¿Qué es la ingeniería social?

La ingeniería social es el conjunto de técnicas con las que un atacante manipula a una persona para que haga voluntariamente algo —o entregue una información— que no haría de otro modo. No consiste en romper una tecnología. Consiste en aprovechar cómo decidimos bajo presión, ante la autoridad y con prisa.

Es la vía de entrada más eficaz que vemos sobre el terreno, y la única contra la que un firewall mejor configurado no cambia absolutamente nada. El control que se salta no está en un equipo: está en una cabeza y en un procedimiento.

Una precisión de vocabulario que ahorra malentendidos

Conviene fijarla antes de seguir, porque ordena el resto del artículo y evita una confusión que aparece en casi todas las primeras conversaciones comerciales.

«Ingeniería social» nombra la amenaza. Es una categoría de ataque, igual que «phishing» o «ransomware». Así la recoge también INCIBE en su glosario: la técnica con la que se engaña a una persona para obtener información o un acceso que de otro modo no se conseguirían. Nadie compra ingeniería social, del mismo modo que nadie compra ransomware.

Lo que se contrata se llama «test de ingeniería social». Es el ejercicio autorizado, con alcance escrito y reglas fijadas de antemano, que comprueba cómo reaccionaría tu organización frente a esa amenaza. El sustantivo de servicio delante no es un adorno: es lo que distingue un ataque de una prueba, exactamente igual que el pentesting se distingue de una intrusión real por el mandato que lo autoriza.

Y un tercer término que se usa mal con frecuencia: «simulación de phishing» es el caso particular que viaja por correo electrónico. Es una parte de un test de ingeniería social, no su sinónimo. Un ejercicio completo puede incluir llamadas, mensajes, códigos QR e incluso una visita física, según lo que hayas autorizado.

A partir de aquí, cuando hablemos de la amenaza escribiremos «ingeniería social» a secas; cuando hablemos del servicio, test de ingeniería social.

Por qué funciona

La seguridad técnica ha mejorado mucho en pocos años. Abrir desde fuera una infraestructura razonablemente configurada cuesta tiempo y dinero. Enviar mil mensajes y esperar a que una sola persona haga clic no cuesta casi nada. La economía del ataque se ha desplazado sola.

Un atacante no explota la torpeza de nadie. Explota mecanismos que en el día a día son útiles:

• La autoridad. Una petición que llega «de dirección» o «de sistemas» no se discute; discutirla tiene un coste social real dentro de una organización.
• La urgencia. La presión de tiempo desactiva el pensamiento crítico. «Antes de que cierre el banco» es la fórmula más rentable del phishing.
• La reciprocidad. Quien nos ha hecho un favor obtiene un favor de vuelta, aunque el primero fuera inventado.
• La prueba social. Si el resto del departamento ya lo ha hecho, debe de ser normal.
• El miedo. La amenaza de una sanción, de una cuenta bloqueada, de una inspección o de un aviso a dirección.
• La curiosidad. Un adjunto llamado «Revisión salarial 2026» se abre casi solo.
• El compromiso. Quien ha aceptado algo pequeño —confirmar un nombre, atender una llamada breve— tiene muchas más dificultades para negarse a lo siguiente.

Estos resortes son mucho más antiguos que internet. Lo nuevo no es el mecanismo: es lo barato que resulta aplicarlo a escala.

Y hay un factor español que conviene nombrar sin dramatismo: en muchas pymes y en muchos despachos profesionales las decisiones de pago se concentran en una o dos personas, sin separación entre quien introduce un cambio y quien lo aprueba. Eso no es una debilidad cultural, es una consecuencia del tamaño; pero convierte una sola llamada bien preparada en un riesgo de tesorería.

Las cuatro fases de un ataque

En la realidad, la ingeniería social casi nunca es un correo suelto. Es un proceso, y entenderlo es lo que permite cortarlo antes del final.

1. Reconocimiento. Quien ataca cartografía la organización: quién trabaja en ella, en qué puesto, con quién, con qué herramientas y en qué momento. Las fuentes son públicas y gratuitas —perfiles profesionales, notas de prensa, cuentas anuales depositadas en el Registro Mercantil, licitaciones publicadas, fotografías de ferias, metadatos de los documentos colgados en la web corporativa—. Una firma de correo y una foto de un congreso dicen mucho más de lo que parece. Lo describimos con detalle en OSINT e IA: cómo los atacantes usan la información pública.

2. Construcción del pretexto. Se monta una identidad y un motivo verosímiles. Casi nunca se pide una contraseña de entrada. Lo habitual es un contacto anodino y creíble: una duda sobre una factura, una petición de presupuesto, el aviso de un cambio en una herramienta interna.

3. Explotación. La petición real llega aquí: hacer clic en un enlace, abrir un adjunto, validar una notificación de doble factor, modificar la cuenta bancaria de una factura o dejar pasar a alguien a unas instalaciones.

4. Cierre sin ruido. Un atacante competente termina la conversación de forma que la persona engañada no tenga ningún motivo para avisar. Por eso muchos incidentes no se descubren hasta semanas después, cuando llega la reclamación de un impago o el aviso de un acceso extraño.

La consecuencia práctica es que la fase que más veces se puede cortar no es la cuarta: es la segunda. Un pretexto se rompe con una comprobación de treinta segundos por un canal distinto. Después de la tercera fase ya solo queda gestionar daños.

Las técnicas más frecuentes

Merecen un párrafo propio las tres que más veces aparecen en los expedientes que nos llegan.

Phishing, vishing y smishing: el mismo ataque en tres canales

Son la misma idea entregada por correo, por teléfono y por mensaje. Cambiar de canal no es un detalle estético: cada uno rompe una defensa distinta.

El phishing llega al correo corporativo, que es donde existen filtros, cuarentenas y marcado de remitentes externos. Es el canal más vigilado y, por eso, el que más ha degradado su rendimiento para quien ataca.

El vishing llega al teléfono, donde no hay ningún filtro y donde la voz activa una confianza que el texto no consigue. El número que aparece en la pantalla no es una prueba de identidad: se falsifica. Desde 2025 los operadores españoles bloquean, en aplicación de las medidas antisuplantación aprobadas por la CNMC, las llamadas que exhiben numeración española no asignada y las llegadas del extranjero que muestran un móvil español. Es una mejora real, pero no alcanza a la numeración extranjera ni a una línea española legítimamente contratada, así que no es un control sobre el que apoyarse.

El smishing llega al móvil, que casi siempre es personal aunque se use para trabajar, y donde el enlace se abre en una pantalla pequeña que oculta el dominio. Los pretextos que mejor funcionan en España son los que todo el mundo espera recibir alguna vez: un paquete retenido, una multa de tráfico, una devolución de la Agencia Tributaria, un movimiento sospechoso en la cuenta.

Una precisión útil: la terminología oficial de INCIBE y de la OSI llama a esto suplantación de identidad. Es la misma cosa con otro nombre, y conviene reconocerla porque es la etiqueta bajo la que se publica buena parte del material divulgativo en español.

El pretexting: la pieza que sostiene todo lo demás

Si hay que quedarse con un solo concepto de este artículo, que sea este. El pretexto es la historia que justifica el contacto: quién dice ser quien escribe o llama, por qué motivo, y por qué eso es urgente o normal.

Los pretextos que funcionan tienen tres propiedades. Son verificables en apariencia —mencionan un proyecto real, un nombre real, una fecha real, todo ello obtenido en la fase de reconocimiento—. Son aburridos: nadie desconfía de una consulta sobre el número de pedido de una factura. Y no piden nada al principio: el primer mensaje solo busca que se acepte la conversación.

Los que más repetimos en ejercicios reales, porque son los que más veces funcionan en España:

• La incidencia con una factura. Alguien de administración recibe una consulta sobre un número de pedido que existe de verdad.
• La migración del correo corporativo. Un aviso que anuncia un cambio de plataforma y pide volver a iniciar sesión «para conservar el buzón».
• La empresa de mantenimiento. Una visita anunciada al aire acondicionado, al extintor o a la impresora, con una fecha que encaja con el calendario real del edificio.
• La auditoría en curso. Alguien pide documentación interna «para la auditoría», en una empresa que efectivamente está auditándose porque lo ha publicado en sus cuentas.
• La candidatura y la selección. Un currículum en PDF enviado a una oferta abierta y publicada, que nadie de recursos humanos puede permitirse no abrir.
• La consulta de un despacho externo. Un abogado o una asesoría que acompaña una operación de la que «todavía no se puede hablar».

Fíjate en lo que tienen en común: ninguno exige conocimientos técnicos por parte de quien ataca. Exige lectura. Y la lectura es gratis.

La estafa del CEO

En España el nombre asentado es estafa del CEO; INCIBE lo publica también como fraude del CEO, y en inglés se conoce como business email compromise. Es, con diferencia, la familia más dolorosa en términos económicos, porque el daño es directo y casi nunca recuperable.

Bajo la misma etiqueta conviven cuatro montajes con idéntica mecánica: el directivo ilocalizable que ordena un pago confidencial, el falso proveedor que comunica un cambio de cuenta bancaria, el falso soporte informático que pide validar un acceso y el falso asesor externo que acompaña una operación secreta.

La variante más frecuente no es la que da nombre al fraude. Es la del falso proveedor: nada es urgente, nada es secreto, la factura es real y el desfase no se descubre hasta que llega la reclamación del impago. No interviene ningún malware. Basta un mensaje convincente y un número de cuenta cambiado.

Cuando además se apoya en una voz sintética, el guion no cambia, solo pierde su última debilidad, que era la necesidad de escribir. Lo tratamos entero en estafa del CEO con deepfake de voz.

Qué ha cambiado con la IA

Hasta hace poco, el phishing se detectaba por el idioma. Una traducción rara, una concordancia mal hecha, un acento perdido: ese era el indicador más fiable del que disponía tu equipo. Ese indicador ya no sirve.

Los modelos generativos escriben hoy un español impecable, en el registro de una empresa concreta, a partir de textos que esa empresa ha publicado ella misma. Los modelos de voz reproducen un timbre a partir de una muestra corta, y la grabación de alguien de dirección suele ser pública: un pódcast, un vídeo corporativo, una intervención en un congreso, incluso la locución de bienvenida de la centralita.

Hay una segunda consecuencia, menos comentada y más incómoda: la IA ha abaratado la personalización. Antes, el spear phishing era caro porque exigía trabajo humano de investigación por cada objetivo. Hoy ese trabajo se automatiza sobre fuentes abiertas, así que el mensaje dirigido y bien contextualizado deja de ser un lujo reservado a objetivos grandes.

La conclusión práctica es que los consejos del tipo «fíjate en las faltas de ortografía» están caducados. La defensa tiene que desplazarse del reconocimiento de la forma a la verificación del fondo. Lo desarrollamos en qué es el phishing con IA y cómo detectarlo y, desde el lado ofensivo, en la IA como herramienta de ataque.

Lo que de verdad funciona

Vale la pena decirlo con claridad: ninguna medida de esta sección impide que alguien haga clic. Lo que hacen es conseguir que un clic no termine en una transferencia ni en un acceso.

Un canal de verificación, no un esfuerzo de atención

La medida más eficaz es procedimental, no humana: ningún cambio de cuenta bancaria y ninguna transferencia excepcional se ejecuta sin confirmación por un segundo canal. Un correo se comprueba con una llamada a un número que ya conocías —el del contrato, el de tu propia ficha de proveedor, el del directorio interno—, nunca al que aparece en el mensaje.

Esta sola regla detiene la mayoría de las estafas del CEO, por convincente que fuera el mensaje original. Y tiene que estar escrita, no ser una costumbre: qué importes disparan la segunda validación, quién valida, en qué plazo y, sobre todo, quién tiene derecho a decirle que no a alguien de dirección sin tener que justificarse después. Este último punto falta casi siempre, y es el que decide si el procedimiento se aplica cuando llega la llamada de verdad.

Autenticación resistente al phishing

El doble factor clásico —un código por SMS o generado por una aplicación— se sortea sin dificultad: quien ataca simplemente pide el código a la persona mientras se está conectando en paralelo. Las claves de seguridad y las passkeys están vinculadas al dominio y, por tanto, no funcionan en una página falsificada. Es la diferencia entre complicar un ataque y hacerlo imposible.

La fatiga de notificaciones tiene su propio remedio, y es barato: emparejamiento por número en lugar de una aprobación de un solo toque.

Una cultura en la que se puede avisar

Si alguien sabe que reconocer un clic le va a costar una reprimenda, no lo va a contar. La organización se enterará de la brecha un mes más tarde. Todo el valor de un programa de concienciación depende de una única pregunta: ¿avisar del propio error sale gratis?

Una organización en la que el error se esconde durante dos días pierde exactamente los dos días en los que aún se podía recuperar el dinero.

Concienciación medida, no una sesión anual

Una sesión anual en la que cada persona pasa diapositivas no cambia ningún comportamiento. Lo que sí lo cambia es una experiencia concreta: alguien hace clic en un mensaje simulado, recibe en ese mismo instante la explicación de lo que debería haber visto, y comprueba un mes después que ya lo detecta.

Por eso combinamos test de ingeniería social y concienciación en ciberseguridad construida sobre lo que ha pasado de verdad en tu organización, con PhishGun para lanzar las campañas y seguir su evolución en el tiempo.

El alcance real de cada medida

Ninguna fila de esa tabla se basta sola. La conclusión operativa es que la defensa frente a la ingeniería social es una combinación, y que la pieza más barata —la regla escrita de verificación— es también la que más dinero ahorra.

Cómo se mide la resistencia de tu organización

Un test de ingeniería social funciona como un test de intrusión, con una diferencia: el objetivo no es un sistema, sino un procedimiento y las personas que lo aplican. En la práctica trabajamos en seis tiempos.

1. El encuadre y las reglas de juego.

Qué departamentos entran, qué escenarios se autorizan, qué está prohibido de forma absoluta y qué se va a medir. Aquí se fijan también los límites que protegen a la plantilla: ningún pretexto que use una nómina extraordinaria, un expediente de regulación de empleo, un resultado médico o el fallecimiento de un familiar. Esos escenarios funcionan, y precisamente por eso no se usan.

2. El mandato escrito.

Alcance, periodo, técnicas autorizadas e interlocutores, firmados antes del primer contacto. No es una formalidad administrativa: es la única diferencia jurídica entre un ejercicio y un delito, como se explica más abajo.

3. El reconocimiento.

Hacemos exactamente el mismo trabajo de fuentes abiertas que haría un atacante, y te entregamos lo que hemos encontrado. Esa lista suele ser, por sí sola, uno de los entregables más útiles del ejercicio.

4. Los escenarios a medida.

Construidos sobre tu organización real —tus proveedores, tu calendario, tus herramientas—, no sobre plantillas genéricas. Un escenario genérico mide la atención; un escenario contextualizado mide el procedimiento, que es lo que querías saber.

5. La ejecución y la medición.

Medimos quién hace clic, sí, pero sobre todo quién avisa y en cuánto tiempo. Dos personas identificadas en tu organización pueden detener el ejercicio en cualquier momento. Quien pide explícitamente comprobar recibe la verdad al instante: ha aplicado la regla, y no tiene por qué quedarse en la duda.

6. La devolución agregada.

Por departamento, nunca nominal. El objetivo es mejorar un procedimiento, no señalar a una persona. Una lista de nombres genera posturas defensivas; una cifra agregada con su explicación genera un cambio.

Un detalle de campo que vale más que cualquier panel: la métrica a seguir no es la tasa de clic, sino la tasa de notificación. Una organización en la que una de cada diez personas hace clic y la mitad de ellas lo comunica está mucho mejor situada que otra en la que hace clic una de cada veinte y nadie dice nada.

Cuando el escenario se prolonga con una intrusión técnica sobre el sistema de información, el ejercicio pasa a ser un Red Team, que mide la capacidad real de detección y de respuesta de tu organización en lugar de un único vector.

Somos un proveedor europeo, así que los datos del ejercicio —marcas de tiempo, escenarios, resultados por departamento— se tratan bajo el RGPD directamente, sin transferencia internacional del capítulo V ni cláusulas contractuales tipo. Sobre qué exigirle a cualquier proveedor de estos servicios, hemos escrito cómo elegir una empresa de pentesting.

El marco legal en España

Se superponen dos planos, y conviene separarlos porque se resuelven en sitios distintos de la organización.

El plano penal: lo que hace lícito el ejercicio

El Código Penal repite la misma fórmula en todos los tipos relevantes: «sin estar debidamente autorizado». El art. 197 bis castiga a quien accede o facilita el acceso al conjunto o a una parte de un sistema de información sin estar debidamente autorizado; el art. 197 ter, la producción o la facilitación de programas o de contraseñas concebidos para ello; y los arts. 264, 264 bis y 264 ter hacen lo propio con el borrado o la alteración de datos y con la obstaculización de sistemas. Los arts. 197 quinquies y 264 quater extienden la responsabilidad a las personas jurídicas por la vía del art. 31 bis.

Esa fórmula es exactamente lo que aporta el mandato escrito. Un test de ingeniería social sin alcance, sin periodo y sin técnicas autorizadas por escrito no es un ejercicio arriesgado: es otra cosa. Ningún proveedor serio empieza sin él, y deberías desconfiar de quien trate ese documento como un trámite.

Del lado del ataque real, conseguir una transferencia haciéndose pasar por otra persona es estafa (arts. 248 y 249 del Código Penal), y la tentativa también se castiga. Merece la pena denunciar aunque el pago se haya frenado a tiempo: condiciona buena parte de lo que viene después, también frente a la aseguradora.

El plano laboral: el ejercicio observa a la plantilla

El art. 20.3 del Estatuto de los Trabajadores reconoce a la empresa la facultad de adoptar medidas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales, «guardando en su adopción y aplicación la consideración debida a su dignidad». El art. 20 bis remite, para la intimidad en el uso de los dispositivos digitales, a la legislación de protección de datos y garantía de los derechos digitales.

Ahí es donde entra el artículo que de verdad decide el calendario de un programa de simulación: el art. 87.3 de la LOPDGDD (Ley Orgánica 3/2018) obliga a establecer criterios de utilización de los dispositivos digitales y exige que en su elaboración participen los representantes de los trabajadores. El Tribunal Supremo, en sentencia de 6 de febrero de 2024, declaró que ese precepto «tiene carácter imperativo» y que la participación es «indispensable» para cualquier concreción, ampliación o restricción de los criterios de uso, incluidas las modificaciones de una política ya existente.

Añade a esto que el art. 64 del Estatuto de los Trabajadores reconoce al comité de empresa un derecho de informe previo sobre determinadas decisiones empresariales, entre ellas las relativas a la implantación y revisión de sistemas de organización y control del trabajo; si tu asesoría laboral considera que el programa encaja también en ese supuesto, el trámite se acumula. Pídele que confirme el apartado exacto sobre el texto consolidado antes de citarlo en un documento interno.

Tres consecuencias prácticas, todas comprobables antes de lanzar nada:

• Información previa a la plantilla. Se anuncia la existencia del dispositivo, no la fecha ni el contenido de los mensajes. El principio se comunica; la sorpresa se conserva.
• Base jurídica y minimización. El tratamiento se apoya en el interés legítimo del art. 6.1.f) del RGPD, con juicio de ponderación escrito y fechado, y se documenta en el registro de actividades del art. 30. Nunca se captura ni se conserva una contraseña real.
• Resultados agregados. Sin clasificación nominal, sin anotación en el expediente personal y sin consecuencia disciplinaria. Usar el resultado para sancionar cambia la finalidad declarada y destruye el propio expediente.

La AEPD no ha publicado orientación específica sobre ataques simulados; su guía «Protección de datos en las relaciones laborales», de 18 de mayo de 2021, no trata la materia. El marco aplicable es, por tanto, el general, y el expediente que construyas es toda tu defensa. El procedimiento completo, con un modelo de comunicación interna, está en simulación de phishing y derechos de los trabajadores.

Si lo abordas por cumplimiento

Cuatro marcos tocan este asunto, y ninguno de ellos exige literalmente un test de ingeniería social. Conviene saberlo antes de que alguien te venda lo contrario.

RGPD. El art. 32.1.d) es la única disposición europea que menciona expresamente la prueba periódica: exige «un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento». No nombra el pentest ni la simulación de phishing. Pero un procedimiento de verificación de identidad y de doble validación de pagos es una medida organizativa, y probarlo es literalmente lo que el texto describe. Si un incidente de ingeniería social acaba exponiendo datos personales, hay que valorar además la notificación a la AEPD dentro de las 72 horas del art. 33.

ISO/IEC 27001. El control A.6.3 del Anexo A espera concienciación del personal y su verificación. Eso sitúa la simulación del lado de las pruebas de eficacia del sistema de gestión, y no del lado de las acciones declarativas. Lo acompañamos desde nuestra página de pentesting para ISO 27001.

Esquema Nacional de Seguridad. El RD 311/2022 sitúa la concienciación del personal entre las medidas de su Anexo II, en el control [mp.per.3]. Su art. 2.3 extiende el Esquema a las entidades privadas que, en virtud de una relación contractual, prestan servicios o proveen soluciones a entidades del sector público para el ejercicio de sus competencias: si ese es tu caso, el requisito baja hasta tu contrato por la vía del pliego.

NIS2. La Directiva (UE) 2022/2555 sitúa en su art. 21.2.g) las prácticas básicas de ciberhigiene y la formación en ciberseguridad entre las medidas de gestión de riesgos exigibles a las entidades afectadas. Ahora bien: a 12 de septiembre de 2026 la Directiva no está transpuesta en España, de modo que hoy no nace de ella ninguna obligación directa para las empresas en España; el estado de la cuestión, en NIS2 en España: qué obliga hoy y qué no y en nuestra página de pentesting para NIS2. Sí es directamente aplicable el Reglamento de Ejecución (UE) 2024/2690, que concreta las medidas del art. 21 para determinadas categorías de entidades digitales y dedica un apartado de su anexo a la ciberhigiene básica y a la concienciación del personal. Aunque por ámbito no te alcance, describe con bastante precisión qué se entiende hoy por diligencia razonable.

Si ya ha ocurrido

Las primeras horas deciden casi todo. En orden:

1. Llama al banco de inmediato y pide que inicie la recuperación de fondos. Si la transferencia aún no se ha liquidado en destino, hay margen real.
2. Conserva las pruebas: correos con sus cabeceras completas, registro de llamadas, mensajes, la orden de pago y capturas de todo lo anterior.
3. Corta los accesos que hayan podido quedar comprometidos y revisa las reglas de reenvío automático del buzón afectado, que es donde se esconde la persistencia en este tipo de fraude.
4. Denuncia ante la Policía Nacional o la Guardia Civil.
5. Avisa a la aseguradora si tienes cobertura de fraude o de ciberriesgo: los plazos de comunicación del siniestro son cortos.
6. Valora la notificación a la AEPD si han quedado expuestos datos personales, dentro del plazo de 72 horas del art. 33 del RGPD.
7. Llama al 017, la línea gratuita de ayuda en ciberseguridad de INCIBE, que atiende también a empresas.
8. Cuéntalo hacia dentro. El resto de la organización necesita saber que la campaña está en marcha: el segundo intento suele llegar el mismo día, y a otra persona.

En resumen

La ingeniería social es peligrosa porque ataca la confianza, no la técnica. Por eso no se resuelve comprando una herramienta: se resuelve escribiendo un procedimiento de verificación, probándolo bajo presión y midiendo si alguien avisa.

Tres frases para llevarse:

• La amenaza se llama ingeniería social; el servicio se llama test de ingeniería social. Confundirlos hace que se compre lo que no era.
• Una identidad familiar más una petición urgente y excepcional es la combinación que hay que reconocer. Cuando aparezca, frena. Frenar es la contramedida.
• La métrica que importa no es cuánta gente hace clic, sino cuánta avisa y en cuánto tiempo.

Y no hay nada embarazoso en decir «lo compruebo y te llamo». Esa frase protege una tesorería, un proveedor y, muy a menudo, a la persona que la pronuncia.

Ingeniería social: preguntas frecuentes

Nuestros servicios relacionados: test de ingeniería social y campañas de phishing simulado · concienciación en ciberseguridad para tu plantilla · Red Team: una simulación de ataque realista