La ingeniería social se ha convertido en el eje central de los ataques modernos, superando incluso a las tácticas puramente técnicas en efectividad y alcance.
El engaño se apoya en emociones como la urgencia, el miedo, la curiosidad o la confianza, y se materializa en correos, llamadas, mensajes o conversaciones aparentemente inocentes que esconden una amenaza cuidadosamente diseñada.
La ingeniería social como eje del cibercrimen moderno
Según el análisis, los ataques dirigidos contra personas se han vuelto más frecuentes y eficaces que aquellos basados únicamente en malware.
El motivo es claro: resulta más sencillo manipular a un usuario que vulnerar una infraestructura bien protegida.
Los delincuentes construyen historias creíbles, adoptan identidades falsas y establecen diálogos progresivos que generan confianza antes de ejecutar el fraude.
El informe señala que más del 90% de las campañas de amenazas persistentes avanzadas que emplean ingeniería social se basan en aparentar interés profesional, colaboración o intercambio de información.
En lugar de recurrir a archivos maliciosos o enlaces sospechosos, los atacantes buscan provocar una respuesta humana que les abra la puerta al siguiente paso.
La inteligencia artificial acelera el engaño
Uno de los factores que ha disparado la eficacia de estas campañas es el uso de inteligencia artificial generativa.
Gracias a ella, los mensajes ya no presentan errores gramaticales ni incoherencias culturales. Los textos se adaptan al idioma, al contexto profesional y al perfil de la víctima, lo que dificulta enormemente su detección.
Proofpoint destaca que los atacantes ya no están limitados por el idioma o la localización.
Un mismo grupo puede lanzar campañas simultáneas en varios países, ajustando el tono y el contenido a cada destinatario.
Esta capacidad ha incrementado notablemente el éxito de fraudes como el Business Email Compromise, los engaños telefónicos o las estafas de inversión.
El auge del fraude sin malware
Uno de los datos más relevantes del informe es que cerca del 25% de las campañas de amenazas avanzadas se basan exclusivamente en ingeniería social, sin utilizar archivos maliciosos ni enlaces peligrosos.
Esto les permite eludir muchas soluciones de seguridad tradicionales, diseñadas para detectar código dañino, no comportamientos humanos.
En este contexto, los ataques de tipo fraude de anticipos han crecido cerca de un 50% en el último año, mientras que las campañas basadas en extorsión han descendido de forma notable.
El cambio responde a una lógica clara: los engaños que prometen beneficios o oportunidades generan menos sospechas que las amenazas directas.
Conversaciones triviales como puerta de entrada
Uno de los métodos más eficaces detectados es el uso de conversaciones aparentemente inofensivas.
Los atacantes envían mensajes breves, sin enlaces ni archivos, con el único objetivo de iniciar una relación. Una vez establecida la comunicación, el fraude se desarrolla de forma progresiva.
Este tipo de ataques se observa con especial frecuencia en campañas de espionaje y en operaciones vinculadas a actores estatales.
El informe detalla cómo algunos grupos mantienen intercambios durante semanas o meses antes de introducir el elemento malicioso, aumentando así la probabilidad de éxito.
Un fenómeno global en expansión
El estudio, basado en el análisis de billones de correos electrónicos y comunicaciones digitales recopiladas entre marzo de 2024 y febrero de 2025, muestra que estas tácticas se emplean a escala mundial.
Aunque el inglés sigue siendo el idioma predominante, se han detectado campañas en francés, español y otros idiomas, muchas veces adaptadas a contextos locales.
Además, el informe revela que más del 70% de las campañas analizadas utilizan identidades reales suplantadas, como periodistas, directivos, investigadores o responsables institucionales, para aumentar la credibilidad del mensaje.
El factor humano, el eslabón más vulnerable
Las conclusiones son claras: la tecnología por sí sola no basta para frenar este tipo de amenazas.
Aunque los sistemas de detección han mejorado, el factor humano sigue siendo el punto más débil de la cadena de seguridad. La confianza, la prisa o el desconocimiento continúan siendo explotados de forma sistemática.
Acerca del autor
