Ingeniería social: el arte de la manipulación humana

A lo largo de muchos años de trabajo profesional en el mundo jurídico, he visto derrumbarse muchos muros de defensa. Cajas fuertes de acero han sido abiertas, sistemas de cifrado sofisticados han colapsado bajo ataques cibernéticos y los muros de hormigón no siempre han logrado detener a ladrones decididos. Como se puede constatar en los casos que llegan a tratamiento legal, la fortaleza más poderosa y la más débil al mismo tiempo es la mente humana.

En el mundo de la ciberseguridad se suele decir que "no existe un parche de software para la estupidez". Se puede disentir del término "estupidez". La vasta experiencia profesional enseña que las víctimas no son estúpidas; son humanas. La ingeniería social (Social Engineering) no es hackear una computadora; es hackear a una persona. Es el arte de aprovechar rasgos humanos —confianza, deseo de ayudar, obediencia a la autoridad y miedo a la pérdida— para convertir a las personas en colaboradores sin que lo sepan. Si en capítulos anteriores abordamos los motivos emocionales como la soledad o la codicia, este capítulo se sumergirá en la mecánica del "cómo": cómo un estafador construye una realidad alternativa en la que usted se convierte en la llave de su propia caja fuerte.

La última fortaleza: la historia de Michal

El siguiente escenario es un ejemplo pedagógico basado en patrones de fraude comunes. Los personajes y los eventos están destinados únicamente a la ilustración.

Michal (nombre ficticio) es una contable veterana en una empresa de alta tecnología. Es una mujer aguda, de esas que detectan un error de dos séqueles en un balance anual desde un kilómetro de distancia. Un martes, a las 14:30, mientras estaba inmersa en informes trimestrales, su teléfono vibró. En la pantalla apareció el nombre: "Bank Leumi – Centro de Seguridad".

"Hola, habla Alon del departamento de ciberseguridad del banco", dijo una voz masculina, tranquila y autorizada al otro lado. "¿Hablo con Michal?"

"Sí, soy yo", respondió Michal, con el corazón dando un vuelco.

"Michal, acabamos de detectar un intento de retiro inusual de su cuenta por un importe de 14.500 NIS a favor de una billetera digital en el extranjero. ¿Ha realizado usted dicha operación en los últimos minutos?"

"¿Qué? ¡Por supuesto que no! Estoy en la oficina, no he tocado la cuenta", la voz de Michal temblaba.

"No se preocupe, para eso estamos nosotros", la tranquilizó Alon. "Hemos bloqueado la operación temporalmente, pero para cancelarla definitivamente y volver a asegurar la cuenta, le enviaré ahora un código de verificación temporal a su móvil. Por favor, léamelo para que pueda restablecer su acceso".

En cuestión de segundos, llegó un SMS a Michal. En el encabezado del mensaje decía "Bank Leumi". Michal leyó el código. Sintió un alivio inmenso; el banco la estaba protegiendo.

"Excelente, Michal. Ahora, para asegurarnos de que no hay un programa espía en su dispositivo que les permita ver sus contraseñas, le pido que descargue una pequeña aplicación de asistencia remota llamada AnyDesk. Esto permitirá que nuestro técnico escanee el dispositivo y se asegure de que esté limpio".

Michal, bajo una presión total por la idea de que alguien estaba "dentro" de su teléfono, hizo lo que él le pidió. Vio el cursor del ratón en su teléfono moverse por sí solo. "No se preocupe", dijo Alon, "nuestro técnico está trabajando ahora. Tomará unos minutos. Mientras tanto, transfiramos su saldo a una 'cuenta de protección' temporal que hemos creado para usted en el Banco de Israel, hasta que le emitamos nuevas tarjetas".

Solo una hora después, cuando Michal intentó entrar en su aplicación bancaria y descubrió que estaba bloqueada, y cuando su marido le preguntó por qué se habían transferido 80.000 NIS de su cuenta conjunta, la realidad la golpeó. No hubo ningún "Alon", ningún "Centro de Seguridad", y el número que apareció en la pantalla era probablemente una falsificación tecnológica llamada Spoofing. En un escenario como este, la víctima no es asaltada a punta de pistola; ella abre la puerta, entrega las llaves e incluso a veces agradece al agente hostil por su ayuda.

La anatomía del hackeo de la conciencia: ¿cómo funciona?

La ingeniería social suele ser un guion planificado en el que el estafador actúa como "director". El proceso se basa en etapas conocidas por los profesionales del sector:

1. Recopilación de información (Reconnaissance)

Los estafadores pueden llevar a cabo una investigación previa. Revisan perfiles en redes sociales, identifican lugares de trabajo, conexiones sociales y, a veces, incluso la institución financiera donde la víctima mantiene su cuenta. En muchos escenarios, la información se utiliza para crear un disparador emocional que impulse a la víctima a actuar rápidamente.

2. Establecimiento de contacto y creación de credibilidad (Pretexting)

Esta es la etapa del "pretexto". Se utiliza una identidad que otorga autoridad, como "centro de seguridad", "agente de la ley" o "representante técnico". El uso de un lenguaje profesional está diseñado para reducir la autocrítica de la víctima y fomentar la obediencia.

3. El aprovechamiento (The Interaction)

En esta etapa, la manipulación psicológica llega a su apogeo, utilizando elementos como:

• Urgencia (Urgency): Creación de presión de tiempo diseñada para anular el pensamiento lógico.
• Autoridad (Authority): Aprovechamiento de la tendencia natural a obedecer a instituciones o titulares de cargos.
• Ayuda mutua: Presentar al agente hostil como un "salvador" que actúa en beneficio de la víctima.

4. La salida (The Exit)

La operación suele terminar de una manera que no despierta sospechas inmediatas, para permitir el blanqueo de capitales o su transferencia antes de que la víctima comprenda lo que ha sucedido y acuda a las autoridades pertinentes.

Aspectos legales: evaluación de la responsabilidad en casos de fraude

Aquí entramos en el campo minado legal que caracteriza a estos casos. La pregunta central es si la institución financiera asume la responsabilidad cuando el cliente realizó o autorizó la operación como consecuencia de un fraude.

En Israel, la ley relevante es la Ley de Servicios de Pago, 2019. El artículo 25 de la ley aborda la responsabilidad por una "operación sin autorización", sin embargo, la aplicación legal puede ser compleja y depende de las circunstancias.

Un argumento común de las instituciones financieras es que la entrega de un código de verificación constituye "negligencia grave". Sin embargo, en un examen legal profesional, es posible evaluar el deber de cuidado del banco. Se puede comprobar si los sistemas detectaron actividad inusual, si los importes de la transferencia coinciden con el patrón habitual de actividad y si la institución tomó medidas suficientes para evitar la suplantación de identidad en su nombre.

El análisis de las opciones legales revela que, en ciertos casos, el tribunal puede reconocer la ingeniería social como un factor que influye en la distribución de la responsabilidad. Si el estafador utilizó medios tecnológicos avanzados, es posible que se pueda considerar una reducción de la responsabilidad del cliente. No obstante, las probabilidades legales siempre dependen de las circunstancias específicas, las pruebas y las representaciones presentadas en tiempo real.

Ingeniería social en las organizaciones: aspectos de responsabilidad

Las empresas pueden verse afectadas por patrones como el "fraude al CEO" (CEO Fraud), que explota la jerarquía organizativa. En tales casos, surge la cuestión de la responsabilidad legal del empleado frente al empleador. Por regla general, la tendencia legal es examinar si el empleado actuó con malicia o negligencia grave, teniendo en cuenta los procedimientos de la organización y los sistemas de protección implementados en ella.

Las herramientas del ingeniero social: glosario de términos

• Phishing (pesca de datos): Mensajes distribuidos masivamente con el objetivo de encontrar víctimas.
• Spear Phishing: Phishing dirigido y personalizado para una víctima específica.
• Vishing (Voice Phishing): Fraude basado en el uso de la voz para generar confianza.
• Smishing: Fraude a través de mensajes SMS.
• Baiting (cebo): Oferta de un beneficio para provocar el clic en un enlace malicioso.

Señales de advertencia: identificación de intentos de manipulación

La ingeniería social incluirá a menudo señales tales como:

• Contacto proactivo: Comunicación iniciada por alguien a quien usted no llamó primero.
• Creación de pánico o urgencia: Uso de términos como "urgente" u "obligatorio actuar ahora".
• Solicitud de información sensible: Petición de un código de verificación, contraseña o datos personales sensibles.
• Solicitud de instalación de software: Exigencia de descargar programas de control remoto para "soporte".
• Desviación de los procedimientos: Solicitud de transferencia de fondos a cuentas desconocidas o para el uso de criptomonedas.

Pasos recomendados en caso de sospecha de fraude

1. Corte de contacto: Interrupción inmediata de la comunicación.
2. Verificación independiente: Contacto con la institución pertinente a través de canales oficiales y verificados solamente.
3. Denuncia y bloqueo: Notificación inmediata al banco y a la compañía de tarjeta de crédito para congelar la actividad.
4. Seguridad de cuentas: Cambio de contraseñas desde un dispositivo independiente y seguro.
5. Presentación de denuncia: Acudir a la Policía de Israel para documentar el evento.
6. Documentación: Recopilación de toda la información, mensajes y registros de llamadas.

Aspecto legal de cierre

Afrontar a las instituciones financieras en casos de ingeniería social requiere una comprensión legal profunda. El deber de lealtad del banco hacia el cliente es una obligación significativa en la ley israelí, y se pueden evaluar opciones para la recuperación de fondos según las circunstancias del caso.

La evaluación de la responsabilidad incluye la comprobación de los sistemas de protección, la identificación de fallos en la prevención de la suplantación y la respuesta de la institución en tiempo real. En escenarios posibles, tras el examen de las pruebas, las partes pueden evaluar diferentes soluciones legales. Es importante recordar que ser víctima de un fraude es el resultado de una manipulación profesional, y el camino para evaluar los derechos legales comienza con un análisis preciso de los hechos y la defensa de los derechos otorgados por la ley.