≡En resumen
- La ingeniería social engaña a personas, no a máquinas: busca que tú mismo entregues el acceso.
- Explota emociones como la urgencia, el miedo, la autoridad, la ayuda o la codicia.
- Phishing (email), smishing (SMS) y vishing (llamadas) son sus variantes más frecuentes en España.
- La mejor defensa combina formación, verificación por un canal independiente y doble factor de autenticación.
- Si caes en un engaño, llama al 017 de INCIBE, cambia contraseñas, avisa a tu banco y denuncia.
01 ¿Qué es la ingeniería social?
INCIBE, el Instituto Nacional de Ciberseguridad, resume la idea en que es más fácil manipular a las personas que a las máquinas. Un sistema bien protegido puede tardar meses en hackearse; convencer a un empleado de que abra un adjunto lleva minutos. Por eso casi todos los ciberataques incluyen, en algún punto, un componente de ingeniería social.
02 Cómo funciona un ataque de ingeniería social
-
1
Investigación
El atacante reúne información de la víctima o de la empresa: redes sociales, web corporativa, organigrama, proveedores.
-
2
Pretexto y contacto
Inventa una situación creíble (un técnico, un proveedor, el banco, un directivo) y contacta por email, SMS, teléfono o redes.
-
3
Explotación
Provoca una emoción que empuje a actuar sin pensar y consigue la contraseña, el dato o la transferencia.
-
4
Salida
Borra el rastro o mantiene el engaño para repetirlo. A menudo la víctima tarda días en darse cuenta.
Autoridad
Se hace pasar por un jefe, la policía o Hacienda para que no cuestiones la orden.
Urgencia y miedo
«Tu cuenta se bloqueará en 24 horas»: la prisa impide comprobar.
Ayuda
Suplanta a un compañero o al soporte técnico y apela a tu disposición a colaborar.
Gratuidad
Ofrece un premio, un regalo o un descuento a cambio de tus datos.
Reputación
Amenaza con difundir información privada, como en las sextorsiones.
03 Técnicas de ingeniería social más comunes
| Técnica | Canal | Cómo funciona |
|---|---|---|
| Phishing | Email o web | Mensaje que suplanta a una entidad de confianza y lleva a una web falsa para robar credenciales o instalar malware. |
| Spear phishing | Phishing dirigido a una persona concreta, con datos reales para hacerlo creíble. | |
| Smishing | SMS | Mensaje de texto con un enlace fraudulento (paquete retenido, cargo bancario, multa). |
| Vishing | Teléfono | Llamada en la que el atacante se hace pasar por el banco o el soporte técnico. |
| Pretexting | Cualquiera | El atacante inventa un escenario y suplanta a un tercero para obtener información. |
| Baiting | Físico o descarga | Un cebo, como un USB abandonado o una descarga gratuita, que contiene malware. |
| Shoulder surfing | Presencial | Mirar por encima del hombro para ver contraseñas o PIN en lugares públicos. |
| Quid pro quo | Teléfono o email | Ofrece un servicio o favor, como «arreglar» el ordenador, a cambio de acceso. |
El objetivo final suele ser instalar malware o conseguir credenciales. En redes sociales es habitual una variante que suplanta a marcas conocidas con perfiles falsos, lo que se conoce como brandjacking.
04 La ingeniería social en cifras
122.223
incidentes de ciberseguridad gestionados en España en 2025 (+26 %)
Fuente: INCIBE, balance publicado el 9 de febrero de 2026
45.445
casos de fraude online, 4 de cada 10 incidentes
Fuente: INCIBE, balance 2025
25.133
casos de phishing gestionados
Fuente: INCIBE, balance 2025
142.767
consultas a la línea 017 (+44,9 %)
Fuente: INCIBE, balance 2025
Según el mismo balance, el phishing, el vishing y el smishing estuvieron entre los principales motivos de consulta a la línea 017, y el 28 % de quienes llamaron había sufrido un intento de este tipo.
05 Ejemplos de ingeniería social
Un empleado de administración recibe un email del «director general», con su nombre y firma, que pide una transferencia urgente y confidencial a un proveedor nuevo. El dominio del remitente tiene una letra cambiada. Si nadie confirma la orden por teléfono, el dinero sale de la empresa.
Una llamada de «Microsoft» o de «tu operadora» avisa de un virus en tu equipo y te guía para instalar un programa de control remoto. A partir de ahí, el atacante accede a tu ordenador y a tu banca online.
Un SMS indica que tu envío está retenido por falta de pago de 1,99 €. El enlace lleva a una pasarela falsa que roba los datos de tu tarjeta.
06 Cómo evitar los ataques de ingeniería social
- ✓Desconfía de cualquier mensaje urgente que pida datos, pagos o descargas, aunque parezca de alguien conocido.
- ✓Verifica siempre por un canal independiente: llama al número oficial, no al que aparece en el mensaje.
- ✓Revisa el remitente y la URL real antes de hacer clic o escribir una contraseña.
- ✓Activa el doble factor de autenticación en correo, banca y redes sociales.
- ✓Usa contraseñas únicas y un gestor de contraseñas.
- ✓Limita la información personal y laboral que publicas en redes sociales.
- ✓Mantén sistema operativo, navegador y antivirus actualizados.
El doble factor con una app como Google Authenticator impide el acceso aunque el atacante tenga tu contraseña (salvo que también te engañe para que le des el código). En equipos de trabajo, evita enviar claves por email o chat: repasa cómo compartir contraseñas con un equipo de forma segura.
07 Qué hacer si has sido víctima
-
1
Corta el contacto
No respondas más al atacante ni hagas nuevos pagos, aunque te presione.
-
2
Avisa a tu banco
Si diste datos de tarjeta o hiciste una transferencia, llama a tu entidad cuanto antes para bloquear o intentar revertir la operación.
-
3
Cambia contraseñas
Empieza por el correo electrónico y activa el doble factor en las cuentas afectadas.
-
4
Pide ayuda al 017
La línea de INCIBE te orienta gratis sobre los pasos técnicos, legales y de recuperación.
-
5
Denuncia
Guarda capturas y mensajes y presenta denuncia ante la Policía Nacional, la Guardia Civil o la policía autonómica.
08 Ingeniería social y seguridad de webs y aplicaciones
Si tienes una web con área de clientes o una app, tus usuarios también son objetivo: los atacantes clonan tu página de acceso y les envían enlaces falsos. El diseño del producto puede reducir mucho el riesgo, y lo tenemos en cuenta en cada proyecto de desarrollo web a medida y cuando trabajamos como desarrolladores de aplicaciones móviles.
- ✓Doble factor de autenticación y avisos de inicio de sesión desde dispositivos nuevos.
- ✓Autenticación del dominio de correo (SPF, DKIM y DMARC) para dificultar la suplantación.
- ✓Mensajes que nunca pidan contraseñas ni códigos por email, SMS o teléfono, y que lo digan claramente.
- ✓Confirmación adicional para cambios sensibles, como el IBAN o el email de la cuenta.
- ✓Límites de intentos y detección de accesos anómalos.
Tienes más medidas técnicas en nuestra guía sobre cómo proteger tu página de los ataques más comunes.
Preguntas frecuentes sobre Ingeniería social
Significa manipular a una persona para que revele información confidencial, instale malware o haga un pago, aprovechando su confianza, su miedo o su prisa en lugar de un fallo técnico del sistema.
Las más frecuentes son el phishing por email, el smishing por SMS y el vishing por teléfono. También se usan el pretexting, el baiting, el shoulder surfing y el quid pro quo.
La ingeniería social es la estrategia general de manipular a las personas; el phishing es una de sus técnicas, basada en mensajes que suplantan a una entidad de confianza.
Un SMS que simula ser tu banco y te pide verificar un cargo en un enlace falso, o un email del supuesto director general que ordena una transferencia urgente.
Desconfía de los mensajes urgentes, verifica por un canal oficial, activa el doble factor de autenticación, usa contraseñas únicas y limita lo que publicas en redes sociales.
En la línea 017 de INCIBE, gratuita y confidencial, por teléfono, WhatsApp (900 116 117) o Telegram (@INCIBE017). Avisa también a tu banco y presenta denuncia.
La técnica en sí es un método de engaño; cuando se usa para obtener dinero, datos o accesos sin autorización puede constituir estafa, descubrimiento y revelación de secretos u otros delitos del Código Penal.
Fuentes consultadas
Sobre el autor
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil y artículos → Ver perfil en LinkedIn ↗