Desde hace 22 años se realiza en Buenos Aires la Ekoparty, una conferencia de ciberseguridad donde investigadores y hackers cuentan qué descubren sobre vulnerabilidades en sistemas. Entre ellos, hay un grupo que se hacen llamar especialistas en “ingeniería social”: técnicas para engañar y convencer a una víctima a que entregue información, dinero o algo que no debería. “El cuento del tío”, pero versión digital. Y entre estas exposiciones se trata de entender cómo operan los estafadores para poder evitar caer en una trampa: este año debutó “Eko Nonos”.
Uno de los referentes de este espacio es “Chiche”, un personaje histórico que año a año anima a la conferencia con distintos desafíos. Este año, como contraparte de “Ekokids”, un espacio donde los más chicos son guiados para entender qué significa hackear algo, se hizo por primera vez Eko Nonos para concientizar a los adultos mayores.
Durante la conferencia, que se llevó a cabo del 7 al 9 de octubre en el Centro de Convenciones Buenos Aires, distintos participantes pudieron ver charlas y participar junto a los organizadores de la “Village” (así le dicen a estos espacios en las conferencias de hackers) en distintos desafíos para aprender estas técnicas.
Una de ellas tenía que ver con un mensaje de WhatsApp que llega desde un número desconocido. La foto es conocida y el texto también podría serlo: “Hola ma, cambié el número”. Del otro lado parece estar un hijo o un nieto que perdió el teléfono, tuvo un problema con la línea o necesita guardar un nuevo contacto. Después llega la urgencia. Hace falta pagar algo, transferir dinero o resolver un problema antes de que sea demasiado tarde.
La maniobra lleva años circulando, con distintas variantes, y resume buena parte de la lógica detrás de las estafas de ingeniería social. El atacante necesita que el engaño resulte suficientemente creíble y, sobre todo, que quien recibe el mensaje actúe antes de detenerse a verificar qué está pasando.
Ese fue uno de los problemas que buscó abordar Eko Nonos, en tanto los adultos mayores constituyen uno de los públicos buscados por algunas campañas de fraude digital. La idea de los organizadores fue alejarse de una clase tradicional de informática y trabajar sobre situaciones concretas, con celulares sobre la mesa y ejemplos similares a los que cualquier usuario puede recibir por WhatsApp, correo electrónico o teléfono.
“Queremos que entiendan cómo piensan los atacantes para que naveguen con la misma picardía y desconfianza sana con la que caminan por la calle”, explicó a Clarín Daniel Isler, uno de los responsables de la iniciativa.
Eko Nonos: hackers contra las estafas digitales
La ingeniería social reúne técnicas que buscan convencer a alguien para que entregue información, habilite un acceso o realice una acción que beneficia al atacante. En lugar de encontrar necesariamente una vulnerabilidad técnica en un sistema, el estafador construye una historia destinada a generar confianza, miedo, culpa o urgencia.
“El delincuente busca tocar dos botones emocionales básicos: el apuro y la culpa”, explica Isler. Son dos de los engranajes principales, que corren muchas veces con la urgencia de aprovechar algo porque se pierde la oportunidad (o se corta un servicio).
Uno de los ejemplos más habituales es el robo de cuentas de WhatsApp. El atacante necesita conseguir el código de verificación que la plataforma envía al teléfono y monta alguna excusa para que el propio titular se lo entregue. Puede presentarse como alguien que gestiona un turno médico, una entrega, una promoción o cualquier otro trámite suficientemente verosímil.
Otra variante, advierte Isler, consiste en hacerse pasar por un banco o un servicio de soporte. El llamado suele comenzar con una advertencia sobre una transferencia sospechosa, una cuenta que podría estar comprometida o algún movimiento que requiere una reacción inmediata. A partir de ahí, el falso operador intenta conducir la conversación hasta conseguir información o convencer al usuario de que realice una transferencia, instale una aplicación o siga determinadas instrucciones.
El engaño del familiar que cambió su número utiliza otra herramienta especialmente efectiva: la confianza. El atacante se presenta como un hijo, una hija o un nieto y construye primero una explicación para el nuevo teléfono. Al tener la foto de perfil de señuelo, suele ser efectiva. El pedido de dinero puede aparecer recién después, cuando la conversación ya lleva un rato y el contacto falso quedó incorporado como legítimo.
Hay campañas que, además, cuentan con información verdadera de quien recibe el llamado. Datos personales provenientes de filtraciones y bases comercializadas ilegalmente pueden permitir que un estafador conozca un DNI, un domicilio, un número de teléfono u otros datos que hacen que la comunicación parezca más convincente.
En este sentido, Isler explica que la inteligencia artificial agrega nuevas posibilidades. Durante años, un correo mal escrito, una traducción extraña o expresiones impropias del español local podían funcionar como alerta. Los modelos generativos permiten producir textos más prolijos y adaptar con facilidad el tono de un mensaje, algo que antes requería un trabajo más artesanal.
También existen herramientas capaces de generar voces sintéticas a partir de grabaciones previas. Para los especialistas en ingeniería social, esto obliga a prestar especial atención a una señal que atraviesa casi todas estas maniobras: incluso cuando el mensaje, el audio o la llamada parecen auténticos, una solicitud inesperada de dinero o información sensible merece una verificación por otro canal.
La automatización también permite ampliar el volumen de los intentos. Sistemas basados en inteligencia artificial pueden mantener conversaciones, responder preguntas y adaptar mensajes sin que un operador tenga que escribir manualmente cada respuesta.
Cómo detectar una estafa y qué hacer antes de transferir dinero
Una de las principales recomendaciones frente a estos engaños es evitar tomar decisiones bajo presión, recuerda Isler. La urgencia es una herramienta recurrente porque reduce el tiempo disponible para comprobar una historia.
Si un supuesto familiar escribe desde un número nuevo y pide dinero, conviene interrumpir esa conversación y comunicarse con él utilizando el número que ya estaba guardado o a través de otro integrante de la familia. Una pregunta cuya respuesta sólo conozcan ambos también puede ayudar, aunque la verificación mediante un canal independiente ofrece una barrera adicional.
Con los llamados de bancos ocurre algo similar. Ante una supuesta operación sospechosa, lo más seguro es cortar la comunicación y contactar a la entidad desde su aplicación oficial, el número que figura en la tarjeta o un canal conocido previamente. El número que aparece en pantalla tampoco debería considerarse una prueba suficiente de identidad, recuerda el especialista.
Los códigos de verificación que llegan por SMS o WhatsApp no deben compartirse con terceros. Esos números existen justamente para demostrar que quien intenta registrar una cuenta tiene acceso al teléfono asociado. Si otra persona pide ese código, puede estar intentando tomar control de la cuenta.
También conviene desconfiar cuando una conversación deriva en instrucciones para instalar aplicaciones, compartir la pantalla del teléfono, entrar a un enlace enviado por mensaje o mover dinero hacia otra cuenta con la promesa de “protegerlo”.
Los datos reales tampoco garantizan que quien llama sea quien dice ser. Que un interlocutor conozca el nombre completo, DNI, domicilio u otra información personal puede resultar convincente, pero parte de esos datos circulan como consecuencia de filtraciones y robos de información.
La llegada de audios generados con inteligencia artificial vuelve especialmente importante esa regla. Escuchar una voz conocida ya no debería ser el único mecanismo para validar una solicitud excepcional de dinero. Una llamada directa a un número conocido o una segunda vía de contacto puede resolver la duda en pocos minutos.
Eko Nonos intentó trasladar esas precauciones a ejemplos cotidianos y quitar parte del misterio que rodea a la seguridad informática. El objetivo, según sus organizadores, es que los adultos mayores puedan utilizar la tecnología con más herramientas para reconocer qué ocurre cuando del otro lado alguien intenta apurarlos, asustarlos o aprovechar una relación de confianza.
A fin de cuentas, difundir información y concientizar es la mejor forma de prevenir ciberestafas.
