El pretexting, o el arte del falso pretexto
Un falso soporte informático que llama o escribe para obtener una contraseña: cómo funciona el falso pretexto y cómo desactivarlo.
En 30 segundos
- Qué quiere el atacante
- Credenciales u otra información aprovechable2, a veces un código de un solo uso2.
- El reflejo
- No dar nada a quien ha iniciado el contacto y verificar su identidad directamente con la organización en cuyo nombre dice hablar1.
- Si ya lo ha hecho
- Avisar de inmediato a las personas competentes de la empresa y cambiar las contraseñas reveladas1.
De qué se trata
Un desconocido llama, escribe o envía un mensaje haciéndose pasar por alguien con derecho a hacer preguntas: el soporte informático, un proveedor, un banco, un nuevo compañero. No necesita piratear nada si su interlocutor le entrega por sí mismo una contraseña, un código o información interna. La CISA describe este esquema: el atacante puede presentarse como empleado nuevo, técnico de reparaciones o investigador, ofrecer pruebas de identidad falsas y después contrastar las respuestas obtenidas1.
Esta técnica se apoya en un falso pretexto, de ahí su nombre en inglés, pretexting. MITRE la clasifica entre las técnicas de recopilación de información mediante suplantación (phishing): el objetivo es que la víctima revele datos, a menudo credenciales, en lugar de que ejecute un programa malicioso2.
Preguntas directas
¿Qué es el pretexting?
Es una forma de ingeniería social: el atacante usa el contacto humano para obtener o comprometer información sobre una organización o sus sistemas1. El pretexto (una avería que reparar, una cuenta que verificar, una transferencia que saldar) da una razón verosímil para pedir algo.
¿Por qué el mensaje parece tan creíble?
Porque el atacante se ha informado antes. MITRE señala que estos acercamientos reutilizan información obtenida en un reconocimiento previo, por ejemplo en redes sociales o en los sitios web de la empresa objetivo, para fabricar señuelos verosímiles4. En el caso de Scattered Spider, la CISA cita información procedente de redes sociales, de fuentes abiertas, de herramientas comerciales de inteligencia y de filtraciones de bases de datos5.
¿Quién es el objetivo?
Cualquiera, pero el soporte informático lo es de forma especial. Microsoft observa que el grupo Octo Tempest ataca a menudo a administradores técnicos, como el personal de soporte y de help desk, cuyos privilegios permiten abrir el acceso a cuentas6.
¿Qué pide el atacante?
Las peticiones que aparecen en las fuentes son concretas: credenciales, un código de un solo uso, el restablecimiento de una contraseña, la transferencia de un segundo factor de autenticación a un dispositivo que controla el atacante, o la instalación de una herramienta de acceso remoto357.
¿Qué hacer si ya se ha respondido?
La CISA aconseja comunicar el incidente a las personas competentes de la organización, entre ellas los administradores de red, que podrán vigilar cualquier actividad inusual, y cambiar sin demora las contraseñas reveladas, en cada cuenta donde se usara la misma contraseña1.
1En la piel del atacante1 min
El atacante empieza reuniendo nombres, cargos y procedimientos. Un perfil falso en una red social puede servir de puerta de entrada: MITRE describe cuentas ficticias que ofrecen empleo a los trabajadores, lo que da una razón verosímil para hacer preguntas sobre los departamentos, las normas y el entorno informático4. Las identidades de empleados también pueden proceder de filtraciones anteriores: MITRE informa de que Scattered Spider utilizó información de brechas de datos pasadas para encontrar nombres de empleados que usar en sus maniobras7.
Viene después la puesta en escena. Un atacante que no obtiene suficiente información de una persona recurre a otra de la misma organización y se apoya en la primera respuesta para parecer legítimo1. Las llamadas de Scattered Spider se desarrollan con frecuencia en varias fases: las primeras sirven para aprender cómo trata el help desk un restablecimiento de contraseña, las siguientes para reunir los datos propios del empleado objetivo5.
Por último, la presión. MITRE señala que el atacante se hace pasar por una fuente de confianza y envía varios mensajes de apariencia urgente2, así como el sentimiento de urgencia o alarma que se crea en el destinatario en el caso del phishing por voz3.
2Lo que ve en la pantalla1 min
Las formas observadas en las fuentes son las siguientes.
- Una llamada de un supuesto técnico que pide instalar una herramienta de mantenimiento remoto. MITRE cita llamadas de Scattered Spider en las que se hacían pasar por personal informático para empujar a las víctimas a descargar una herramienta así3.
- Un mensaje en Microsoft Teams de un falso soporte interno, registrado por MITRE en el caso de Scattered Spider7.
- Un correo cuyo remitente suplanta la identidad de un tercero, lo que puede engañar tanto al destinatario como a las herramientas de seguridad automáticas2.
- Un mensaje que invita a devolver la llamada a un número de teléfono, en el que el atacante intenta recoger información confidencial2.
La CISA enumera además señales de alerta clásicas: una dirección de remitente parecida a la de una empresa real, con algunos caracteres modificados o suprimidos, un saludo genérico, enlaces cuya dirección no coincide con el texto, faltas o una maquetación incoherente, un archivo adjunto no solicitado con una falsa urgencia1. Estas señales no siempre bastan: una petición bien redactada y bien documentada puede no presentar ninguna.
Esta es una ilustración neutralizada, descrita a partir de los nombres de dominio que cita la CISA (el nombre de la empresa objetivo seguido de «helpdesk» o de un servicio de inicio de sesión único)5:
Ilustración, dirección neutralizada:
nombre-de-la-empresa-helpdesk[.]invalid
[Mensaje parafraseado: el «soporte» pide iniciar sesión en este sitio para verificar la cuenta.]3Bajo el capóEquipos de TI1 min
Se combinan tres mecanismos. Primero, la recopilación de información (organigrama, nombres, procedimientos), que proporciona el decorado del pretexto45. Después, la suplantación de identidad: un empleado, un técnico o una persona recién contratada. Microsoft informa de que Octo Tempest imita por teléfono el idiolecto de las personas a las que suplanta, conoce sus datos personales y se ha hecho pasar por empleados nuevos para integrarse en los procedimientos de incorporación6. Por último, la autoridad y la urgencia, que empujan a responder deprisa.
El teléfono facilita el engaño. La CISA subraya que la telefonía por internet permite falsificar con facilidad el identificador de quien llama, lo que se beneficia de la confianza mal depositada del público en la seguridad del teléfono1.
Cuando el atacante se hace pasar por un empleado ante el soporte, el objetivo es que se restablezca una contraseña o que se transfiera la autenticación multifactor a un dispositivo que él controla5. Microsoft describe incluso casos en los que elude el procedimiento usando la cuenta ya comprometida de un responsable para aprobar sus solicitudes6. Las confirmaciones internas solo valen, por tanto, si el propio canal es seguro.
4AutopsiasCasos reales2 min
Principios de 2022: Octo Tempest y los cambios de tarjeta SIM
Según Microsoft, el grupo Octo Tempest fue observado por primera vez a principios de 2022. Atacaba a operadores de telefonía móvil y a empresas de externalización de procesos para provocar portabilidades de números, los cambios de tarjeta SIM. En 2022 sacó provecho de estas intrusiones vendiendo cambios de SIM a otros delincuentes y tomando el control de cuentas de personas muy adineradas para robarles sus criptomonedas6.
25 de octubre de 2023: Microsoft describe los métodos de Octo Tempest
En su entrada del 25 de octubre de 2023, Microsoft explica que este grupo llama al help desk de una organización para conseguir el restablecimiento de la contraseña de un usuario o la incorporación de un factor de autenticación6. También puede, una vez que controla el número de teléfono de un empleado, iniciar un restablecimiento de la cuenta en autoservicio6.
16 de noviembre de 2023 y 29 de julio de 2025: el aviso conjunto sobre Scattered Spider
El aviso conjunto de la CISA, el FBI y agencias socias se publicó el 16 de noviembre de 2023 y se actualizó el 21 de noviembre de 2023 y el 29 de julio de 20255. Describe un grupo que ataca a grandes empresas y a sus servicios de asistencia informática subcontratados5. Sus miembros se hicieron pasar por personal informático o de soporte, por llamada o SMS, para obtener credenciales, y por empleados para convencer al soporte de que restableciera una contraseña y transfiriera el segundo factor5. El aviso recomienda una autenticación multifactor resistente al phishing, protegida contra el bombardeo de notificaciones y el cambio de SIM5.
5Lo que usted hace1 min
El reflejo se resume así: no se responde a quien ha iniciado el contacto, se verifica por otro canal.
- Desconfíe ante una llamada, una visita o un mensaje no solicitados que hagan preguntas sobre los empleados o la organización interna. Si el desconocido dice representar a una organización legítima, verifique su identidad directamente con ella1.
- No dé información sobre usted ni sobre la empresa, incluidas su estructura y sus redes, sin tener la certeza de que la persona tiene derecho a conocerla1.
- Si duda de una petición recibida por correo, póngase en contacto directamente con la entidad, sin usar los datos de contacto que figuran en el mensaje ni en el sitio vinculado a la petición: búsquelos en intercambios anteriores1.
- Comunique el intento, aunque no haya entregado nada. El NCSC británico recomienda una cultura en la que se informe sin temor a reproches, porque los empleados que temen sanciones no comunican sus errores8.
Por parte de la organización, MITRE recuerda que se puede formar a los usuarios para detectar y comunicar estas técnicas, y para desconfiar de quienes llaman verificando su identidad3.
Ficha
- Identificador
- CP-021
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Frenar la ingeniería social (outsmart_social_engineering)
- Reflejo Brain
- cr-040
- Esquema
- G5 · Árbol de decisión del reflejo
- Idiomas
- de, en, es, fr
- Fuentes
- 8 fuentes verificadas el 3 de noviembre de 2026
Fuentes8 fuentes
- CISA, «Avoiding Social Engineering and Phishing Attacks», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1566/004/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1598/001/ (consultado el 3 de noviembre de 2026)
- CISA, «Scattered Spider», 16 de noviembre de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultado el 3 de noviembre de 2026)
- Microsoft, «Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction», 25 de octubre de 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®». https://attack.mitre.org/groups/G1015/ (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «El pretexting, o el arte del falso pretexto», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp021_es_2026,
author = {Brain},
title = {El pretexting, o el arte del falso pretexto},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/},
note = {CC BY 4.0}
}