Acompañar a un visitante sin credencial
Una persona sin credencial en las instalaciones puede preparar una intrusión o conectar un dispositivo trucado. El reflejo cortés: acompañarla a recepción.
En 30 segundos
- Dónde ocurre
- En un pasillo, junto a una puerta, en una sala de reuniones o en una oficina abierta, cuando alguien se desplaza solo sin credencial visible.
- Lo que quiere el atacante
- Entrar y conectar un dispositivo3.
- El reflejo
- Preguntar amablemente a quién viene a ver la persona, acompañarla a recepción sin dejarla sola y avisar después a recepción o a seguridad.
- Si ya ha ocurrido
- Si dejó a un desconocido solo o respondió a sus preguntas, comuníquelo a recepción, a seguridad o al equipo de informática.
De qué se trata
Una persona que circula por las oficinas sin credencial visible no es necesariamente un intruso: puede ser un visitante desorientado o un nuevo compañero. También puede ser alguien que cuenta con la cortesía de los empleados para llegar más lejos que la recepción.
Esta ficha explica por qué la situación es un caso de ingeniería social y qué puede hacer un empleado sin enfrentamientos: dirigirse a la persona con cortesía, acompañarla a recepción y avisar a recepción o a seguridad.
Preguntas directas
¿Por qué un simple visitante sin credencial plantea un problema de ciberseguridad?
El NIST define la ingeniería social como el hecho de engañar a una persona para obtener información sensible, un acceso no autorizado o un fraude, ganándose su confianza1. Una persona sin credencial puede buscar un acceso conseguido gracias a la confianza de un empleado.
¿Qué puede hacer alguien que ha entrado en las instalaciones?
Las fuentes citadas aquí describen sobre todo la incorporación de hardware. MITRE describe atacantes que introducen físicamente accesorios, equipos de red u otros dispositivos en un sistema o una red para obtener acceso a ellos3. Las funciones citadas van desde la escucha pasiva de la red hasta la inyección de pulsaciones de teclado y la incorporación de un punto de acceso inalámbrico3.
¿Es un riesgo teórico?
MITRE señala que las referencias públicas de uso por grupos de atacantes son escasas, pero que muchos equipos de auditoría lo emplean para el acceso inicial3. Se cita un caso: el grupo DarkVishnya conectó físicamente un Bash Bunny, una Raspberry Pi, netbooks y portátiles baratos al entorno de una organización para acceder a su red local3.
¿Hay que desconfiar de alguien que parece legítimo?
Sí, con cortesía. CISA describe a un atacante de apariencia inofensiva y respetable, que puede presentarse como un nuevo empleado, un técnico de reparaciones o un investigador, e incluso mostrar credenciales que respalden esa identidad2. La apariencia, por tanto, no demuestra nada2. Solo una comprobación con recepción o con la persona esperada la aporta.
¿Qué decir concretamente?
Basta una frase sencilla, por ejemplo: «Buenos días, ¿puedo ayudarle? ¿A quién viene a ver? Le acompaño a recepción». El tono es el de un favor, no el de un control. El objetivo es no dejar sola a la persona y confiar la comprobación a recepción.
1Cómo funciona1 min
Un visitante con cita pasa por recepción, donde se pueden comprobar su identidad y la persona a la que viene a ver. Una persona sin credencial en las plantas se ha saltado ese paso, voluntariamente o no. El empleado no puede decidir entre los dos casos, y no tiene por qué hacerlo: recepción dispone de la información para ello.
CISA recuerda que cada miembro de la comunidad, ya sean amigos, familias, compañeros o vecinos, es una primera línea de defensa para la seguridad pública6.
El riesgo informático viene después. Un dispositivo conectado en la empresa puede añadir funciones que un simple soporte de almacenamiento no ofrece3. Los soportes extraíbles siguen siendo también un medio de propagación: MITRE describe programas maliciosos copiados en un soporte que se ejecutan al insertarlo gracias a la función Autorun, incluso hacia redes desconectadas de Internet4. El mismo texto indica que dispositivos móviles, e incluso cables de carga USB, pueden servir para infectar un equipo4.
2Lo que usted hace1 min
- Diríjase a la persona sin demora y con cortesía, preguntándole a quién viene a ver.
- Acompáñela hasta recepción en lugar de indicarle el camino, y no la deje sola por el trayecto.
- Avise a recepción o a seguridad de lo ocurrido, aunque todo parezca normal.
- Si la persona afirma pertenecer a una organización conocida, la comprobación pasa por recepción o por un contacto que usted ya conozca. CISA aconseja verificar la identidad directamente con la organización y desconfiar de las visitas no solicitadas de personas que preguntan por los empleados o por información interna2.
- No responda a preguntas sobre la organización de la empresa, sus equipos o su red mientras no esté seguro de la autoridad de su interlocutor2.
3Las trampas2 min
El falso proveedor. CISA cita al técnico de reparaciones entre los papeles que un atacante puede interpretar2. Por su parte, MITRE señala que las organizaciones suelen dar un acceso amplio a sus sistemas internos a proveedores externos, por ejemplo para la climatización, los ascensores o la seguridad física, y que esta relación de confianza recibe a veces menos control que los accesos habituales5. Ante alguien que dice ser proveedor, la comprobación pasa por recepción, no por la apariencia.
La información que se acumula. Un atacante que no obtiene suficiente información de una persona puede recurrir a otra de la misma organización, apoyándose en lo que dijo la primera para resultar más creíble2. Una respuesta inocua dada en un pasillo puede servir para la conversación siguiente.
La incomodidad. Temer ofender a un visitante es natural. La fórmula que ayuda: ofrecerse a acompañar a la persona, que sigue siendo un gesto de hospitalidad. El NIST describe la ingeniería social como el hecho de ganarse la confianza de la persona1.
El paso detrás de alguien. Dejar entrar a una persona detrás de usted en una puerta con control de credencial le ahorra el paso por recepción. La regla sigue siendo la misma: a una persona sin credencial ni acompañante se la dirige a recepción.
La urgencia o la autoridad aparente. CISA señala, a propósito de los correos electrónicos, que una falsa sensación de urgencia sirve para empujar a alguien a actuar sin examinar2. La misma cautela vale cara a cara: recepción comprueba, sea cual sea la prisa que se muestre.
Ficha
- Identificador
- CP-542
- Ala
- 5. Vida en la oficina y reflejos
- Competencia Brain
- Frenar la ingeniería social (outsmart_social_engineering)
- Reflejo Brain
- cr-047
- Esquema
- G5 · Árbol de decisión del reflejo
- Idiomas
- de, en, es, fr
- Fuentes
- 6 fuentes verificadas el 3 de noviembre de 2026
Fuentes6 fuentes
- NIST, «social engineering - Glossary | CSRC». https://csrc.nist.gov/glossary/term/social_engineering (consultado el 3 de noviembre de 2026)
- CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1199/ (consultado el 3 de noviembre de 2026)
- CISA, «Physical Security | Cybersecurity and Infrastructure Security Agency CISA». https://www.cisa.gov/topics/physical-security (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Acompañar a un visitante sin credencial», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp542_es_2026,
author = {Brain},
title = {Acompañar a un visitante sin credencial},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/acompanar-visitante-sin-credencial-recepcion/},
note = {CC BY 4.0}
}