La ingeniería social se está convirtiendo en el acceso preferido de los ciberatacantes, según confirma el Unit 42 Global Incident Response Report: Social Engineering Edition, de Palo Alto Networks. Entre mayo de 2024 y mayo de 2025, más de un tercio de los incidentes gestionados por el equipo de ciberinteligencia empezaron explotando la confianza humana en vez de buscar vulnerabilidades técnicas.
Nuevas técnicas
El phishing se mantiene como la técnica más utilizada (65%), con campañas enfocadas en cuentas con privilegios (66%) y en la suplantación de empleados internos (45%). No obstante, el catálogo criminal incluye nuevas variedades: el 35 % de los ataques fue con métodos como publicidad maliciosa, envenenamiento SEO, smishing, bombardeo de MFA (autenticaciones multifactor) o campañas tipo ClickFix, basadas en falsas alertas de actualización para engañar al usuario y conseguir acceso inicial.
El sector de las tecnologías de información concentra el mayor número de ataques, pero sin duda la industria sufre el mayor impacto de las acciones basadas en ingeniería social. Después se sitúan el ámbito legal, el retail y los servicios financieros.
IA basada en agentes
El uso de inteligencia artificial basada en agentes todavía no es pujante, pero la investigación advierte de su potencial, porque puede automatizar tareas encadenadas como la creación de identidades sintéticas (CVs falsos y perfiles en redes sociales) o la distribución masiva y adaptada de mensajes fraudulentos, lo que aumenta la escala y el realismo de los engaños.
El método detectado: los cibermalos combinan IA generativa y agentes autónomos para la ejecución de campañas más convincentes y difíciles de descubrir, capaces de mantener conversaciones en tiempo real sin intervención humana, usar voces clonadas para engañar a los help desk y reforzar solicitudes fraudulentas con documentación falsa. Este salto cualitativo reduce el coste y tiempo de ejecución de los ataques, amplía su alcance y eleva las tasas de éxito al explotar la confianza humana con un nivel de detalle sin precedentes.
Los ataques corporativos de Muddled Libra
Entre los grupos que más se han transformado gracias a la ingeniería social, figura Muddled Libra (también conocido como Scattered Spider). Sus recientes operaciones ejemplifican el crecimiento de tácticas hasta comprometer a grandes corporaciones. Detrás de evolución se encuentran el uso creciente de IA y automatización para multiplicar su impacto.
Según el informe, esta banda ha pasado de cometer pequeños robos de criptomonedas a convertirse en una red distribuidora de equipos especializados, con el poder de causar interrupciones críticas en sectores clave. En sus ataques más recientes, se han registrado pérdidas superiores a 400 millones de dólares para una sola víctima, cierres temporales de aerolíneas y desabastecimiento en cadenas de supermercados.
Su método consiste en manipular el “sistema operativo humano” haciéndose pasar por empleados internos para restablecer autenticaciones MFA, intercambiar tarjetas SIM y recopilar datos detallados de fuentes como LinkedIn para construir identidades convincentes. Una vez en el interior, utilizan herramientas legítimas de gestión remota (RMM) para mantener acceso persistente y escalar privilegios en cuestión de minutos. A diferencia de otros grupos que todavía se esfuerzan por adaptarse a la nube, Muddled Libra la ha adoptado como vector principal, y aprovecha las lagunas de visibilidad y control en entornos corporativos.
La estructura modular, compuesta por equipos especializados en procesos de negocio, infraestructura cloud y operaciones destructivas, hace posible ataques concebidos para interrumpir servicios esenciales y eliminar infraestructuras virtuales, complicando así cualquier intento de recuperación.
Consejos para reducir la superficie de ataque
Muchas organizaciones continúan siendo una fácil presa para la ingeniería social, debido sobre todo a permisos excesivos, falta de visibilidad en el comportamiento de usuarios y procesos de verificación débiles, señala el informe.
Para minimizar los riesgos, Unit 42 recomienda detectar anomalías en el uso de credenciales mediante analítica de comportamiento e implementación de soluciones, blindar los procesos de recuperación de cuentas, aplicando verificaciones estrictas y uso de accesos condicionales para evitar abusos en help desk y MFA, y expandir el modelo Zero Trust a los usuarios, no solo a la red.
Acerca del autor
