La mayor vulnerabilidad de cualquier sistema de seguridad, como saben los expertos, es el ser humano. Teniendo en cuenta este dato, la ingeniería social es la técnica de manipulación psicológica que usan los delincuentes digitales para presionar a sus víctimas haciéndoles entregar información confidencial y abrir puertas que ningún ciberdelincuente podría forzar con un software por avanzado que sea.
En efecto, el punto débil de cualquier sistema de seguridad no es un acceso mal protegido o un programa desactualizado, sino la confianza de un ser humano en otro. Teniendo claro que este es el eslabón más débil, la técnica cibernética de intrusión física consiste en capitalizar la amabilidad, la prisa o el miedo de los empleados, los conserjes y los visitantes para acceder a un recinto, un servidor o un archivo de datos críticos.
En formato digital, la ingeniería social es la capacidad de manipular a las personas para que entreguen información confidencial. Trasladada al mundo presencial, esta técnica se convierte en la técnica de intrusión física más peligrosa por lo rentable que les resulta a los delincuentes.
Qué es una intrusión física mediante ingeniería social
La técnica clásica es tan simple como eficaz. Un individuo con un chaleco de mantenimiento y un portapapeles espera junto a la puerta de una oficina. Cuando sale un empleado a la calle, el intruso comenta que olvidó su credencial y, con una sonrisa apenada, entra aprovechando que la puerta sigue abierta durante unos segundos. Una vez dentro, el atacante camina por pasillos donde no debería estar, pudiendo hacer fotos a las pantallas, conectar un dispositivo a un puesto de trabajo desatendido y copiar las contraseñas escritas en notas adhesivas.
Por lo tanto, una intrusión física mediante ingeniería social ocurre cuando un intruso utiliza el engaño, la persuasión y la manipulación psicológica para superar las barreras de seguridad de un edificio o instalación. En lugar de hackear un servidor a distancia, el ciberdelincuente camina por la puerta principal de la empresa. El objetivo es simple: obtener acceso directo a los equipos informáticos, conectar dispositivos dañinos o robar documentos impresos con datos sensibles.
Otras variantes incluyen llamar a recepción suplantando al director de sistemas y pedir urgentemente la clave del correo y dejar varios dispositivos USB dañinos en zonas de alto tránsito, confiando en la probabilidad de que un trabajador de la empresa las conecte por curiosidad. El objetivo es siempre el mismo: convertir a un empleado en un sistema de acceso involuntario.
Técnicas clásicas de acceso físico
Por lo general, los atacantes suelen aprovechar la empatía y el deseo de ayudar de los empleados, pudiendo asumir roles autoritarios en algunas ocasiones. Entre las tácticas más usadas destacan estas:
- Rastreo (tailgating o piggybacking). El intruso sigue de cerca a un empleado hasta que abre una puerta con su tarjeta de acceso, colándose antes de que se cierre.
- Urgencias o necesidades fingidas. El delincuente se disfraza de repartidor, técnico de mantenimiento o auditor de seguridad. Con una identidad falsa y una actitud segura, convence al personal para que le permita el paso a zonas restringidas.
- Autoridad impostada. Fingir ser un alto ejecutivo que olvidó su credencial y exige entrar de urgencia, presionando al recepcionista mediante el miedo.
Para reconocer estas intrusiones hay pistas que no debes ignorar. Personas que no reconoces caminando con actitud huidiza por zonas restringidas, desconocidos que hacen demasiadas preguntas sobre los sistemas internos, visitantes sin credencial visible y llamadas telefónicas que presionan para obtener respuestas inmediatas. La excusa de la urgencia quizá sea el indicio más constante: los atacantes crean presión emocional para impedir que la víctima piense con calma.
Cómo proteger tu empresa
La autoprotección empresarial empieza con la concienciación de la plantilla. Los empleados tienen que entender que es necesario verificar la identidad de cualquier persona ajena, por molesto que resulte. Para reducir la superficie de ataque hay que incorporar rutinas de acompañamiento a los visitantes, credenciales con distintos niveles de acceso, políticas de desconexión de equipos y gestores de contraseñas seguros.
Para combatir la ingeniería social física, las empresas deben implementar una estrategia de seguridad integral:
- Cultura de concienciación. Capacitar al personal para que cuestione la presencia de extraños y verifique las identidades.
- Rutinas de acceso estrictas. Prohibir terminantemente dejar pasar a nadie sin credencial, sin excepciones.
- Control de visitantes. Mantener un registro riguroso y asegurar que los contratistas externos estén siempre acompañados.
También conviene simular intrusiones controladas para medir la resistencia real del personal. Los resultados suelen ser reveladores. Abundan las empresas con una seguridad tecnológica impecable, pero donde puede entrar cualquiera con una gorra de repartidor y una actitud amable. La ingeniería social gana siempre se abre camino allí donde los buenos modales ganan a la precaución.
La entrada Ingeniería social: La técnica cibernética de intrusión física se publicó primero en Seguritecnia.
