Ingeniería social — lo barato y el límite

Antes, un correo de engaño creíble delataba al aficionado por las erratas y el tono raro. Un modelo lo redacta ahora sin un fallo, en el idioma y el registro exactos. Es tentador leer eso como «ahora se puede hacer fácil». Lo que bajó es el esfuerzo de fabricarlo; el permiso para dirigirlo a una persona real no bajó nada: sigue dependiendo de que el contrato lo autorice y lo ponga en el alcance.

Confundir «ahora es fácil» con «ahora está permitido» es el error de fondo de todo este módulo. La facilidad técnica y la autorización viven en planos distintos, y solo el segundo decide si algo se hace.

El modelo puede clonar la voz de un directivo de Astilla a partir de unos segundos de audio público y generar un pretexto perfecto para engañar a un empleado. Aunque el engagement incluyera ingeniería social, suplantar la identidad concreta de una persona real es una línea que se trata aparte: necesita estar autorizada de forma explícita, porque involucra a alguien que no dio su consentimiento y puede tener consecuencias legales y personales que van más allá del sistema.

La regla no es «si el alcance menciona ingeniería social, todo vale». Suplantar a un individuo identificable se autoriza punto por punto o no se hace, por mucho que el modelo lo ponga al alcance de un clic.

Supón que hay una autorización explícita para una campaña de ingeniería social medida. Aun dentro de ella hay cosas que no se hacen: apoyarse en el miedo o la vergüenza de la persona, amenazar, o recolectar de un empleado más datos personales de los que el ejercicio necesita. El alcance dice qué se puede probar; el criterio dice cómo, y ese cómo tiene un suelo de proporcionalidad y respeto que el permiso no borra.

Un modelo optimiza para que el engaño funcione, no para que sea proporcionado. Si le pides «lo que sea con tal de que caiga», te dará justo eso. El límite de cómo se trata a la persona lo pone el operador, no el modelo.

Una campaña de ingeniería social autorizada existe para medir cómo responde la organización y ayudarla a mejorar, no para humillar a quien cae. Eso cambia cómo se diseña y cómo se reportan los resultados: sin exponer a la persona concreta que picó, sin escarnio, con los datos agregados para que el cliente aprenda sin castigar a nadie. Una prueba que daña a un empleado real fracasó en su propósito aunque técnicamente «funcionara».

El producto del ejercicio es que Astilla quede más protegida, no una lista de nombres para señalar. El respeto a las personas involucradas es parte del encargo, no un añadido opcional.

Abre la estación. El modelo se ofreció a cruzar una línea que tú no decides. El límite no lo pone el modelo: está escrito en las reglas de enfrentamiento. Localiza la cláusula que cubre lo que ofreció.