Pretexting: qué es, cómo funciona y cómo protegerte

Seguro que alguna vez has recibido un mensaje urgente de alguien que afirma ser tu banco, tu compañía de la luz o un familiar en apuros. Conocen tu nombre, suenan convincentes y te piden que hagas algo cuanto antes. Esta técnica de manipulación psicológica, conocida como pretexting, no consiste en enviar correos masivos al azar, sino en elaborar una historia falsa hecha a medida para ganarse tu confianza y robarte tus datos o tu dinero. Entender qué es el pretexting y cómo detectarlo a tiempo es fundamental para verlo venir y evitar caer en esta estafa que, desgraciadamente, cada vez es más habitual.

El pretexting es una técnica de manipulación psicológica en la que un estafador crea una situación o una historia inventada, lo que conocemos como un pretexto, para convencer a la víctima de que le dé datos confidenciales o privados o de que le dé dinero.

A diferencia de otras ciberamenazas que se apoyan en fallos de seguridad del software o del malware, este engaño busca estafar a la persona, no al dispositivo. El atacante suele asumir la identidad de alguien con autoridad o de confianza, como un empleado del banco, un amigo, un compañero de trabajo, un profesional de algo o un familiar.

El término pretexting viene de la palabra inglesa pretext, que significa pretexto, excusa o coartada. En el ámbito del fraude digital, el pretexto es la situación inventada que justifica por qué el estafador te contacta y por qué necesita que le des esos importantes datos que, en circunstancias normales, jamás compartirías con un desconocido.

El concepto aunque nos parece nuevo, en realidad no lo es. Ya se usaba en el mundo del espionaje corporativo y de la investigación privada, donde los detectives o espías infiltrados se inventaban personajes para acceder a la información que necesitaban. Sin embargo, con la llegada de internet y de las redes sociales, este pretexting ha sido perfeccionado por los ciberdelincuentes que ahora pueden contactar desde más sitios y con ataques más complejos y elaborados.

El pretexting es parte de la ingeniería social, esa disciplina de la ciberdelincuencia que se centra en engañar a las personas para que confíen y rompan sus propios protocolos de seguridad.

Hay estrategias de manipulación que buscan el pánico o el nerviosismo inmediato para que la víctima no tenga tiempo de pensar y caiga en la trampa, como los mensajes de texto fraudulentos o el phishing. Sin embargo, el pretexting no tiene este componente de urgencia, sino que requiere la construcción activa de un personaje. El atacante dedica tiempo a crear una historia alrededor del engaño: quién es, por qué contacta, qué pretende solucionar y qué datos necesita para ello. De este modo parece que lo que pide es completamente legítimo.

Un ataque de pretexting scam es una operación planificada con todo tipo de detalle. Los ciberdelincuentes suelen seguir un proceso de cinco pasos para construir la historia falsa y salirse con la suya. Te contamos cómo funciona el pretexting en 5 pasos.

Antes de tener el primer contacto con la víctima, el atacante le investiga. Visita las redes sociales como LinkedIn, Instagram o X, o escanea la web corporativa de una empresa. El objetivo es claro, recopilar nombres, cargos, hobbies, datos personales, números de teléfono o herramientas que utiliza la víctima. Cuanto más conozca de la víctima, más fácil será engañarla.

Una vez que tiene toda esa información, el delincuente diseña la historia. Tiene que crear una situación inventada y creíble que justifique la urgencia o la necesidad de contactar y pedirle algo. Por ejemplo, se pone en el papel de un proveedor que exige el pago de una factura pendiente, un técnico informático que actualiza el software de su equipo o un empleado de su banco que quiere verificar un movimiento sospechoso en su cuenta.

Aquí se produce el primer contacto con la víctima. Puede ser por teléfono, por correo, mediante un mensaje SMS o de Whatsapp o, incluso, en persona. En ese contacto el atacante es muy persuasivo, se gana a la persona adoptando un tono profesional y seguro de sí mismo, cita nombres de compañeros reales, usa palabras y jerga técnica del sector o recurre a lo urgente de esa situación. Su prioridad en este momento es que no se le cuestione y que la persona que va a ser estafada le crea y baje la guardia.

Una vez establecida la credibilidad, ahora el delincuente debe dar el paso decisivo. Ahora es cuando pide formalmente lo que busca: una clave de acceso, un código de verificación SMS, una transferencia bancaria o el envío de documentos confidenciales. Como todo esto ocurre dentro de esa historia del pretexto, lo que le pide le parece lógico y necesario en ese contexto.

Cuando consigue esos datos o el dinero, el atacante se retira rápido pero cierra la conversación de forma natural para no levantar sospechas de inmediato. Da las gracias por la colaboración, le promete enviar un correo o algún documento de confirmación y da por resuelto el supuesto problema. Mientras la víctima queda a la espera, tiene tiempo para actuar tranquilamente, ya sea vendiendo esos datos o retirando el dinero antes de que la víctima comprenda que ha sido una estafa.

El pretexting no suele venir solo, lo normal es que se presente con una historia falsa para su contexto y con con diversos métodos de ataque para hacer eficaz el engaño.

No se trata de un phishing masivo como solemos ver, es un phishing dirigido que adapta el correo electrónico con datos específicos del objetivo. Cuando este ataque se dirige a altos cargos ejecutivos, directores de bancos o administradores de sistemas, se denomina whaling. En los dos casos el pretexto se centra en la privilegiada posición de la víctima para solicitar transferencias urgentes o accesos muy restringidos.

Según sea el canal utilizado para contactar a la víctima, se conoce como vishing o smishing. El vishing recurre a llamadas telefónicas donde el atacante llama y tiene una conversación para presionar a la persona, mientras que el smishing usa mensajes de texto (SMS). En cualquiera de los dos casos, la mentira suele ser una alerta de seguridad bancaria, un paquete que está pendiente de entrega y lo van a devolver o la verificación urgente de la cuenta. Siempre para obligar a actuar rápido.

El estafador siempre falsea la identidad de una compañía de confianza (como los bancos, las aseguradoras, un organismo público como la agencia tributaria, alguien de la compañía de la luz o del gas, etc) o de una persona conocida. Utilizan técnicas como el spoofing de identificador de llamada para que parezca, por ejemplo, que nos llaman del banco. También suelen usar dominios de correo electrónico casi idénticos a los oficiales pero que varían en algo imperceptible si vas con prisas.

El baiting (significa cebo) engancha a la víctima porque le promete una recompensa (como una descarga gratuita de software, una tarjeta de regalo o un vale de descuento) a cambio de completar un sencillo formulario donde dejará sus credenciales. Por otro lado, el scareware lo que hace es asustar a la víctima con mensajes como falsas alertas de infección por virus, y así le convencen que que llame a un número donde aplicarán el pretexto del soporte técnico.

En el mundo físico, aunque en menor medida que en el mundo digital, el pretexting también sucede. El tailgating se produce cuando un desconocido se cuela en una oficina restringida siguiendo a un empleado con acceso, o en un edificio donde no reside. Suele vestirse como repartidor, personal de mantenimiento o como un técnico de alguna empresa para no despertar sospechas.

Vamos a ver las narrativas que usan con más frecuencia estos ciberdelincuentes para comprender el alcance real de esta amenaza.

Seguramente habrás oído hablar de esta estafa incluso en la televisión. El atacante envía un mensaje urgente por WhatsApp o SMS a su víctima haciéndose pasar por su hijo o su hija desde un número desconocido, alegando que se le ha roto o perdido el teléfono móvil. Con ese pretexto, el delincuente hace que la víctima se preocupe y entonces le pide una transferencia de dinero urgente a una cuenta bancaria o un Bizum para saldar una deuda o solucionar un problema sobrevenido como comprar el billete de tren para volver a casa. El nivel de organización de estas redes es enorme. De hecho, la Policía Nacional creó una operación para desarticular un entramado criminal que estafó casi 3.000.000 de euros mediante el método del hijo en apuros, lo que demuestra la precisión técnica y el alcance de este fraude.

La persona recibe una llamada imprevista o le aparece una ventana emergente en su ordenador avisando de que hay una supuesta infección grave o un virus. El supuesto técnico, de una empresa conocida como Microsoft o de un proveedor de internet local, guía al usuario para que instale un software de acceso remoto para que él pueda solucionar el problema. Ahora el estafador toma el control del equipo, accede a la banca online, le roba datos confidenciales o las contraseñas guardadas en el navegador.

El estafador, en su papel de empleado del banco, se pone en contacto con la víctima mediante un SMS o una llamada informando de que se ha detectado un acceso no autorizado o un movimiento sospechoso en la cuenta del cliente. El pretexto hará que esa persona verifique su identidad haciendo clic en un enlace donde irá a una web clonada del banco o dictando por teléfono el código de un solo uso que le ha llegado a su móvil. Cuando lo hace, autoriza involuntariamente transferencias creadas por los estafadores.

En periodos clave como la campaña de la Renta o avisos de notificaciones administrativas, los atacantes suplantan la identidad de la Agencia Tributaria o de la Seguridad Social. El pretexto suele ser una supuesta devolución de impuestos o exigir el pago inmediato de una multa para evitar recargos. Así la víctima llega a un formulario donde se recopilan tanto sus datos bancarios como los personales.

Aunque la imaginación de los estafadores es enorme y cada vez elaboran mejor sus historias, en parte la inteligencia artificial también les ayuda, hay algunos patrones en su manera de actuar que nos pueden alertar de que están tratando de engañarnos. Veamos algunas de ellas a continuación.

Para protegerse del pretexting hay que usar el sentido común pero, además de ser precavido, hay que utilizar soluciones tecnológicas avanzadas que eviten el acceso no autorizado a tus datos.

Tener barreras activas reduce las probabilidades de exponerse a un pretexto malicioso. La protección contra estafas de Surfshark te ayuda bloqueando sitios web fraudulentos, descargas peligrosas y enlaces de suplantación antes de que hagas nada. Además, la protección contra estafas en mensajes de texto analiza y filtra SMS maliciosos diseñados para llevarte a trampas de smishing. Así que si recibes mensajes de este tipo en tu móvil, Surfshark te protege. Por otro lado, la protección de identidad digital te permite mantener bajo control tus datos e información más personal y privada, pudiendo reaccionar a tiempo si tus credenciales o datos bancarios se filtran.

Toma por costumbre detener la comunicación siempre que recibas cualquier mensaje que te exija realizar un pago o dar información privada. No hagas clic en ningún enlace ni llames a ninguno de los números que te den en el mensaje. Para asegurarte, busca el número oficial de la entidad o llama directamente al contacto que ya tenías guardado de tu amigo o familiar.

Activa la autenticación en dos pasos (2FA) en todas tus cuentas personales y profesionales. Esto permite que si alguien consigue tu contraseña a través de un pretexto, no pueda acceder a tu email o a la plataforma que sea sin el segundo factor de autenticación generado en tu dispositivo.

En las redes sociales hay quien deja mucha información personal como rutinas, números de teléfono, fotos, trabajo y datos sobre la vida de uno. Esto es una mala costumbre, pues si el perfil está abierto es oro para los ciberdelincuentes. Ahí pueden conocer más de ti para construir su pretexto y engañarte. Así que mejor no cuentes tanto.

Sin embargo, si ya es demasiado tarde y descubres que has sido víctima de un engaño o de que has compartido información privada por error, puedes hacer esto con rapidez para minimizar los daños:

Como has visto, el pretexting demuestra que las amenazas más peligrosas en la red terminan manipulando la confianza de la víctima. La preparación y dedicación de los delincuentes a la hora de crear una historia para engañarte nos obliga a no bajar la guardia y ser escépticos ante este tipo de solicitudes imprevistas.

Combinar el sentido común con herramientas de seguridad en nuestros dispositivos es la mejor estrategia que podemos seguir para mantener nuestros datos y nuestros dinero a salvo, lejos del pretexting y de ataques maliciosos.