Explotar la confianza humana sigue siendo más efectivo que hackear código (y cómo ayuda el modelo de confianza cero).

Cuando hablamos de ingeniería social, es tentador pensar en ello como algo nuevo.  

Pero cuando hablé con el investigador de amenazas Tim Kromphardt en el podcast The Segment , describió algo mucho más sencillo sobre cómo funcionan realmente estos ataques.

Los humanos siguen rutinas.

Tim lo comparó con caminar por un campo. Con el tiempo, la gente tiende a seguir el mismo camino porque es la ruta más fácil. Nuestro cerebro hace lo mismo con las tareas cotidianas en el trabajo. Procesamos solicitudes, respondemos emails y seguimos procesos comerciales habituales sin pensar demasiado en cada paso.

Los ciberdelincuentes lo saben y emplean exactamente el mismo proceso que las personas de confianza.  

Esa observación revela algo importante sobre la ciberdelincuencia moderna. Los ataques más efectivos no rompen los sistemas, sino que siguen las mismas rutas de comunicación que ya emplean las compañías legítimas.

Precisamente por eso, la ingeniería social sigue siendo tan eficaz, incluso a medida que las herramientas de seguridad se vuelven más avanzadas.

También explica por qué el modelo de Confianza Cero es tan importante. Si los atacantes pueden explotar la confianza humana para obtener acceso, las organizaciones deben asumir que, en ocasiones, se les concederá dicho acceso.  

Por lo tanto, el verdadero objetivo de la arquitectura de seguridad no es solo prevenir la brecha de seguridad, sino limitar lo que sucede después.

La ingeniería social sigue funcionando porque los seres humanos son previsibles.

La ciberseguridad suele presentar los ataques como problemas técnicos. Las redes presentan vulnerabilidades que permiten a los atacantes inyectar malware y explotar fallos de seguridad.

Pero según Tim, las filtraciones de datos más exitosas comienzan con algo mucho más sencillo: la ingeniería social. Esto se debe a que las personas se basan en patrones y rutinas para procesar la información rápidamente.

“Tenemos maneras de simplificar las cosas que se nos presentan constantemente”, dijo Tim. “Tu cerebro sigue el mismo camino porque es el más fácil y ahorra tiempo y energía.”

Los atacantes se aprovechan de esto.  

En lugar de inventar trucos totalmente nuevos, imitan procesos legítimos. Envían emails de phishing que parecen solicitudes de compra. Los archivos PDF adjuntos se asemejan a las facturas de los proveedores. Las llamadas parecen provenir del servicio de soporte técnico informático, pero no son de una fuente legítima.

Estos ataques no rompen los sistemas. Siguen el mismo camino que la comunicación legítima. Por eso tienen éxito.

“Los ciberdelincuentes entran y emplean exactamente el mismo proceso que las personas de confianza”, dijo Tim. “Esperan que simplemente sigas la rutina.”

La clave de la estrategia de los ciberdelincuentes reside en explotar la confianza ya inherente a las operaciones comerciales habituales.

Los ciberdelincuentes acceden al sistema y emplean exactamente el mismo proceso que las personas de confianza.

Las tácticas no cambiaron, pero la escala sí.

Con todo el revuelo que rodea a la IA, mucha gente da por sentado que los atacantes están constantemente inventando nuevas técnicas.

La investigación de Tim sugiere lo contrario.

“El mecanismo para ganar la confianza de alguien no cambió realmente”, dijo. “No existe ninguna forma nueva e ingeniosa de convencer a alguien para que revele su información bancaria.”

Las tácticas siguen siendo las mismas:

• Suplantar la identidad de entidades de confianza
• Generar credibilidad
• Crear urgencia o familiaridad
• Guíe a la víctima a través de una acción rutinaria.

Lo que la tecnología cambió es la escala.

La automatización de los ataques mediante IA permite a los ciberdelincuentes enviar millones de emails, probar diferentes señuelos y perfeccionar su estrategia más rápido que nunca. Las herramientas de IA pueden generar variaciones de mensajes fraudulentos y automatizar partes de su infraestructura.

Pero el paso final aún depende de la manipulación de los seres humanos.

Incluso las estafas más sofisticadas terminan convergiendo en el mismo punto. Los atacantes deben convencer a alguien de que confíe en ellos el tiempo suficiente para transferir dinero o credenciales.

Tim lo describe como una especie de embudo. “Pueden ser creativos con los señuelos”, dijo. “Pero al fin y al cabo, todavía tienen que obtener tu información.” Así que todavía tienen que generar confianza o aprovechar la confianza que ya existe.

¿Por qué una mayor confianza implica un mayor peligro en los ciberataques?

Una de las tácticas más inquietantes que Tim está viendo ganar popularidad se conoce como matanza de cerdos.

El nombre suena extraño, pero la estrategia es brutalmente efectiva. El agresor pasa meses entablando una relación con la víctima antes de pedirle dinero.

“La idea es engordar al cerdo antes de sacrificarlo”, dijo Tim. “Generan confianza durante meses antes de pedir una gran inversión.”

El atacante puede fingir que contactó con la víctima accidentalmente a través de un mensaje de texto o de las redes sociales. A partir de ahí, la conversación avanza gradualmente. Las víctimas reciben mensajes diarios con conversaciones informales sobre la vida cotidiana. Los atacantes incluso pueden compartir fotos o videos para validar aún más la relación.

Finalmente, el atacante introduce una oportunidad de inversión. Al principio, la víctima invierte pequeñas cantidades y obtiene beneficios. El atacante incluso podría permitirles retirar pequeñas ganancias para reforzar su credibilidad.

Luego viene la verdadera petición.

Dirán que existe una gran oportunidad en la que la víctima podría duplicar o triplicar sus ganancias. “La gente acaba invirtiendo todos los ahorros de su vida”, dijo Tim.

En uno de los casos que estudió, un ejecutivo del sector tecnológico perdió siete millones de dólares. La estafa tuvo éxito no por una vulnerabilidad técnica, sino porque el atacante se ganó la confianza de los demás.

¿Por qué las personas inteligentes siguen cayendo en estafas?

Cuando estas historias salen a la luz, la primera reacción suele ser de incredulidad. ¿Cómo pudo alguien caer en eso?

Pero Tim explicó que la psicología que hay detrás de estas estafas es más compleja de lo que parece. Las personas no toman decisiones en condiciones perfectas. Están ocupados, distraídos y bajo presión, o simplemente buscan una conexión auténtica.

Para Tim, esto pone de relieve algo que muchos debates sobre seguridad pasan por alto. La ingeniería social suele funcionar porque los atacantes se centran en las necesidades humanas en lugar de en las debilidades técnicas.

“Mucha gente hoy en día busca una mayor conexión”, dijo. “Las redes sociales alejaron a las personas de las relaciones tradicionales.”

Cuando alguien parece amigable, cercano o exitoso, la confianza se genera rápidamente. Y una vez que se genera confianza, el escepticismo desaparece. Esto es precisamente con lo que cuentan los atacantes.

La realidad oculta de las operaciones de estafa modernas

Otro mito sobre los ciberdelincuentes es que son hackers muy sofisticados.

A veces lo son, pero muchas operaciones fraudulentas se parecen más a centros de llamadas corporativos. Tienen conversaciones guionizadas y flujos de trabajo definidos. Muchos incluso exigen métricas de rendimiento a los trabajadores que se dedican a estafas.

Según la investigación de Tim, estas organizaciones de estafas estructuradas perfeccionan sus guiones constantemente. A veces, el objetivo es simplemente recopilar información. En otras ocasiones, se trata de identificar cuentas intermediarias o canales de pago empleados para mover dinero robado.

Pero el proceso subyacente sigue siendo sorprendentemente consistente. Los estafadores quieren convencer a alguien de que confíe en ellos para luego sacar provecho económico de esa confianza.

Por qué la concienciación sobre seguridad por sí sola no es suficiente

La formación en concienciación sobre seguridad se convirtió en una parte fundamental de la defensa corporativa.

Y si bien la concienciación sobre seguridad es fundamental, depender únicamente del comportamiento del usuario supone una carga imposible.

Como señaló Tim, los seres humanos no estamos diseñados para funcionar con una desconfianza constante. “No podemos simplemente dar por sentado que la gente siempre tomará la decisión correcta o actuará a la perfección”, dijo. “Incluso los empleados bien capacitados pueden cometer errores.”

Por eso, el enfoque de Confianza Cero debe ir más allá de la autenticación y la identidad. Las organizaciones deben asumir que la confianza humana será explotada ocasionalmente.

La pregunta es qué sucederá después. ¿Puede un atacante mover libremente por el entorno o sus próximos movimientos están restringidos?

No podemos simplemente dar por sentado que la gente siempre tomará la decisión correcta o actuará a la perfección. Incluso los empleados mejor capacitados pueden cometer errores.

El sistema Zero Trust debe tener en cuenta el comportamiento humano.

Aquí es donde la Confianza Cero se vuelve esencial.

No evitará todas las estafas, pero puede limitar los daños cuando, inevitablemente, se abusa de la confianza.

Si un atacante obtiene acceso a credenciales, un dispositivo comprometido o una conexión remota, una estrategia de Confianza Cero basada en la segmentación y la visibilidad puede evitar que ese acceso se convierta en una brecha de seguridad total.

El modelo de Confianza Cero reconoce una verdad simple: los humanos siempre confiarán en otros humanos.

Los atacantes lo saben, por lo que los defensores deben diseñar arquitecturas que asuman que la confianza puede fallar.

El modelo de confianza cero ayuda a resolver los desafíos de ciberseguridad que se avecinan.

La tecnología seguirá evolucionando. La IA automatizará las estafas. La infraestructura se volverá más compleja. Las relaciones digitales sustituirán a las físicas.

Pero el problema fundamental sigue siendo el mismo: el cibercrimen sigue consistiendo en manipular la confianza.

Lo cierto es que la resiliencia arquitectónica es ahora lo que más importa. Las tácticas de los ciberdelincuentes actuales no se basan en explotar el software, sino en explotarnos a nosotros.  

Esa realidad debería transformar la forma en que las organizaciones conciben la ciberseguridad y debería orientarlas hacia una estrategia de seguridad confiable cero como máxima prioridad.

Escuche el episodio completo de The Segment: A Zero Trust Leadership Podcast en Apple Podcasts, Spotify, o Nuestro sitio web.