Ingeniería Social on Locodigital

¿Cómo identificar un SMS falso? Qué es el smishing y 7 señales

Mon, 09 Nov 2026 08:00:00 -0300

Llega un SMS: "Tu paquete está retenido, paga la tasa de R$ 7,90 para liberar la entrega". El remitente parece legítimo, el texto tiene prisa y el enlace es corto. Diez segundos después, alguien escribió el número de su tarjeta en un sitio que imita al correo brasileño. Eso es smishing — phishing por SMS — y sigue funcionando porque el mensaje llega al mismo lugar donde recibes los códigos de verificación de tu banco.

Sneakers (1992): la película que explica qué es un pentest

Fri, 06 Nov 2026 05:00:00 -0300

Un equipo irrumpe en un banco y después le explica al dueño por dónde entró. Nadie es arrestado, porque el propio dueño los contrató. Esa es una de las primeras escenas de Sneakers (1992), y explica qué es una prueba de intrusión mejor que muchas presentaciones de proveedores.

Qué es Sneakers

La película fue dirigida por Phil Alden Robinson, con guion de él, de Lawrence Lasker y de Walter F. Parkes. Los dos últimos ya habían escrito WarGames, el filme de 1983 que asustó a Washington con los hackers. Robert Redford interpreta a Martin Bishop, un exhacker que lidera una pequeña empresa de pruebas de seguridad. En el reparto también están Sidney Poitier, Dan Aykroyd, River Phoenix, Ben Kingsley, Mary McDonnell y David Strathairn.

WhatsApp clonado: 6 señales y qué hacer en los primeros minutos

Mon, 05 Oct 2026 05:00:00 -0300

Abres WhatsApp y te pide verificar tu número otra vez. O peor: la app abre normal, pero un amigo te escribe preguntando por qué le pediste R$ 800 prestados. En ambos casos, alguien más está usando tu cuenta. "Clonación" es el nombre popular, pero técnicamente casi nunca se copia nada: el estafador convence a la víctima de entregar el código de activación o de escanear un código QR, y pasa a operar la cuenta como si fuera el dueño.

Kevin Mitnick: la historia del hacker más buscado del FBI

Sat, 26 Sep 2026 09:00:00 -0300

Era la 1:30 de la madrugada del 15 de febrero de 1995. En un apartamento en Raleigh, Carolina del Norte, agentes del FBI derribaron una puerta y arrestaron a un hombre de 31 años que vivía bajo una identidad falsa. Kevin Mitnick — el fugitivo más buscado de Estados Unidos por delitos informáticos — había sido encontrado. No por un error técnico. Por un ataque cometido en Navidad, contra el computador equivocado, del hombre equivocado.

Mr. Robot: lo que la serie acierta sobre el hacking (y lo que exagera)

Fri, 11 Sep 2026 09:00:00 -0300

Antes de Mr. Robot, el hacking en la ficción era una broma. Terminales verdes con letras cayendo en cascada, alguien gritando "estoy dentro del mainframe" mientras un temporizador cuenta regresivamente, atajos que desmontan sistemas enteros en tres teclas. La serie de USA Network llegó en 2015 y tiró todo eso a la basura — y los profesionales de seguridad de todo el mundo lo notaron.

Elliot Alderson, interpretado por Rami Malek, es ingeniero de ciberseguridad de día y hacker activista de noche. Su misión con el grupo fsociety: destruir los registros de deuda de la E Corp y liberar a la población estadounidense de un sistema financiero que considera corrupto. El creador Sam Esmail quiso que cada ataque mostrado en la serie fuera técnicamente defendible — y para eso reunió a un equipo de consultores que hicieron de Mr. Robot algo único en la historia de la televisión.

Estafa del amor con IA: cómo los bots sostienen el romance falso

Tue, 08 Sep 2026 09:00:00 -0300

En 2025, una francesa de 53 años protagonizó titulares en todo el mundo al descubrir que el "Brad Pitt" con quien mantenía una relación online — y a quien había transferido más de 800 mil euros para un supuesto tratamiento de cáncer — era un estafador armado con imágenes generadas por IA. La historia se volvió chiste en redes sociales, y es exactamente esa reacción la que mantiene viva la estafa: mientras el público se ríe de la víctima, el método sigue funcionando, porque no explota la estupidez. Explota la soledad — y ahora tiene inteligencia artificial en el motor.

Candidato deepfake: la estafa del empleado falso en video

Sun, 06 Sep 2026 09:00:00 -0300

La entrevista fue por video, el candidato lo hizo bien en las cuatro etapas, el historial coincidía, la verificación de antecedentes pasó. Contratado. El primer día, la notebook corporativa enviada a su casa empezó a cargar malware — y recién ahí la empresa descubrió que el "empleado" era un operador norcoreano usando una identidad robada y una foto retocada con IA. Esto no es el guion de una serie: pasó en 2024 con KnowBe4, una empresa que vive de entrenar a la gente contra estafas, y que tuvo la honestidad de publicar el caso en detalle.

Estafas con IA: las 6 más comunes en Brasil y cómo protegerte

Fri, 04 Sep 2026 08:00:00 -0300

La llamada viene de un número desconocido, pero la voz es la de tu hijo. El correo del banco no tiene ni un solo error de redacción. El director financiero apareció en video, en vivo, autorizando la transferencia. Ninguna de estas tres escenas prueba nada ya: los fraudes con deepfake en Brasil crecieron 126% entre 2024 y 2025, y el país ya concentra cerca del 39% de los casos detectados en América Latina. La inteligencia artificial no inventó una estafa nueva: tomó las estafas que ya existían y les quitó todo lo que las delataba.

Fraude del CEO con deepfake: la estafa por videollamada que robó US$ 25 millones

Sun, 30 Aug 2026 09:00:00 -0300

En enero de 2024, un empleado de la oficina de Hong Kong de la empresa británica de ingeniería Arup participó en una videollamada con el director financiero del grupo y otros colegas. Todos se veían exactamente como debían: misma cara, misma voz, misma forma de hablar. Al final de la llamada, ejecutó 15 transferencias por un total de unos US$ 25,6 millones (HK$ 200 millones). Ninguna de las personas en la llamada era real. Todas eran deepfakes.

Cómo la IA generativa cambió el phishing: correos perfectos, sin errores

Sat, 29 Aug 2026 09:00:00 -0300

Durante años, el consejo número uno contra el phishing fue simple: desconfiá de un correo con errores de ortografía, formato raro o traducción mal hecha. Ese consejo todavía vale — pero cada vez menos. Desde fines de 2022, investigadores de seguridad registraron un aumento del 1.265% en correos de phishing maliciosos, coincidiendo directamente con la popularización de herramientas de IA generativa capaces de escribir texto fluido en cualquier idioma.

Qué cambió, en la práctica

¿Por qué el phishing generado por IA es más peligroso?

Las herramientas de IA generativa eliminan el error gramatical y el tono raro que históricamente delataban al phishing, produciendo correos con tono profesional, estructura clara y lenguaje natural — lo que hace que la estafa sea mucho más difícil de identificar a primera vista. Un estudio que comparó correos de phishing escritos por humanos y por ChatGPT encontró una tasa de clic de hasta el 81% en los correos generados por IA — prácticamente equivalente, o incluso superior, a los escritos por estafadores experimentados.

Estafa del pariente con voz clonada por IA: cómo funciona y cómo protegerse

Thu, 27 Aug 2026 09:00:00 -0300

El teléfono suena. Del otro lado, la voz del hijo, temblorosa, pide ayuda: chocó el auto, está detenido, necesita una transferencia ahora mismo. La voz es idéntica — la misma forma de hablar, el mismo tono. Solo que no es el hijo. Es un clon generado por inteligencia artificial a partir de un video cualquiera que publicó en redes sociales.

Esta estafa —conocida como "estafa del pariente" o variante del clásico secuestro virtual— viene avanzando en Brasil en 2026, y los especialistas en seguridad digital ya tratan la clonación de voz como la nueva frontera de la estafa telefónica.

Ingeniería social: el ataque que ningún antivirus bloquea

Mon, 10 Aug 2026 08:00:00 -0300

Una contraseña compleja, antivirus actualizado, firewall bien configurado — y aun así la empresa fue comprometida. ¿El vector de ataque? Un empleado recibió una llamada de alguien que decía ser del soporte de TI y entregó las credenciales sin cuestionar nada. La ingeniería social no ataca sistemas. Ataca personas. Y precisamente por eso es el método más eficaz que existe.

Qué es la ingeniería social

La ingeniería social es el conjunto de técnicas psicológicas usadas para manipular a las personas y hacer que revelen información confidencial, ejecuten acciones perjudiciales o concedan acceso a sistemas protegidos. El término describe la idea de "ingeniería" del comportamiento humano — explotar tendencias naturales como la confianza, la obediencia a la autoridad, el miedo y la urgencia para conseguir lo que un ataque puramente técnico no lograría.

Cómo identificar phishing por correo: 7 señales prácticas

Tue, 28 Jul 2026 09:00:00 -0300

Recibes un correo de tu banco diciendo que tu cuenta fue bloqueada por actividad sospechosa. El logo está perfecto, el texto está bien escrito, el botón es rojo y te pide que confirmes tus datos "ahora mismo". Parece legítimo — y ese es justamente el problema. El phishing evolucionó mucho más allá de los errores ortográficos y los remitentes extraños de hace diez años. Con herramientas de IA generativa, los atacantes construyen mensajes que imitan con precisión el tono y la identidad visual de bancos, operadoras y organismos gubernamentales.

¿Qué es el vishing? La estafa de voz con IA que clona en 3 segundos

Thu, 23 Jul 2026 10:00:00 -0300

Recibes una llamada. Es la voz de tu jefe: el tono, la cadencia, el acento, todo coincide. Te pide que transfieras el equivalente a 50 mil reales con urgencia para cerrar un contrato. Dudas dos segundos y haces la transferencia. Solo horas después descubres que el "jefe" era una IA que clonó su voz con un clip de 3 segundos sacado de una reunión grabada.

Esto no es guion de serie. Es vishing, y los ataques crecieron 442% entre el primer y el segundo semestre de 2024, según el Global Threat Report 2025 de CrowdStrike. En el primer semestre de 2025 el volumen ya había superado todo 2024.

Twitter hack 2020: cómo tres hackers secuestraron a Obama y Musk

Sat, 18 Jul 2026 09:00:00 -0300

El 15 de julio de 2020, quien abrió Twitter a las 20h (UTC) vio algo imposible: Barack Obama pidiendo que la gente enviara Bitcoin. Joe Biden también. Bill Gates, Elon Musk, Jeff Bezos, Apple, Uber. Todos publicando el mismo mensaje: "Envía US$ 1.000, recibe US$ 2.000 de vuelta." En 45 minutos, 320 personas transfirieron Bitcoin a la billetera de los atacantes. El total: US$ 118 mil robados antes de que Twitter lograra borrar las publicaciones. Quien estaba detrás de esto no era un grupo de élite vinculado a algún estado extranjero. Era un adolescente de 17 años de Tampa, Florida.

¿Qué es el quishing? El golpe del código QR falso en el Pix

Thu, 25 Jun 2026 00:00:00 -0300

Te sientas en una mesa de restaurante, ves el código QR de siempre pegado en la esquina, lo escaneas para ver el menú o pagar la cuenta y sigues con tu vida. El problema es que, cada vez más, ese adhesivo no es el original — es otro, pegado encima, que lleva a un Pix (el sistema de pagos instantáneos de Brasil) que no es del local. La estafa tiene nombre técnico: quishing, la fusión de "código QR" con "phishing". Y explota justo lo que hace práctico al código QR: nadie ve el destino antes de escanear.

Estafa del "hola, mamá" en WhatsApp: cómo funciona y cómo evitarla

Mon, 22 Jun 2026 06:00:00 -0300

El mensaje llega de un número nuevo, pero con la foto y el nombre de alguien que conoces: "hola mamá, cambié de número, guarda este y borra el anterior". Minutos después, llega el pedido —un pago urgente, una factura que hay que pagar ahora mismo, una tarjeta que quedó bloqueada. No hay nada sofisticado en esto técnicamente. Es ingeniería social pura, y funciona porque explota la confianza que ya tienes en quien está al otro lado —o crees que está.

Aflac: una filtración expone datos de 22,7 millones de personas

Thu, 11 Jun 2026 00:01:00 -0300

Un año. Eso fue lo que tardó el mundo en saber el tamaño real del ataque que sufrió Aflac, una de las mayores aseguradoras suplementarias de Estados Unidos, en junio de 2025. La empresa empezó a notificar a los afectados ahora, y la cifra es pesada: 22,7 millones de personas tuvieron datos expuestos, entre clientes, beneficiarios, empleados y corredores, según The Record.

Qué se filtró

La lista de datos comprometidos es la pesadilla clásica de quien trabaja en seguros: nombres, información de contacto, números de Seguro Social (el equivalente estadounidense del DNI), datos de siniestros e información de salud. No todos los afectados tuvieron todos los tipos de dato expuestos, pero la combinación de número de Seguro Social más historial de salud es de las más valiosas en el mercado clandestino: sirve para fraude de identidad, estafas de seguros y phishing dirigido durante años.

DragonForce ransomware: el cartel que derribó M&S y Co-op

Tue, 02 Jun 2026 09:00:00 -0300

Marks & Spencer perdió más de £500 millones en valor de mercado después de que alguien llamara a la mesa de ayuda de TI de la empresa haciéndose pasar por un empleado. Ningún zero-day, ningún phishing elaborado. Una llamada telefónica, un reinicio de contraseña, y dos meses después los sistemas de comercio electrónico de una de las mayores cadenas minoristas del Reino Unido estaban cifrados. Eso es DragonForce.

Quién es DragonForce

DragonForce surgió en 2023 como un grupo de hacktivistas malasios, pero rápidamente pivotó hacia el ransomware como servicio (RaaS), adoptando un modelo de afiliados con reparto de hasta el 80% del rescate. En marzo de 2025, fue más lejos: relanzó la operación como un "cartel de ransomware", permitiendo que los afiliados crearan sus propias marcas usando la infraestructura, el cifrador y las herramientas del grupo — nombre propio, sitio de filtración propio, identidad visual propia.

Carnival Corporation: 6 millones de clientes filtrados por ShinyHunters

Fri, 29 May 2026 09:00:00 -0300

La mayor operadora de cruceros del mundo acaba de notificar a casi 6 millones de clientes sobre una filtración de datos. Carnival Corporation confirmó que el grupo ShinyHunters accedió a sus sistemas el 14 de abril de 2026 usando un vector que las empresas insisten en subestimar: un empleado engañado. Pasaportes, fechas de nacimiento, correos electrónicos y datos de programas de fidelidad de 5.995.277 personas quedaron expuestos. Las notificaciones empezaron a llegar a las bandejas de los clientes el 27 de mayo, más de seis semanas después de la intrusión.

ILOVEYOU: 26 años del virus que infectó 45 millones de PC

Mon, 04 May 2026 09:00:00 -0300

Era lunes, 4 de mayo de 2000. Llegabas al trabajo, encendías la computadora, abrías Outlook, y ahí estaba: un correo con el asunto ILOVEYOU. De alguien que conocías. Con un adjunto llamado LOVE-LETTER-FOR-YOU.TXT.vbs. Hiciste clic. Claro que hiciste clic. Todo el mundo hizo clic. Y fue justo ahí donde empezó uno de los mayores desastres de la historia de la seguridad digital.

El asunto de correo más clicado de la historia

ILOVEYOU no era sofisticado en el sentido técnico más profundo. No explotaba una vulnerabilidad oscura del kernel, no necesitaba un buffer overflow ingenioso. Explotaba algo mucho más difícil de corregir con un parche: la curiosidad humana.