El principio de autoridad, la sensación de urgencia, el juego con las emociones, el miedo a perder una oportunidad o la necesidad de decidir rápido. Las mismas teclas psicológicas que puede pulsar un buen comercial para cerrar una venta son utilizadas por los ciberdelincuentes para construir sus engaños. Y explican por qué, por mucho que sepamos de tecnología, ninguno estamos completamente a salvo de caer en una ciberestafa.
¿Cross selling o estafa? Cuando la venta se convierte en manipulación
Suena el teléfono. Son las 11:00 de la mañana de un día laboral cualquiera. Lo coges. Al otro lado de la línea una voz con tono profesional, calmado y corporativo te dice: “Hola. Le llamo del departamento de soporte técnico premium de su proveedor de Internet. Hemos detectado una degradación crítica del 40% en la velocidad de su fibra óptica debido a una saturación de micro-nodos en su zona. Queremos optimizar su línea a coste cero antes de que se corte por completo”.
La voz, que se supone que es la de un operador de tu compañía de Internet, habla usando tecnicismos y demuestra saber quién eres. Esa misma voz, sin dejarte apenas pensar nada ni comprobar ningún fallo en tu conexión, aplica el principio de autoridad ofreciendo un beneficio de inmediato bajo una supuesta urgencia.
A continuación, ese operador te pide que descargues una aplicación oficial de soporte remoto desde la web del proveedor para “limpiar los canales de datos”. Como crees que la app es real y legal, accedes. El técnico toma el control de la pantalla, abre carpetas de sistema y ejecuta códigos que hacen parpadear ventanas negras.
“Listo”, te dice, “el bloque principal era un malware troyano en su router. Para eliminarlo definitivamente y activar la licencia de protección permanente de nivel tres, solo debe realizar un pago de mantenimiento de 4,99 euros. Es un servicio complementario obligatorio para clientes fidelizados”. Al escucharlo, sacas tu tarjeta y pagas.
Ahora, dime, ¿esto ha sido un ejemplo de cross selling o una estafa? Porque hay una línea muy fina entre uno y otro …
La psicología detrás de una estafa: por qué cualquiera puede caer
“Las técnicas de venta y las que utilizan los estafadores se basan en ingeniería social y en la psicología del comportamiento”. Asegura Hervé Lambert, Global Consumer Operation Manager de Panda Security. En ambos casos, estos perfiles estudian cómo reacciona el cerebro ante ciertos estímulos para lograr que una persona tome una decisión rápida, sin pensar. Por eso, nadie está libre de caer en un engaño. “Porque estas campañas están muy bien trazadas”, señala Lambert.
Tendemos a pensar que quien cae en una estafa lo hace porque no sabe de tecnología, porque es demasiado confiado o, simplemente, porque no se ha dado cuenta del engaño. “Pero esa explicación resulta tan cómoda como equivocada”, dice el experto de Panda Security. Las buenas estafas no funcionan porque sus víctimas sean ingenuas. “Lo hacen porque están diseñadas para explotar mecanismos psicológicos que todos compartimos”, asegura. Al igual que los buenos comerciales, que buscan que no te pares a pensar si de verdad necesitas ese nuevo producto o ese servicio en particular, estas técnicas se basan en pulsar, una detrás de otra, varias teclas de nuestro cerebro que activan una sensación de FOMO (miedo a perderse algo). O que, sencillamente, reducen nuestra capacidad para detenernos y analizar lo que está ocurriendo.
Y ahí está una de las claves para entender por qué cualquiera puede caer en una ciberestafa. Cuando un ciberdelincuente elige una víctima, en realidad está eligiendo una oportunidad porque existen las condiciones idóneas para que esa persona caiga en un engaño diseñado adhoc. Y, para hacerlo, juega con una serie de mecanismos psicológicos tan cotidianos que los utilizamos, y sufrimos, constantemente sin ser conscientes de ello.
5 motivos principales por los que caemos en ciberestafas
Estos son los cinco motivos principales por los que cualquiera puede caer en una ciberestafa, o comprar una lavadora sin necesitarlo realmente:
1. Confiamos en quien parece tener autoridad
Una voz segura. El nombre de una empresa conocida. Terminología técnica. Algún dato personal correcto. Una aplicación legítima. Cada elemento añade una pequeña capa de credibilidad al relato.
Es lo que en psicología se conoce como principio de autoridad. “Tendemos a otorgar mayor credibilidad a quien percibimos como experto o representante de una institución legítima”, asegura Lambert, “y en Internet esa autoridad se puede fabricar”, apostilla.
Un ciberdelincuente no necesita ser nuestro banco. Le basta con parecerlo durante cinco minutos. Puede falsificar el remitente de un correo, copiar una página web, utilizar logotipos corporativos, conocer nuestro nombre o hacerse pasar por un técnico, un superior, un proveedor o incluso un familiar.
“El primer error, por tanto, no es creer una mentira, sino aceptar inconscientemente que esa persona con la que estás interactuando es quien dice ser”, señala el experto de Panda Security.
2. La urgencia nos roba tiempo para pensar
“Su cuenta será bloqueada”; “este pago debe realizarse hoy”; “hemos detectado un acceso sospechoso”; “quedan cinco minutos para cancelar la operación”. Estas tácticas en las que se juega con la urgencia, y que tantas veces hemos visto utilizar en el marketing tradicional, son uno de los ingredientes más habituales de una estafa. “Porque introduce un enemigo peligrosísimo para nuestro pensamiento crítico, el reloj”, indica Lambert.
Cuando sentimos que debemos decidir inmediatamente, dedicamos menos tiempo a verificar la información, buscar contradicciones o consultar a otra persona. El objetivo del estafador es que tomemos una decisión, la que él quiere, demasiado rápido.
Por eso las estafas crean problemas que aparentemente sólo pueden resolverse ahora. Si tienes diez minutos para llamar a tu banco por otro teléfono, buscar el número oficial de la compañía o preguntarle a un compañero, el engaño empieza a desmoronarse.
El estafador necesita velocidad porque la verificación necesita tiempo.
3. Cuando aparece una emoción fuerte, cambia nuestra forma de decidir
Miedo a perder dinero. Ilusión por ganar un premio. Curiosidad por saber quién aparece en una fotografía. Preocupación por un hijo que supuestamente necesita ayuda. Deseo de aprovechar una oportunidad irrepetible. “Las ciberestafas, en realidad, venden estados emocionales”, dice Lambert. Y no todas utilizan el miedo. Algunas recurren a otras emociones como la codicia, el amor, la solidaridad, la curiosidad, el deseo sexual, la obediencia o incluso las ganas de ayudar.
Lo importante es provocar una emoción suficientemente intensa como para desplazar la pregunta que más perjudica al delincuente. “¿Esto tiene sentido?”
Por eso una persona puede reconocer perfectamente una estafa cuando se la cuentan al día siguiente. Y, sin embargo, haber caído en ella el día anterior. Fuera de la situación analiza los hechos. Dentro de ella también está gestionando una emoción.
4. Nuestro cerebro tiene una capacidad limitada para procesar información
Si volvemos por un momento al ejemplo de la llamada del supuesto técnico nos daremos cuenta de que, mientras habla, tenemos que entender qué problema existe, recordar cuál es nuestro proveedor de Internet. Seguir unas instrucciones que nos da casi sin tiempo a detenernos para pensar. Abrir una aplicación, responder a unas preguntas y pensar qué consecuencias tendría que Internet dejara de funcionar”. Indica el directivo de Panda Security. Todo al mismo tiempo.
Esa sobrecarga cognitiva beneficia al atacante. Cuantos más elementos tenemos que procesar, más probable es que recurramos a atajos mentales. “Parece saber lo que hace”, “la aplicación es oficial”, “solo son 4,99 euros”, “si fuera una estafa no tendría todos estos datos”.
Además, “una ciberestafa rara vez empieza pidiendo 5.000 euros”, recuerda Lambert. Primero consigue una acción pequeña como es responder un mensaje, hacer clic, confirmar un dato, instalar una aplicación o realizar un pago aparentemente insignificante.
Cada pequeño paso hace que el siguiente resulte un poco menos extraño.
5. Creemos que a nosotros no nos pasaría
Este quizá sea el factor más paradójico de todos.
Conocemos las estafas. Hemos visto noticias sobre phishing. Sabemos que no debemos compartir contraseñas. Incluso podemos pensar que detectaríamos inmediatamente a un ciberdelincuente.
Y precisamente esa seguridad puede convertirse en una vulnerabilidad.
Porque buscamos la estafa que esperamos encontrar, es decir, el correo mal escrito, el príncipe nigeriano, el enlace sospechoso o la llamada evidentemente falsa. “Pero el fraude moderno puede llegar desde una cuenta comprometida de alguien conocido, incorporar información real sobre nosotros, utilizar herramientas legítimas o construir durante días una historia perfectamente coherente”. Señala el experto de Panda Security.
Además, todos sufrimos sesgos. Tendemos a buscar información que confirme nuestra primera impresión, a mantener decisiones que ya hemos empezado a ejecutar y a confiar más en situaciones que nos resultan familiares.
La estafa… ¿perfecta?
Lo más inquietante de todo esto es que ninguno de estos cinco mecanismos suele actuar por separado.
“Los ciberdelincuentes primero consiguen ganarse nuestra confianza, después introducen un problema para, a continuación, añadir el factor urgencia”. Explica Lambert, quien recuerda que de esta forma. “Logran mantenernos ocupados siguiendo instrucciones. Y cuando llega el momento de pedir dinero, unas credenciales o acceso al dispositivo ya hemos aceptado tantas pequeñas partes de la historia que detenernos resulta muy difícil”.
Por eso, “quizá deberíamos dejar de imaginar las ciberestafas como un examen en el que hay personas listas que aprueban y personas ingenuas que suspenden”. Piensa el experto, para tomarlas como lo que son. “Campañas diseñadas utilizando los mecanismos de venta que juegan con factores psicológicos y con las emociones”. Pero, entonces, si todos podemos caer en este tipo de engaños, ¿qué hace que algunas personas puedan detenerse?
“Curiosamente, no siempre es saber más de ciberseguridad”, dice Lambert. En la mayoría de las ocasiones, lo que hace clic en el cerebro de quien para es algún dato incongruente. “Como cuando tu supuesto banco te pregunta por tu contraseña cuando se supone que sabe quién eres, cuando tu hijo te escribe por otro número en lugar de llamarte. O cuando un técnico te pide que pagues con tarjeta una avería en tu conexión”. Enumera el experto. Una sola pregunta puede romper el guión.
Y eso es especialmente importante, “porque el estafador conoce la historia completa y nosotros no, sabe qué va a decir después, qué objeciones podemos plantear y qué respuesta utilizará para neutralizarlas”. Asegura el experto. Nosotros, en cambio, vamos descubriendo el relato segundo a segundo. “Por eso intenta mantenernos dentro de la conversación, con frases como no cuelgue, no cierre esta ventana, necesitamos resolverlo ahora, no contacte con su banco porque bloquearía el procedimiento… Instrucciones que sólo persiguen aislarnos de cualquier elemento externo que pueda romper la ficción”. Señala Lambert.
El tiempo, la mejor defensa frente a la ingeniería social
Por eso una de las mejores herramientas contra la ingeniería social es el tiempo. “Ante una petición inesperada que implique dinero, contraseñas, códigos de verificación, instalación de programas, acceso remoto o información sensible, podemos imponernos una regla extremadamente sencilla. No tomar la decisión inmediatamente”, aconseja el experto de Panda Security. Colgar. Cerrar el mensaje. Salir de la aplicación y buscar el número oficial de la empresa o institución que supuestamente nos está llamando. “Comprobar, en definitiva, qué está ocurriendo desde otra vía”, sostiene Lambert.
Solo necesitamos romper el ritmo que otra persona está intentando imponernos. Y esto será cada vez más importante. “Porque durante años hemos aprendido a identificar las estafas por sus defectos, como las faltas de ortografía, las traducciones extrañas, los diseños deficientes, los correos sospechosos o las llamadas poco convincentes”. Dice el experto de Panda Security. “Pero la inteligencia artificial está eliminando rápidamente muchas de esas señales y ahora un ciberdelincuente puede redactar mensajes impecables, personalizarlos con información pública, mantener conversaciones convincentes e incluso imitar voces o imágenes”.
Por eso, en este momento en que el engaño ya ha derribado los límites del marco psicológico y juega con factores diseñados para las ventas agresivas. “Hay que poner atención a lo que se nos está pidiendo, y si vemos que ello implica dinero, revelar información, facilitar un código, pulsar un enlace o permitir acceso a un dispositivo merece la pena pararse a comprobar su legitimidad”. Sentencia Lambert.