Glosario / Privacidad y seguridad
Ingeniería social
- ¿Qué es la ingeniería social?
- La ingeniería social es el arte de conseguir que una persona haga el trabajo del atacante por él: aprobar una transferencia, leer en voz alta un código o saltarse una norma que le habían enseñado a hacer cumplir.
En este tipo de ataque no se rompe nada salvo el juicio de una persona. Los atacantes apuntan al personal con la misma facilidad que a los clientes: una campaña telefónica contra empleados de Twitter el 15 de julio de 2020 alcanzó 130 cuentas y recaudó aproximadamente 12,86 bitcoin en una sola tarde. Como un pago en bitcoin confirmado no se puede revertir, toda la estafa solo tiene que funcionar una vez.
Cómo funciona
Todo ataque de ingeniería social reúne las mismas cuatro partes, en el mismo orden.
Un pretexto le da al atacante una razón para estar hablando con usted: departamento de fraude, soporte del exchange, un problema de entrega, una oferta de trabajo, una nueva coincidencia en una aplicación de citas. La autoridad o la familiaridad hace que el pretexto se sostenga, aportada por un identificador de llamadas falsificado, un dato real sacado de una base de datos filtrada, o simplemente conocer su nombre y qué exchange usa usted. La urgencia le quita la capacidad de comprobar, porque una cuenta comprometida o una oportunidad a punto de expirar significan que la decisión tiene que tomarse ahora. Por último, la acción irreversible: enviar las monedas, leer el código en voz alta, instalar la herramienta de acceso remoto, escribir las palabras.
Bitcoin agudiza ese último paso. El fraude con tarjetas tiene un emisor que puede revertir un cargo y un banco que absorbe parte de la pérdida. Un pago on-chain confirmado no tiene ninguna de las dos cosas, por lo que la ganancia del atacante es definitiva en el momento de la primera confirmación, normalmente unos diez minutos después de que usted pulse enviar.
Las campañas más dañinas se saltan por completo al cliente y apuntan al personal de la empresa, donde un solo éxito alcanza a miles de cuentas. Coinbase divulgó el 15 de mayo de 2025 que contratistas de soporte al cliente en el extranjero habían sido sobornados para entregar datos de clientes, que luego se usaron para hacer llamadas convincentes de "su cuenta está comprometida". La empresa rechazó una exigencia de rescate de 20 millones de dólares y calculó unos costos de remediación y reembolso de entre 180 y 400 millones de dólares.
Dónde aparece
Seis patrones de ingeniería social cubren la inmensa mayoría de las pérdidas, y cada uno tiene una regla mecánica que lo vence.
La llamada de la billetera segura. Alguien que dice ser de su exchange o del fabricante de su billetera le dice que su cuenta está comprometida y le guía para mover fondos a una "dirección segura" que le proporciona. Ninguna empresa legítima le pedirá jamás que mueva monedas. Cualquier persona que llame y lo haga es el ataque, así que cuelgue.
Soporte suplantado en buscadores y chats. Anuncios de búsqueda pagados y cuentas de Telegram o Discord con el logo correcto aparecen en el momento en que usted publica una queja pública. El soporte real no le escribe primero. Contacte con el soporte solo a través de una página a la que haya llegado usted mismo.
Estafas de recuperación. Después de una pérdida, un segundo atacante ofrece rastrear y recuperar sus monedas a cambio de una comisión por adelantado. Las listas de víctimas se revenden precisamente para esto. Ningún servicio privado puede revertir una transacción de bitcoin.
Acceso desde dentro. Contratistas de soporte sobornados y empleados del operador convierten las herramientas normales de una empresa en una superficie de ataque, como mostró la divulgación de Coinbase. Dé por hecho que el exchange conoce sus tenencias y su dirección, y guarde sus reservas a largo plazo en un lugar al que el exchange no tenga alcance.
Entrevistas de trabajo falsas y código. A los desarrolladores les envían una "prueba técnica para casa" o un complemento de videollamada que instala un programa que roba información, el cual luego busca en el disco archivos de billetera y respaldos de la semilla.
Coacción física. Las listas filtradas de direcciones de clientes han provocado invasiones domiciliarias dirigidas contra tenedores conocidos, así que trate sus tenencias como algo de lo que no habla y que no muestra.
Dos reglas cubren los seis. Nunca realice ninguna acción sobre sus monedas que haya sido motivada por un contacto entrante, y siempre devuelva la llamada a un número que usted mismo haya buscado. Añada un período personal de enfriamiento de 24 horas para cualquier transferencia no planeada, porque la urgencia es el ingrediente del que ningún atacante puede prescindir.