Para una prueba autorizada de ingeniería social, ¿qué pretexto es aceptable?

La ingeniería social es poderosa precisamente porque manipula a las personas, por lo que exige los límites éticos más estrictos de cualquier disciplina de pentest. Un compromiso firmado autoriza una prueba; no autoriza la crueldad.

Por qué un pretexto verosímil, acordado y no dañino es lo correcto

El pretexto adecuado es lo bastante realista para medir la superficie de ataque humana, pero inofensivo para la persona: un restablecimiento genérico de contraseña de IT, un seguimiento rutinario de un proveedor, una notificación de entrega inocua y, sobre todo, uno acordado de antemano en las reglas de enfrentamiento. Mantener los pretextos dentro de límites documentados significa que el cliente consiente los métodos, que los objetivos no quedan traumatizados y que te mantienes del lado correcto de la ley. El objetivo es aprender cómo responde la organización, no quebrar a empleados individuales.

Por qué las demás opciones están mal

• Hacerse pasar por el hijo enfermo de un empleado concreto. Esto instrumentaliza a la familia de una persona real y explota un punto de presión emocional genuino. Causa una angustia real y daña la confianza en el equipo de seguridad mucho después de terminar la prueba.
• Amenazar a la víctima con el despido. La coacción no es ingeniería social, es intimidación. Perjudica al empleado, no representa la palanca típica de un atacante que querrías medir éticamente y puede generar responsabilidad de RR. HH. y legal.
• Hacerse pasar por las fuerzas del orden. Suplantar a la policía o a funcionarios es un delito grave en muchas jurisdicciones y, por lo general, no es algo que un cliente pueda autorizar legalmente. Además induce un miedo que cruza la línea ética.

Qué evalúa un entrevistador

Quiere ver que entiendes que el consentimiento y la minimización del daño se aplican a las personas dentro del alcance, no solo a los sistemas. Un buen candidato propone pretextos eficaces a la vez que nombra las líneas rojas —sin autoridades, sin amenazas, sin explotar emergencias médicas o familiares— e insiste en que esos límites consten en las reglas de enfrentamiento.