An Analysis of the Impact of Psychological Factors and Techniques Across Different Types of Social Engineering

Cada día, las personas toman decisiones sobre qué hacer clic, qué abrir y en qué confiar. En el mundo de la ciberseguridad, estas decisiones son la primera línea de defensa. Los atacantes no siempre necesitan romper un código informático complejo; a menudo, simplemente necesitan engañar a una persona para que entregue una contraseña o descargue un virus. Este método de manipulación se llama ingeniería social. Se basa en explotar cómo funciona la mente humana, utilizando disparadores psicológicos específicos para saltarse la precaución. Algunos de estos disparadores son emociones familiares como el miedo o la promesa de una recompensa, mientras que otros son hábitos sociales como obedecer a un jefe o confiar en una marca conocida. Comprender qué disparador emocional funciona mejor con qué tipo de mensaje es crucial, porque ayuda a las organizaciones a enseñar a sus empleados cómo detectar la trampa antes de que se dispare.

Un equipo de investigadores en Alemania se propuso mapear estas trampas. Querían saber si ciertos disparadores emocionales funcionaban mejor con tipos específicos de mensajes. Por ejemplo, ¿la promesa de dinero gratis funciona mejor en un mensaje de texto o en un correo electrónico? ¿El miedo a una cuenta bancaria congelada funciona mejor por teléfono o en una ventana emergente? Para encontrar las respuestas, los investigadores realizaron un experimento controlado en un laboratorio. Reunieron a doce voluntarios y les mostraron una serie de ataques simulados. Cada participante vio veinticinco escenarios diferentes. Estos escenarios fueron creados mezclando cinco tipos diferentes de mensajes con cinco diferentes disparadores psicológicos. Los tipos de mensajes incluían correos electrónicos estándar, correos electrónicos dirigidos que parecían provenir de una persona específica, mensajes de texto, llamadas de voz y ventanas emergentes que aparecen en la pantalla. Los disparadores psicológicos fueron la curiosidad, la codicia, la confianza, el miedo y el sentimiento de obedecer a una figura de autoridad.

Los investigadores no pidieron a los voluntarios que realmente hicieran clic en enlaces o entregaran información real. En su lugar, les mostraron imágenes de los mensajes o reprodujeron grabaciones de las llamadas y les hicieron una pregunta sencilla: ¿respondería usted a esto? Los voluntarios también explicaron su pensamiento en voz alta mientras veían los escenarios. Esto permitió a los investigadores ver no solo qué hacía la gente, sino por qué tomaba esas decisiones. El estudio fue pequeño y tuvo lugar en una habitación tranquila, por lo que los resultados son un primer vistazo a cómo interactúan estos factores más que una regla final para todo el mundo.

Los resultados revelaron un patrón claro en cómo reacciona la gente. La combinación más exitosa para engañar a los voluntarios fue un correo electrónico dirigido que prometía una recompensa financiera. Cuando un correo electrónico parecía provenir de una persona específica y ofrecía un trato, tres de cada cuatro participantes dijeron que responderían. Esto sugiere que la combinación de atención personal y la promesa de dinero es un señuelo poderoso. El segundo método más efectivo fue un correo electrónico estándar que prometía una recompensa o pedía al destinatario que confiara en el remitente, como un mensaje que afirmaba ser de un servicio de streaming. En estos casos, más de la mitad de los voluntarios dijeron que interactuarían con el mensaje.

Sin embargo, no todas las combinaciones funcionaron. Los investigadores descubrieron que algunos métodos fallaron casi por completo. Cuando los atacantes intentaron usar la autoridad de un jefe para exigir una acción urgente, rara vez funcionó, especialmente si el mensaje llegaba a través de una llamada telefónica, un mensaje de texto o una ventana emergente. De hecho, cuando una llamada de voz intentó usar la curiosidad para lograr que una persona escuchara, falló por completo; ninguno de los voluntarios dijo que respondería a ese escenario específico. Los voluntarios explicaron que consideraban estos canales inapropiados para el tipo de solicitud. Por ejemplo, sintieron que un jefe no llamaría para pedir la descarga de un archivo, o que una empresa no enviaría un mensaje de texto sobre una carpeta compartida.

El estudio también mostró que el tipo de emoción importaba. El miedo fue un motivador fuerte, pero tenía un doble filo. Cuando un mensaje afirmaba que una cuenta bancaria estaba congelada, muchas personas sintieron el impulso de arreglarlo, pero un grupo aún mayor se sintió sospechoso y se negó a hacer clic porque estaban preocupados por la seguridad. La codicia, por otro lado, fue un motor más directo. Cuando un mensaje ofrecía un descuento o una oferta, la gente tenía más probabilidades de actuar, siempre que el mensaje pareciera legítimo. La confianza también desempeñó un papel importante; cuando un mensaje parecía provenir de una empresa familiar como un servicio de streaming, la gente estaba dispuesta a hacer clic, pero solo si el mensaje llegaba en un formato que esperaban, como un correo electrónico.

Curiosamente, los investigadores descubrieron que la confianza de una persona en su propia seguridad digital no siempre coincidía con su comportamiento. Algunos voluntarios que dijeron ser muy seguros al manejar riesgos digitales aun así caían en las trampas, mientras que otros que se sentían inseguros eran en realidad más cautelosos. Esto sugiere que sentirse seguro no siempre significa estar seguro. El estudio también destacó que las llamadas de voz y los mensajes de texto fueron generalmente menos efectivos que los correos electrónicos. Los voluntarios eran naturalmente más suspicaces ante las llamadas telefónicas y los mensajes de texto, citando a menudo que estos canales se sentían incorrectos para el tipo de solicitud realizada.

Al final, la investigación dibuja una imagen de la vulnerabilidad humana que es específica y situacional. No se trata solo de ser ingenuo; se trata del contexto. Un mensaje que funciona en un formato puede fallar en otro, y una promesa de dinero funciona mejor que una orden de un jefe. Los ataques más efectivos fueron aquellos que combinaron un formato familiar y de confianza con un fuerte gancho emocional. Aunque el estudio fue pequeño, proporciona un mapa claro de qué disparadores psicológicos son más peligrosos en qué entornos digitales, ofreciendo una guía para construir mejores defensas y capacitación en concienciación para el futuro.