Human Factors and Social Engineering in Cybersecurity: A Qualitative Case Study and ISO/Iec 27001-aligned Ethical Response Framework

La batalla invisible por su cerebro

Imagine que el internet es una ciudad enorme y bulliciosa. Durante años, los planificadores de la ciudad (expertos en ciberseguridad) han estado construyendo muros más altos, puertas más fuertes y cerraduras más inteligentes para mantener fuera a los malos. Instalaron cortafuegos como fosos y cifrado como bóvedas inquebrantables. Pero hay un problema: la ciudad tiene una puerta trasera que ninguna cantidad de acero puede cerrar. Esa puerta trasera es usted.

Este es el mundo de la ingeniería social. En lugar de hackear el código de una computadora, los atacantes hackean la mente humana. Utilizan trucos como pretender ser su jefe, crear una falsa sensación de emergencia o pretender ser un amigo servicial para engañarlo y que entregue sus llaves (contraseñas) o abra una puerta que no debería. Esto funciona porque explota la forma en que nuestros cerebros funcionan naturalmente: confiamos en las personas que suenan importantes, entramos en pánico cuando escuchamos "urgente" y nos cansamos cuando tenemos demasiado que hacer.

Durante mucho tiempo, los expertos en seguridad pensaron que la respuesta era simplemente decir a la gente: "¡No haga clic en enlaces extraños!". Pero este documento sugiere que eso es como decirle a un nadador "simplemente no se ahogue" sin enseñarle cómo nadar. La verdadera pregunta no es si las personas son descuidadas; es cómo la presión de la escuela, el trabajo y los plazos de entrega hace que incluso las personas inteligentes sean vulnerables. Este estudio se sumerge en ese lado humano y desordenado de la seguridad para ver cómo podemos construir mejores defensas que realmente se ajusten a cómo pensamos y sentimos.

---

La historia de la Ciudad Universitaria

En este estudio, un equipo de investigadores de la Universidad William V. S. Tubman en Liberia decidió dejar de adivinar y empezar a escuchar. Querían entender cómo reaccionan diferentes grupos de personas en un entorno universitario —personal de TI con conocimientos técnicos, estudiantes de ingeniería y principiantes en un programa de fundamentos— cuando alguien intenta engañarlos en línea.

Piense en la universidad como un barco gigante. El personal de soporte de TI son los ingenieros en la sala de máquinas; ellos saben cómo funciona el barco. Los estudiantes de ingeniería son los marineros aprendiendo a navegar; conocen las herramientas pero todavía están ocupados con sus propias tareas. Los aprendices de fundamentos son los nuevos pasajeros que acaban de subir a bordo; aún no conocen las reglas del barco.

Los investigadores reunieron a estos tres grupos para una serie de "círculos de charla" (grupos focales). No solo preguntaron: "¿Es usted cuidadoso?". En su lugar, plantearon escenarios: ¿Qué pasa si recibe un correo urgente del Decano diciendo que su cuenta será eliminada en cinco minutos? ¿Qué pasa si un "centro de ayuda" llama pidiendo su contraseña? Escucharon lo que decían los participantes, cómo se sentían y qué harían realmente.

Lo que encontraron: No existe un modelo único para todos

El gran descubrimiento es que no existe un único "error humano". Diferentes grupos son engañados de diferentes maneras, y la formación habitual de "talla única" está fallando a todo el mundo.

1. Los ingenieros en la sala de máquinas (Personal de TI)
El personal de TI sabía más sobre seguridad. Podían detectar un correo falso a un kilómetro de distancia. Pero aquí está el giro: estaban muy agotados por la formación en seguridad. Imagine ser un bombero que tiene que ver el mismo video de seguridad cada semana. Eventualmente, deja de escuchar. El estudio encontró que, debido a que estos miembros del personal son bombardeados con mensajes de seguridad, sufren de "fatiga de formación". Saben las reglas, pero están cansados de escucharlas, lo que los hace menos alertas.

2. Los marineros ocupados (Estudiantes de Ingeniería)
Los estudiantes de ingeniería eran en realidad muy buenos detectando los trucos. Sabían que debían verificar la dirección del remitente y buscar enlaces extraños. Sin embargo, eran los más propensos a cometer un error cuando estaban estresados o sobrecargados. Cuando lidiaban con tareas, plazos de entrega y una avalancha de correos electrónicos, sus cerebros se cansaban. En ese momento de "sobrecarga cognitiva", incluso un estudiante inteligente podría hacer clic en el botón equivocado solo para terminar la tarea rápidamente. No eran descuidados; simplemente estaban demasiado ocupados para ser cuidadosos.

3. Los nuevos pasajeros (Aprendices de Fundamentos)
Los principiantes no tenían el mismo nivel de conocimiento técnico. No conocían los trucos sofisticados para detectar un correo falso. Pero tampoco estaban "fatigados" porque aún no habían sido entrenados. El estudio sugiere que necesitan un tipo de ayuda diferente: bloques de construcción simples y básicos. Necesitan aprender las reglas básicas de la carretera antes de poder manejar un tráfico complejo.

El mito de la "debilidad humana" ha muerto

El documento argumenta con fuerza contra la idea de que los humanos son simplemente "el eslabón más débil" en la cadena. Eso es como culpar a un coche por tener una llanta desinflada cuando la carretera está llena de clavos. Los investigadores encontraron que las personas no son naturalmente descuidadas; son tomadores de decisiones situados.

Si estás cansado, estresado o te dicen que tu jefe está observando, tu cerebro toma atajos. Confía en la persona que suena como una figura de autoridad. Hace clic en el botón para que el problema "urgente" desaparezca. El estudio muestra que estos errores ocurren porque el entorno está configurado para engañarnos, no porque seamos estúpidos.

El nuevo plan de juego: Un escudo personalizado

Entonces, ¿cuál es la solución? Los autores proponen un nuevo marco que se alinea con los estándares internacionales de seguridad (ISO/IEC 27001), pero con un corazón humano. En lugar de enviar el mismo correo aburrido a todo el mundo, sugieren un enfoque por niveles:

• Para los Principiantes: Darles lecciones simples que generen confianza. Enseñarles lo básico como "no compartir su contraseña" y "¿a quién llamo si estoy confundido?".
• Para los Estudiantes Ocupados: No solo darles conferencias. Darles práctica rápida y realista que se ajuste a sus vidas ocupadas. Enseñarles cómo hacer una pausa y verificar cuando están estresados.
• Para los Expertos de TI: Dejar de dar la formación repetitiva. Darles desafíos avanzados e interesantes que se sientan reales y se conecten con los problemas reales que enfrentan. Mantenerlos comprometidos para que no se desconecten.

El marco también enfatiza el monitoreo ético. Esto significa que si la universidad rastrea quién hace clic en un enlace de prueba falso, no debe castigar a esa persona. En su lugar, debe usarlo como un momento de aprendizaje. Es como un entrenador ayudando a un jugador a mejorar, no un árbitro expulsándolo del campo.

La conclusión

Este estudio sugiere que para ganar la batalla contra los hackers que engañan a las personas, debemos dejar de tratar a los humanos como robots rotos que necesitan ser reparados. Debemos tratarlos como personas que se cansan, se estresan y están ocupadas. Al comprender que un estudiante estresado, un trabajador de TI cansado y un nuevo aprendiz necesitan tipos de apoyo diferentes, las universidades (y las empresas) pueden construir un sistema de seguridad que realmente funcione.

Los investigadores admiten que esto es solo el comienzo. Estudiaron una universidad con un grupo pequeño de personas, por lo que sus hallazgos son una sugerencia sólida, no una ley final de la física. Pero el mensaje es claro: si queremos estar seguros en línea, tenemos que diseñar nuestras defensas para que se ajusten a la realidad desordenada, maravillosa y, a veces, cansada de ser humanos.