Pretexting: qué es, cómo identificarlo y cómo actuar

¿Qué es el pretexting o ataque de pretexto?

El pretexting es una técnica de ingeniería social que consiste en crear una historia falsa cuyo objetivo es convencer a la víctima para que revele información confidencial o realice una acción. Suele estar muy preparado, ya que el atacante dedica tiempo a recopilar datos sobre la víctima con los que construir un escenario creíble.

Por ejemplo, puede hacerse pasar por:

• Empleado del banco.
• Asesor financiero.
• Técnico informático.
• Inspector de Hacienda.
• Trabajador de la Seguridad Social.
• Proveedor habitual.
• Compañero de empresa.
• Miembro del departamento de recursos humanos.

¿Por qué funciona el pretexting y qué información persigue?

El éxito del pretexting no depende de programas informáticos sofisticados, sino de principios psicológicos ampliamente estudiados. Los ciberdelincuentes aprovechan factores como:

• Autoridad («Le llamo del departamento de fraude del banco«).
• Urgencia («Debe actuar en los próximos cinco minutos«).
• Miedo («Su cuenta ha sido comprometida«).
• Confianza («Soy el gestor que llevó su contratación«).

Normalmente, un ataque de pretexting busca obtener alguno de estos elementos:

En muchos casos, la información obtenida no se utiliza de inmediato. Puede venderse posteriormente en mercados ilegales o emplearse para preparar ataques más complejos.

Pretexting vs phishing: principales diferencias

Aunque pretexting y phishing se utilicen como sinónimos, no son lo mismo. Ambos son ciberataques, pero difieren en la forma de engañar a la víctima.

En otras palabras, el phishing intenta que la víctima haga clic en un enlace o descargue un archivo rápidamente con un mensaje fraudulento. El pretexting, en cambio, pretende que la víctima confíe, para lo que desarrolla una conversación cuidadosamente construida.

¿Qué relación tiene con otros ataques de ingeniería social?

El pretexting forma parte de una familia mucho más amplia de técnicas de manipulación. Las más conocidas, aparte del ya citado phishing, son:

• Spear phishing: variante del phishing dirigida contra una persona o empresa concreta con mensajes personalizados.
• Whaling: ataque contra altos directivos o personas con gran capacidad de decisión económica.
• Baiting: ofrece una recompensa aparente (archivo gratuito, regalo, dispositivo…) a cambio de que la víctima ejecute una acción.
• Tailgating: consiste en obtener acceso físico a instalaciones restringidas aprovechando la confianza o el descuido de otra persona.

Los vemos todos en la siguiente tabla:

¿Cómo funciona un ataque de pretexting y cómo identificarlo?

Una de las características que hacen tan peligroso al pretexting es que hay una preparación previa en la que el ciberdelincuente recopila datos de la víctima para construir una historia creíble a través de múltiples fuentes:

• Redes sociales.
• Páginas web corporativas.
• Directorios profesionales.
• Fugas de datos anteriores.
• Información pública en boletines oficiales.
• Conversaciones previas.
• Datos adquiridos en mercados ilegales.

Después, el atacante crea un relato coherente que justifique la petición que va a realizar. 

Las cuatro fases de un ataque de pretexting:

Aunque hay numerosas variantes, la mayoría de los ataques siguen un proceso muy similar.

En algunos casos, el atacante incluso recomienda medidas de seguridad en la web o aparentemente razonables para reforzar su credibilidad.

Señales que pueden indicar un intento de pretexting.

Aunque cada fraude es diferente, hay patrones que conviene conocer. Desconfíe cuando una persona:

• Solicita contraseñas o códigos de un solo uso (OTP).
• Pide verificar datos personales completos.
• Insiste en actuar con urgencia.
• Afirma que existe un problema grave con una cuenta.
• Solicita instalar programas de acceso remoto.
• Presiona para no colgar el teléfono.
• Pide mantener la conversación en secreto.
• Intenta impedir que contacte directamente con la entidad.

Ejemplos comunes de pretexting:

Veamos ahora varios ejemplos de pretexting que son muy comunes. 

1. El falso empleado del banco. El usuario recibe una llamada de alguien que dice pertenecer al departamento de fraude. El empleado informa de una transferencia sospechosa y pide verificar determinados datos para bloquearla. Por eso, pide claves de acceso, códigos SMS, autorización de operaciones o datos de la tarjeta.
2. El supuesto técnico informático. El atacante afirma haber detectado un problema de seguridad en el ordenador. Para solucionarlo pide instalar una aplicación de acceso remoto. Una vez instalada, obtiene el control total del dispositivo y puede acceder a documentos, credenciales o incluso a la banca online.
3. El proveedor habitual. Muy frecuente en empresas. El delincuente suplanta a un proveedor conocido e informa de un supuesto cambio en la cuenta donde se realizan los pagos. Si la empresa no verifica la información por otro canal, la siguiente transferencia terminará en manos del atacante.
4. El falso organismo público. Otra modalidad habitual consiste en hacerse pasar por la Agencia Tributaria, la Seguridad Social, la Dirección General de Tráfico, una administración autonómica o un ayuntamiento. El objetivo suele ser obtener datos personales o inducir al pago inmediato de una supuesta sanción.
5. El asesor financiero. El atacante puede presentarse como asesor de inversiones, gestor patrimonial o representante de una entidad financiera.Tras varias conversaciones aparentemente profesionales, solicita una transferencia a una cuenta distinta o compartir documentación confidencial.

¿Cómo prevenir un ataque de pretexting?

Aunque no hay una protección absoluta frente al pretexting, además de seguir ciertos consejos de ciberseguridad, puedes adoptar hábitos que minimizan el riesgo.

• Desconfía de la urgencia. Frases como «debe actuar inmediatamente» o «su cuenta será bloqueada» tratan de impedir que la víctima reflexione. Lo recomendable es detenerse unos minutos y verificar la información por un canal independiente.
• Protege tus datos personales. Cuanta menos información pública exista sobre nosotros, más difícil será construir un pretexto convincente. Para eso, revisa la privacidad de las redes, evita publicar información financiera o fotografías con documentos personales y destruye archivos bancarios antes de desecharlos.
• Mantén tus dispositivos actualizados. El pretexting puede combinarse con programas maliciosos. Así que mantén actualizados el sistema operativo, el navegador, las aplicaciones y el antivirus. 
• Activa la autenticación multifactor. Siempre que sea posible, usa sistemas de autenticación reforzada como la verificación en dos factores (2FA). Aunque un atacante averigüe una contraseña, este mecanismo añade una capa adicional de protección frente a accesos no autorizados.

En este sentido, la Ley Orgánica 3/2018, (LOPDGDD) adapta el ordenamiento español al Reglamento (UE) 2016/679, (Reglamento General de Protección de Datos o RGPD), y fija obligaciones para el tratamiento y seguridad de la información, así como derechos para los ciudadanos sobre el uso de sus datos personales. 

Cómo actuar en caso de un ataque de pretexting.

Detectar un intento de pretexting a tiempo es la mejor forma de evitarlo. Pero, incluso los más prudentes pueden verse sorprendidos. Los ciberdelincuentes perfeccionan sus técnicas y aprovechan momentos de estrés, urgencia o distracción. 

A la hora de actuar, el procedimiento puede ser distinto dependiendo de si has dado ya tus datos o no. 

Si todavía no has facilitado información:

• Finaliza la conversación sin proporcionar más información.
• No hagas clic en enlaces ni descargues archivos adjuntos.
• No compartas códigos de verificación, contraseñas ni datos bancarios.
• Contacta directamente con la entidad a través de sus canales oficiales.

Si ya has compartido información:

1. Informa inmediatamente a la entidad.
2. Bloquea las tarjetas.
3. Cambia las contraseñas.
4. Revisa movimientos recientes para detectar operaciones no autorizadas.
5. Activa o revisa la autenticación en dos factores (2FA).
6. Presenta una denuncia ante las autoridades.
7. Conserva todas las pruebas (correos, capturas de pantalla, teléfonos o mensajes).

Cuanto antes informes del incidente, más fácil será limitar sus consecuencias. El pretexting busca obtener datos confidenciales, acceder a cuentas o inducir a realizar operaciones fraudulentas. Aplicar las medidas y hábitos que recomiendan las entidades protege el patrimonio y combate estas amenazas de ciberseguridad. La información y la prevención siguen siendo las herramientas más eficaces para evitar estos ataques.

Preguntas frecuentes sobre el pretexting (FAQ)

¿El pretexting siempre se realiza por teléfono?

No. Un ataque de pretexting también puede producirse por correo electrónico, SMS, aplicaciones, redes sociales, videollamadas o incluso presencialmente.

¿Puede dirigirse el pretexting contra empresas?

Sí. De hecho, muchas campañas tienen como objetivo empleados con acceso a información sensible, departamentos financieros o directivos con capacidad para autorizar pagos o acceder a sistemas críticos.

¿Qué información nunca debería facilitar a un supuesto empleado del banco?

Nunca compartas contraseñas de acceso, códigos de verificación enviados por SMS o aplicaciones de autenticación, PIN de tarjetas, claves de firma u otra credencial que autorice operaciones.

¿Qué hago si creo que he sido víctima de un ataque?

Contacta de inmediato con tu entidad, cambia las contraseñas comprometidas, revisa los movimientos de tus cuentas y, si se ha producido un fraude o una suplantación de identidad, presenta una denuncia ante las autoridades.