¿Cómo consiguen los hackers nuestras contraseñas? A veces, simplemente preguntando
Siempre imaginamos a los hackers como genios informáticos tecleando códigos complejos a toda velocidad, pero la realidad puede ser mucho más prosaica. A veces, el método más efectivo para vulnerar la ciberseguridad de una empresa consiste simplemente en levantar el teléfono y pedir amablemente las credenciales.
La ingeniería social: el camino de menor resistencia
Cuando hablamos de ciberataques, tendemos a pensar en sofisticados exploits o en vulnerabilidades de día cero. Sin embargo, ¿para qué complicarse la vida cuando puedes simplemente llamar al servicio de soporte técnico y pedir un reseteo de contraseña? Esta técnica, conocida como ingeniería social, se basa en manipular a las personas en lugar de a los sistemas.
La ingeniería social funciona porque explota una vulnerabilidad fundamental: los humanos somos, por naturaleza, serviciales. Cuando alguien solicita ayuda con aparente urgencia, nuestra tendencia natural es proporcionársela, a veces pasando por alto los protocolos de seguridad establecidos.
El caso Clorox: 380 millones de dólares en daños por una llamada telefónica
Un ejemplo reciente que ilustra perfectamente esta vulnerabilidad es el ataque sufrido por The Clorox Company en 2023. El gigante fabricante de productos de limpieza y cuidado personal sufrió un «debilitante» ataque que, según sus propias estimaciones, causó unos 380 millones de dólares en daños. ¿El método utilizado? Una simple llamada telefónica.
Según documentos judiciales, el ciberdelincuente llamó al servicio técnico subcontratado de Clorox (gestionado por la empresa Cognizant) y, haciéndose pasar por un empleado, solicitó un restablecimiento de contraseña, un reseteo de la autenticación multifactor de Okta y otro de la autenticación multifactor de Microsoft. Y lo más sorprendente: lo consiguió sin necesidad de verificar su identidad.
Con esta información, logró acceder a la red de Clorox, donde identificó a otro usuario con mayores privilegios que trabajaba en seguridad informática. Con la misma estrategia, volvió a llamar haciéndose pasar por este segundo usuario y solicitó los mismos resets. Nuevamente, el servicio técnico se los proporcionó sin verificar correctamente su identidad.
Diálogos que dan escalofríos a cualquier CISO
Las transcripciones de estas llamadas resultan verdaderamente alarmantes para cualquier profesional de la seguridad:
Ciberdelincuente: No tengo contraseña, así que no puedo conectarme.
Agente de Cognizant: Oh, vale. Déjame proporcionarte la contraseña, ¿de acuerdo?
Ciberdelincuente: Bien. Sí. ¿Cuál es la contraseña?
Agente de Cognizant: Un momento. Empieza con la palabra «Welcome»…
Y cuando esto funcionó, el atacante fue a por más:
Ciberdelincuente: Mi MFA de Microsoft no funciona.
Agente de Cognizant: Oh, vale…
Ciberdelincuente: ¿Puedes restablecer mi MFA? Está en mi teléfono antiguo…
Agente de Cognizant: [Tras una breve espera]. Gracias por esperar. Ya se ha realizado el restablecimiento de la autenticación multifactor. Comprueba si puedes iniciar sesión…
Ciberdelincuente: Bien. Ya me deja iniciar sesión. Gracias.
Lo más preocupante es que esta misma táctica funcionó nuevamente cuando el atacante llamó haciéndose pasar por otro empleado, e incluso con diferentes agentes de soporte. En un caso, incluso le proporcionaron la contraseña completa por teléfono: «Clorox@123».
El factor humano: el eslabón más débil
Este incidente demuestra algo que los profesionales de la ciberseguridad llevamos años advirtiendo: el factor humano sigue siendo el eslabón más débil en cualquier sistema de seguridad. Puedes tener los firewalls más avanzados, sistemas de detección de intrusiones de última generación y encriptación de extremo a extremo, pero si tus empleados no siguen los protocolos básicos de seguridad, todo ese arsenal tecnológico resulta inútil.
En el caso de Clorox, existían procedimientos claros para la verificación de identidad antes de restablecer contraseñas, que incluían el uso de una herramienta interna llamada MyID. Si eso no era posible, el servicio técnico debía verificar la identidad del usuario mediante el nombre de su gerente y su nombre de usuario de MyID, tras lo cual se podía restablecer la contraseña, pero tanto el gerente como el empleado serían notificados por correo electrónico.
Lecciones aprendidas para no repetir errores
¿Qué podemos aprender de este desafortunado incidente? Hay varias lecciones críticas:
-
La formación importa: Asegúrate de que todos los empleados, especialmente aquellos en roles de soporte técnico, reciban formación regular sobre protocolos de seguridad y sean conscientes de técnicas de ingeniería social.
-
Verifica, verifica y vuelve a verificar: Implementa múltiples capas de autenticación. Una simple llamada telefónica nunca debería ser suficiente para obtener acceso a sistemas críticos.
-
Las terceras partes son tu responsabilidad: Si subcontratas servicios de TI o seguridad, asegúrate de que cumplan con tus estándares. La responsabilidad final sigue siendo tuya.
-
Audita regularmente: Realiza auditorías periódicas para verificar que los procedimientos de seguridad se están siguiendo correctamente. No des por sentado que todo funciona según lo planificado.
-
Planifica para el fracaso: Asume que, en algún momento, alguien intentará (y posiblemente logrará) vulnerar tus defensas. Ten planes de respuesta a incidentes bien ensayados.
La evolución de la ingeniería social en 2025
A mediados de 2025, la ingeniería social ha evolucionado considerablemente, incorporando técnicas cada vez más sofisticadas que combinan elementos digitales y humanos. Los atacantes ya no solo utilizan llamadas telefónicas, sino que emplean deepfakes de audio y video para suplantar identidades de forma más convincente, creando escenarios de urgencia que dificultan la aplicación de protocolos de verificación.
La pandemia y el aumento del trabajo remoto han exacerbado esta vulnerabilidad, ya que muchos empleados están acostumbrados a resolver problemas técnicos a distancia, sin el contacto cara a cara que tradicionalmente ayudaba a verificar identidades.
El futuro de la autenticación: más allá de las contraseñas
La buena noticia es que la industria está avanzando hacia soluciones que hacen cada vez más difícil este tipo de ataques. La autenticación sin contraseñas, que utiliza biometría, tokens físicos y otros factores inherentes al usuario, está ganando terreno. Estos métodos son mucho más difíciles de comprometer mediante ingeniería social, ya que no hay contraseñas que robar o restablecer.
Microsoft, Google y Apple están liderando esta transición con tecnologías como FIDO2 y WebAuthn, que permiten la autenticación segura sin depender de contraseñas que puedan ser comprometidas por mét
