El factor humano y la ingeniería social

Sigo viendo incidentes que no empiezan en una vulnerabilidad de software. Empiezan en un mensaje que parece urgente, en un jefe que «no puede hablar ahora» y en un empleado que no quiere quedar mal. La ingeniería social no es magia. Es diseño de la prisa.

Por qué los avisos no bastan

Un cartel de «no haga clic» no compite con una nómina que se paga hoy o con un proveedor que amenaza con cortar el servicio. La defensa humana es un procedimiento de verificación, no una campaña. Si verificar a un superior está mal visto, el atacante ya tiene política interna a su favor.

La cultura hacker, leída con seriedad, enseña exactamente eso: el adversario no ataca el sistema que usted imagina; ataca el hábito que usted no cuestiona. Un tono de autoridad, un canal informal y una excepción «solo esta vez» bastan para abrir una puerta que el perímetro creía cerrada.

Cómo opera la prisa

1. Se fabrica urgencia: una transferencia, un acceso, un silencio que «no puede esperar».
2. Se fabrica autoridad: el nombre de un director, un abogado, un proveedor crítico.
3. Se pide una excepción al procedimiento, no un asalto técnico.
4. Se aprovecha el miedo a quedar mal más que el miedo al incidente.

Tres hábitos de una organización difícil de engañar

• Canales de confirmación para dinero, accesos y cambios de cuenta. Siempre. Sin excepciones para «esta vez».
• Permiso cultural para dudar. Quien pregunta no se expone al ridículo.
• Simulacros que enseñan, no que cazan. El objetivo es reducir el tiempo de verificación, no publicar un ranking de tontos.

Preguntas de junta

• ¿Qué pagos, accesos o cambios de proveedor pueden hacerse sin un segundo canal de confirmación?
• ¿Un empleado que duda de una orden de la presidencia queda protegido o expuesto?
• ¿Cuándo fue el último simulacro de ingeniería social que terminó en aprendizaje y no en humillación?
• ¿La alta dirección se somete al mismo procedimiento que el resto, o es la excepción permanente?