Por Qué Caemos: Cómo Funcionan Realmente los Ataques
Las otras guías de este blog — como 10 Pasos para Proteger sus Cuentas en Línea — le dicen qué hacer. Esta le explica contra qué.
No hay pasos aquí, ni listas para marcar. Es la parte que hace que las demás tengan sentido, y probablemente la única que va a seguir siendo cierta dentro de cinco años, cuando las estafas de hoy hayan sido reemplazadas por otras.
Las matemáticas ganaron, y por eso el problema cambió de lugar
Existe una imagen popular del ataque informático: alguien frente a una pantalla negra, probando contraseñas hasta dar con la suya.
Eso ya casi no ocurre, y la razón es aritmética. Los algoritmos modernos de cifrado son rápidos, baratos y auditables, y aplicarlos bien está al alcance de cualquier plataforma seria. Contra una contraseña razonablemente larga, probar combinaciones deja de ser una estrategia y se convierte en una fantasía: el tiempo necesario supera cualquier escala humana.
Los atacantes no son tercos. Son económicos. Cuando una vía se encarece lo suficiente, se mueven a la que sigue.
Y la que sigue está en otro lado. Si romper el candado cuesta siglos, pero convencer a la persona de que abra la puerta cuesta un mensaje bien redactado, la elección es obvia. Eso es la ingeniería social: no atacar el sistema, sino atacar a quien lo opera.
El resultado es que la seguridad dejó de ser un problema técnico y se convirtió en un problema de atención. Las capas de tecnología siguen importando muchísimo, pero ninguna de ellas lo protege del momento en que usted, voluntariamente, entrega la llave.
El ataque no es un programa, es una conversación
Vale la pena verlo desde el otro lado.
Un atacante no lo eligió a usted. En la inmensa mayoría de los casos, envió el mismo mensaje a cincuenta mil personas y le está saliendo prácticamente gratis. No necesita que funcione: necesita que funcione algunas veces. Con que responda el uno por ciento, el negocio cierra.
Eso explica cosas que de otro modo parecen absurdas. Explica por qué los mensajes son tan genéricos, por qué llegan a horas raras, por qué a veces mencionan un banco donde usted no tiene cuenta. No están afinados para usted; están lanzados al volumen.
También explica algo incómodo: usted no tiene que ser interesante para ser víctima. La idea de “yo no tengo nada que valga la pena robar” es la creencia más útil que un atacante puede encontrarse. Su cuenta de correo sirve para atacar a sus contactos. Su cuenta de streaming sirve para revender. Su identidad sirve para abrir crédito. Usted no es el objetivo; es el inventario.
La forma que comparten todos los engaños
Cambian los pretextos, los logos y las plataformas. La estructura es siempre la misma, y son cuatro piezas.
1. Un pretexto que le resulta plausible
Alguien que usted reconoce o que tiene autoridad: su banco, la aduana, el ICE, una empresa donde compró algo, un familiar, su jefe. El pretexto no tiene que ser convincente para todo el mundo. Tiene que ser convincente para el pequeño porcentaje que en ese momento está esperando exactamente eso.
2. Un canal que ellos eligieron
El mensaje llega por donde ellos decidieron: un correo, un SMS, una llamada, un WhatsApp. Esto parece un detalle y es, en realidad, el corazón del asunto. Volveremos a esto.
3. Presión sobre el tiempo
Su cuenta será suspendida hoy. El paquete se devuelve mañana. Hay un cargo sospechoso ahora mismo. Un familiar está en problemas en este instante.
La urgencia no es un adorno del engaño. La urgencia es el engaño. Su función es apagar el pensamiento pausado y dejar operando el reflejo, porque el reflejo es mucho más fácil de manipular.
4. Una acción única y específica
Todo el montaje existe para producir un solo movimiento: que escriba su contraseña en una página, que dicte el código que le acaba de llegar, que haga un SINPE, que abra un archivo, que instale algo.
Ese último paso siempre es pequeño. Si fuera grande, usted se detendría a pensarlo.
Por qué cae gente que sabe
Aquí quiero ser claro, porque la vergüenza es uno de los grandes aliados del fraude: caer no es un problema de inteligencia.
Tres razones estructurales.
La coincidencia hace el trabajo. Un mensaje sobre un paquete retenido es obviamente falso, hasta que le llega el mismo día en que usted efectivamente está esperando un paquete. Un correo del banco es sospechoso, hasta que aparece justo después de una compra que sí hizo. Con suficiente volumen, esa coincidencia le va a tocar a alguien, y de vez en cuando le toca a usted.
El estado importa más que el conocimiento. Usted sabe perfectamente cómo funciona el phishing. Pero lo van a agarrar cansado, apurado, entre dos reuniones, manejando, o con su hijo llorando al lado. Los ataques no compiten contra su conocimiento; compiten contra su atención en ese minuto, y la atención es un recurso que se agota.
La confianza es el valor por defecto, y debe serlo. La vida social funciona porque asumimos buena fe. Una persona que desconfía de todo mensaje no es más segura: es alguien que dejó de poder trabajar. La desconfianza total no es la meta y no es sostenible.
Por eso la solución no puede ser “esté siempre alerta”. Nadie puede. La solución tiene que ser un hábito lo bastante simple como para sobrevivir a su peor día.
Mirar la forma, no el contenido
Si el contenido se puede falsificar por completo, hay que dejar de evaluar el contenido.
Lo que no se puede falsificar es la estructura del intercambio. Tres preguntas, y ninguna requiere conocimientos técnicos:
¿Quién inició el contacto?
Esta es la más poderosa de las tres. Casi todos los fraudes tienen algo en común: ellos lo buscaron a usted. Un mensaje, una llamada, una notificación que usted no pidió. Cuando usted es quien inicia — usted marca el número de su tarjeta, usted abre la aplicación del banco — el fraude se vuelve mucho más difícil de montar.
¿Me están apurando?
Si un mensaje produce en usted una sensación de urgencia, esa sensación es el dato. No la trate como una emergencia por atender: trátela como una alarma de que algo está tratando de que usted no piense. Las instituciones reales, cuando algo es real, esperan diez minutos o hasta días.
¿Qué acción única quieren de mí?
Nómbrela en voz alta. “Quieren que dicte el código.” “Quieren que ponga la contraseña en esta página.” “Quieren que haga una transferencia.” El engaño depende de que ese paso pase desapercibido dentro de la historia. Cuando usted lo enuncia por separado, casi siempre se cae solo.
La idea más robusta de todas: el canal de verificación
De todo lo que hay en este blog, si tuviera que dejar una sola idea, sería esta.
Verifique siempre por un canal que usted eligió, nunca por el que le ofrecieron.
El atacante controla completamente el canal por el que se acercó. Controla el número que aparece en su pantalla, el remitente del correo, el enlace, el botón, y el número de teléfono “de atención al cliente” que viene dentro del mensaje. Todo eso puede ser fabricado, y fabricarlo es barato.
Lo que no controla es un canal que usted escoge por su cuenta: el número impreso en su tarjeta, la aplicación oficial que ya tenía instalada, la dirección que usted escribe, el número de su hermana que ya estaba en su agenda desde hace años.
Colgar y llamar usted mismo derrumba la enorme mayoría de los fraudes existentes, y va a seguir derrumbando los que se inventen después, porque no depende de reconocer el truco. Depende únicamente de cambiar quién controla la conversación.
De ahí sale también la regla de la guía base sobre no iniciar sesión desde un enlace. Es la misma idea aplicada al navegador.
Dónde la tecnología sí lo protege de usted mismo
Nada de lo anterior significa que las herramientas sean secundarias. Al contrario: las mejores son las que funcionan precisamente cuando su juicio falla, que es cuando hace falta.
El gestor de contraseñas reconoce el phishing mejor que usted. Bitwarden ofrece rellenar sus datos solo en el dominio exacto que tiene guardado. Si usted llegó a una copia perfecta del sitio de su banco, la extensión sencillamente no le ofrece nada. Ese silencio es una alerta, y no depende de que usted esté despierto ni de que la copia sea mala. Es una máquina revisando el dominio letra por letra, algo que el ojo humano hace mal por diseño.
El doble factor convierte un desastre en un susto. Si su contraseña se filtró, el atacante todavía tiene que pasar por algo que está en su bolsillo. Por eso el fraude más común hoy no es robar contraseñas: es llamarlo para que usted dicte el código. Le están pidiendo que desarme a mano la única capa que quedó en pie.
Las contraseñas distintas contienen el daño. Cuando le roban la base de datos a una tienda cualquiera, esa contraseña la prueban automáticamente en bancos y correos. Si es única, el incidente muere ahí.
El patrón es el mismo en los tres casos: la buena seguridad no exige que usted acierte siempre. Exige que equivocarse una vez no lo cueste todo.
Cuando falla
Va a fallar alguna vez. A todos nos pasa o nos va a pasar.
Lo que decide la magnitud del daño no es la sofisticación del ataque: es cuántos minutos pasan entre el error y la reacción. Y lo que hace que pasen horas en vez de minutos casi siempre es la vergüenza — la pausa en la que uno intenta convencerse de que tal vez no fue nada, o piensa en cómo va a explicarlo.
Vale la pena decirlo con todas sus letras: caer no dice nada sobre su inteligencia. Dice que alguien invirtió esfuerzo en un engaño y lo encontró a usted en el minuto equivocado. La respuesta correcta no es analizarlo, es actuar rápido y contarlo, sobre todo si el fraude puede alcanzar a alguien más.
Ese es el tema de Ya Me Hackearon: Qué Hacer Ahora, y esa sí va a tener pasos.
Lo que quiero que le quede
- La tecnología dejó de ser el punto débil. Usted lo es, y no por descuidado, sino por humano.
- Los engaños cambian de disfraz todos los meses; la forma es siempre la misma: pretexto, canal ajeno, prisa, una acción pequeña.
- La prisa que usted siente no es parte del problema que le presentan. Es el ataque.
- No evalúe el contenido, que se falsifica completo. Pregunte quién inició el contacto.
- Verifique por un canal que usted eligió. Siempre.
- Y arme las capas que funcionan cuando usted no está a la altura, porque va a haber días en que no lo esté.