--- id: CP-542 slug: acompanar-visitante-sin-credencial-recepcion lang: es title: Acompañar a un visitante sin credencial description: "Una persona sin credencial en las instalaciones puede preparar una intrusión o conectar un dispositivo trucado. El reflejo cortés: acompañarla a recepción." canonical_url: https://startbrain.io/cyberpedia/es/articles/acompanar-visitante-sin-credencial-recepcion/ markdown_url: https://startbrain.io/cyberpedia/es/articles/acompanar-visitante-sin-credencial-recepcion.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Acompañar a un visitante sin credencial», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/acompanar-visitante-sin-credencial-recepcion/ (CC BY 4.0) wing: 5 theme: outsmart_social_engineering reflex: cr-047 schema: G5 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/acompanar-visitante-sin-credencial-recepcion/ fr: https://startbrain.io/cyberpedia/fr/articles/raccompagner-visiteur-sans-badge-accueil/ en: https://startbrain.io/cyberpedia/en/articles/escorting-visitor-without-badge-reception/ de: https://startbrain.io/cyberpedia/de/articles/besucher-ohne-ausweis-zum-empfang-begleiten/ it: https://startbrain.io/cyberpedia/it/articles/riaccompagnare-visitatore-senza-badge-reception/ sources: - "n": 1 title: social engineering - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/social_engineering accessed: "2026-11-03" - "n": 2 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1091/ accessed: "2026-11-03" - "n": 5 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 6 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" --- # Acompañar a un visitante sin credencial Una persona que circula por las oficinas sin credencial visible no es necesariamente un intruso: puede ser un visitante desorientado o un nuevo compañero. También puede ser alguien que cuenta con la cortesía de los empleados para llegar más lejos que la recepción. Esta ficha explica por qué la situación es un caso de ingeniería social y qué puede hacer un empleado sin enfrentamientos: dirigirse a la persona con cortesía, acompañarla a recepción y avisar a recepción o a seguridad. ## En 30 segundos - Dónde ocurre: en un pasillo, junto a una puerta, en una sala de reuniones o en una oficina abierta, cuando alguien se desplaza solo sin credencial visible. - Lo que quiere el atacante: entrar y conectar un dispositivo [3]. - El reflejo: preguntar amablemente a quién viene a ver la persona, acompañarla a recepción sin dejarla sola y avisar después a recepción o a seguridad. - Si ya ha ocurrido: si dejó a un desconocido solo o respondió a sus preguntas, comuníquelo a recepción, a seguridad o al equipo de informática. ## Preguntas directas ### ¿Por qué un simple visitante sin credencial plantea un problema de ciberseguridad? El NIST define la ingeniería social como el hecho de engañar a una persona para obtener información sensible, un acceso no autorizado o un fraude, ganándose su confianza [1]. Una persona sin credencial puede buscar un acceso conseguido gracias a la confianza de un empleado. ### ¿Qué puede hacer alguien que ha entrado en las instalaciones? Las fuentes citadas aquí describen sobre todo la incorporación de hardware. MITRE describe atacantes que introducen físicamente accesorios, equipos de red u otros dispositivos en un sistema o una red para obtener acceso a ellos [3]. Las funciones citadas van desde la escucha pasiva de la red hasta la inyección de pulsaciones de teclado y la incorporación de un punto de acceso inalámbrico [3]. ### ¿Es un riesgo teórico? MITRE señala que las referencias públicas de uso por grupos de atacantes son escasas, pero que muchos equipos de auditoría lo emplean para el acceso inicial [3]. Se cita un caso: el grupo DarkVishnya conectó físicamente un Bash Bunny, una Raspberry Pi, netbooks y portátiles baratos al entorno de una organización para acceder a su red local [3]. ### ¿Hay que desconfiar de alguien que parece legítimo? Sí, con cortesía. CISA describe a un atacante de apariencia inofensiva y respetable, que puede presentarse como un nuevo empleado, un técnico de reparaciones o un investigador, e incluso mostrar credenciales que respalden esa identidad [2]. La apariencia, por tanto, no demuestra nada [2]. Solo una comprobación con recepción o con la persona esperada la aporta. ### ¿Qué decir concretamente? Basta una frase sencilla, por ejemplo: «Buenos días, ¿puedo ayudarle? ¿A quién viene a ver? Le acompaño a recepción». El tono es el de un favor, no el de un control. El objetivo es no dejar sola a la persona y confiar la comprobación a recepción. ## Cómo funciona Un visitante con cita pasa por recepción, donde se pueden comprobar su identidad y la persona a la que viene a ver. Una persona sin credencial en las plantas se ha saltado ese paso, voluntariamente o no. El empleado no puede decidir entre los dos casos, y no tiene por qué hacerlo: recepción dispone de la información para ello. CISA recuerda que cada miembro de la comunidad, ya sean amigos, familias, compañeros o vecinos, es una primera línea de defensa para la seguridad pública [6]. El riesgo informático viene después. Un dispositivo conectado en la empresa puede añadir funciones que un simple soporte de almacenamiento no ofrece [3]. Los soportes extraíbles siguen siendo también un medio de propagación: MITRE describe programas maliciosos copiados en un soporte que se ejecutan al insertarlo gracias a la función Autorun, incluso hacia redes desconectadas de Internet [4]. El mismo texto indica que dispositivos móviles, e incluso cables de carga USB, pueden servir para infectar un equipo [4]. ## Lo que usted hace - Diríjase a la persona sin demora y con cortesía, preguntándole a quién viene a ver. - Acompáñela hasta recepción en lugar de indicarle el camino, y no la deje sola por el trayecto. - Avise a recepción o a seguridad de lo ocurrido, aunque todo parezca normal. - Si la persona afirma pertenecer a una organización conocida, la comprobación pasa por recepción o por un contacto que usted ya conozca. CISA aconseja verificar la identidad directamente con la organización y desconfiar de las visitas no solicitadas de personas que preguntan por los empleados o por información interna [2]. - No responda a preguntas sobre la organización de la empresa, sus equipos o su red mientras no esté seguro de la autoridad de su interlocutor [2]. ## Las trampas El falso proveedor. CISA cita al técnico de reparaciones entre los papeles que un atacante puede interpretar [2]. Por su parte, MITRE señala que las organizaciones suelen dar un acceso amplio a sus sistemas internos a proveedores externos, por ejemplo para la climatización, los ascensores o la seguridad física, y que esta relación de confianza recibe a veces menos control que los accesos habituales [5]. Ante alguien que dice ser proveedor, la comprobación pasa por recepción, no por la apariencia. La información que se acumula. Un atacante que no obtiene suficiente información de una persona puede recurrir a otra de la misma organización, apoyándose en lo que dijo la primera para resultar más creíble [2]. Una respuesta inocua dada en un pasillo puede servir para la conversación siguiente. La incomodidad. Temer ofender a un visitante es natural. La fórmula que ayuda: ofrecerse a acompañar a la persona, que sigue siendo un gesto de hospitalidad. El NIST describe la ingeniería social como el hecho de ganarse la confianza de la persona [1]. El paso detrás de alguien. Dejar entrar a una persona detrás de usted en una puerta con control de credencial le ahorra el paso por recepción. La regla sigue siendo la misma: a una persona sin credencial ni acompañante se la dirige a recepción. La urgencia o la autoridad aparente. CISA señala, a propósito de los correos electrónicos, que una falsa sensación de urgencia sirve para empujar a alguien a actuar sin examinar [2]. La misma cautela vale cara a cara: recepción comprueba, sea cual sea la prisa que se muestre. ## Fuentes 1. NIST, «social engineering - Glossary | CSRC». https://csrc.nist.gov/glossary/term/social_engineering (consultado el 3 de noviembre de 2026) 2. CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado el 3 de noviembre de 2026) 5. MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultado el 3 de noviembre de 2026) 6. CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/acompanar-visitante-sin-credencial-recepcion/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.