Marco teórico
1. Ingeniería social
La ingeniería social se define como el uso de técnicas psicológicas para manipular a
las personas y obtener información o accesos restringidos sin necesidad de vulnerar
directamente un sistema técnico. Según IBM Security (2024), los ataques basados en
engaño humano continúan siendo la vía de acceso más utilizada por los atacantes
debido a su elevada tasa de éxito y bajo costo operativo (IBM X-Force, 2024).
2. Técnicas de ingeniería social
Las técnicas más empleadas incluyen phishing, vishing, smishing, pretexting y spear-
phishing. Reportes recientes confirman que el phishing → en todas sus variantes →
sigue siendo el método preferido por los ciberdelincuentes, representando uno de los
principales detonantes de incidentes en el mundo (Check Point Research, 2024).
Además, IBM X-Force (2024) destaca que los infostealers se distribuyen mayormente a
través de correos de phishing, lo que ha incrementado la efectividad de los ataques
dirigidos al sector financiero.
3. Características de un ataque de ingeniería social
Los ataques suelen estar diseñados con elementos como urgencia, personalización y
suplantación visual. La Superintendencia de Bancos (2024) señala que gran parte de
los incidentes reportados por entidades financieras dominicanas inician con
solicitudes fuera del protocolo o comunicaciones con apariencia legítima. La
manipulación emocional —miedo, presión y urgencia— es uno de los factores que más
influye en el éxito de estas campañas (Proofpoint, 2022).
4. Problemáticas al caer ante el engaño
Caer en ingeniería social puede provocar pérdidas financieras directas, deterioro
reputacional y filtración de datos. NordLayer (2024) reporta que las organizaciones que
sufrieron ataques de ingeniería social enfrentaron costos elevados en respuesta y
recuperación. En República Dominicana, la Superintendencia de Bancos (2024) explica
que el fraude externo asociado a engaño humano continúa entre los principales riesgos
operacionales del sector financiero.
5. Estadísticas: ataques globales y en RD
Global (2024)
IBM X-Force (2024) documentó que el uso de credenciales robadas y el phishing
representaron una parte significativa de los incidentes analizados globalmente. Check
Point Research (2024) confirma que más del 70% de las organizaciones estudiadas
experimentaron intentos de phishing en 2023–2024.
Sector financiero en RD
De acuerdo con la Superintendencia de Bancos (2024), los eventos relacionados con
fraude externo y engaños digitales continúan aumentando entre las instituciones
supervisadas, destacando la necesidad de fortalecer los controles internos y la
capacitación del personal.
El CNCS (2023) también indica que, dentro de los incidentes reportados a nivel
nacional, una proporción importante corresponde a suplantación de identidad, vishing
y phishing dirigidos a entidades financieras y sus clientes.
6. Datos sobre ataques de phishing
Global
Según Keepnet Labs (2024), el phishing sigue siendo responsable de un porcentaje
elevado de brechas de datos, y su sofisticación aumenta gracias al uso de IA para
generar correos altamente persuasivos. IBM X-Force (2024) señala que los ataques de
phishing que distribuyen malware y infostealers crecieron durante 2024.
Sector financiero dominicano
La Superintendencia de Bancos (2024) ha documentado un incremento en reportes de
intentos de phishing que suplantan páginas bancarias, correos de soporte, enlaces de
verificación y SMS fraudulentos. Este enfoque en el cliente final y los empleados
internos lo convierte en uno de los riesgos operacionales más críticos para el país.
7. Técnicas para análisis de vulnerabilidades
Para evaluar vulnerabilidades relacionadas con ingeniería social se aplican pruebas de
penetración social, simulaciones de phishing y ejercicios de red teaming. Según IBM
Security (2024), las organizaciones que incluyen simulaciones continuas reducen
significativamente su tasa de clics en correos fraudulentos.
El CNCS (2023) recomienda implementar análisis de logs y correlación mediante
sistemas SIEM para detectar comportamientos sospechosos asociados a accesos no
autorizados.
8. Amenazas, riesgos e impacto
Según el Informe de Riesgo Operacional de la Superintendencia de Bancos (2024), el
fraude externo impulsado por ingeniería social continúa siendo una de las mayores
amenazas para el sector financiero dominicano.
IBM X-Force (2024) sostiene que las amenazas vinculadas al factor humano pueden
ocasionar pérdidas económicas millonarias, daños a la reputación institucional y
comprometer la continuidad del negocio.
El impacto final se ve amplificado cuando las instituciones carecen de programas de
capacitación, controles de verificación en transferencias y herramientas automáticas
de detección de fraude (Proofpoint, 2022).
Banco Central de la República Dominicana. (2022). Informe de estabilidad financiera
2022. Banco Central de la República Dominicana. [Link]
Check Point Research. (2024). Cyber Security Report 2024. Check Point Software
Technologies.
[Link]
2024-3a0a/
Centro Nacional de Ciberseguridad (CNCS). (2023). Guía de identificación y reporte
de incidentes cibernéticos. CNCS.
[Link]
[Link]
Centro Nacional de Ciberseguridad (CNCS). (s. f.). Informes y boletines del CNCS.
CNCS.
[Link]
IBM Security X-Force. (2024). X-Force Threat Intelligence Index 2024. IBM Corporation.
[Link]
IBM Security X-Force. (2024). IBM X-Force Cloud Threat Landscape Report 2024. IBM
Corporation.
[Link]
Landscape-Report-2024
Keepnet Labs. (2024). Phishing Statistics and Trends 2024.
[Link]
NordLayer. (2024). Cybersecurity statistics 2024: key insights and numbers. Nord
Security.
[Link]
Proofpoint. (2022). State of the Phish Report 2022. Proofpoint, Inc.
[Link]
Superintendencia de Bancos de la República Dominicana. (2024). Informe de riesgo
operacional 2024. Superintendencia de Bancos.
[Link]