Ingeniería social

La ingeniería social es un ataque contra una persona, no contra un ordenador. Nadie rompe tu contraseña. Te la piden, y te dan un buen motivo para darla. El miedo, la prisa y la buena educación hacen el resto.

Este es un guion real, casi palabra por palabra. El teléfono suena a las cuatro y media de un jueves. « Buenas tardes, soy del equipo antifraude de su banco. Hemos parado dos pagos en su cuenta. Para anularlos necesito el código de seis dígitos que le acabamos de enviar. » El código llega mientras él habla, porque está entrando en la cuenta en ese momento. La persona de recepción lo lee en voz alta. El dinero sale antes de las cinco.

El mismo truco se cambia de ropa. Un mensaje de WhatsApp desde un número desconocido, con el nombre y la foto de tu jefe, que dice que está en una reunión y que hay que pagar hoy a un proveedor. Un técnico en el pasillo con una escalera que te pide que le sujetes la puerta porque su tarjeta está en la furgoneta. Los ataques que llegan por correo tienen nombre propio, el phishing, pero el método de debajo es el mismo.

Una sola costumbre lo corta casi todo. Devuelve la llamada. No al número que te llamó, ni a un número escrito en el mensaje. Al número impreso en tu tarjeta del banco, o a la extensión de tu propio directorio. Un empleado de verdad esperará. Un ladrón discutirá, o la línea se quedará muda. Dile a todo el equipo que colgar está permitido y que nadie va a reprochárselo.

La sorpresa para casi todos los dueños es a quién eligen. No al director financiero. A la recepcionista nueva, al repartidor, al estudiante en prácticas de verano, gente servicial que todavía no sabe quién es quién. Cuando Linkysoft hace una revisión de seguridad, llamamos a recepción antes de tocar un solo servidor, y recepción suele caer. No se castiga a nadie. Se trata de encontrar el hueco mientras sale barato.

Escribe la regla de pagos en una hoja y cuélgala donde se maneja el dinero. Cualquier cambio de cuenta bancaria se confirma por voz, en un número que ya tenías, y por una segunda persona. No cuesta nada, y es el consejo más barato que Linkysoft le da a un cliente.