El pretexting es una técnica de ingeniería social en la que el atacante inventa un escenario creíble –un pretexto– y una identidad falsa para que la víctima comparta información, conceda acceso o transfiera dinero.
Cómo funciona el pretexting
A diferencia del phishing masivo, el pretexting se basa en una historia adaptada al objetivo. El atacante investiga la organización y a su personal y después interpreta un papel que justifica una petición inusual:
- un empleado bloqueado que pide al soporte de TI restablecer su contraseña o su MFA;
- un auditor, abogado o policía que solicita registros confidenciales;
- un proveedor que pide cambiar sus datos bancarios, paso habitual del compromiso del correo empresarial;
- un representante de un banco o de una operadora que «verifica» la identidad de un cliente.
El pretexting suele combinarse con llamadas telefónicas (vishing), correo y mensajería, y cada vez más con clonación de voz. Es un elemento central de la ingeniería social, porque casi todo engaño necesita un pretexto.
Por qué importa el pretexting
Un pretexto bien preparado esquiva por completo las defensas técnicas. En 2006 Hewlett-Packard protagonizó un escándalo cuando investigadores contratados por la empresa usaron pretexting para obtener los registros telefónicos de consejeros y periodistas; el caso dio lugar a la ley estadounidense Telephone Records and Privacy Protection Act. En 2023 unos atacantes accedieron a MGM Resorts llamando al servicio de asistencia de TI haciéndose pasar por un empleado, lo que desembocó en un grave incidente de ransomware. El pretexting también alimenta el robo de identidad, ya que los datos personales así obtenidos abren nuevas cuentas.
Cómo protegerse del pretexting
- Verificar las peticiones por un canal independiente y conocido: devolver la llamada a un número de los propios registros.
- Aplicar controles de identidad estrictos en el servicio de asistencia antes de restablecer contraseñas o MFA.
- Exigir doble aprobación para pagos y cambios de datos bancarios.
- Formar al personal para reconocer la urgencia, la autoridad y el secretismo como señales de alarma.
