Tailgating y piggybacking: entrar sin tarjeta
Un desconocido educado entra detrás de usted o con su permiso. Lo que ve el empleado, los fallos del acceso físico y los reflejos que conviene adoptar.
En 30 segundos
- Dónde ocurre
- En una puerta de entrada, un acceso con esclusa, una planta o una sala donde le piden que sujete la puerta o deje pasar a alguien.
- Qué quiere el atacante
- Estar dentro para colocar un dispositivo, conectar un soporte o conseguir información que la red no le daría.
- El reflejo
- Negarse con amabilidad, dirigir a la persona a recepción y después comunicar la situación.
- Si ya ha ocurrido
- Avise a los responsables de seguridad de su organización, aunque la duda sea leve.
De qué se trata
El tailgating y el piggybacking son dos formas de entrar en unas instalaciones sin tener derecho a ello. En el tailgating, la persona sigue a un empleado sin que este lo sepa, y pasa antes de que la puerta se cierre. En el piggybacking, entra con el consentimiento del empleado, que le sujeta la puerta o le presta su tarjeta porque la petición parece normal.
Ambos escenarios son ingeniería social: el intruso no fuerza ninguna cerradura, cuenta con la cortesía. Las fuentes citadas aquí no describen el tailgating en sí. Describen el engaño mediante la palabra, la identidad prestada y los dispositivos conectados in situ, es decir, lo que un intruso puede hacer una vez dentro. Esta ficha se limita a lo que dicen.
Preguntas directas
¿Qué diferencia hay entre tailgating y piggybacking?
En el tailgating, la persona se cuela detrás de usted sin que usted lo haya autorizado. En el piggybacking, usted la ha dejado entrar, por ejemplo sujetándole la puerta. El resultado es el mismo: alguien ha entrado sin una tarjeta propia.
¿Por qué cuesta negarse ante un desconocido educado?
Porque el atacante se apoya en la credibilidad. La CISA describe a un atacante que puede parecer « unassuming and respectable », que afirma ser un nuevo empleado, un técnico de reparaciones o un investigador, y que a veces ofrece credenciales para respaldar esa identidad1.
¿Qué puede hacer un intruso una vez dentro?
La técnica T1200 de MITRE describe la introducción física de accesorios, equipos de red u otros dispositivos en un sistema o una red para obtener acceso2. Precisa que las referencias públicas de uso por parte de atacantes son escasas, pero que muchos equipos de intrusión autorizados (red teams) recurren a ella para el acceso inicial2.
¿Tiene un empleado un papel real en el control de acceso?
Sí. Una esclusa, una tarjeta o una recepción solo sirven si todos las utilizan. Las fuentes citadas aquí no cuantifican la parte de las intrusiones que se producen por una puerta mantenida abierta. Sí muestran, en cambio, que el atacante busca al interlocutor que responda y luego a un segundo si el primero no basta1.
1En la piel del atacante1 min
El intruso elige un pretexto que explique su presencia. La CISA cita al nuevo empleado, a la persona encargada de una reparación y al investigador1. También puede avanzar por etapas: si una persona no le da suficiente información, contacta con otra de la misma organización y se apoya en lo que dijo la primera para parecer más creíble1. Una recepción, un guardia de seguridad o un compañero de paso pueden así servir, sin saberlo, de aval para el siguiente.
El objetivo varía. Puede tratarse de manipular equipos: MITRE cita herramientas como el Bash Bunny o la Raspberry Pi, y portátiles baratos, conectados a la red local de la organización por el grupo DarkVishnya2. Puede tratarse de dejar un soporte extraíble, un caso que se detalla más abajo3.
2Lo que ve en la pantalla2 min
En este tipo de escenario no hay ninguna pantalla sospechosa: lo que cuenta es la escena misma. La ilustración siguiente es inventada y no reproduce ningún caso real.
Ilustración (escena ficticia, ningún caso real)
[Una persona desconocida, amable, con los brazos cargados, llega detrás de usted
a una puerta con control de tarjeta y le pide que la deje pasar.]
[Explica que la están esperando o que ha olvidado su tarjeta.]Lo primero que nota el empleado es una cortesía corriente. Las señales útiles están en otro sitio: la persona no puede demostrar quién es, no tiene ningún contacto interno al que nombrar, o insiste. La CISA recomienda desconfiar de las visitas, llamadas o correos no solicitados de personas que se interesan por los empleados o por información interna, y verificar la identidad de quien dice representar a una organización directamente con esa organización1. En la práctica, no se confía en los datos de contacto que la propia persona facilita.
El primer reflejo es negarse con amabilidad y después dirigir a la persona a recepción. El NCSC recomienda comprobar las solicitudes importantes recibidas por correo mediante un segundo medio de comunicación, incluida una confirmación en persona5. Trasladada a la puerta, esta lógica resulta así: a una persona que dice que la esperan puede anunciarla su contacto interno.
Después hay que comunicarlo. El NCSC describe una cultura en la que los usuarios notifican los intentos, incluidos aquellos en los que cedieron, lo que informa a la organización sobre los ataques en curso5. La CISA pide avisar a las personas competentes de la organización, entre ellas los administradores de red, si se cree haber revelado información sensible, para que vigilen cualquier actividad inusual1.
3Bajo el capóEquipos de TI1 min
El control de acceso se apoya en varias capas: esclusa, tarjeta, recepción. Cada una puede eludirse si una persona autorizada abre el paso. Las fuentes citadas aquí no detallan estos mecanismos. Sí indican las defensas que importan cuando un intruso ya está dentro del edificio.
MITRE recomienda reglas de control de acceso a la red, como certificados de dispositivo y el estándar 802.1x, y limitar el DHCP a los dispositivos registrados para impedir que un dispositivo desconocido dialogue con sistemas de confianza2. También recomienda bloquear los dispositivos y accesorios desconocidos mediante la configuración de los equipos y un agente de supervisión2.
Respecto a los soportes extraíbles, MITRE explica que un móvil conectado por USB, incluso mediante algunos cables de carga, puede infectar un ordenador, sobre todo si la función Autorun está activada3. Aconseja limitar el uso de periféricos USB y soportes extraíbles en una red3.
4AutopsiasCasos reales1 min
Scattered Spider, aviso conjunto del 16 de noviembre de 2023, actualizado el 29 de julio de 2025
Este aviso fue publicado por el FBI, la CISA y varias agencias asociadas, entre ellas el NCSC británico4. Describe un grupo criminal que apunta a grandes empresas y a sus servicios de asistencia informática subcontratados4. El caso no se refiere a una intrusión física: es un engaño por teléfono y SMS. Muestra, sin embargo, el mismo resorte que el tailgating, la suplantación de una identidad de confianza. El grupo se hizo pasar por personal informático o de soporte para obtener credenciales o para que se lanzaran herramientas de acceso remoto4. La actualización de julio de 2025 añade que algunos miembros también se hicieron pasar por empleados para conseguir un restablecimiento de contraseña4.
FIN7 y las memorias USB enviadas por correo postal
MITRE informa de que actores de FIN7 enviaron por correo postal memorias USB a posibles víctimas. Contenían un software malicioso que instala diversas puertas traseras, a veces para operaciones de ransomware3. Algunas memorias se comportaban como un teclado virtual3. La fuente no da fecha para este caso. Muestra que un dispositivo físico puede llegar sin que ningún intruso entre.
Ficha
- Identificador
- CP-023
- Ala
- 1. Ataques y técnicas
- Competencia Brain
- Frenar la ingeniería social (outsmart_social_engineering)
- Reflejo Brain
- cr-042
- Esquema
- G5 · Árbol de decisión del reflejo
- Idiomas
- de, en, es, fr
- Fuentes
- 5 fuentes verificadas el 3 de noviembre de 2026
Fuentes5 fuentes
- CISA, «Avoiding Social Engineering and Phishing Attacks | CISA», 1 de febrero de 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1200/ (consultado el 3 de noviembre de 2026)
- MITRE ATT&CK, «Replication Through Removable Media, Technique T1091 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1091/ (consultado el 3 de noviembre de 2026)
- CISA, «Scattered Spider | CISA», 16 de noviembre de 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 de febrero de 2018. https://www.ncsc.gov.uk/guidance/phishing (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Tailgating y piggybacking: entrar sin tarjeta», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp023_es_2026,
author = {Brain},
title = {Tailgating y piggybacking: entrar sin tarjeta},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/tailgating-piggybacking-intrusion-fisica/},
note = {CC BY 4.0}
}