Ingeniería social, lo que queda escrito

La ingeniería social usa urgencia, autoridad y rutina para que una persona haga algo que ningún control técnico le obliga a hacer: abrir un enlace, entregar una clave, aprobar un cambio. Por eso la defensa tiene dos capas. La técnica mira lo que se puede comprobar: SPF, DKIM y DMARC dicen si el correo salió de donde dice su remitente; el proxy señala dominios recién creados o sin categoría. La humana pone un canal de verificación fuera del mensaje: devolver la llamada a un número ya registrado, pedir la aprobación del jefe.

ATT&CK cataloga el correo con enlace como T1566 (phishing). Lo que no hay es una solución única: un mensaje bien hecho puede pasar los filtros, y una persona atenta puede equivocarse un día. Por eso lo que se busca en los registros no es el culpable, sino el punto donde el proceso falló.

Abre el laboratorio. La pasarela de correo registra, para cada mensaje, el remitente que ve el usuario y el dominio desde el que se envió de verdad (el del sobre), además del resultado de SPF, DKIM y DMARC. Un remitente visible puede escribirlo cualquiera; el dominio del sobre es el que la comprobación puede validar. Cuando los tres resultados fallan y el dominio del sobre no es el de la empresa que el mensaje dice ser, el mensaje se hace pasar por alguien.

Fíjate en que el nombre visible de la fila sospechosa es el de Tesorería de Aguaclara: está elegido para que el destinatario no mire más.

Cuatro personas abrieron el enlace, y abrir no es entregar. En un formulario de ingreso, GET es cargar la página y POST es enviarle lo que se escribió. El proxy registra el método, el equipo y la hora, aunque con HTTPS no ve el contenido. Esa diferencia separa a quienes vieron una página falsa de quien dejó en ella su usuario y su clave.

En el informe no se cuenta cuántos hicieron clic como un reproche: se cuenta como medida del riesgo (cuántas cuentas hay que revisar) y el dato accionable es quién entregó credenciales, porque esa cuenta hay que tratarla como comprometida.

El correo no es la única puerta. Con la cuenta ya comprometida, el siguiente obstáculo es el segundo factor o la clave, y el camino más corto suele ser la mesa de ayuda, que está para ayudar. Cada ticket de este laboratorio anota el canal con el que se verificó a quien llama. Dos de ellos tienen una verificación que el atacante no controla: la devolución de llamada al anexo registrado y la aprobación del jefe inmediato. Uno no tiene ninguna.

Ese ticket, además, cae pocos minutos después de un inicio de sesión desde una dirección de fuera con un dispositivo desconocido: las dos filas juntas cuentan la historia entera.

Con lo leído hay una cuenta cuya clave se entregó, un inicio de sesión desde fuera y un restablecimiento sin verificar. Lo urgente no es averiguar a quién culpar: es cortar el acceso que ya existe. Cambiar la clave no basta si las sesiones abiertas siguen vivas, y avisar a las otras tres personas que abrieron el enlace es útil, pero no resuelve la cuenta que ya está en manos ajenas.