Ingeniería social: por qué las estafas funcionan con cualquiera

Por qué funciona con cualquiera

Casi todo lo que una persona hace en un día es automático, y tiene que serlo. Cuando una situación se parece a algo conocido, como un aviso del banco o una petición de alguien de la familia, nadie se para a examinar cada detalle, y el estafador construye la historia justo con esa forma. INCIBE define la ingeniería social como una técnica basada en manipular a las personas para que hagan algo sin ser conscientes de que las están engañando.

El tamaño del asunto dice bastante de lo bien que funciona. Según el Informe sobre la Cibercriminalidad en España 2025, del Ministerio del Interior, en 2025 se registraron 488.426 ciberdelitos, casi nueve de cada diez fraudes informáticos, y hubo 383.285 víctimas repartidas por todas las edades. Caer en una de estas conversaciones no dice nada de nadie. La culpa es siempre de quien la monta.

El nombre suena técnico, pero la situación suele ser de lo más normal: una llamada que parece del banco, un mensaje de un familiar desde un número nuevo, alguien que se ofrece a arreglar un problema del ordenador o un recibo que hay que pagar deprisa.

Cómo se construye la confianza

La conversación suele abrirse con algo correcto, un tono profesional o un pequeño favor. La petición llega después, cuando el marco ya está puesto. La autoridad, la simpatía, el miedo, la prisa y el secreto se usan para reducir el número de preguntas que una persona haría normalmente.

El secreto es el que más se subestima. Una petición de no contárselo a nadie, presentada como una investigación en marcha o como algo vergonzoso que conviene guardarse, existe para que no digas la historia en voz alta delante de una segunda persona, porque decirla en voz alta es lo que normalmente la rompe.

Que sepan datos tuyos no demuestra quién es

Un nombre, un teléfono, una dirección, los cuatro últimos dígitos de una tarjeta, el nombre de una compra reciente: todo eso puede salir de listas comerciales, de registros públicos, de un perfil en redes o de una filtración de datos. Que alguien sepa cosas de ti es barato de conseguir y no verifica nada.

La propia conversación entrega más. Cuando alguien pregunta si reconoces un cargo de 2.400 euros, cualquier respuesta le ayuda a afinar la historia, y una corrección tuya le rellena un hueco que no tenía. Por eso quien llama sabiendo cosas de ti no queda verificado por saberlas.

Así que no autentiques a un desconocido por lo que sabe. Autentica el canal: termina el contacto y busca a la entidad por un número o por una aplicación que ya tuvieras. Es el mismo consejo que repite INCIBE en toda su sección sobre fraude online, donde la instrucción que vuelve una y otra vez es comprobar por tu cuenta en lugar de usar lo que te dio el contacto. Si quieres el repaso completo, mira cómo saber si es una estafa.

Las formas más comunes

Cualquier interacción puede llevarla dentro: en persona, por teléfono, por correo o desde una cuenta de redes sociales. En las estafas que van detrás del dinero de la gente corriente, unas pocas formas aparecen una y otra vez.

• Un motivo inventado para contactarte: una compra sospechosa, un problema con tus datos, un familiar en apuros. Es la base del falso departamento antifraude que te llama.
• El cebo: un premio, un descuento enorme, un trabajo fácil o un dinero que te está esperando, que llevan a un enlace o a una tasa para liberarlo. Aparece sin parar en los correos y mensajes falsos.
• La ayuda que nadie pidió: alguien se presenta como servicio técnico de un problema que tú no sabías que tenías y te pide instalar un programa o leer un código. INCIBE tiene avisos recurrentes sobre este falso soporte técnico.
• En persona: un mensajero que pasa a recoger la tarjeta o el efectivo en tu portal, o una colecta para una causa que no existe. La versión presencial lleva años formando parte de estas estafas y no ha desaparecido.
• Un SMS corto: un paquete, una multa, unos puntos que caducan o una cuenta a punto de bloquearse, que es lo que significa smishing.
• Unos datos de pago que cambian: una factura que esperabas llega con otro número de cuenta, o un vendedor te pide cambiar de método de pago a última hora.

Situaciones donde aparece

• quien llama insiste en que la línea tiene que seguir abierta mientras haces algo;
• un familiar escribe desde un número nuevo y pide dinero, que es la forma de la estafa del familiar en apuros;
• llega un servicio técnico al que nadie llamó;
• cambia de repente la cuenta a la que te habían dicho que pagaras;
• te piden secreto, algo que existe para que no se lo preguntes a una segunda persona;
• el pago tiene que ser sí o sí en tarjetas regalo, en criptomonedas o en una transferencia inmediata o un Bizum a una persona, todos ellos difíciles de revertir.

Nada de esto convierte cualquier conversación en un fraude. Lo que hacen es marcar el momento en el que merece la pena salirse del guion que te han dado y comprobar la situación por otro lado.

Cómo romper la presión

Termina el contacto y elige tú el siguiente paso. Llama al familiar al número que ya tenías, abre la aplicación del banco que instalaste, o busca el teléfono de la empresa en un recibo o en la propia tarjeta. No tienes que discutir, ni explicarte, ni demostrarle a nadie que has notado algo raro.

Una pausa es la defensa más barata que existe. Casi nada de lo que es verdad empeora porque hayas esperado diez minutos y hayas devuelto una llamada, y casi todo lo que es falso, sí.

También ayuda acordar unas cuantas cosas con la familia antes de que pase nada: una palabra que se pide cuando alguien pide dinero con prisa, un acuerdo de que nadie paga solo porque lo diga un mensaje, y la costumbre de llamar al número de siempre para comprobarlo. Es justo lo que recomienda INCIBE en su artículo sobre la estafa del familiar en apuros, donde la palabra clave familiar aparece como la forma más sencilla de confirmar quién está al otro lado. Para ver los cuidados uno por uno, mira cómo evitar estafas.

Si ya diste información o dinero

1. Llama a tu banco enseguida, por la aplicación o por el número impreso en la tarjeta, y cuenta lo que ha pasado. Pregunta qué se puede hacer con el medio de pago que usaste, porque un cargo en tarjeta y una transferencia que ordenaste tú no están en la misma situación. El Banco de España explica que, ante una transferencia no autorizada, el banco debe reembolsarte de inmediato los fondos salvo que pruebe que actuaste de manera fraudulenta o que incumpliste de forma deliberada o por negligencia grave tus obligaciones, y que cuando la orden la diste tú el banco del destinatario no puede devolver el dinero sin el consentimiento de quien lo recibió. Con la tarjeta, su página sobre el uso fraudulento dice que desde que lo comunicas el banco se hace cargo de lo posterior y que de lo anterior respondes como mucho hasta 50 euros.
2. Si diste una contraseña o un código, cámbiala en la aplicación o la web oficial y activa la verificación en dos pasos, que pide un segundo dato además de la contraseña. Si el código era de una cuenta de mensajería, entra a los ajustes de sesiones y cierra los dispositivos que no reconozcas.
3. Si instalaste algo durante la conversación, desconecta ese aparato de internet, usa otro para el banco y para las contraseñas, y cierra cualquier dispositivo conectado que no reconozcas.
4. Avisa a tu familia y a tus contactos por otro canal, para que nadie conteste a una petición de dinero hecha en tu nombre y para que sepan que la cuenta puede estar en manos de otra persona.
5. Denuncia y avisa. Primero la denuncia, porque bancos y aseguradoras la piden: en cualquier comisaría o cuartel, por la Oficina Virtual de Denuncias de la Policía Nacional, que hay que ir a firmar después en comisaría y como muy tarde en 72 horas, o por la denuncia electrónica de la Guardia Civil. Después avisa a INCIBE con su reporte de fraude o llama gratis al 017, donde además de orientación técnica y legal dan apoyo psicológico, que después de una estafa hace más falta de lo que parece.

Una última cosa que conviene decir con todas las letras, porque la gente carga con ella mucho tiempo después: estas conversaciones las montan personas que viven de esto, que las afinan constantemente y que llegan a miles de personas con el mismo guion. Que te toque una buena no dice nada de tu criterio.

Preguntas frecuentes sobre la ingeniería social