Todas las personas en algún punto de su vida, conscientemente o no han utilizado técnicas de ingeniería social para cumplir sus objetivos cualesquiera que sean estos, en el área de la seguridad informática, la ingeniería social se define como «la práctica de obtener información confidencial a través de la manipulación de usuarios legítimos», pero este significado se puede quedar corto para todos los usos que se le dan a esta técnica.
Tabla de Contenido
En la ingeniería social no es necesario el uso de recursos tecnológicos, pero cuando se usa una combinación de herramientas de software/hardware junto a técnicas de ingeniería social el porcentaje de éxito suele ser bastante elevado, en la charla «Hackeando en Capa 8, Introducción al Human OS» del Ingeniero Hugo Bayona, aprenderemos a identificar todos los rastros.
<>
Actualización 2026: la ingeniería social sigue siendo la puerta de entrada favorita de los atacantes
Más de una década después de publicada esta nota, los datos confirman que el factor humano sigue siendo el eslabón más explotado: según el Verizon Data Breach Investigations Report 2024 (DBIR), el elemento humano no malicioso —una persona que comete un error o cae víctima de un ataque de ingeniería social— estuvo presente en el 68% de las brechas analizadas.
El phishing por correo sigue siendo la técnica más común, pero el repertorio se amplió: el vishing (llamadas de voz fraudulentas), el smishing (mensajes de texto maliciosos) y el fraude BEC (compromiso del correo corporativo para autorizar pagos o transferencias) usan hoy la misma manipulación descrita en este artículo, apoyada en información pública de redes sociales y, cada vez más, en voces e imágenes generadas por inteligencia artificial.
La lección no cambió: la tecnología ayuda, pero la prevención y el conocimiento —las armas que recomendaba la nota original— siguen siendo la primera línea de defensa.
Otras notas sobre el tema:
Actualización 2026: cómo defenderse hoy — simulación y autenticación resistente al phishing
Las organizaciones que mejor resisten la ingeniería social combinan dos medidas. La primera es el entrenamiento continuo con simulaciones de phishing: el propio DBIR 2024 reporta que el 20% de los usuarios identificó y reportó correos de phishing en ejercicios de simulación, una señal de que la cultura del reporte funciona cuando se entrena.
La segunda es reducir el valor de las credenciales robadas con autenticación multifactor resistente al phishing, como las passkeys basadas en FIDO2: según la FIDO Alliance, las passkeys están criptográficamente vinculadas al sitio legítimo, por lo que no pueden reutilizarse en un sitio de phishing aunque el usuario sea engañado. La agencia estadounidense CISA también recomienda aplicar autenticación multifactor resistente al phishing en sus guías de mitigación.
- Verifica siempre por un segundo canal cualquier solicitud urgente de dinero, datos o accesos.
- No uses factores débiles (SMS o correo) para cuentas críticas: migra a passkeys o llaves de seguridad FIDO2.
- Reporta los intentos de phishing a tu equipo de seguridad: el reporte oportuno frena la propagación del incidente.
¿Tu equipo está preparado contra la ingeniería social?
En DragonJAR ayudamos a las organizaciones a medir y fortalecer su eslabón humano: pruebas de phishing controlado, formación en concienciación y evaluaciones de seguridad que revelan cómo respondería tu equipo ante un ataque real.
Conoce nuestros servicios de seguridad informática y conversemos sobre cómo proteger a tu organización.
