Ejemplos de ingeniería social: 15 ataques y cómo detenerlos.

La ingeniería social es, en palabras de la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA), un ataque donde "Un atacante utiliza la interacción humana (habilidades sociales) para obtener o comprometer información sobre una organización o sus sistemas informáticos".Funciona porque se dirige a las personas, no al software. El Informe de Investigaciones de Violaciones de Datos de Verizon de 2026 encontró que El factor humano estuvo presente en el 62% de las infracciones., un aumento respecto al 60% del año anterior.

Aquí hay 15 ejemplos de ingeniería social en 3 conjuntos de 5. Cada uno viene con una señal de alerta a tener en cuenta y una acción para detenerlo. El conjunto 1 cubre la familia del phishing, el conjunto 2 cubre el pretexto y la suplantación de identidad, y el conjunto 3 cubre los ataques físicos y el cebo. Cada conjunto termina con un Nuestra selección, el ejemplo que entrenaríamos primero, con una razón de una sola línea.

Todas las empresas, personas y mensajes que aparecen a continuación son ficticios.

Conjunto 1: La familia del phishing

1. Suplantación de identidad por correo electrónico. Un mensaje que parece provenir de un banco, un proveedor o su propio equipo de TI le pide que haga clic en un enlace e inicie sesión. CISA dice que los ataques de phishing utilizan correo electrónico o sitios web maliciosos para Solicitar información personal haciéndose pasar por una organización de confianza.. Bandera roja: una dirección de remitente que imita a una empresa real, un saludo genérico como "Estimado cliente" o un enlace cuya dirección no coincide con el texto que aparece al pasar el cursor por encima. Stop: No haga clic. Acceda al sitio escribiendo la dirección directamente o denuncie el mensaje.
2. Lanza el phishing. El mismo truco, dirigido a una sola persona. El remitente usa tu nombre, el de tu jefe y un proyecto en el que supuestamente trabajas, información que se puede reconstruir a partir de datos públicos. Bandera roja: una petición extrañamente específica pero fuera de lugar, como por ejemplo "envíenme el contrato de Atlas hoy mismo". Stop: Hazle la pregunta al remitente por otro medio, como por ejemplo llamándolo a un número que ya tengas.
3. Smishing. Suplantación de identidad por mensaje de texto. CISA describe Smishing como ingeniería social que explota los mensajes SMS, con enlaces, números o direcciones que abren un navegador o realizan una llamada al pulsarlos. Bandera roja: un texto de "paquete retenido" o "cuenta bloqueada" con un enlace corto. Stop: Elimínalo y abre tú mismo la aplicación o el sitio web original.
4. vikingo Suplantación de identidad por voz. La CISA afirma: vishing Utiliza llamadas de voz y ese identificador de llamadas puede ser falsificado, por lo que una llamada que muestre un nombre conocido no prueba nada. Bandera roja: una persona que llama, ejerce presión y pide un código o contraseña. Stop: Cuelgue y vuelva a llamar al número que aparece en el extracto o en la página web de la empresa.
5. Suplantación de identidad mediante códigos QR. Un código QR oculta la dirección a la que conduce. El FBI ha advertido de paquetes no solicitados que contienen un código QR que solicita al destinatario información personal y financiera o instala software para robar datos. Bandera roja: Un código inesperado, sin información del remitente. Stop: No escanee códigos QR de origen desconocido.

Nuestra elección: ejemplo 4, vishing. Verizon descubrió que en las simulaciones de phishing, la tasa de clics mediana en Los vectores centrados en dispositivos móviles, como la voz y los mensajes de texto, fueron un 40% más altos. que por correo electrónico. La gente ha aprendido a desconfiar del correo electrónico más rápido que de una llamada telefónica.

Conjunto 2: Suplantación de identidad y engaño

Verizon define el pretexto como una táctica de ataque en la que Una relación de confianza se construye a través de escenarios inventados. Consiste en engañar al usuario para que realice una acción que comprometa a la organización, frecuentemente por voz, pero también por correo electrónico o mensaje de texto. En el informe de 2026, representó el 6 % de todas las filtraciones de datos, frente al 16 % del phishing.

6. Fraude por parte del CEO y fraude por correo electrónico empresarial. El Centro de Denuncias de Delitos en Internet (IC3) del FBI define Compromiso de correo electrónico comercial (BEC) Se trata de una estafa dirigida a empresas que opera mediante cuentas de correo electrónico comprometidas y otras comunicaciones para provocar transferencias de fondos no autorizadas. En 2025, el IC3 registró 24 768 denuncias por fraude BEC y pérdidas reportadas por un valor aproximado de 3050 millones de dólares. Bandera roja: Una petición urgente de un alto directivo para pagar o comprar tarjetas de regalo, con la frase "no se lo digas a nadie". Stop: Confirme cualquier solicitud de pago por teléfono o en persona.
7. Soporte informático falso. Alguien afirma ser del servicio de asistencia técnica y necesita su contraseña o acceso remoto "para solucionar un problema". IC3 recibió 47,794 quejas de soporte técnico en 2025con pérdidas reportadas superiores a los 2.1 millones de dólares. Bandera roja: El departamento de TI se pondrá en contacto contigo primero y te pedirá una contraseña o un código de un solo uso. Stop: Los verdaderos equipos de TI no necesitan tu contraseña. Cuelga y abre una incidencia por el procedimiento habitual.
8. Cambio en la factura del proveedor. Un correo electrónico, aparentemente de un proveedor habitual, indica que sus datos bancarios han cambiado. La definición de BEC del IC3 abarca las estafas dirigidas a: empresas que trabajan con proveedores y realizan transferencias bancarias con regularidad. Bandera roja: Nuevos datos bancarios con fecha límite de pago. Stop: Antes de realizar cualquier cambio, llame al proveedor al número que ya tenga registrado.
9. Reclutador falso. Un "reclutador" se acerca a un miembro del personal con un puesto que parece un ascenso, luego le pide documentos personales o una tarea de prueba que requiere una descarga. IC3 recibió 24,688 denuncias por estafas laborales en 2025. Bandera roja: una oferta para la que no has solicitado, con pasos que se desarrollan rápidamente. Stop: Verifica la información del reclutador a través de la página de empleo de la propia empresa y nunca instales ningún software para una entrevista.
10. Voz deepfake. Una voz clonada que suena como la de tu director pide un pago urgente. IC3 dice La clonación de voz se puede utilizar para solicitar transferencias bancarias. y que las empresas reportaron pérdidas de más de 30 millones de dólares en 2025 debido a estafas BEC que involucran inteligencia artificial. Bandera roja: un mensaje de voz o una llamada que te presiona para que actúes antes de poder comprobarlo. Stop: Acordar una palabra clave o una regla de devolución de llamada para los pagos, por lo que una voz convincente no es suficiente.

Nuestra recomendación: ejemplo 6, fraude del CEO y fraude BEC. Es el ejemplo más costoso de todos, incluso por delante de las estafas de soporte técnico en las cifras de IC3 para 2025, y la medida para detenerlo es barata: una llamada telefónica a un número conocido antes de que se mueva cualquier cantidad de dinero.

Conjunto 3: Ataques físicos y provocación

Estos ataques no requieren teclado. Son importantes porque un desconocido en el edificio puede acceder a lo que protege un cortafuegos.

11. Chupar rueda Alguien te sigue a través de una puerta segura "porque tiene las manos ocupadas". Bandera roja: una persona sin identificación, relajada y amigable. Stop: Pídales amablemente que se identifiquen ellos mismos o acompáñelos a la recepción.
12. Utilizar memorias USB como cebo. Se deja una memoria USB con la etiqueta "Revisión salarial 2027" en el aparcamiento o en el vestíbulo. Bandera roja: cualquier unidad extraíble que no hayas comprado. Stop: Nunca conectes un dispositivo que encuentres. Entrégaselo al departamento de informática, que podrá inspeccionarlo de forma segura.
13. Navegando por encima del hombro. Alguien lee tu pantalla o te observa mientras introduces un PIN en un tren o en un puesto de trabajo compartido. Bandera roja: una persona que está demasiado cerca o que apunta con el teléfono hacia tu pantalla. Stop: Utiliza un filtro de privacidad, bloquea la pantalla cuando te alejes y siéntate de espaldas a la pared.
14. Rebuscar en la basura. Los correos electrónicos impresos, los organigramas y las actas de reuniones que se tiran a una papelera común proporcionan al atacante nombres, números de teléfono y títulos de proyectos para la siguiente llamada. Bandera roja: Papel con nombres o números en un contenedor abierto. Stop: Utiliza una trituradora de papel o un contenedor con cerradura, y mantén el hábito de tener el escritorio ordenado.
15. Entrega falsa. Un mensajero con una chaqueta con el logotipo de la empresa pide que le dejen pasar por recepción o que le permitan dejar un paquete en la sala de servidores. Bandera roja: un envío que nadie pidió, o uno que no se puede entregar en recepción. Stop: Recójalo en la recepción y consulte los paquetes inesperados con la persona cuyo nombre figura en la etiqueta.

Nuestra elección: ejemplo 11, fiesta en el estacionamiento. No requiere ninguna habilidad ni cuesta nada, y la clave para que funcione son los buenos modales. Proporcione al personal un guion cortés para que cuestionar a alguien parezca algo normal y no una falta de respeto.

Cómo detener los 15

Los 15 ejemplos tienen algo en común: te incitan a actuar rápido y a actuar solo. Tres hábitos rompen con eso.

1. Verificar a través de un segundo canal. Si una solicitud implica dinero, una contraseña, un código o acceso, confírmela por otra vía, utilizando los datos de contacto que ya tiene. CISA aconseja que si no está seguro de si una solicitud es real, Verifícalo contactando directamente con la empresa.y no con la información de contacto proporcionada en el mensaje.
2. Reportalo. El consejo de CISA para casos sospechosos de phishing es: informar del mensaje y luego elimínalo. Haz que reportar sea un hábito de un solo clic, sin culpar a nadie, para que la primera persona que detecte algo avise a los demás.
3. Baje la velocidad. Listas de CISA lenguaje urgente o que apela a las emociones Entre las señales más comunes de phishing, la CISA también señala que la gramática impecable ya no garantiza la seguridad, puesto que algunos correos electrónicos ahora presentan una ortografía perfecta gracias a la IA. Cuando un mensaje exige rapidez, es señal de que conviene detenerse.

El entrenamiento es la clave para que los hábitos se consoliden. Con el elemento humano presente en el 62% de las violaciones, por Informe de Verizon de 2026, un equipo que haya practicado la detección de estos 15 ejemplos es una parte real de su defensa. Para un programa más amplio, consulte nuestra guía para formación en concienciación sobre ciberseguridad.

Formas de organizar una sesión de ingeniería social con AhaSlides

Realice los 15 ejemplos en directo, en una sala o mediante una videollamada, con las respuestas en pantalla a medida que los participantes respondan.

1. Seleccione la respuesta: "¿Real o phishing?" Muestre un mensaje ficticio para cada ejemplo y pregunte si es auténtico. Señale la señal de alerta y analícelo.
2. Nube de palabras: "La estafa que más te toca". La palabra más grande indica qué practicar primero.
3. Escala de valoración: "¿Qué tan seguro/a está de detectar una falsificación?" Solicita una valoración del 1 al 5 antes y después de la sesión, y compara las medias.
4. Final abierto: "Un mensaje sospechoso que recibí". Recopila ejemplos reales, sin nombres, y utiliza el mejor como escenario para la siguiente ronda.

La plantilla del curso sobre phishing e ingeniería social ofrece diapositivas prediseñadas para adaptar, y la plantilla de concienciación sobre amenazas internas es un buen complemento para todo el equipo.

Preguntas frecuentes

¿Cuáles son algunos ejemplos de ingeniería social?

El phishing, el pretexto, el engaño y el tailgating son las principales formas de fraude. Esta publicación enumera 15, desde el phishing por correo electrónico y el vishing hasta el falso soporte técnico, el engaño con memorias USB y las entregas falsas.

¿Cuál es el tipo más común de ingeniería social?

Suplantación de identidad (phishing). El informe de Verizon de 2026 sitúa la suplantación de identidad en el 16% de todas las filtraciones, frente al 6% de la suplantación de identidad, y el IC3 recibió 191,561 denuncias de suplantación de identidad en 2025.

¿Cómo se previene la ingeniería social?

Verifica las solicitudes a través de un segundo canal e informa sobre las sospechosas. Implementa capacitaciones breves y periódicas, ya que los ataques evolucionan más rápido que cualquier curso puntual.

¿Qué es el pretexto?

Una historia inventada para obtener información o acceso. El atacante se gana la confianza mediante un escenario creíble, como una llamada al servicio de asistencia técnica, y luego solicita una contraseña, un pago o que le abran una puerta.

Por dónde empezar

Elijan un ejemplo y pónganlo en práctica en su próxima reunión de equipo. Si solo tienen tiempo para un ejemplo, que sea el de vishing, y luego pregunten a todos qué harían ante la próxima llamada inesperada.