La psicología del fraude: seis palancas que la ingeniería social sigue usando

Un vendedor que llamaba a la puerta con una historia verosímil y un papel con sello trabajaba sobre las mismas teclas que hoy pulsa un correo con el asunto “pago pendiente, cierre de mes”. Cambió el soporte, cambió la escala y cambió la velocidad. La secuencia de convencimiento quedó casi intacta, y esa permanencia es el objeto de la psicología del fraude.

Esa continuidad explica por qué la ingeniería social resiste tan bien el paso del tiempo. Una vulnerabilidad técnica se parchea. Las regularidades del comportamiento humano que un fraude aprovecha son anteriores a cualquier sistema informático y no tienen actualización disponible. Mirarlas de cerca cambia el diseño de un programa de concientización, porque entender qué palanca se está activando lleva a un lugar distinto que enseñar a reconocer el envoltorio del mensaje.

¿Por qué la ingeniería social no necesita una falla técnica?

La ingeniería social consigue que una persona autorizada haga por voluntad propia aquello que el atacante no puede hacer por sus propios medios. En lugar de forzar un control, lo solicita. Y lo solicita en el idioma de las señales que usamos para decidir rápido a quién creer, de modo que la petición llega antes que la sospecha.

Cuando alguien resuelve si atender un pedido, rara vez evalúa la evidencia. Lee señales: quién lo firma, con cuánta prisa llega, si otros ya lo hicieron, si suena parecido a lo de siempre. Esos atajos funcionan porque el mundo cotidiano es mayormente cooperativo, y sin ellos ninguna organización podría operar a la velocidad que opera.

El atacante trabaja sobre la señal antes que sobre la evidencia. Cuando planteamos que el phishing no es un problema de conocimiento, el foco estaba puesto en el lado de quien recibe y en por qué saber no alcanza en el instante de la decisión. Aquí el foco cambia de lado y la pregunta pasa a ser qué tecla elige apretar quien ataca.

¿Cuáles son las seis palancas de persuasión que activa un fraude?

La psicología social describe seis principios de influencia que atraviesan casi cualquier situación en la que alguien logra que otro acceda a un pedido. El trabajo de Robert Cialdini los sistematizó a partir de la observación de vendedores, recaudadores de fondos y negociadores profesionales. Ninguno se formuló pensando en ciberseguridad y todos tienen su versión en un fraude digital.

1. Autoridad. El pedido baja desde una posición con poder para premiar o sancionar. Un correo firmado por la dirección financiera, o una supuesta notificación de un organismo fiscal, rara vez recibe la pregunta que merecería.
2. Escasez. La ventana se cierra. Quedan dos horas para confirmar, el cupo se agota, el plazo vence hoy. La urgencia no agrega información, resta tiempo de análisis.
3. Prueba social. Otros ya lo hicieron. “El resto del equipo ya validó sus datos” convierte una anomalía en rutina compartida.
4. Reciprocidad. Algo se dio primero. El falso soporte técnico que “resuelve” un problema menor antes de pedir las credenciales compra una deuda que la mayoría de las personas honra.
5. Simpatía. El pedido llega de alguien afín o agradable. Un perfil que comparte el mismo empleador, la misma ciudad o la misma profesión obtiene una atención que un desconocido no obtiene.
6. Compromiso y coherencia. Un sí pequeño abre la puerta a uno grande. Confirmar un dato inocuo al principio de la conversación deja a la persona sostenida por su propia coherencia cuando llega el pedido real.

Conviene no confundir estas palancas con las condiciones de la persona que recibe el mensaje. La carga de trabajo o la prisa describen el estado de quien decide. Las palancas describen la maniobra de quien pide. Un ataque efectivo combina las dos cosas, y por eso el mismo mensaje rinde distinto un lunes a primera hora que un viernes a las siete de la tarde.

¿Por qué las mismas palancas funcionan en el correo, en el teléfono y en el video?

Porque la palanca no vive en el canal. Vive en la relación que el mensaje simula tener con quien lo recibe. Cambiar de soporte cambia la textura de la señal falsificada, no el mecanismo que la vuelve creíble.

El fraude por correo corporativo, conocido en la industria como BEC, lo muestra con claridad. Según el informe anual del IC3 del FBI, esa categoría acumuló 3.046 millones de dólares en pérdidas reportadas durante 2025 y quedó segunda detrás del fraude de inversión. La cifra se mantiene por encima de los 2.700 millones durante tres años consecutivos, con una técnica que casi siempre se apoya en la autoridad y la escasez combinadas.

La llamada telefónica añade presencia y quita el rastro escrito, lo que refuerza la autoridad y acorta el margen para verificar. El código QR impreso traslada la petición a un objeto físico que el ojo no sabe auditar, y por eso simular un ataque con código QR mide algo distinto que simular un correo. El video sintético lleva la falsificación de la señal hasta el punto en que la evidencia audiovisual deja de ser una garantía, cuestión que ya abordamos desde el ángulo del método por encima del contenido.

Un catálogo de canales, entonces, envejece rápido. Un catálogo de palancas envejece mucho más despacio. La consecuencia práctica aparece a la hora de diseñar un programa. Si el inventario de amenazas se organiza por soporte, cada tecnología nueva obliga a agregar un módulo. Si se organiza por palanca, la tecnología nueva entra como un ejemplo más de algo que las personas ya aprendieron a notar.

¿Se puede entrenar el reconocimiento de una palanca?

Se puede, aunque no memorizando la lista. Reconocer una palanca por su nombre en una capacitación y notarla operando sobre uno mismo son dos habilidades distintas. Lo entrenable es la segunda, y consiste en advertir el estado interno que la palanca produce antes de advertir la intención que colocó esa palanca ahí.

Ese estado tiene marcas bastante reconocibles. Aparece un apuro que no se corresponde con el asunto real, incomoda contradecir a alguien que parece tener jerarquía y cuesta negarse ante quien acaba de hacer un favor. La señal de alarma útil no está en el mensaje, que suele ser impecable, sino en lo que el mensaje despierta.

Un entrenamiento que trabaja este plano se parece poco a una lista de indicadores sospechosos. Pone a la persona en situaciones donde la palanca actúa de verdad, le da nombre a lo que sintió cuando el pedido llegó y deja instalada una única conducta de salida, que es verificar por un canal distinto del que trajo la petición.

La regla resulta fácil de recordar porque no exige diagnosticar la técnica del atacante. Basta con notar la prisa y devolver la decisión a un terreno donde la señal falsificada pierde fuerza, algo tan simple como llamar al número interno que ya estaba en la agenda.

De ahí que la intervención más efectiva sea la que aparece en el momento de la decisión y no semanas antes, lógica que ya exploramos al hablar de los nudges que llegan en el momento justo. Y de ahí también que la respuesta organizacional correcta frente a alguien que cayó sea rediseñar el entorno de decisión antes que sancionar, distinción que desarrollamos al separar error, negligencia e intención.

Cómo lo trabaja SMARTFENSE

En la plataforma de SMARTFENSE las simulaciones se diseñan alrededor de la palanca y no solamente del formato. Una simulación de ataque de phishing que apela a la autoridad de un directivo pone a prueba algo diferente de una que apela a la simpatía de un colega, incluso cuando las dos llegan por correo y las dos miden el clic.

Ese criterio también atraviesa las herramientas abiertas del sitio. El verificador de exposición al fraude por correo corporativo permite ver qué tan fácil resulta suplantar la identidad de un dominio, que es la materia prima con la que se fabrica la señal de autoridad. Conocer la superficie técnica del engaño ayuda a entender qué palanca queda al alcance del atacante.

Lo que cada tecnología nueva aporta son canales, no palancas. Las palancas ya estaban. Un programa de concientización que enseña a reconocerlas prepara a las personas para el fraude que todavía no existe.