones aparentemente inocentes

Principios Adicionales Utilizados por Atacantes Avanzados

Principio	Aplicación
Miedo (Fear Appeal)	Notificación de auditoría fallida que requiere "corrección inmediata"
Curiosidad	Asunto de email: "Documentos adjuntos del comité de remuneración"
Confianza (Rapport)	Atacante construye relación durante semanas antes de explotarla
Compasión	Suplantar a un compañero en situación de emergencia personal
Culpa	"Tu omisión causó el problema, necesito tu ayuda para corregirlo"

Flujo del ataque: Reconocer (OSINT) → Construir confianza → Explotar principio de persuasión → Acción (clic, transferencia, credenciales)

El atracador experto no se limita a un principio: combina varios simultáneamente. Un ataque de spear-phishing dirigido a un director financiero podría usar autoridad (suplantar al CEO), urgencia ("el cierre es hoy"), y prueba social ("María ya procesó su parte").

Tipos de Ataques de Ingeniería Social

Phishing

El phishing es la técnica más extendida y diversa. No es un solo ataque, sino un espectro completo.

Phishing Masivo (Email)

El atacante envía correos genéricos a miles de destinatarios. La personalización es mínima, pero el volumen compensa la baja tasa de conversión (típicamente 0,1 % – 3 %).

De: soporte@micr0soft-support.com
Para: usuario@empresa.com
Asunto: ⚠️ Acción requerida: Su cuenta será suspendida

Estimado usuario,

Hemos detectado actividad sospechosa en su cuenta.
Para evitar la suspensión permanente, verifique sus
credenciales en el siguiente enlace:

→ https://micr0soft-secure-login.com/verify

Tiene 48 horas antes de que su cuenta sea bloqueada.

Atentamente,
Equipo de Soporte de Microsoft

Señales detectables:

Dominio spoofeado (micr0soft en lugar de microsoft)
Urgencia artificial (48 horas)
Enlace a dominio no oficial
Saludo genérico ("Estimado usuario")
Falta de firma corporativa completa

Spear-Phishing

El spear-phishing personaliza el ataque usando información específica de la víctima: su nombre, cargo, proyectos recientes, contactos. La investigación previa (OSINT) es crítica.

Elemento genérico (Phishing)	Elemento personalizado (Spear-Phishing)
"Estimado usuario"	"Hola Carlos, vi tu presentación en el comité de ayer"
Enlace genérico	Referencia a un proyecto real de la empresa
Remitente genérico	Suplantación de un conocido real
Asunto vago	Asunto contextualizado al rol de la víctima

Whaling

Whaling es spear-phishing dirigido a objetivos de alto valor: CEO, CFO, CTO, consejeros delegados. El impacto potencial es enorme porque estos usuarios tienen acceso a sistemas y decisiones financieras críticas.

Características distintivas del whaling:

Mayor tiempo de investigación (semanas o meses)
Lenguaje formal y ejecutivo
Referencia a información privilegiada (fusiones, resultados trimestrales)
Peticiones de alto valor económico (transferencias bancarias, adquisiciones)
Suplantación de abogados, bancos o reguladores

Clone Phishing

El atacante replica un correo legítimo que la víctima ya recibió, reemplazando los enlaces o adjuntos por versiones maliciosas. Es especialmente peligroso porque la víctima ya confía en el formato y contexto del mensaje original.

Flujo del ataque:

Atacante intercepta o roba copia de un email legítimo (ej: notificación de facturación)
Replica el email exactamente
Reemplaza enlaces/adjuntos por versiones maliciosas (empresa.com → empresa-secure.com)
Envía como "actualización" o "corrección" del email original
Víctima piensa: "Ya vi este correo, es legítimo" → clic sin verificar

Vishing (Voice Phishing)

El vishing utiliza llamadas telefónicas para engañar a las víctimas. Con la automatización y los números VoIP, los atacantes pueden generar llamadas masivas con identificación spoofed.

Guion de Llamada de Vishing (Ejemplo Realista)

Atacante: (llama desde número spoofed del IT)
"Hola, habla Martín del departamento de TI. Estamos realizando
una auditoría de seguridad y necesitamos verificar tu acceso
al sistema corporativo. ¿Confirmas tu nombre completo?"

Víctima: "Sí, soy Ana García del Marketing"

Atacante: "Perfecto, Ana. Para verificar tu identidad, necesito
que me confirmes tu usuario de red. ¿Es agarcia@empresa?"

Víctima: "Sí, es correcto"

Atacante: "Gracias. Ahora, para completar la verificación,
necesito que accedas al portal de autenticación. Te envío un
SMS con un enlace. Solo necesito que me confirmes el código
de 6 dígitos que recibas."

[En este punto, el atacante inicia sesión con las credenciales
de la víctima y necesita el MFA]

Víctima: (recibe código MFA, lo comunica telefónicamente)

→ Resultado: Acceso completo a la cuenta corporativa

Técnicas avanzadas de vishing:

Caller ID spoofing: mostrar el número interno de la empresa o el del CEO
Grabación de voz automatizada: IVR falso que pide credenciales
Urgencia de emergencia: "Tu hijo ha tenido un accidente, necesitamos datos para localizarlo"
FBI/IRS/Police impersonation: suplantar autoridades gubernamentales

Smishing (SMS Phishing)

Los ataques por SMS han crecido un 328 % desde 2023 según el informe de Proofpoint. La tasa de clics en SMS es del 19 %, frente al 3 % del email.

Características del smishing:

Mensajes cortos y directos (limitación de caracteres del SMS)
Enlaces acortados que ocultan el dominio real
Suplantación de servicios de entrega (Correos, DHL, Amazon)
Notificaciones bancarias falsas
Verificación de cuenta falsa

Ejemplo de smishing:

Correos: Su paquete #ES-78421 no pudo entregarse. Para reprogramar visite: correos-es.live/r/78421 Responda STOP para cancelar

Señales: dominio falso (correos-es.live en lugar de correos.es), enlace acortado que oculta el dominio real, urgencia de entrega.

Pretexting

El pretexting construye un escenario falso (pretexto) completamente elaborado para justificar la solicitud de información. A diferencia del phishing, el pretexting puede ocurrir por múltiples canales simultáneamente.

Escenario Detallado: Pretexting para Robo de Datos

El atacante se hace pasar por un auditor externo de KPMG. Registra el dominio kpmg-audit-portal.com, crea un email falso (j.rodriguez@kpmg-audit) y un perfil falso de LinkedIn. Tras dos semanas de preparación, contacta al CFO con un email formal: "Somos KPMG, realizaremos la auditoría anual el próximo martes. Necesitamos acceso remoto a SAP para la revisión preliminar."

Fase	Acciones del atacante
1 — Preparación (2 sem)	Registrar dominio, crear email falso, investigar empleados vía LinkedIn, crear perfil falso
2 — Contacto inicial	Email al CFO con pretexto de auditoría anual, solicitud de acceso remoto a SAP
3 — Escalamiento	Llamada telefónica para "confirmar", envío de PDF con logotipo robado de KPMG, solicitud de credenciales temporales
4 — Explotación	Acceso remoto al sistema financiero, exfiltración de datos, instalación de puerta trasera

Resultado: 150,000 registros de clientes comprometidos.

Baiting (Cebo)

El baiting utiliza una promesa tentadora para atraer a la víctima. Es común en ataques físicos pero también se aplica digitalmente.

Tipo de baiting	Descricción	Ejemplo
USB drop	Dispositivos USB abandonados en zonas públicas	USB con logotipo de la empresa en el parking, etiquetado "Salarios 2026 Q2"
WiFi rogue	Puntos de acceso falsos	"CoffeeShop_Free_WiFi" en una cafetería cerca de la oficina
Software gratuito	Aplicaciones maliciosas disfrazadas	"Descarga gratuita de Office activado" en foros
Descarga P2P	Archivos infectados en redes de compartición	Torrent con nombre de software corporativo

Ejemplo de USB drop con payload:

# El atacante prepara el USB con un script autorun
# (simulado con fines educativos)

# Archivo: update.ps1 (oculto en el USB)
$shell = New-Object -ComObject WScript.Shell
$shortcut = $shell.CreateShortcut("C:\Users\Public\update.lnk")
$shortcut.TargetPath = "C:\Windows\System32\cmd.exe"
$shortcut.Arguments = "/c powershell -ep bypass -enc <payload_base64>"
$shortcut.Save()

# El USB contiene además un PDF legítimo para reducir sospechas
# Al insertar el USB, el usuario hace clic en "update" pensando
# que es una actualización de drivers

Tailgating y Piggybacking

El tailgating es el acceso físico no autorizado siguiendo a una persona autorizada. El piggybacking es similar pero con consentimiento de la víctima (que cree estar ayudando).

Escenario típico: Un atacante se acerca a una puerta con tarjeta justo después de que un empleado legítimo la abre. Lleva las manos llenas de cajas o un café para parecer inofensivo y pide: "¿Me sostienes la puerta?". El empleado, por cortesía, lo hace sin verificar identidad.

Táctica del atacante	Señal de alerta
Lleva las manos llenas de cajas/café para generar cortesía	Persona desconocida con carga que impide usar tarjeta
Pide amablemente: "¿Me sostienes la puerta?"	Solicitud de favor que evita el control de acceso
Usa chaleco de empresa y gafete falsificado	Uniforme genérico, gafete sin foto o de otra área
Llega a la hora de mayor movimiento (lunch, cambio de turno)	Timing coincide con horas pico de flujo de personas
Espera junto a la puerta sin credenciales visibles	Persona que no usa tarjeta ni código de acceso

Watering Hole

El atacante identifica un sitio web frecuentado por el objetivo (portal de la industria, foro interno, plataforma de formación) y lo compromete para inyectar malware que se ejecuta solo en visitantes específicos.

Caso clásico: Atacantes comprometieron el sitio web de una asociación sectorial de energía. Todos los visitantes que accedían desde IPs de empresas del sector recibían un exploit de Java que instalaba un backdoor.

Business Email Compromise (BEC)

El BEC es la evolución sofisticada del phishing, responsable de pérdidas superiores a $50 mil millones según el FBI IC3 en 2025.

Variantes del BEC:

Variante	Descripción	Impacto promedio
CEO Fraud	Suplantar al CEO para ordenar transferencias	$125,000
Account Compromise	Cuenta de empleado comprometida usada para solicitar pagos	$50,000
Attorney Impersonation	Suplantar abogado para urgencia legal	$75,000
Data Theft	Robo de datos de empleados (W-2, nóminas)	Variable
Vendor Email Compromise	Suplantar proveedor con datos bancarios actualizados	$120,000

Deepfakes e Ingeniería Social con IA

2024 marcó un punto de inflexión. El caso de Microsoft demostró que un video deepfake de un ejecutivo puede usarse en una videollamada para ordenar una transferencia de $25 millones.

Evolución de los deepfakes para ataque:

Año	Evolución	Detección humana	Coste de generación
2019	Vídeos de cara maliciosos (obviamente falsos)	~95%	Alto
2021	Vídeos mejorados con GANs	~70%	Medio
2023	Deepfakes de voz convincentes	~50%	< $50
2024	Vídeo + voz en tiempo real (caso Microsoft: $25M robados)	~35%	Bajo
2025-2026	Multi-modal (texto + voz + vídeo), herramientas open-source accesibles	< 30% sin herramientas	Muy bajo

Ejemplo de guion para ataque con deepfake de voz:

Atacante (voz sintética del CEO al CFO): "Carlos, hablo desde el aeropuerto. Acabo de cerrar la adquisición y necesito que proceses una transferencia urgente al abogado de la otra parte. El monto es $25 millones. Ya te envié los datos por email desde mi cuenta personal. No puedo hablar más, estoy subiendo al avión. Confío en ti para gestionar esto. Hablamos cuando aterrice."

El CFO reconoce la voz y el contexto de la adquisición que se había discutido internamente. Resultado: transferencia de $25 millones a cuentas controladas por los atacantes. Referencia real: caso Arup Hong Kong, febrero 2024.

Casos Reales: Lecciones Aprendidas

Twitter (2020) — Ingeniería Social Interna

Lo que pasó: Atacantes contactaron telefonicamente a empleados de Twitter suplantando al departamento de IT interno. Lograron obtener acceso a herramientas administrativas internas (SAMURAI, GHETTO BIRD) que permitían tomar control de cuentas verificadas.

Cuentas comprometidas: Barack Obama, Elon Musk, Bill Gates, Apple, Uber — todas tuitearon una estafa de Bitcoin.

Lección clave: Los controles de acceso privilegiado deben incluir verificación multifactor y auditoría de accesos, incluso para solicitudes internas.

Datos del ataque:

Fecha	Evento
15 Jul	Atacante contacta empleados por teléfono
15 Jul	Empleados revelan credenciales internas
15 Jul	Acceso a panel administrativo de cuentas
15 Jul	130 cuentas comprometidas
15 Jul	45 cuentas usadas para enviar tweets de Bitcoin
15 Jul	5 cuentas descargan datos privados (DM)
30 Jul	FBI arresta a 3 sospechosos

Daño estimado: $1.2M directo + daño reputacional. Método: Vishing interno + pretexting de IT.

Ubiquiti Networks (2020) — BEC Catastrófico

Lo que pasó: Empleados de finanzas de Ubiquiti fueron víctimas de un Business Email Compromise que resultó en la transferencia de $46.7 millones a cuentas de atacantes.

Mecanismo: Los atacantes suplantaron a ejecutivos de la empresa y engañaron al personal de finanzas para procesar múltiples transferencias internacionales.

Lección clave: Las transferencias de alto valor requieren verificación out-of-band (llamada a número conocido, no el proporcionado en el email) y aprobación multinivel.

MGM Resorts (2023) — Vishing + Physical Access

Lo que pasó: El grupo de ransomware ALPHV/BlackCat, con ayuda de Scattered Spider, utilizó vishing para engañar a un empleado de helpdesk de MGM Resorts. El atacante llamó, suplantó a un empleado legítimo (encontrado vía LinkedIn), y obtuvo credenciales de acceso a Active Directory.

Impacto:

Todos los sistemas de MGM caídos durante 10 días
Pérdida de $100 millones en ingresos
Reservaciones manuales en hoteles
Caída de sitios web, apps móviles y sistemas de casino
Datos personales de clientes comprometidos

Lección clave: Un único empleado sin formación adecuada puede causar cientos de millones en pérdidas. El helpdesk necesita procedimiento estricto de verificación de identidad.

Microsoft (2024) — Deepfake en Videollamada

Lo que pasó: Una empleada de finanzas de una filial asiática de Microsoft fue engañada en una videollamada de Teams donde participaban múltiples personas, todas generadas con deepfake. La empleada transfirió $25.6 millones a cuentas controladas por atacantes.

Lección clave: La verificación visual ya no es suficiente. Se necesitan protocolos de autorización independientes del canal de comunicación.

Mapeo al Marco MITRE ATT&CK

La ingeniería social no es un solo técnica en MITRE ATT&CK, sino un conjunto de técnicas distribuidas en múltiples tácticas.

Tácticas y Técnicas Relacionadas

Táctica	Técnicas MITRE	Ejemplo de uso
Reconocimiento	T1591, T1593, T1594, T1597	Recopilar nombres, emails y cargos vía LinkedIn, redes sociales y directorios corporativos
Recurso Desarrollo	T1583.001, T1585.001, T1586.002, T1608.005	Registrar dominios typosquatting, crear perfiles falsos, preparar landing pages de phishing
Acceso Inicial	T1566.001–.003, T1598, T1539	Spearphishing (adjunto, enlace, servicio), phishing para información, robo de cookies
Elevación de Privilegios	T1534	Usar cuenta comprometida para phishing interno
Evasión de Defensas	T1036	Suplantación de identidad (Masquerading)
Recolección	T1530	Acceso a datos en cloud tras compromiso de credenciales
Impacto	T1486	Ransomware tras acceso inicial por ingeniería social

Flujo de Ataque MITRE ATT&CK

El flujo típico de un ataque de ingeniería social sigue estas fases: Reconocimiento (T1591–T1597) → Recurso Desarrollo (T1583–T1608) → Acceso Inicial (T1566, T1598) → Ejecución (malware/credenciales), que puede derivar en Persistencia (T1534), Exfiltración (T1530) o Impacto directo (T1486).

OSINT: Cómo los Atacantes Investigan a sus Objetivos

Antes de lanzar un ataque de ingeniería social, el atacante realiza reconocimiento intensivo. Las fuentes de información abierta (OSINT) son la base de todo ataque personalizado.

Fuentes OSINT para Ingeniería Social

Fuente	Información obtenida	Uso en ataque
LinkedIn	Cargo, antigüedad, habilidades, conexiones, proyectos	Personalizar spear-phishing, pretexting
Twitter/X	Intereses, ubicación, rutinas, quejas	Construir rapport, contextualizar ataque
Instagram/Facebook	Vida personal, familia, viajes, horarios	Vishing emocional, timing de ataque
GitHub/GitLab	Tecnologías usadas, emails corporativos en commits	Phishing técnico, credenciales filtradas
Google dorks	Documentos internos expuestos, archivos indexados	Información privilegiada para pretexting
WHOIS/DNS	Infraestructura, subdominios, tecnologías	Clonar dominios, detectar puntos débiles
Job postings	Stack tecnológico, roles abiertos, procesos internos	Pretexting de reclutador
Glassdoor	Cultura interna, estructura organizativa	Identificar procesos explotables
Pastes/breaches	Credenciales filtradas, datos antiguos	Credential stuffing, extortion
Shodan/Censys	Servidores expuestos, servicios abiertos	Vishing de IT ("vimos tu servidor abierto")

Herramientas OSINT para Reconocimiento

# Reconocimiento de emails corporativos
# using theHarvester (simulación educativa)

# Búsqueda de subdominios y emails
theHARvester -d empresa.com -b linkedin,google,bing -l 500

# Verificación de credenciales filtradas (ethical hacking)
# using BreachDirectory API
curl -s "https://breachdirectory.org/api/search?email=target@empresa.com" \
  -H "Authorization: Bearer <token>"

# Búsqueda de información en redes sociales
# Crear un perfil falso en LinkedIn
# (Método de ataque documentado para defensa)
# 1. Crear perfil profesional genérico
# 2. Conectar con empleados objetivo
# 3. Observar contenido interno compartido
# 4. Usar información para spear-phishing

Flujo de Reconocimiento OSINT

El reconocimiento OSINT sigue cinco fases encadenadas:

Identificar objetivo: Nombre, empresa, cargo.
Recolectar información: LinkedIn (cargo, antigüedad, conexiones), redes sociales (intereses, rutinas), Google (publicaciones, documentos) y bases de datos de breaches (credenciales existentes).
Análisis de vulnerabilidad humana: ¿Publica demasiada información personal? ¿Tiene quejas laborales públicas? ¿Está en período de transición (nuevo rol)? ¿Tiene acceso a sistemas críticos?
Construir pretexto: Seleccionar principio de Cialdini, crear narrativa coherente, preparar infraestructura (dominio, email).
Ejecutar ataque: Canal seleccionado (email, teléfono, presencial) con timing óptimo (lunes mañana, viernes tarde).

Marco de Defensa contra la Ingeniería Social

La defensa contra la ingeniería social requiere un enfoque multicapa: gente, procesos y tecnología.

Capa 1: Programa de Concienciación y Formación

Según el NIST SP 800-50 Rev.1, un programa efectivo de concienciación debe incluir:

Fase	Actividad	Frecuencia
Onboarding	Formación inicial de seguridad para nuevos empleados	Al incorporarse
Refuerzo continuo	Microlearning, newsletters de seguridad	Semanal
Phishing simulations	Campañas simuladas de phishing	Mensual
Role-based training	Formación específica por rol (finanzas, IT, RRHH)	Trimestral
tabletop exercises	Simulacros de respuesta a incidentes de ingeniería social	Semestral
Evaluación	Tests de conocimiento y métricas de phishing	Mensual

Métricas clave de un programa de concienciación:

Métrica	Objetivo 2026	Fórmula
Phishing Click Rate	< 3%	(Clics ÷ Emails enviados) × 100
Report Rate	> 70%	(Reportes ÷ Emails enviados) × 100
Time to Report	< 10 min	Promedio entre envío y reporte
Training Completion	100%	Empleados formados ÷ Total empleados
Incident Reduction	-50% YoY	Comparación interanual de incidentes

Capa 2: Controles Técnicos

Configuración DMARC/DKIM/SPF

; Registro SPF para prevenir suplantación de dominio
; Archivo: empresa.com TXT
v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all

; Registro DKIM para autenticación de emails
; Selector: default._domainkey.empresa.com
default._domainkey.empresa.com  IN TXT  "v=DKIM1; k=rsa; p=MIIBIjANBg..."

; Registro DMARC con política de rechazo
; Archivo: _dmarc.empresa.com TXT
_dmarc.empresa.com  IN TXT  "v=DMARC1; p=reject; sp=reject; adkim=s; aspf=s; rua=mailto:dmarc-agg@empresa.com; ruf=mailto:dmarc-forensic@empresa.com; pct=100"

Tabla de políticas DMARC:

Política	Efecto	Recomendación
`p=none`	Solo reporta, no bloquea	Fase de monitorización inicial
`p=quarantine`	Envía a spam los emails que fallan	Fase intermedia
`p=reject`	Rechaza emails que fallan autenticación	Objetivo final

Filtros de Email Avanzados

email_filter_rules:
  - name: "Bloquear adjuntos ejecutables"
    action: block
    conditions:
      - attachment_extension: [.exe, .scr, .js, .vbs, .ps1, .bat, .cmd]
  - name: "Marcar URLs acortadas"
    action: quarantine
    conditions:
      - url_matches: ["bit.ly/*", "tinyurl.com/*", "t.co/*"]
  - name: "Alerta dominios recientes"
    action: review
    conditions:
      - domain_age_less_than: 30d
  - name: "Bloquear suplantación interna"
    action: block
    conditions:
      - from_external
      - display_name_matches: "CEO|CFO|Director"
      - spf_result: fail

MFA y Autenticación Reforzada

Método MFA	Seguridad contra phishing	Implementación
SMS OTP	Baja (interceptable)	Mínimo recomendado
TOTP (Authenticator)	Media (rotable)	Acceptable para inicio
FIDO2/Passkeys	Alta (phishing-resistant)	Objetivo recomendado
Certificate-based	Muy alta	Para usuarios privilegiados
Biometría + PIN	Alta	Para dispositivos móviles

Capa 3: Políticas Organizacionales

Checklist de Política contra Ingeniería Social

Capa 4: Respuesta a Incidentes de Ingeniería Social

El ciclo de respuesta sigue cuatro fases: Detección → Contención → Eradicación → Recuperación.

Fase	Acciones	Plazo
Detección	Reporte de empleado, alerta SIEM, análisis de logs	Inmediato
Contención	Bloquear cuenta, aislar equipo, desactivar MFA	< 1 hora
Eradicación	Revocar credenciales, limpiar malware, parchear	< 24 horas
Recuperación	Restablecer servicios, verificar integridad, lecciones	< 72 horas

Runbook de respuesta a BEC:

Fase	Plazo	Acciones clave
1 — Inmediata	0-60 min	Confirmar BEC, contactar banco, solicitar congelación de fondos, activar equipo IR, documentar evidencia
2 — Contención	1-24 h	Bloquear sesiones, revocar tokens, revisar reglas forwarding, inspeccionar cuentas vinculadas, notificar DPO
3 — Eradicación	24-72 h	Forense completa, identificar alcance, actualizar controles, implementar prevención, reportar a autoridades
4 — Recuperación	1-2 sem	Recuperar fondos, comunicar a stakeholders, lecciones aprendidas, formación adicional

Reglas de Detección

Sigma — Credential Harvesting (Phishing Login)

title: Potential Credential Harvesting via Suspicious Login
logsource: { category: authentication, product: windows }
detection:
  sel:
    EventID: [4624, 4625]
    TargetUserName|endswith: '@empresa.com'
  timeframe: 5m
  condition: sel and count(TargetUserName) by IpAddress > 5
level: high

Sigma — Vishing (Teams/Zoom Calls)

title: Suspicious External Call Pattern (Vishing)
logsource: { product: o365, service: MicrosoftTeams }
detection:
  sel: { EventType: 'CallStarted', IsIncoming: true, CallType: 'PSTN' }
  filter: { CallerInfo|contains: ['+1-800-', '+1-888-'] }
  condition: sel and not filter and count(CallerInfo) by CallerInfo > 3 within 30m
level: medium

Sigma — BEC (Email Forwarding Rules)

title: Suspicious Email Forwarding Rule (BEC)
logsource: { product: o365, service: exchange }
detection:
  sel:
    EventID: 'New-InboxRule'
    ForwardTo|contains: ['@gmail.com', '@yahoo.com', '@hotmail.com', '@protonmail.com']
  filter:
    ForwardTo|endswith: ['@empresa.com', '@empresa-partner.com']
  condition: sel and not filter
level: high

YARA — Phishing Landing Pages

rule Phishing_Landing_Page_Generic {
  strings:
    $form = "<form" ascii nocase
    $user = "type=\"email\"" ascii nocase
    $pass = "type=\"password\"" ascii nocase
    $brand = /microsoft|google|office365|outlook/ ascii nocase
    $exfil = /window\.location|eval\(|atob\(/ ascii nocase
  condition: $form and $user and $pass and $brand and $exfil
}

rule Phishing_O365_Fake_Login {
  strings:
    $fake = /login\.css|jquery\.min\.js/ ascii nocase
    $steal = /document\.cookie|XMLHttpRequest/ ascii nocase
    $real = /login\.microsoftonline\.com|login\.live\.com/ ascii nocase
  condition: $fake and $steal and not $real
}

Construyendo una Cultura de Seguridad

La tecnología y las políticas son insuficientes sin una cultura organizacional que priorice la seguridad. Una cultura de seguridad efectiva transforma a los empleados de "punto débil" a "primera línea de defensa".

Los 5 Pilares de una Cultura de Seguridad

Pilar	Descripción
Liderazgo visible	Los ejecutivos participan activamente en formación y siguen las mismas políticas
Comunicación sin culpa	Los empleados reportan errores sin miedo a represalias. "Reportar es ganar"
Recompensa y reconocimiento	Se premia a los empleados que detectan y reportan amenazas correctamente
Formación continua	Microlearning, campañas y simulacros regulares integrados al trabajo
Responsabilidad compartida	La seguridad no es solo de TI: todos son responsables de proteger la organización

Programa de Embajadores de Seguridad

Rol	Responsabilidad	Perfil
Embajador de Seguridad	Promover buenas prácticas en su equipo	1 por cada 20 empleados
Champion de Phishing	Reportar y analizar campañas de phishing	Empleado con alto engagement
Mentor de Seguridad	Apoyar a nuevos empleados en prácticas seguras	Empleado senior con formación avanzada
Reportero Activo	Reportar incidentes ynear-misses	Cualquier empleado voluntario

Calendario de Concenciación Anual

Mes	Tema	Actividad principal
Enero	Concienciación general	Kickoff del año, políticas actualizadas
Febrero	Phishing y email	Campaña de phishing simulado
Marzo	Seguridad física	Simulacro de tailgating
Abril	Protección de datos	Formación GDPR/protección de datos
Mayo	Contraseñas y autenticación	Migración a passkeys/FIDO2
Junio	Redes sociales y OSINT	Taller de exposición en redes
Julio	Ingeniería social avanzada	Simulacro de vishing
Agosto	Dispositivos móviles	Política BYOD y seguridad móvil
Septiembre	Respaldo y recuperación	Simulacro de ransomware
Octobre	Ciberseguridad (mes europeo)	Evento especial, challenge
Noviembre	Privacidad	Campaña de concienciación
Diciembre	Evaluación del año	Test final, métricas, reconocimientos

Herramientas para Profesionales de Seguridad

Herramientas Legítimas de Simulación

Herramienta	Uso	Nivel
GoPhish	Campañas de phishing simulado	Principiante
King Phisher	Phishing con landing pages personalizadas	Intermedio
Evilginx2	Simulación de credential harvesting con proxy	Avanzado
Social Engineering Toolkit (SET)	Framework completo de ingeniería social	Avanzado
Maltego	OSINT y análisis de relaciones	Intermedio
SpiderFoot	Recopilación automatizada de OSINT	Intermedio

Plataformas Comerciales de Concienciación

Plataforma	Características	Modelo de licencia
KnowBe4	Phishing sims, formación, reporting	SaaS (suscripción)
Proofpoint Security Awareness	Contenido adaptativo, métricas avanzadas	SaaS (enterprise)
Cofense	Phishing report + remediation	SaaS + on-premise
Hoxhunt	Gamificación de seguridad	SaaS
SANS Security Awareness	Contenido de expertos, certificaciones	Suscripción

Laboratorio Personal para Práctica

# Crear un entorno de práctica de ingeniería social
# (SOLO para uso educativo y con autorización)

# 1. Configurar entorno aislado
# Usar VirtualBox con red interna

# 2. Configurar servidor de phishing (GoPhish)
docker run -d -p 3333:3333 -p 8080:8080 \
  -e GOADMIN_PASSWORD=SecureP@ss123 \
  gophish/gophish

# 3. Configurar servidor DNS falso
# (Para redirigir dominios de phishing en tu laboratorio)
# Usar dnsmasq en el entorno aislado

# 4. Crear campaña de phishing simulada
# Conectar a GoPhish en https://localhost:3333
# Crear grupo objetivo (empleados simulados)
# Crear email template personalizado
# Configurar landing page con capture de credenciales

# 5. Analizar resultados
# Revisar métricas: tasa de apertura, clics, reportes
# Identificar empleados que necesitan formación adicional
# Generar reportes para el equipo de seguridad

# IMPORTANTE: Este laboratorio debe estar completamente
# aislado de la red de producción. NUNCA usar contra
# personas reales sin autorización explícita por escrito.

Resumen Ejecutivo: Defensa Multicapa contra Ingeniería Social

Capa	Componentes
5: Cultura	Liderazgo visible, sin culpa al reportar, reconocimiento, responsabilidad compartida
4: Procesos	Runbooks de respuesta, verificación out-of-band, políticas de aprobación, auditorías
3: Personas	Formación continua, phishing simulations, embajadores, microlearning
2: Controles técnicos	DMARC/DKIM/SPF, filtros de email, MFA/FIDO2, EDR, SIEM, DLP, URL filtering
1: Monitización y detección	Sigma rules, YARA, threat intelligence, análisis de logs, alertas automatizadas

La ingeniería social sigue siendo la amenaza más efectiva porque explota lo más difícil de patchear: el cerebro humano. No existe un "CVE" para la confianza ni un "firewall" para la urgencia. La defensa requiere combinación constante de formación, procesos verificables y controles técnicos que limiten el daño incluso cuando un empleado es engañado.

En 2026, con deepfakes de alta calidad y herramientas de IA accesibles, la barra para defenderse ha subido exponencialmente. Las organizaciones que inviertan en cultura de seguridad, implementen verificación out-of-band para decisiones críticas y mantengan sus empleados informados sobre las tácticas emergentes serán las que sobrevivan al siguiente ataque de ingeniería social.