Qué es la ingeniería social: técnicas, ejemplos de ataques y cómo defender a tu empresa

Por Kike Gandia · Co-Fundador y CEO, OSCP

La ingeniería social es la manipulación de personas para que hagan algo que beneficia a un atacante: entregar una contraseña, aprobar un inicio de sesión, cambiar una cuenta bancaria, abrir un adjunto o dejarle entrar en la oficina. En lugar de explotar un fallo de software, explota tendencias humanas como el respeto a la autoridad, la urgencia o las ganas de ayudar. Llega por correo, teléfono, SMS, códigos QR o en persona, y está detrás de buena parte de las brechas: el Verizon DBIR 2026 sitúa el elemento humano en el 62% de ellas. Esta guía explica cómo funciona, sus técnicas principales, casos reales y cómo medir y reforzar la resiliencia de tu empresa.

Qué es la ingeniería social y por qué funciona tan bien contra empresas

La ingeniería social es el conjunto de técnicas con las que un atacante consigue que una persona legítima haga el trabajo por él. No necesita romper un cifrado ni encontrar una vulnerabilidad: le basta con que alguien con acceso le dé una credencial, apruebe una notificación de MFA, ejecute un fichero, cambie el IBAN de un proveedor o le abra una puerta.

Por eso es tan rentable. Un correo, una llamada o una visita cuestan poco y aprovechan permisos que la víctima ya tiene, así que el atacante entra por la puerta principal y muchos controles técnicos no ven nada anómalo. El Verizon DBIR 2026 detecta el elemento humano en el 62% de las brechas que analiza, frente al 60% del año anterior, y sitúa la ingeniería social como el tercer patrón de brecha más frecuente, con el 16% del total. También señala que los atacantes recurren cada vez más a la voz y a otros canales móviles para pillar a la gente en mitad de la jornada.

Los ataques persiguen sobre todo dos cosas:

Acceso: credenciales, sesiones, códigos MFA o la instalación de una herramienta de acceso remoto, como primer paso de una intrusión que puede acabar en ransomware o robo de datos.
Fraude directo: que alguien transfiera dinero o cambie datos de pago sin necesidad de comprometer ningún sistema, como en el fraude del CEO.

Los principios psicológicos que explota

La ingeniería social funciona porque se apoya en atajos mentales que usamos a diario y que casi siempre nos sirven bien. El psicólogo Robert Cialdini los describió en su libro Influence (1984) como principios de persuasión —reciprocidad, compromiso y coherencia, prueba social, autoridad, simpatía y escasez, a los que más tarde añadió un séptimo, la unidad—, y los atacantes los combinan con emociones como el miedo o la curiosidad:

Palanca	Cómo la usa el atacante	Ejemplo ilustrativo
Autoridad	Se hace pasar por alguien con poder para ordenar	«Soy el director financiero, necesito esto antes de la reunión»
Urgencia y escasez	Reduce el tiempo para pensar o verificar	«La cuenta se bloquea en 30 minutos si no la confirmas»
Reciprocidad	Hace un favor y después pide algo a cambio	Un falso técnico que «arregla» un problema y pide la contraseña para terminar
Prueba social	Sugiere que los demás ya lo han hecho	«Todo tu departamento ha completado ya la verificación»
Simpatía y unidad	Crea afinidad o sensación de pertenencia	Un supuesto compañero de otra sede que menciona proyectos y nombres reales
Compromiso y coherencia	Consigue un primer sí pequeño y luego escala la petición	Primero confirmar un dato inofensivo, después dictar el código que llega por SMS
Miedo	Amenaza con una consecuencia negativa	Una supuesta sanción, inspección o reclamación judicial
Curiosidad	Despierta interés por un contenido	Un USB con la etiqueta «Nóminas 2026» o un fichero llamado «despidos.xlsx»

Un buen pretexto combina varias palancas a la vez: autoridad más urgencia es la fórmula clásica del fraude del CEO; ayuda más reciprocidad, la del falso soporte técnico. Saber nombrarlas ayuda a reconocerlas, pero no inmuniza a nadie: con prisa y bajo presión, cualquiera puede caer.

El ciclo de un ataque de ingeniería social

Los ataques bien hechos no improvisan. INCIBE describe cuatro fases —recopilación de información, desarrollo de una relación de confianza, abuso de esa confianza y ejecución del ataque— que en la práctica se ven así:

Reconocimiento (OSINT): el atacante estudia la empresa con fuentes abiertas. Organigrama y cargos en LinkedIn, formato de las direcciones de correo, proveedores y herramientas que usa, ofertas de empleo que delatan tecnologías, fotos de acreditaciones o de la oficina en redes sociales. Cuanto mejor es esta fase, más creíble es todo lo demás.
Pretexto: construye la historia y elige el canal y la víctima. Un técnico de soporte que llama por un problema con la VPN, un proveedor que avisa de un cambio de cuenta bancaria, un mensajero con un paquete para recepción. Un buen pretexto tiene preparadas las respuestas a las preguntas que la víctima podría hacer.
Explotación: pide la acción concreta —introducir credenciales, aprobar un acceso, pagar, conectar un dispositivo, abrir una puerta— en el momento en que la víctima tiene menos margen para dudar.
Salida: cierra la interacción sin levantar sospechas para que nadie reporte nada y aprovecha el acceso conseguido. A menudo la víctima no llega a saber que ha participado en un ataque, y el atacante puede volver a usar el mismo contacto más adelante.

Esta secuencia explica por qué importa la exposición pública de la empresa: buena parte del trabajo del atacante se hace antes de enviar el primer mensaje, con información que la propia organización ha publicado.

Tipos de ingeniería social: técnicas, canal y objetivo

Las técnicas se clasifican sobre todo por el canal que usan. Esta es la tabla de referencia de las más habituales contra empresas:

Técnica	Canal	Objetivo típico
Phishing	Correo masivo	Credenciales o ejecución de malware a gran escala
Spear phishing	Correo dirigido a una persona o un equipo	Acceso a un perfil concreto: finanzas, sistemas, dirección
Vishing	Llamada de voz, a veces con voz clonada por IA	Credenciales, códigos MFA o instalación de acceso remoto
Smishing	SMS o mensajería instantánea	Credenciales o instalación de apps maliciosas
Quishing	Código QR en un correo, un PDF o un cartel	Credenciales, desde el móvil y fuera de los filtros corporativos
Pretexting	Cualquiera, con una historia elaborada	Información, cambios de datos o accesos
Fraude del CEO / BEC	Correo, llamada o mensajería suplantando a un directivo o proveedor	Transferencias y cambios de IBAN
Fatiga de MFA (push bombing)	Notificaciones push repetidas	Que el usuario apruebe un inicio de sesión ajeno
Baiting / USB drop	Dispositivo físico abandonado	Ejecución de código en un equipo interno
Tailgating o piggybacking	Acceso físico detrás de una persona autorizada	Entrar en zonas restringidas
Suplantación presencial	En persona: técnico, mensajero, auditor, candidato	Acceso físico, dispositivos o información
Watering hole	Una web legítima que visita el colectivo objetivo	Infectar a los visitantes de un sector o empresa

El phishing y sus variantes tienen su propia guía en nuestro recurso sobre tipos de phishing corporativo, y el fraude del CEO, el vishing con deepfakes de voz y el quishing tienen artículos específicos. Lo importante aquí es la visión de conjunto: el atacante elige el canal en el que la víctima está menos protegida y menos alerta. Un filtro de correo excelente no elimina el ataque, lo empuja al teléfono, al SMS o a la recepción.

Ejemplos reales de ataques de ingeniería social

Dos casos documentados muestran que no hacen falta exploits sofisticados para comprometer a grandes organizaciones:

Twitter (julio de 2020): según el informe que publicó en octubre de 2020 el Departamento de Servicios Financieros de Nueva York (NYDFS), los atacantes llamaron a varios empleados haciéndose pasar por el servicio de soporte de TI, con el pretexto de un problema con la VPN, algo habitual tras el paso al teletrabajo. Usaron datos personales de los empleados para resultar creíbles y los dirigieron a una copia de la página de acceso a la VPN alojada en un dominio parecido. Mientras la víctima escribía sus credenciales, los atacantes las introducían en la web real, y algunos empleados aprobaron la notificación de MFA que recibieron. Desde ahí llegaron a herramientas internas de soporte: se vieron afectadas 130 cuentas, entre ellas las de figuras muy conocidas, que se usaron para una estafa con la que obtuvieron unos 118.000 dólares en bitcoin. El mismo informe recoge que algunos empleados sí reportaron las llamadas; bastó con que al menos uno creyera a los atacantes.
MGM Resorts (septiembre de 2023): la compañía tuvo que apagar sistemas y sufrió interrupciones en algunas de sus propiedades. En su comunicación a la SEC no detalló cómo entraron los atacantes y estimó un impacto negativo de unos 100 millones de dólares en su EBITDAR ajustado del trimestre. El vector que ha trascendido procede de la reivindicación de los atacantes, recogida por la prensa: localizar a un empleado en LinkedIn y llamar al servicio de soporte haciéndose pasar por él.

El patrón se repite. En su aviso conjunto sobre el grupo Scattered Spider, CISA y el FBI describen llamadas a los servicios de soporte para que restablezcan contraseñas o transfieran el MFA a un dispositivo del atacante, además del intercambio fraudulento de SIM y el bombardeo de notificaciones MFA. El objetivo ya no es solo el empleado: el propio helpdesk se ha convertido en un punto de entrada.

Por qué la tecnología sola no basta

Los controles técnicos reducen mucho el volumen de ataques que llegan a las personas, y hay que tenerlos. Pero la ingeniería social está diseñada precisamente para pasar por donde esos controles no llegan:

Canales sin filtro: una llamada al móvil, un SMS, un mensaje de WhatsApp o una visita a recepción no pasan por la pasarela de correo.
Remitentes legítimos: si el atacante ha comprometido la cuenta real de un proveedor, sus correos superan SPF, DKIM y DMARC porque son auténticos.
Acciones autorizadas: cuando un empleado aprueba un pago o introduce su contraseña, el sistema ve a un usuario legítimo haciendo algo que tiene permiso para hacer.
MFA que se puede sortear: el caso de Twitter muestra que una contraseña y su notificación MFA se pueden capturar en tiempo real con una web falsa, y el aviso de CISA y el FBI describe el bombardeo de notificaciones y el intercambio de SIM. Además, ningún MFA protege si el helpdesk lo restablece a petición del atacante.
El mundo físico: un torno o un lector de tarjetas no impiden que alguien entre detrás de un compañero amable que le sujeta la puerta.

Lo contrario también es cierto: la formación sola tampoco basta. Una sesión de concienciación al año no hace infalible a nadie. La defensa que funciona combina procesos que no dependen del juicio de una persona bajo presión, tecnología que limita lo que un error puede causar y una cultura en la que reportar es fácil.

Cómo medir la resiliencia de tu empresa frente a la ingeniería social

La forma fiable de saber cómo respondería tu organización es probarlo con ataques simulados, controlados y autorizados por la dirección. Cada tipo de simulación mide algo distinto:

Simulación	Qué mide	Indicadores útiles
Phishing masivo y dirigido	Detección en el correo y reacción después del clic	Tasa de clic, tasa de credenciales introducidas, tasa de reporte y tiempo hasta el primer reporte
Vishing, también al helpdesk	Si se aplican los procedimientos de verificación por teléfono	Llamadas en las que se entrega información o se ejecuta la acción pedida, y llamadas reportadas
Pretexting presencial	Control de accesos físicos y disposición a preguntar a un desconocido	Zonas alcanzadas, tiempo dentro y veces que alguien pide identificación o avisa
USB drop	Comportamiento ante dispositivos encontrados	Dispositivos conectados, detectados con una baliza inocua y sin carga maliciosa, y dispositivos entregados a TI

Dos ideas para interpretar los resultados. La primera: la tasa de reporte y su rapidez dicen más que la tasa de clic, porque un ataque real se contiene cuando alguien avisa a tiempo, aunque otros hayan picado. La segunda: medir solo el correo da una imagen incompleta. El Verizon DBIR 2026 indica que, en las simulaciones que analiza, la tasa mediana de clic en las que usan canales móviles, como la voz y los mensajes de texto, es un 40% mayor que en las de correo electrónico.

En QuantumSec ejecutamos estas simulaciones —phishing, vishing, pretexting presencial y USB drop, por separado o combinadas— con reconocimiento OSINT previo, un alcance pactado con la dirección y un informe por departamento orientado a corregir procesos, no a señalar personas. Antes de lanzar una campaña conviene revisar su encaje con el RGPD y la normativa laboral y decidir qué indicadores se van a seguir; ambas cuestiones las tratamos en guías específicas.

Defensas por capas contra la ingeniería social

Ninguna medida aislada es suficiente. El objetivo es que un único error no baste para que el ataque tenga éxito.

Procesos que no dependen de la buena fe

Verificación fuera de banda: cualquier cambio de datos bancarios, pago urgente o petición inusual se confirma por un canal distinto al de la solicitud, llamando a un número que ya constaba en la empresa, nunca al que aparece en el mensaje.
Doble aprobación para los pagos que superen un umbral y para las altas o cambios de proveedores.
Helpdesk con verificación robusta: restablecer una contraseña o un MFA exige comprobar la identidad por un canal independiente o la aprobación del responsable directo. Datos como el DNI o la fecha de nacimiento no sirven, porque un atacante los puede tener.
Visitas y accesos: acreditación visible, visitas siempre acompañadas y permiso explícito para que cualquiera pregunte a un desconocido sin parecer descortés.

Tecnología que limita el daño

MFA resistente a phishing: CISA recomienda exigirlo en todos los servicios posibles, mediante FIDO/WebAuthn —llaves de seguridad o passkeys— o certificados PKI, porque no es vulnerable al bombardeo de notificaciones ni al intercambio de SIM. Empieza por administradores, dirección y finanzas.
Autenticación del correo con SPF, DKIM y DMARC, y avisos de remitente externo para frenar la suplantación de tu propio dominio.
Mínimo privilegio y control de dispositivos: que un USB desconocido no pueda ejecutar nada y que una cuenta comprometida no dé acceso a todo.

Personas y cultura

Reportar en un clic: un botón de reporte en el correo y un canal claro para llamadas o visitas sospechosas, con respuesta rápida de TI.
Cultura no punitiva: quien cae y avisa en cinco minutos está ayudando; quien calla por miedo a represalias convierte un incidente pequeño en uno grave.
Formación continua y contextual: breve, frecuente, basada en los ataques que recibe de verdad la empresa y con ejemplos de todos los canales, no solo del correo.

Por dónde empezar si nunca lo has medido

Para una pyme o una empresa mediana que parte de cero, este orden suele dar más resultado por esfuerzo:

Revisa los procesos que mueven dinero: ¿cómo se aprueba un cambio de IBAN o una transferencia urgente? Si la respuesta es «depende de quién lo pida», ese es el primer riesgo.
Revisa el helpdesk: ¿qué necesita alguien que llama diciendo ser un empleado para que le restablezcan la contraseña o el MFA?
Protege las cuentas críticas con MFA resistente a phishing: administradores, dirección y finanzas.
Facilita el reporte y deja claro que reportar nunca tiene consecuencias negativas, aunque uno mismo haya caído.
Mide con una simulación que incluya algo más que correo, para tener una línea base real.
Forma sobre lo que ha fallado y repite la medición para comprobar si ha mejorado.

La ingeniería social no se elimina, se gestiona. El objetivo realista no es que nadie pique nunca, sino que el ataque necesite engañar a varias personas y que alguien lo detecte y avise antes de que cause daño.

FAQ

¿Qué diferencia hay entre ingeniería social y phishing?

La ingeniería social es la categoría general: cualquier manipulación de personas para obtener acceso, información o dinero. El phishing es una de sus técnicas, la que usa el correo electrónico. También son ingeniería social el vishing por teléfono, el smishing por SMS, el quishing con códigos QR o la suplantación en persona.

¿Cuáles son los ataques de ingeniería social más habituales contra empresas?

El phishing y el spear phishing por correo siguen siendo los más frecuentes, junto con el fraude del CEO y la suplantación de proveedores para desviar pagos. Los ataques por teléfono y mensajería móvil ganan peso, y las llamadas al servicio de soporte para restablecer contraseñas o MFA se han convertido en un vector clave contra grandes empresas.

¿Por qué caen también empleados formados o perfiles técnicos?

Porque la ingeniería social no ataca la falta de conocimiento, sino el contexto: prisa, presión de una figura de autoridad, una historia coherente con información real y un canal en el que no se espera el ataque. Un pretexto bien preparado con OSINT puede engañar a cualquiera en un mal momento. Por eso las defensas eficaces no dependen solo de que la persona lo detecte.

¿El MFA protege frente a la ingeniería social?

Protege bastante, pero no todo el MFA por igual. Los códigos por SMS o app y las notificaciones push pueden capturarse con una web falsa o aprobarse por cansancio, mientras que FIDO/WebAuthn, con llaves de seguridad o passkeys, resiste el phishing. Ningún MFA impide, en cambio, que alguien autorice una transferencia fraudulenta o que el helpdesk lo restablezca a un atacante.

¿Es legal simular ataques de ingeniería social a los empleados?

En general sí, si se planifica bien: con autorización de la dirección, una base jurídica adecuada en protección de datos, proporcionalidad y un uso formativo de los resultados, no disciplinario. El encaje con el RGPD, la LOPDGDD y la normativa laboral lo detallamos en nuestra guía sobre si es legal simular phishing a los empleados.

¿Cada cuánto conviene medir la resiliencia frente a la ingeniería social?

Como referencia, al menos dos veces al año, y con más frecuencia en empresas muy expuestas o tras cambios relevantes, como incorporaciones masivas o una fusión. Más que la frecuencia, importa variar canales y escenarios y comparar la tasa de reporte entre campañas.

¿Qué hay que hacer si un empleado cae en un ataque?

Lo primero es que lo comunique de inmediato, sin miedo a represalias. Después, TI debe cambiar las credenciales afectadas, cerrar las sesiones activas y revisar el MFA y las reglas de reenvío del buzón; si hubo un pago, hay que contactar con el banco cuanto antes para intentar retenerlo. Lo explicamos paso a paso en nuestra guía sobre qué hacer si un empleado cae en un phishing.

Servicio relacionado

ingeniería social para empresas: simulaciones de phishing, vishing y pretexting presencial

Contenido relacionado

Fuentes

Simular un ataque de ingeniería social en mi empresa